Palavra-passe VPN pública: porque não deve ser a do seu e-mail

Os perfis nos diretórios VPN públicos listam um servidor, um nome de utilizador e uma palavra-passe que milhares de outras pessoas também têm, e a tentação é escrever algo memorável. É precisamente esse instinto o problema: o valor não é um segredo pessoal, e tudo aquilo para que o reutilizar também se torna público. Trate o início de sessão publicado como uma chave partilhada de um serviço público, e cada conta que o identifica como uma categoria completamente diferente. A separação é fácil de manter até ao dia em que importa.

O que são realmente as credenciais

Um início de sessão publicado num diretório VPN público é um acordo de acesso entre o operador e qualquer pessoa que leia a página. Pode identificar uma conta de serviço partilhada em vez de uma pessoa, e o operador pode observar a ligação na gateway.

Esse último ponto merece ênfase: quem termina um túnel vê o tráfego que entra e sai dele, e detém a palavra-passe que o abriu. Reutilizar um valor para uma conta de correio diz ao operador algo sobre uma conta que nunca deveria ter conseguido adivinhar. Uma palavra-passe partilhada não é um segredo em qualquer sentido significativo, porque muitas pessoas a detêm. As categorias são distintas: um segredo de acesso público, uma palavra-passe de conta privada, um certificado de cliente e uma chave de par, cada uma responde a uma pergunta diferente.

A reutilização é um valor conhecido, não um valor fraco

As orientações sobre a força das palavras-passe centram-se normalmente no comprimento e na unicidade, e a unicidade é exatamente o que a reutilização destrói. Uma palavra-passe longa usada em dois locais é um valor conhecido em ambos assim que um dos dois se revela.

O preenchimento de credenciais depende dessa sobreposição, e os diretórios públicos tornam a primeira metade do par gratuita para qualquer pessoa. Gerar um valor separado por serviço remove essa alavanca sem exigir nada mais memorável. O comprimento nunca compensa um valor que já está impresso numa página pública.

Se a palavra-passe já foi reutilizada

Altere a conta não relacionada através do seu processo de recuperação verificado e, em seguida, reveja as suas sessões ativas e as definições de recuperação, porque uma reposição que deixa uma sessão antiga viva não terminou o trabalho. Não envie a palavra-passe ao suporte VPN para demonstrar o erro. Onde a autenticação multifator estiver disponível, ative-a, pois sobrevive a uma palavra-passe divulgada.

Rode a credencial VPN através do processo que o operador documentar, e note que esta é uma ação separada da alteração da sua própria conta. Mantenha as duas alterações no mesmo ticket para que ninguém assuma que uma cobriu a outra.

Se foi exposta uma chave de cliente privada em vez de uma palavra-passe, a revogação é o remédio. Alterar uma palavra-passe de correio não remove uma chave copiada.

Verifique o tipo de credencial antes de rodar

Identifique o que o campo espera realmente antes de gerar seja o que for. Um código de sala do portal, uma chave de par e uma palavra-passe não são intercambiáveis, e rodar a errada deixa a exposição no lugar.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Guarde os valores gerados num gestor de palavras-passe em vez de numa nota, para que as entradas distintas continuem utilizáveis. Depois confirme que o novo valor funciona antes de descartar o antigo, e mantenha ambos os eventos no mesmo ticket.

Termine limpando as credenciais guardadas em qualquer instalação partilhada que usasse o início de sessão antigo. Uma credencial removida do servidor continua a ser uma fuga se um dispositivo continuar a reconectar-se com uma cópia em cache.