Prečo zdieľaný východ VPN spúšťa prihlasovacie upozornenia, ktoré ste nespôsobili
Blokovanie prihlásenia je zvyčajne rizikové skóre, nie verdikt o vašom tuneli. Zdieľané výstupy menia, kto ďalší sa do tohto skóre započítava a čo ich to stojí.
Otvorte známu stránku cez VPN a získajte dodatočnú výzvu, a lákavé vysvetlenie je, že tunel bol odhalený. Niečo odhalené bolo, ale neboli ste to vy. Stránka ohodnotila súbor signálov, jedným z nich je zdrojová adresa, a táto adresa je zdieľaná s cudzími ľuďmi, ktorí možno pred minútou generovali neúspešné prihlásenia. Čítať rozhodnutie ako verdikt o vašom pripojení znamená nepochopiť, na čo skóre slúži.
Čo zdrojová adresa môže a nemôže rozhodnúť
IP adresa opisuje cestu sieťou v určitom okamihu. Neidentifikuje osobu, zariadenie ani jediný účet a pri carrier-grade NAT alebo vyťaženom fonde VPN môže predstavovať tisíce nesúvisiacich relácií súčasne. Stránka, ktorá s adresou zaobchádza ako s identitou, s ňou v skutočnosti zaobchádza ako s reputáciou, čo je štatistické tvrdenie, nie fakt.
Dvaja ľudia môžu zdieľať jeden výstup a produkovať protichodné dôkazy: jeden sa prihlási úspešne s druhým faktorom, druhý skúša štyridsať hesiel. Adresa je totožná, takže žiadne pravidlo založené len na adrese ich nemôže rozlíšiť a akákoľvek vyvolaná reakcia platí pre oboch.
To nie je argument za ignorovanie adries. Je to argument za zapamätanie, čo signál meria, pretože väčšina prekvapivého správania okolo prihlásení cez VPN pochádza z uplatnenia kontroly v nesprávnej granularite, nie z nesprávneho pozorovania.
Prečo blokovanie výstupu trestá cudzích ľudí
Blokovanie na úrovni adresy je lacné na zavedenie a drahé na zacílenie. Jeho rádius je každá relácia za touto adresou, a preto má správanie zdieľaných adries a NAT svoju vlastnú históriu v prevádzkovej dokumentácii: rovnaká úvaha sa objavuje v práci IETF o zdieľaných zdrojových adresách a vedľajších účinkoch filtrovania podľa adresy.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Zvážte dve zlyhania, ktoré blokovanie vytvára. Legitímnemu zákazníkovi za rovnakým výstupom je odmietnutá služba a podá podporný lístok, ktorý stojí viac ako samotné zneužitie. Skutočný útočník sa presunie na ďalší výstup vo fonde tisícov a pokračuje, pričom minul len opätovné pripojenie.
Proporcionalita je chýbajúci krok. Opakované neúspešné prihlásenia, nápor automatizovaných požiadaviek a overené porušenie oprávnení sú tri rôzne udalosti a len druhá je pravdepodobne problém v tvare adresy. Uplatnenie rovnakého sieťového zákazu na celom webe na všetky tri je spôsob, akým sa bezpečnostná kontrola stane podporným radom.
Umiestnite rozhodnutie tam, kde sú dôkazy
Kontroly na úrovni účtu sledujú účet naprieč adresami, čo zodpovedá entite, na ktorej vám skutočne záleží. Obmedzovanie rýchlosti, čakacie doby po opakovaných zlyhaniach a stupňované overovanie citlivých akcií pôsobia na účet alebo akciu, nie na sieťovú cestu. To lepšie zodpovedá entite, ktorú skutočne chránite. Odstraňuje to aj motiváciu útočníka hľadať čerstvú výstupnú adresu.
Usmernenia NIST k overovaniu považujú tieto položky za vstupy do hodnotenia rizika a uvádzajú adresu, geolokáciu a čas požiadavky medzi signálmi, čo je presne ten rámec, ktorý sa oplatí požičať: signál informuje rozhodnutie, nenahrádza autentifikátor. Čítajte tento zoznam ako vstupy, nie ako menu vecí, ktoré treba zakázať. Autentifikátor stále vykonáva dôkaz a ostatné signály len rozhodujú, koľko trenia okolo neho umiestniť.
Dve konštrukčné obmedzenia bránia tomu, aby sa prístup na úrovni účtu stal vlastným výpadkom. Limity rýchlosti potrebujú bezpečnú cestu na preskúmanie, aby používateľ mohol nahlásiť nesprávnu klasifikáciu bez zverejnenia prihlasovacích údajov, a stupňované výzvy nesmú byť zodpovedateľné heslom ani jednorazovým kódom odovzdaným neoverenému podpornému kontaktu.
Ako vyzerá spravodlivá politika zvonka
Zapíšte, ktoré rozhodnutie každá kontrola podporuje, a potom overte, či granularita kontroly zodpovedá. Adresové kontroly odpovedajú na otázky o prevádzke zo siete; kontroly účtov odpovedajú na otázky o účte; udalosti aplikácie odpovedajú na otázky o správaní po overení. Politika, ktorá menuje všetky tri, je auditovateľná, a tá, ktorá menuje len prevádzku VPN, nie je.
Potom merajte výsledok, nie počet pravidiel. Neoprávnené pokusy by mali klesať, legitímni používatelia by si mali zachovať podporovanú cestu a počet podporných kontaktov na tisíc prihlásení by nemal rásť. Blokovanie, ktoré zlepší prvé číslo a zničí ostatné dve, problém presunulo, nie vyriešilo.
Prijímať pripojenia VPN a presadzovať kontroly zneužitia sú zlučiteľné ciele. Verzia, ktorá funguje, považuje zdrojovú adresu za jeden z viacerých vstupov, uplatňuje najužšiu kontrolu, ktorá zodpovedá dôkazom, a necháva čestnú cestu pre človeka, ktorý bol nesprávne klasifikovaný. Verzia, ktorá zlyháva, považuje adresu za podozrivého a nazýva to politikou.