Parolă VPN publică: de ce nu trebuie să fie cea a e-mailului tău

Profilurile din directoarele VPN publice listează un server, un nume de utilizator și o parolă pe care le au și mii de alte persoane, iar tentația este să tastați ceva memorabil. Exact acel instinct este problema: valoarea nu este un secret personal, iar tot ceea ce o reutilizați devine și public. Tratați autentificarea publicată ca pe o cheie partajată a unui serviciu public, iar fiecare cont care vă identifică drept o categorie complet diferită. Separarea este ușor de menținut până în ziua în care contează.

Ce sunt de fapt credențialele

O autentificare publicată într-un director VPN public este o înțelegere de acces între operator și oricine citește pagina. Poate identifica un cont de serviciu partajat în locul unei persoane, iar operatorul poate observa conexiunea la gateway.

Ultimul punct merită subliniat: cine încheie un tunel vede traficul care intră și iese din el și deține parola care l-a deschis. Reutilizarea unei valori pentru un cont de e-mail îi spune operatorului ceva despre un cont pe care nu ar fi trebuit niciodată să poată ghicească. O parolă partajată nu este un secret în niciun sens semnificativ, pentru că mulți oameni o dețin. Categoriile sunt distincte: un secret de acces public, o parolă de cont privat, un certificat de client și o cheie de partener, fiecare răspunde la o întrebare diferită.

Reutilizarea este o valoare cunoscută, nu una slabă

Recomandările privind puterea parolei se concentrează de obicei pe lungime și unicitate, iar unicitatea este exact ceea ce distruge reutilizarea. O parolă lungă folosită în două locuri este o valoare cunoscută în ambele de îndată ce unul dintre ele se scurge.

Umplerea de credențiale depinde de această suprapunere, iar directoarele publice fac prima jumătate a perechii gratuită pentru oricine. Generarea unei valori separate pentru fiecare serviciu elimină această pârghie fără a cere nimic mai ușor de reținut. Lungimea nu compensează niciodată o valoare deja tipărită pe o pagină publică.

Dacă parola a fost deja reutilizată

Schimbați contul nelegat prin procesul său de recuperare verificat, apoi examinați sesiunile active și setările de recuperare, pentru că o resetare care lasă în viață o sesiune veche nu a terminat treaba. Nu trimiteți parola la asistența VPN pentru a demonstra greșeala. Acolo unde autentificarea multifactor este disponibilă, activați-o, pentru că supraviețuiește unei parole scurse.

Rotiți credențialele VPN prin orice proces documentat de operator și observați că aceasta este o acțiune separată de schimbarea propriului cont. Țineți ambele modificări în același tichet pentru ca nimeni să nu presupună că una a acoperit-o pe cealaltă.

Dacă a fost expusă o cheie de client privată în locul unei parole, revocarea este remediul. Schimbarea unei parole de e-mail nu elimină o cheie copiată.

Verificați tipul credențialelor înainte de rotire

Identificați ce așteaptă de fapt câmpul înainte de a genera ceva. Un cod de cameră de portal, o cheie de partener și o parolă nu sunt interschimbabile, iar rotirea celei greșite lasă expunerea pe loc.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Păstrați valorile generate într-un manager de parole, nu într-o notă, pentru ca intrările distincte să rămână utilizabile. Apoi confirmați că noua valoare funcționează înainte de a o arunca pe cea veche, și țineți ambele evenimente în același tichet.

Terminați curățând credențialele salvate pe orice instalare partajată care a folosit autentificarea veche. O credențială eliminată de pe server este în continuare o scurgere dacă un dispozitiv continuă să se reconecteze cu o copie din cache.