Как быстро кто-то может угадать ваш пароль от VPN?

Задержка отвечает на вопрос, который никто не задавал. Три условия определяют, что на самом деле означает оценка угадывания: проверяется ли догадка работающим сервисом или по перехваченному материалу, какой метод аутентификации создал этот материал и какие контроли применяет сервис. ping измеряет один круговой обход на одном пути и не отвечает ни на одно из них. Деление секунды на это число даёт величину точную, не связанную ни с чем и часто повторяемую так, будто это свойство безопасности.

Задержка относится к работе со связностью. Стойкость аутентификации — свойство проверяющего и протокола.

Один круговой обход — не ограничение скорости

Время кругового обхода описывает, сколько занимают один запрос и его ответ на конкретном пути. Даже при онлайн-попытках пропускная способность зависит от того, сколько запросов клиент держит открытыми, сколько времени сервер тратит на одну попытку и какие ограничения скорости действуют. Это не зависит от ping. Соединение Ethernet не устанавливает правило, что на один обход может быть только одна попытка, и быстрый ping не доказывает, что проверяющий примет догадки с такой скоростью.

Если сервис блокирует учётную запись после пяти неудач, практическая скорость — пять попыток на окно блокировки независимо от сети. Это контроль, и именно это число стоит приводить.

Где догадка на самом деле проверяется

В онлайн-режиме заявитель передаёт каждого кандидата настоящему сервису, который может наблюдать, задерживать, блокировать и предупреждать. В офлайн-режиме злоумышленник с подходящим материалом для проверки проверяет кандидатов локально без участия сервиса. Это различие определяет почти всё в арифметике. Руководство NIST по паролям рассматривает эти угрозы отдельно, требуя ограничения скорости неудачных онлайн-попыток и хранения, устойчивого к офлайн-атаке благодаря хешированию с солью и коэффициенту стоимости. И то и другое — свойства проверяющего и уровня хранения, без зависимости от того, насколько быстро отвечает канал пользователя.

Даёт ли перехват пакетов полезный материал, зависит от протокола и метода аутентификации. Обладание перехватом, сертификатом или зашифрованным туннелем само по себе ни на что не отвечает, как и возраст сборки клиента.

Почему арифметика времени взлома вводит в заблуждение

Число возможных строк хорошо лишь настолько, насколько верны его допущения. Пароли, выбранные людьми, распределены неравномерно по пространству, которое описывает формула, а повторно использованные учётные данные могут уже быть в списке. Стоимость проверки тоже важна: онлайн-сервис с применёнными контролями полностью отличается от украденного проверяющего, тестируемого локально. Расчёт, который тихо переходит между этими случаями, не может обосновать утверждение о годах до взлома.

Держите дефекты протокола в отдельном столбце. Более длинный пароль не исправляет слабую конструкцию аутентификации, а один устаревший метод не доказывает, что каждый проект на основе пароля разделяет его слабости. Это отдельные находки с отдельными исправлениями.

Требуйте доказательств от проверяющего, а не задержки

Для оценки шлюза определите метод аутентификации, у кого находится проверяющий, какие контроли попыток существуют и действительно ли второй фактор независим. Диалог с двумя полями пароля не устанавливает два фактора. Для сохранённых учётных данных установите, какой материал существует, кто может его читать и какую защиту реализация действительно применяет. Гипотетическая цифра скорости хеширования не является доказательством о неопознанной системе хранения.

Учтите и экспозицию за пределами угадывания. Украденный профиль, скомпрометированная конечная точка или фишинговый поток создают иную проблему, чем злоумышленник, перебирающий пароли, а длина пароля ничего не делает против полномочий, уже выданных активной сессии.

Запишите метод, контроль и защиту хранения. Эти три отвечают на вопрос, который ping никогда не измерял.