Pse një dalje VPN e përbashkët shkakton paralajmërime hyrjeje që nuk i keni shkaktuar ju
Një bllokim hyrjeje është zakonisht një rezultat rreziku, jo një verdikt për tunelin tuaj. Daljet e përbashkëta ndryshojnë kush tjetër përfshihet në atë rezultat dhe sa u kushton atyre.
Hapni një sajt të njohur përmes një VPN dhe merrni një sfidë shtesë, dhe shpjegimi joshës është se tuneli u zbulua. Diçka u zbulua, por nuk ishit ju. Sajti vlerësoi një grup sinjalesh, njëri prej të cilëve është adresa e burimit, dhe ajo adresë ndahet me të huaj që mund të kenë gjeneruar hyrje të dështuara një minutë më parë. Leximi i vendimit si verdikt për lidhjen tuaj keqkupton për çfarë shërben rezultati.
Çfarë mund dhe çfarë nuk mund të zgjidhë një adresë burimi
Një adresë IP përshkruan një rrugë përmes rrjetit në një moment të caktuar. Ajo nuk identifikon një person, një pajisje apo edhe një llogari të vetme, dhe me NAT të nivelit të operatorit ose një pishinë VPN të ngarkuar mund të përfaqësojë mijëra sesione të palidhura njëkohësisht. Një sajt që e trajton adresën si identitet në fakt e trajton si reputacion, që është një pohim statistikor dhe jo një fakt.
Dy persona mund të ndajnë një dalje dhe të prodhojnë prova të kundërta: njëri hyn me sukses me një faktor të dytë, tjetri provon dyzet fjalëkalime. Adresa është identike, kështu që asnjë rregull i bazuar vetëm në adresë nuk mund t'i dallojë, dhe çfarëdo përgjigje që aktivizohet vlen për të dy.
Ky nuk është argument për të injoruar adresat. Ky është argument për të kujtuar çfarë mat sinjali, sepse pjesa më e madhe e sjelljes befasuese rreth hyrjeve VPN vjen nga aplikimi i një kontrolleje në granularitetin e gabuar, jo nga një vëzhgim i gabuar.
Pse bllokimi i daljes ndëshkon të huajt
Një bllokim në nivel adrese është i lirë për t'u zbatuar dhe i shtrenjtë për t'u synuar. Rrezja e tij e ndikimit është çdo sesion pas asaj adrese, dhe për këtë arsye sjellja e adresave të përbashkëta dhe NAT ka historinë e vet në dokumentacionin operativ: i njëjti arsyetim shfaqet në punën e IETF për adresat burimore të përbashkëta dhe efektet anësore të filtrimit të bazuar në adresë.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Konsideroni dy dështimet që krijon një bllokim. Një klienti legjitim pas të njëjtës dalje i refuzohet shërbimi dhe ai hap një kërkesë mbështetjeje që kushton më shumë se vetë abuzimi. Një sulmues i vërtetë kalon në daljen tjetër në një pishinë me mijëra dhe vazhdon, pa shpenzuar asgjë tjetër përveç një rilidhjeje.
Proporcionaliteti është hapi që mungon. Hyrjet e dështuara të përsëritura, një valë kërkesash të automatizuara dhe një shkelje e autorizuar e lejeve janë tre ngjarje të ndryshme, dhe vetëm e dyta është me gjasë një problem në formë adrese. Zbatimi i të njëjtit ndalim rrjeti për të gjithë sajtin tek të tre është mënyra se si një kontroll sigurie bëhet radhë mbështetjeje.
Vendosni vendimin aty ku është prova
Kontrollet në nivel llogarie ndjekin llogarinë përmes adresave, gjë që përputhet me entitetin për të cilin ju interesoheni vërtet. Kufizimi i shpejtësisë, periudhat e pritjes pas dështimeve të përsëritura dhe vërtetimi i shkallëzuar për veprime të ndjeshme veprojnë të gjitha mbi llogarinë ose veprimin, jo mbi rrugën e rrjetit. Kjo përputhet më mirë me entitetin që mbroni vërtet. Gjithashtu heq nxitjen e sulmuesit për të kërkuar një adresë të re daljeje.
Udhëzimet e NIST për vërtetimin i trajtojnë këto si hyrje të një vlerësimi rreziku dhe rendisin adresën, gjeolokacionin dhe kohën e kërkesës mes sinjaleve, që është pikërisht korniza që ia vlen të huazohet: një sinjal informon një vendim, nuk zëvendëson një vërtetues. Lexoni atë listë si hyrje, jo si menu gjërash për t'u ndaluar. Vërtetuesi vazhdon të bëjë provën, dhe sinjalet e tjera vetëm vendosin sa fërkim të vendoset rreth tij.
Dy kufizime projektimi pengojnë qasjen në nivel llogarie të bëhet ndërprerja e vet. Kufijtë e shpejtësisë kanë nevojë për një rrugë të sigurt rishikimi, në mënyrë që përdoruesi të raportojë një klasifikim të gabuar pa publikuar kredencialet, dhe sfidat e shkallëzuara nuk duhet të jenë të përgjigjshme me fjalëkalim ose kod njëpërdorimsh që i është dhënë një kontakti mbështetjeje të paverifikuar.
Si duket një politikë e drejtë nga jashtë
Shkruani cilën vendim mbështet secila kontroll, pastaj kontrolloni që granulariteti i kontrollit përputhet. Kontrollet e adresës u përgjigjen pyetjeve për trafikun nga një rrjet; kontrollet e llogarisë u përgjigjen pyetjeve për një llogari; ngjarjet e aplikacionit u përgjigjen pyetjeve për sjelljen pas vërtetimit. Një politikë që përmend të tre është e auditueshme, dhe një që përmend vetëm trafikun VPN nuk është.
Pastaj matni rezultatin, jo numrin e rregullave. Përpjekjet e paautorizuara duhet të bien, përdoruesit legjitimë duhet të mbajnë një rrugë të mbështetur, dhe numri i kontakteve të mbështetjes për mijë hyrje nuk duhet të rritet. Një bllokim që përmirëson numrin e parë ndërsa shkatërron dy të tjerët e ka zhvendosur problemin, jo e ka zgjidhur.
Pranimi i lidhjeve VPN dhe zbatimi i kontrolleve të abuzimit janë qëllime të përputhshme. Versioni që funksionon e trajton adresën e burimit si një hyrje mes disa, zbaton kontrollin më të ngushtë që përputhet me provat dhe lë një rrugë të ndershme për personin që u klasifikua gabimisht. Versioni që dështon e trajton një adresë si të dyshuar dhe e quan atë politikë.