Jak szybko ktoś może odgadnąć twoje hasło do VPN?

Opóźnienie odpowiada na pytanie, którego nikt nie zadał. Trzy warunki decydują, co naprawdę oznacza szacunek zgadywania: czy zgadywanie jest sprawdzane przez działającą usługę, czy wobec przechwyconego materiału, która metoda uwierzytelniania wytworzyła ten materiał i jakie kontrole usługa egzekwuje. ping mierzy jedną podróż w obie strony na jednej ścieżce i nie odpowiada na żadne z nich. Podzielenie sekundy przez tę liczbę daje wartość, która jest precyzyjna, niepowiązana i często powtarzana, jakby była cechą bezpieczeństwa.

Opóźnienie należy do pracy nad łącznością. Siła uwierzytelniania jest cechą weryfikatora i protokołu.

Jedna podróż w obie strony to nie limit tempa

Czas podróży w obie strony opisuje, ile trwa jedno żądanie i jego odpowiedź na danej ścieżce. Nawet przy próbach online przepustowość zależy od tego, ile żądań klient trzyma otwartych, ile czasu serwer spędza na jednej próbie i jakie limity tempa są egzekwowane. To jest niezależne od ping. Łącze Ethernet nie narzuca reguły, że na jedną podróż może istnieć tylko jedna próba, a szybki ping nie dowodzi, że weryfikator przyjmie zgadywania w takim tempie.

Jeśli usługa blokuje konto po pięciu niepowodzeniach, praktyczne tempo to pięć prób na okno blokady, niezależnie od sieci. To jest kontrola i to jest liczba, którą warto przytoczyć.

Gdzie zgadywanie jest naprawdę sprawdzane

Online podmiot zgłaszający przekazuje każdego kandydata prawdziwej usłudze, która może obserwować, opóźniać, blokować i alarmować. Offline atakujący dysponujący odpowiednim materiałem weryfikacyjnym sprawdza kandydatów lokalnie bez udziału usługi. To rozróżnienie decyduje o prawie wszystkim w arytmetyce. Wytyczne NIST dotyczące haseł traktują te zagrożenia osobno, wzywając do ograniczania tempa nieudanych prób online oraz do przechowywania odpornego na atak offline dzięki solonemu haszowaniu z czynnikiem kosztu. Oba są właściwościami weryfikatora i warstwy przechowywania, bez zależności od tego, jak szybko odpowiada łącze użytkownika.

To, czy przechwycenie pakietów daje użyteczny materiał, zależy od protokołu i metody uwierzytelniania. Posiadanie przechwycenia, certyfikatu lub zaszyfrowanego tunelu samo w sobie niczego nie odpowiada, podobnie jak wiek kompilacji klienta.

Dlaczego arytmetyka czasu złamania wprowadza w błąd

Liczba możliwych ciągów jest tylko tak dobra, jak jej założenia. Hasła wybierane przez ludzi nie są równomiernie rozłożone w przestrzeni opisanej wzorem, a ponownie użyte dane logowania mogą już być na liście. Koszt sprawdzania też ma znaczenie: usługa online z egzekwowanymi kontrolami różni się całkowicie od skradzionego weryfikatora testowanego lokalnie. Obliczenie, które po cichu przesuwa się między tymi przypadkami, nie może uzasadniać twierdzenia o latach do złamania.

Trzymaj wady protokołu w osobnej kolumnie. Dłuższe hasło nie naprawia słabej konstrukcji uwierzytelniania, a jedna przestarzała metoda nie dowodzi, że każdy projekt oparty na haśle dzieli jej słabości. To odrębne ustalenia z odrębnymi poprawkami.

Żądajcie dowodów od weryfikatora, nie opóźnienia

Przy ocenie bramy wskażcie metodę uwierzytelniania, kto posiada weryfikator, jakie kontrole prób istnieją i czy drugi czynnik jest naprawdę niezależny. Okno z dwoma polami hasła nie ustanawia dwóch czynników. Dla przechowywanych danych logowania ustalcie, jaki materiał istnieje, kto może go czytać i jaką ochronę implementacja faktycznie stosuje. Hipotetyczna liczba szybkości haszowania nie jest dowodem w sprawie niezidentyfikowanego systemu przechowywania.

Rozważcie także ekspozycję poza zgadywaniem. Skradziony profil, przejęty punkt końcowy lub przepływ phishingu stanowią inny problem niż atakujący wyliczający hasła, a długość hasła nic nie robi z uprawnieniami już przyznanymi aktywnej sesji.

Zapiszcie metodę, kontrolę i ochronę przechowywania. Te trzy odpowiadają na pytanie, którego ping nigdy nie zmierzył.