Verejné heslo VPN: prečo ním nesmie byť heslo k vášmu e-mailu

Prihlásenie zverejnené pre verejný prístup k VPN je zo svojej podstaty známe cudzím ľuďom. Držte ho oddelene od účtov, ktoré vás identifikujú, a s prezradením zaobchádzajte ako s odvolaním.

Profily vo verejných adresároch VPN uvádzajú server, používateľské meno a heslo, ktoré má aj tisíce ďalších ľudí, a pokušenie je napísať niečo zapamätateľné. Práve ten inštinkt je problém: hodnota nie je osobné tajomstvo a čokoľvek, na čo ju znova použijete, sa tiež stane verejným. Berte zverejnené prihlásenie ako zdieľaný kľúč k verejnej službe a každý účet, ktorý vás identifikuje, ako úplne inú kategóriu. Oddelenie sa dá ľahko udržiavať až do dňa, keď na ňom záleží.

Čo sú prihlasovacie údaje v skutočnosti

Prihlásenie zverejnené vo verejnom adresári VPN je dohoda o prístupe medzi prevádzkovateľom a každým, kto si stránku prečíta. Môže identifikovať zdieľaný servisný účet namiesto osoby a prevádzkovateľ môže pozorovať pripojenie na bráne.

Posledný bod si zaslúži zdôraznenie: kto ukončí tunel, vidí prevádzku, ktorá doň vstupuje a z neho vystupuje, a drží heslo, ktoré ho otvorilo. Opätovné použitie hodnoty pre poštový účet prezradí prevádzkovateľovi niečo o účte, ktorý nikdy nemal byť schopný uhádnuť. Zdieľané heslo nie je v žiadnom zmysluplnom zmysle tajomstvom, pretože ho drží veľa ľudí. Kategórie sú odlišné: verejné prístupové tajomstvo, heslo súkromného účtu, klientsky certifikát a kľúč partnera, každá odpovedá na inú otázku.

Opätovné použitie je známa hodnota, nie slabá

Odporúčania k sile hesiel sa zvyčajne zameriavajú na dĺžku a jedinečnosť, a jedinečnosť je presne to, čo opätovné použitie ničí. Dlhé heslo použité na dvoch miestach je známou hodnotou na oboch, len čo jedno z nich unikne.

Credential stuffing závisí od tohto prekrytia a verejné adresáre robia prvú polovicu dvojice zadarmo pre kohokoľvek. Generovanie samostatnej hodnoty pre každú službu odstraňuje túto páku bez toho, aby vyžadovalo niečo zapamätateľnejšie. Dĺžka nikdy nevykompenzuje hodnotu, ktorá je už vytlačená na verejnej stránke.

Ak už bolo heslo znovu použité

Zmeňte nesúvisiaci účet cez jeho overený proces obnovy, potom skontrolujte jeho aktívne relácie a nastavenia obnovy, pretože reset, ktorý ponechá starú reláciu živú, prácu nedokončil. Neposielajte heslo podpore VPN, aby ste chybu demonštrovali. Kde je dostupné viacfaktorové overovanie, zapnite ho, pretože prežije uniknuté heslo.

Vymeňte prihlasovací údaj VPN procesom, ktorý prevádzkovateľ dokumentuje, a všimnite si, že je to samostatná akcia od zmeny vlastného účtu. Držte obe zmeny v tom istom tikete, aby nikto nepredpokladal, že jedna pokryla druhú.

Ak bol namiesto hesla prezradený súkromný klientsky kľúč, liekom je odvolanie. Zmena hesla k e-mailu neodstráni skopírovaný kľúč.

Pred výmenou skontrolujte typ prihlasovacieho údaja

Určte, čo pole skutočne očakáva, skôr než čokoľvek vygenerujete. Kód miestnosti portálu, kľúč partnera a heslo nie sú zameniteľné a výmena nesprávneho ponechá prezradenie na mieste.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Ukladajte vygenerované hodnoty do správcu hesiel, nie do poznámky, aby rôzne položky zostali použiteľné. Potom potvrďte, že nová hodnota funguje, skôr než starú zahodíte, a držte obe udalosti v tom istom tikete.

Dokončite vyčistením uložených prihlasovacích údajov na každej zdieľanej inštalácii, ktorá používala staré prihlásenie. Prihlasovací údaj odstránený zo servera je stále únik, ak sa zariadenie naďalej pripája z medzipamäte.

Súvisiace články