Ako rýchlo môže niekto uhádnuť vaše heslo k VPN?

Latencia odpovedá na otázku, ktorú nikto nepoložil. Tri podmienky rozhodujú o tom, čo odhad hádania skutočne znamená: či sa hádanie overuje živou službou alebo proti zachytenému materiálu, ktorá metóda autentifikácie tento materiál vytvorila a aké kontroly služba presadzuje. ping meria jedno obojsmerné kolo na jednej ceste a neodpovedá na nič z toho. Delenie sekundy týmto číslom dáva údaj, ktorý je presný, nesúvisiaci a často opakovaný, akoby išlo o bezpečnostnú vlastnosť.

Latencia patrí k práci na konektivite. Sila autentifikácie je vlastnosť overovateľa a protokolu.

Jedno kolo nie je limit rýchlosti

Čas obojsmerného kola opisuje, ako dlho trvá jedna požiadavka a jej odpoveď na konkrétnej ceste. Dokonca pri online pokusoch závisí priepustnosť od toho, koľko požiadaviek klient drží otvorených, koľko času server venuje jednému pokusu a aké limity rýchlosti platia. To je nezávislé od ping. Ethernetové spojenie neukladá pravidlo, že na jedno kolo môže existovať iba jeden pokus, a rýchly ping nedokazuje, že overovateľ prijme hádania v takom tempe.

Ak služba uzamkne účet po piatich zlyhaniach, praktická rýchlosť je päť pokusov na každé uzamykacie okno bez ohľadu na sieť. To je kontrola a to je číslo, ktoré stojí za zmienku.

Kde sa hádanie skutočne overuje

Online žiadateľ predkladá každého kandidáta skutočnej službe, ktorá môže pozorovať, zdržať, uzamknúť a upozorniť. Offline útočník s vhodným overovacím materiálom kontroluje kandidátov lokálne bez účasti služby. Tento rozdiel rozhoduje takmer o všetkom v aritmetike. Usmernenia NIST k heslám riešia tieto hrozby oddelene a žiadajú obmedzenie rýchlosti neúspešných online pokusov a úložisko, ktoré odoláva offline útoku vďaka solenému hašovaniu s nákladovým faktorom. Oboje sú vlastnosti overovateľa a úložnej vrstvy, bez závislosti od toho, ako rýchlo odpovedá spojenie používateľa.

Či zachytenie paketov poskytne užitočný materiál, závisí od protokolu a metódy autentifikácie. Vlastniť zachytenie, certifikát alebo šifrovaný tunel samo o sebe neodpovedá na nič, a rovnako ani vek zostavenia klienta.

Prečo aritmetika času prelomenia klame

Počet možných reťazcov je len taký dobrý, ako sú jeho predpoklady. Ľuďmi zvolené heslá nie sú rovnomerne rozložené v priestore, ktorý opisuje vzorec, a opakovane použité prihlasovacie údaje už môžu byť v zozname. Náklady na overenie tiež zohrávajú úlohu: online služba s presadenými kontrolami sa úplne líši od ukradnutého overovateľa testovaného lokálne. Výpočet, ktorý sa potichu presúva medzi týmito prípadmi, nemôže podporiť tvrdenie o rokoch do prelomenia.

Držte chyby protokolu vo vlastnom stĺpci. Dlhšie heslo neopraví slabú konštrukciu autentifikácie a jedna zastaraná metóda nedokazuje, že každý dizajn založený na hesle zdieľa jej slabiny. To sú oddelené zistenia s oddelenými opravami.

Žiadajte dôkaz overovateľa, nie latenciu

Pri hodnotení brány určte metódu autentifikácie, kto drží overovateľa, aké kontroly pokusov existujú a či je druhý faktor skutočne nezávislý. Dialóg s dvoma políčkami hesla neustanovuje dva faktory. Pri uložených prihlasovacích údajoch zistite, aký materiál existuje, kto ho môže čítať a akú ochranu implementácia skutočne uplatňuje. Hypotetický údaj o rýchlosti hašovania nie je dôkazom o neidentifikovanom úložnom systéme.

Zvážte aj expozíciu mimo hádania. Ukradnutý profil, kompromitovaný koncový bod alebo phishingový tok predstavujú iný problém ako útočník vymenúvajúci heslá, a dĺžka hesla nič nemení proti oprávneniu už udelenému aktívnej relácii.

Zaznamenajte metódu, kontrolu a ochranu úložiska. Tieto tri odpovedajú na otázku, ktorú ping nikdy nemeral.