Fjalëkalimi publik i VPN-së: pse nuk duhet të jetë ai i emailit tuaj

Profilet në drejtoritë publike të VPN-së renditin një server, një emër përdoruesi dhe një fjalëkalim që mijëra njerëz të tjerë gjithashtu i kanë, dhe tundimi është të shkruani diçka të paharrueshme. Pikërisht ai instinkt është problemi: vlera nuk është një sekret personal, dhe gjithçka për të cilën e ripërdorni bëhet gjithashtu publike. Trajtojeni hyrjen e publikuar si një çelës të përbashkët për një shërbim publik, dhe çdo llogari që ju identifikon si një kategori krejt tjetër. Ndarja është e lehtë për t'u mbajtur deri në ditën kur ka rëndësi.

Çfarë janë në të vërtetë kredencialet

Një hyrje e publikuar në një drejtori publike VPN është një marrëveshje aksesi midis operatorit dhe kujtdo që lexon faqen. Ajo mund të identifikojë një llogari shërbimi të përbashkët në vend të një personi, dhe operatori mund të vëzhgojë lidhjen në portë.

Pika e fundit meriton theksim: kush përfundon një tunel sheh trafikun që hyn dhe del prej tij, dhe mban fjalëkalimin që e hapi. Ripërdorimi i një vlere për një llogari emaili i thotë operatorit diçka për një llogari që nuk duhej të kishte mundur ta merrte me mend kurrë. Një fjalëkalim i përbashkët nuk është sekret në asnjë kuptim domethënës, sepse shumë njerëz e mbajnë. Kategoritë janë të dallueshme: një sekret aksesi publik, një fjalëkalim llogarie private, një certifikatë klienti dhe një çelës kolegu, secila përgjigjet një pyetjeje tjetër.

Ripërdorimi është një vlerë e njohur, jo një e dobët

Udhëzimet për forcën e fjalëkalimit zakonisht përqendrohen në gjatësinë dhe unicitetin, dhe uniciteti është pikërisht ajo që shkatërron ripërdorimi. Një fjalëkalim i gjatë i përdorur në dy vende është një vlerë e njohur në të dyja sapo njëra prej tyre rrjedh.

Mbushja e kredencialeve varet nga ajo mbivendosje, dhe drejtoritë publike e bëjnë gjysmën e parë të çiftit falas për këdo. Gjenerimi i një vlere të veçantë për çdo shërbim e heq atë levë pa kërkuar diçka më të paharrueshme. Gjatësia nuk e kompenson kurrë një vlerë që është shtypur tashmë në një faqe publike.

Nëse fjalëkalimi është ripërdorur tashmë

Ndryshoni llogarinë e palidhur përmes procesit të verifikuar të rikuperimit, më pas rishikoni sesionet aktive dhe cilësimet e rikuperimit, sepse një rivendosje që lë një sesion të vjetër gjallë nuk e ka përfunduar punën. Mos e dërgoni fjalëkalimin te mbështetja e VPN-së për të demonstruar gabimin. Aty ku autentikimi me shumë faktorë është i disponueshëm, aktivizojeni, sepse i mbijeton një fjalëkalimi të rrjedhur.

Rrotulloni kredencialet e VPN-së përmes çdo procesi që operatori dokumenton, dhe vini re se ky është një veprim i veçantë nga ndryshimi i llogarisë tuaj. Mbani të dy ndryshimet në të njëjtin biletë, që askush të mos supozojë se njëra mbuloi tjetrën.

Nëse u ekspozua një çelës privat klienti në vend të një fjalëkalimi, revokimi është ilaçi. Ndryshimi i një fjalëkalimi emaili nuk heq një çelës të kopjuar.

Kontrolloni llojin e kredencialeve përpara rrotullimit

Identifikoni çfarë pret në të vërtetë fusha përpara se të gjeneroni gjithçka. Një kod dhome portali, një çelës kolegu dhe një fjalëkalim nuk janë të këmbyeshëm, dhe rrotullimi i atij të gabuar e lë ekspozimin në vend.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Ruani vlerat e gjeneruara në një menaxher fjalëkalimesh në vend të një shënimi, që hyrjet e veçanta të mbeten të përdorshme. Më pas konfirmoni që vlera e re funksionon përpara se të hidhni të vjetrën, dhe mbani të dyja ngjarjet në të njëjtin biletë.

Përfundoni duke pastruar kredencialet e ruajtura në çdo instalim të përbashkët që përdori hyrjen e vjetër. Një kredencial i hequr nga serveri është ende rrjedhje nëse një pajisje vazhdon të rilidhet me një kopje të ruajtur në cache.