Javno geslo VPN: zakaj ne sme biti geslo vaše e-pošte

Profili v javnih imenikih VPN navajajo strežnik, uporabniško ime in geslo, ki jih ima tudi na tisoče drugih ljudi, in skušnjava je vnesti nekaj zapomnljivega. Prav ta nagon je težava: vrednost ni osebna skrivnost in vse, za kar jo znova uporabite, postane tudi javno. Objavljeno prijavo obravnavajte kot skupni ključ do javne storitve, vsak račun, ki vas identificira, pa kot povsem drugo kategorijo. Ločevanje je enostavno vzdrževati do dneva, ko postane pomembno.

Kaj so poverilnice v resnici

Prijava, objavljena v javnem imeniku VPN, je dogovor o dostopu med operaterjem in vsakomur, ki prebere stran. Lahko identificira skupni storitveni račun namesto osebe, operater pa lahko opazuje povezavo na prehodu.

Zadnja točka si zasluži poudarek: kdor zaključi tunel, vidi promet, ki vanj vstopa in iz njega izstopa, in ima geslo, ki ga je odprlo. Ponovna uporaba vrednosti za poštni račun operaterju pove nekaj o računu, ki ga ne bi smel nikoli uganiti. Skupno geslo ni skrivnost v nobenem smiselnem pomenu, ker ga ima veliko ljudi. Kategorije so različne: javna skrivnost dostopa, geslo zasebnega računa, odjemalski certifikat in ključ partnerja, vsaka odgovarja na drugo vprašanje.

Ponovna uporaba je znana vrednost, ne šibka

Smernice o moči gesel se običajno osredotočajo na dolžino in edinstvenost, edinstvenost pa je natanko tisto, kar ponovna uporaba uniči. Dolgo geslo, uporabljeno na dveh mestih, je znana vrednost na obeh, ko eno od njiju pušča.

Credential stuffing je odvisen od tega prekrivanja, javni imeniki pa naredijo prvo polovico para brezplačno za vsakogar. Ustvarjanje ločene vrednosti za vsako storitev odpravi to vzvod, ne da bi zahtevalo kaj bolj zapomnljivega. Dolžina nikoli ne nadomesti vrednosti, ki je že natisnjena na javni strani.

Če je bilo geslo že uporabljeno znova

Spremenite nepovezani račun prek njegovega potrjenega postopka obnovitve, nato pregledajte njegove dejavne seje in nastavitve obnovitve, ker ponastavitev, ki pusti staro sejo živeti, ni dokončala dela. Gesla ne pošiljajte podpori VPN, da bi dokazali napako. Kjer je na voljo večfaktorska avtentikacija, jo omogočite, saj preživi uhajano geslo.

Zavrtite poverilnico VPN s katerim koli postopkom, ki ga dokumentira operater, in upoštevajte, da je to ločeno dejanje od spreminjanja lastnega računa. Obe spremembi hranite v isti zahtevi, da nihče ne predpostavi, da je ena pokrila drugo.

Če je bil namesto gesla izpostavljen zasebni odjemalski ključ, je zdravilo preklic. Spreminjanje gesla e-pošte ne odstrani kopiranega ključa.

Pred vrtenjem preverite vrsto poverilnice

Ugotovite, kaj polje v resnici pričakuje, preden karkoli ustvarite. Koda sobe portala, ključ partnerja in geslo niso zamenljivi, vrtenje napačnega pa izpostavljenost pusti na mestu.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Ustvarjene vrednosti shranjujte v upravitelju gesel, ne v beležki, da različni vnosi ostanejo uporabni. Nato potrdite, da nova vrednost deluje, preden zavržete staro, in oba dogodka hranite v isti zahtevi.

Končajte s čiščenjem shranjenih poverilnic na vsaki skupni namestitvi, ki je uporabljala staro prijavo. Poverilnica, odstranjena s strežnika, je še vedno puščanje, če se naprava še naprej znova povezuje s predpomnjeno kopijo.