Cât de repede ar putea cineva să ghicească parola ta VPN?

Latența răspunde la o întrebare pe care nimeni nu a pus-o. Trei condiții decid ce înseamnă de fapt o estimare a ghicirii: dacă ghicirea este verificată de un serviciu activ sau împotriva materialului capturat, ce metodă de autentificare a produs acel material și ce controale impune serviciul. ping măsoară o singură dus-întors pe o cale și nu răspunde la niciuna dintre ele. Împărțirea unei secunde la acel număr produce o cifră precisă, fără legătură și adesea repetată ca și cum ar fi o proprietate de securitate.

Latența aparține muncii de conectivitate. Puterea autentificării este o proprietate a verificatorului și a protocolului.

O dus-întors nu este o limită de rată

Un timp de dus-întors descrie cât durează o cerere și răspunsul ei pe o cale anume. Chiar și la încercările online, debitul depinde de câte cereri ține un client deschise, cât timp petrece serverul pentru fiecare încercare și ce limite de rată sunt impuse. Acestea sunt independente de ping. O legătură Ethernet nu impune regula că poate exista o singură încercare per dus-întors, iar un ping rapid nu dovedește că un verificator va accepta ghiciri la acea rată.

Dacă serviciul blochează un cont după cinci eșecuri, rata practică este de cinci încercări per fereastră de blocare, indiferent de rețea. Aceasta este o controlare, și acesta este numărul care merită citat.

Unde este verificată de fapt ghicirea

Online, solicitantul trimite fiecare candidat serviciului real, care poate observa, întârzia, bloca și alerta. Offline, un atacator care deține material de verificare adecvat verifică candidații local, fără nicio implicare a serviciului. Această distincție decide aproape totul în aritmetică. Îndrumările NIST privind parolele tratează aceste amenințări separat, cerând limitarea ratei încercărilor online eșuate și o stocare care rezistă atacurilor offline prin hashing cu sare și un factor de cost. Ambele sunt proprietăți ale verificatorului și ale stratului de stocare, fără dependență de cât de repede răspunde legătura utilizatorului.

Dacă o captură de pachete oferă material util depinde de protocol și de metoda de autentificare. Deținerea unei capturi, a unui certificat sau a unui tunel criptat nu răspunde nimic de la sine, iar vechimea compilării clientului nici atât.

De ce induc în eroare aritmeticile timpului de spargere

Un număr de șiruri posibile este doar atât de bun cât ipotezele sale. Parolele alese de oameni nu sunt distribuite uniform în spațiul pe care îl descrie o formulă, iar acreditările refolosite pot fi deja într-o listă. Și costul verificării contează: un serviciu online cu controale impuse diferă complet de un verificator furat testat local. Un calcul care se mută în liniște între aceste cazuri nu poate susține o afirmație despre ani până la spargere.

Ține defectele de protocol în coloana lor. O parolă mai lungă nu repară o construcție de autentificare slabă, iar o metodă învechită nu dovedește că fiecare design bazat pe parolă îi împărtășește slăbiciunile. Acestea sunt constatări separate cu corecturi separate.

Cereți dovezi de la verificator, nu latență

Pentru o evaluare de gateway, identificați metoda de autentificare, cine deține verificatorul, ce controale de încercare există și dacă un al doilea factor este cu adevărat independent. Un dialog cu două casete de parolă nu stabilește doi factori. Pentru acreditările stocate, stabiliți ce material există, cine îl poate citi și ce protecție aplică de fapt implementarea. O cifră ipotetică a ratei de hashing nu este o dovadă despre un sistem de stocare neidentificat.

Luați în calcul și expunerea din afara ghicirii. Un profil furat, un endpoint compromis sau un flux de phishing prezintă o problemă diferită de cea a unui atacator care enumeră parole, iar lungimea parolei nu face nimic împotriva autorității deja acordate unei sesiuni active.

Notați metoda, controlul și protecția stocării. Acele trei răspund la întrebarea pe care ping-ul nu a măsurat-o niciodată.