Zašto zajednički izlaz VPN-a pokreće upozorenja o prijavi koja niste uzrokovali
Blokada prijave obično je rezultat rizika, a ne presuda o vašem tunelu. Zajednički izlazi mijenjaju tko je još uključen u taj rezultat i koliko ih to stoji.
Otvorite poznatu stranicu preko VPN-a i dobijete dodatnu provjeru, a privlačno objašnjenje je da je tunel otkriven. Nešto je otkriveno, ali to niste bili vi. Stranica je ocijenila skup signala, jedan od njih je izvorna adresa, i ta adresa je podijeljena sa strancima koji su možda minutu ranije stvarali neuspješne prijave. Čitati odluku kao presudu o vašoj vezi pogrešno razumije čemu rezultat služi.
Što izvorna adresa može i što ne može odrediti
IP adresa opisuje put kroz mrežu u određenom trenutku. Ne identificira osobu, uređaj ni čak jedan račun, a uz NAT na razini operatera ili zauzet skup VPN-a može istovremeno predstavljati tisuće nepovezanih sesija. Stranica koja adresu tretira kao identitet zapravo je tretira kao reputaciju, što je statistička tvrdnja, a ne činjenica.
Dvije osobe mogu dijeliti jedan izlaz i dati suprotne dokaze: jedna se uspješno prijavi drugim faktorom, druga isproba četrdeset lozinki. Adresa je ista, pa nijedno pravilo zasnovano samo na adresi ne može ih razlikovati, i kakva god reakcija bila pokrenuta, vrijedi za oboje.
To nije argument za zanemarivanje adresa. To je argument da se zapamti što signal mjeri, jer većina iznenađujućeg ponašanja oko prijava preko VPN-a dolazi od primjene kontrole na pogrešnoj razini detalja, a ne od pogrešnog opažanja.
Zašto blokiranje izlaza kažnjava strance
Blokada na razini adrese jeftina je za uvođenje i skupa za ciljanje. Njezin radijus utjecaja je svaka sesija iza te adrese, i zato ponašanje zajedničkih adresa i NAT-a ima vlastitu povijest u operativnoj dokumentaciji: isto razmišljanje pojavljuje se u radu IETF-a o zajedničkim izvornim adresama i nuspojavama filtriranja na temelju adrese.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Razmotrite dva neuspjeha koja blokada stvara. Legitimnom klijentu iza istog izlaza odbija se usluga i on otvara zahtjev za podrškom koji košta više od same zlouporabe. Stvarni napadač prelazi na sljedeći izlaz u skupu od tisuća i nastavlja, potrošivši samo ponovno povezivanje.
Proporcionalnost je korak koji nedostaje. Ponovljene neuspješne prijave, nalet automatiziranih zahtjeva i autorizirano kršenje dopuštenja tri su različita događaja, i samo je drugi vjerojatno problem u obliku adrese. Primjena iste mrežne zabrane za cijelu stranicu na sva tri način je na koji kontrola sigurnosti postaje red za podršku.
Stavite odluku tamo gdje su dokazi
Kontrole na razini računa prate račun kroz adrese, što odgovara entitetu koji vam je doista važan. Ograničenje brzine, razdoblja čekanja nakon ponovljenih neuspjeha i stupnjevana autentifikacija za osjetljive radnje djeluju na račun ili radnju, a ne na mrežni put. To bolje odgovara entitetu koji doista štitite. Također uklanja poticaj napadaču da traži svježu izlaznu adresu.
NIST-ove smjernice za autentifikaciju tretiraju to kao ulaze u procjenu rizika i navode adresu, geolokaciju i vrijeme zahtjeva među signalima, što je upravo okvir koji treba posuditi: signal informira odluku, ne zamjenjuje autentifikator. Čitajte taj popis kao ulaze, a ne kao jelovnik stvari koje treba zabraniti. Autentifikator i dalje daje dokaz, a ostali signali samo odlučuju koliko trenja postaviti oko njega.
Dva dizajnerska ograničenja sprječavaju da pristup na razini računa postane vlastiti prekid. Ograničenja brzine trebaju siguran put pregleda kako bi korisnik mogao prijaviti pogrešnu klasifikaciju bez objavljivanja vjerodajnica, a stupnjevani izazovi ne smiju se moći riješiti lozinkom ili jednokratnim kodom danim nepotvrđenom kontaktu podrške.
Kako poštena politika izgleda izvana
Zapišite koju odluku podržava svaka kontrola, a zatim provjerite odgovara li razina detalja kontrole. Kontrole adrese odgovaraju na pitanja o prometu iz mreže; kontrole računa odgovaraju na pitanja o računu; događaji aplikacije odgovaraju na pitanja o ponašanju nakon autentifikacije. Politika koja imenuje sve tri je revidirljiva, a ona koja imenuje samo promet VPN-a nije.
Zatim mjerite rezultat, a ne broj pravila. Neovlašteni pokušaji trebaju padati, legitimni korisnici trebaju zadržati podržani put, a broj kontakata s podrškom na tisuću prijava ne treba rasti. Blokada koja poboljšava prvi broj, a uništava druga dva, premjestila je problem, a nije ga riješila.
Prihvaćanje VPN veza i provedba kontrola zlouporabe kompatibilni su ciljevi. Verzija koja radi tretira izvornu adresu kao jedan od nekoliko ulaza, primjenjuje najužu kontrolu koja odgovara dokazima i ostavlja pošten put osobi koja je pogrešno klasificirana. Verzija koja ne uspijeva tretira adresu kao osumnjičenika i to naziva politikom.