Com que rapidez alguém pode adivinhar a sua palavra-passe VPN?

A latência responde a uma pergunta que ninguém fez. Três condições decidem o que uma estimativa de adivinhação realmente significa: se a adivinhação é verificada por um serviço ativo ou contra material capturado, que método de autenticação produziu esse material e que controles o serviço impõe. Um ping mede uma única ida e volta num caminho e não responde a nenhuma delas. Dividir um segundo por esse número produz um valor preciso, sem relação e frequentemente repetido como se fosse uma propriedade de segurança.

A latência pertence ao trabalho de conetividade. A força da autenticação é uma propriedade do verificador e do protocolo.

Uma ida e volta não é um limite de taxa

Um tempo de ida e volta descreve quanto demoram um pedido e a sua resposta num caminho concreto. Mesmo em tentativas online, o débito depende de quantos pedidos um cliente mantém abertos, de quanto tempo o servidor gasta por tentativa e de que limites de taxa são aplicados. Isso é independente do ping. Uma ligação Ethernet não impõe a regra de que só possa existir uma tentativa por ida e volta, e um ping rápido não prova que um verificador aceitará adivinhações a esse ritmo.

Se o serviço bloqueia uma conta após cinco falhas, a taxa prática é de cinco tentativas por janela de bloqueio, independentemente da rede. Isso é um controlo, e é o número que merece ser citado.

Onde a adivinhação é realmente verificada

Online, o requerente submete cada candidato ao serviço real, que pode observar, atrasar, bloquear e alertar. Offline, um atacante que possui material de verificação adequado verifica candidatos localmente sem qualquer envolvimento do serviço. Essa distinção decide quase tudo na aritmética. As orientações de palavras-passe do NIST tratam estas ameaças separadamente, pedindo limitação da taxa de tentativas online falhadas e armazenamento que resista a um ataque offline através de hashing com sal e um fator de custo. Ambas são propriedades do verificador e da camada de armazenamento, sem dependência da rapidez com que a ligação do utilizador responde.

Se uma captura de pacotes fornece material útil depende do protocolo e do método de autenticação. Possuir uma captura, um certificado ou um túnel cifrado não responde nada por si só, e a idade da compilação do cliente também não.

Porque é que a aritmética do tempo de quebra engana

Uma contagem de cadeias possíveis vale apenas o que valem as suas suposições. As palavras-passe escolhidas por pessoas não estão uniformemente distribuídas pelo espaço que uma fórmula descreve, e credenciais reutilizadas podem já estar numa lista. O custo de verificação também conta: um serviço online com controlos impostos difere completamente de um verificador roubado testado localmente. Um cálculo que se move silenciosamente entre esses casos não pode sustentar uma afirmação de anos até à quebra.

Mantenha os defeitos de protocolo na sua própria coluna. Uma palavra-passe mais longa não repara uma construção de autenticação fraca, e um método obsoleto não prova que todo o desenho baseado em palavra-passe partilhe as suas fraquezas. São constatações separadas com correções separadas.

Peça provas ao verificador, não latência

Para avaliar um gateway, identifique o método de autenticação, quem detém o verificador, que controlos de tentativa existem e se um segundo fator é realmente independente. Uma janela com duas caixas de palavra-passe não estabelece dois fatores. Para credenciais armazenadas, estabeleça que material existe, quem o pode ler e que proteção a implementação aplica realmente. Um valor hipotético de velocidade de hash não é prova sobre um sistema de armazenamento não identificado.

Considere também a exposição fora da adivinhação. Um perfil roubado, um endpoint comprometido ou um fluxo de phishing apresentam um problema diferente do de um atacante que enumera palavras-passe, e o comprimento da palavra-passe não faz nada contra a autoridade já concedida a uma sessão ativa.

Registe o método, o controlo e a proteção do armazenamento. Esses três respondem à pergunta que o ping nunca mediu.