Zakaj deljen izhod VPN sproži opozorila o prijavi, ki jih niste povzročili
Blokada prijave je običajno ocena tveganja, ne sodba o vašem tunelu. Deljeni izhodi spremenijo, kdo drug je vključen v to oceno in koliko jih to stane.
Odprite znano spletno mesto prek VPN in prejmite dodatno preverjanje, in vabljiva razlaga je, da je bil tunel zaznan. Nekaj je bilo zaznano, a to niste bili vi. Spletno mesto je ocenilo nabor signalov, eden od njih je izvorni naslov, in ta naslov si deli z neznanci, ki so morda minuto prej ustvarjali neuspešne prijave. Branje odločitve kot sodbe o vaši povezavi napačno razume, čemu je ocena namenjena.
Kaj lahko izvorni naslov odloči in česa ne
Naslov IP opisuje pot skozi omrežje v določenem trenutku. Ne prepozna osebe, naprave ali celo enega računa, in pri NAT na ravni operaterja ali zasedenem bazenu VPN lahko hkrati predstavlja tisoče nepovezanih sej. Spletno mesto, ki naslov obravnava kot identiteto, ga v resnici obravnava kot ugled, kar je statistična trditev in ne dejstvo.
Dve osebi si lahko delita en izhod in ustvarita nasprotna dokazila: ena se uspešno prijavi z drugim dejavnikom, druga poskusi štirideset gesel. Naslov je enak, zato nobeno pravilo, ki temelji samo na naslovu, ne more razlikovati med njima, in vsak sprožen odziv velja za oba.
To ni argument za ignoriranje naslovov. To je argument za spominjanje, kaj signal meri, ker večina presenetljivega vedenja okoli prijav VPN izhaja iz uporabe nadzora na napačni ravni podrobnosti, ne iz napačnega opažanja.
Zakaj blokiranje izhoda kaznuje neznance
Blokada na ravni naslova je poceni za uvedbo in draga za ciljanje. Njen polmer delovanja je vsaka seja za tem naslovom, zato imata deljeni naslov in vedenje NAT svojo zgodovino v operativni dokumentaciji: isto razmišljanje se pojavi v delu IETF o deljenih izvornih naslovih in stranskih učinkih filtriranja na podlagi naslova.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Upoštevajte dva neuspeha, ki ju blokada ustvari. Zakoniti stranki za istim izhodom je storitev zavrnjena in odpre zahtevek za podporo, ki stane več kot sama zloraba. Dejanski napadalec se premakne na naslednji izhod v bazenu tisočih in nadaljuje, saj ni porabil ničesar razen ponovne povezave.
Sorazmernost je manjkajoči korak. Ponavljajoče se neuspešne prijave, val avtomatiziranih zahtev in overjena kršitev dovoljenj so trije različni dogodki, in samo drugi je verjetno težava v obliki naslova. Uporaba iste omrežne prepovedi za celotno spletno mesto pri vseh treh je način, kako varnostni nadzor postane čakalna vrsta za podporo.
Postavite odločitev tja, kjer so dokazi
Nadzori na ravni računa sledijo računu po naslovih, kar ustreza subjektu, ki vam je res pomemben. Omejevanje hitrosti, čakalne dobe po ponavljajočih se neuspehih in stopenjsko preverjanje za občutljiva dejanja delujejo na račun ali dejanje, ne na omrežno pot. To se bolje ujema s subjektom, ki ga v resnici ščitite. Prav tako odvzame napadalcu spodbudo, da bi iskal svež izhodni naslov.
Smernice NIST za preverjanje te elemente obravnavajo kot vhode v oceno tveganja in med signali navajajo naslov, geolokacijo in čas zahteve, kar je natanko tisti okvir, ki si ga velja izposoditi: signal obvešča odločitev, ne nadomesti preverjevalnika. Ta seznam berite kot vhode, ne kot meni stvari, ki jih je treba prepovedati. Preverjevalnik še vedno izvaja dokaz, drugi signali pa le odločajo, koliko trenja postaviti okoli njega.
Dve oblikovalski omejitvi preprečujeta, da bi pristop na ravni računa postal lastna motnja. Omejitve hitrosti potrebujejo varno pot pregleda, da lahko uporabnik prijavi napačno razvrstitev brez objave poverilnic, in stopenjskih izzivov ne sme biti mogoče rešiti z geslom ali enkratno kodo, izročeno nepreverjenemu stiku za podporo.
Kako je videti poštena politika od zunaj
Zapišite, katero odločitev podpira vsak nadzor, nato preverite, ali se podrobnost nadzora ujema. Naslovni nadzori odgovarjajo na vprašanja o prometu iz omrežja; računski nadzori odgovarjajo na vprašanja o računu; dogodki aplikacije odgovarjajo na vprašanja o vedenju po preverjanju. Politika, ki imenuje vse tri, je revidirljiva, in tista, ki imenuje samo promet VPN, ni.
Nato merite izid namesto števila pravil. Nepooblaščeni poskusi bi morali upadati, zakoniti uporabniki bi morali ohraniti podprto pot, in število stikov s podporo na tisoč prijav se ne bi smelo povečati. Blokada, ki izboljša prvo število, medtem ko uniči drugi dve, je težavo premaknila, ne rešila.
Sprejemanje povezav VPN in uveljavljanje nadzorov zlorabe sta združljiva cilja. Različica, ki deluje, izvorni naslov obravnava kot en vhod med več, uporabi najožji nadzor, ki ustreza dokazilom, in pusti pošteno pot osebi, ki je bila napačno razvrščena. Različica, ki ne uspe, naslov obravnava kot osumljenca in to imenuje politika.