Publiczne hasło VPN: dlaczego nie może być hasłem do twojej poczty

Profile w publicznych katalogach VPN wymieniają serwer, nazwę użytkownika i hasło, które mają też tysiące innych osób, a pokusa każe wpisać coś łatwego do zapamiętania. Właśnie ten odruch jest problemem: wartość nie jest osobistym sekretem, a wszystko, do czego jej ponownie użyjesz, również staje się publiczne. Traktuj opublikowany login jako wspólny klucz do publicznej usługi, a każde konto, które cię identyfikuje, jako zupełnie inną kategorię. Rozdzielenie jest łatwe do utrzymania aż do dnia, w którym zaczyna mieć znaczenie.

Czym właściwie są dane logowania

Login opublikowany w publicznym katalogu VPN to ustalenie dostępu między operatorem a każdym, kto przeczyta stronę. Może identyfikować wspólne konto usługi, a nie osobę, a operator może obserwować połączenie na bramie.

Ostatni punkt zasługuje na nacisk: kto kończy tunel, widzi ruch do niego wchodzący i z niego wychodzący, i trzyma hasło, które go otworzyło. Ponowne użycie wartości do konta pocztowego mówi operatorowi coś o koncie, którego nigdy nie powinien był umieć odgadnąć. Wspólne hasło nie jest tajemnicą w żadnym sensownym znaczeniu, bo wiele osób je ma. Kategorie są różne: publiczny sekret dostępu, hasło prywatnego konta, certyfikat klienta i klucz partnera, każdy odpowiada na inne pytanie.

Ponowne użycie to znana wartość, nie słaba

Wskazówki dotyczące siły hasła zwykle skupiają się na długości i unikalności, a unikalność jest dokładnie tym, co niszczy ponowne użycie. Długie hasło używane w dwóch miejscach jest znaną wartością w obu, gdy tylko jedno z nich wycieknie.

Credential stuffing zależy od tego nakładania się, a publiczne katalogi sprawiają, że pierwsza połowa pary jest darmowa dla każdego. Generowanie osobnej wartości dla każdej usługi usuwa tę dźwignię bez wymagania czegoś łatwiejszego do zapamiętania. Długość nigdy nie rekompensuje wartości, która jest już wydrukowana na publicznej stronie.

Jeśli hasło zostało już użyte ponownie

Zmień niepowiązane konto przez jego zweryfikowany proces odzyskiwania, a następnie przejrzyj jego aktywne sesje i ustawienia odzyskiwania, bo reset, który zostawia starą sesję żywą, nie wykonał zadania. Nie wysyłaj hasła do pomocy technicznej VPN, aby zademonstrować błąd. Tam, gdzie dostępne jest uwierzytelnianie wieloskładnikowe, włącz je, bo przeżywa ono wyciek hasła.

Rotuj dane logowania VPN dowolnym procesem, który dokumentuje operator, i zauważ, że to osobna czynność od zmiany własnego konta. Trzymaj obie zmiany w jednym zgłoszeniu, żeby nikt nie założył, że jedna objęła drugą.

Jeśli ujawniono prywatny klucz klienta zamiast hasła, lekarstwem jest unieważnienie. Zmiana hasła do poczty nie usuwa skopiowanego klucza.

Sprawdź typ danych logowania przed rotacją

Ustal, czego pole faktycznie oczekuje, zanim cokolwiek wygenerujesz. Kod pokoju portalu, klucz partnera i hasło nie są wymienne, a rotacja niewłaściwego zostawia ujawnienie na miejscu.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Przechowuj wygenerowane wartości w menedżerze haseł, a nie w notatce, aby osobne wpisy pozostały użyteczne. Następnie potwierdź, że nowa wartość działa, zanim odrzucisz starą, i trzymaj oba zdarzenia w jednym zgłoszeniu.

Zakończ, czyszcząc zapisane dane logowania na każdej wspólnej instalacji, która używała starego loginu. Dane logowania usunięte z serwera wciąż są wyciekiem, jeśli urządzenie nadal łączy się ponownie z kopią w pamięci podręcznej.