Колико брзо неко може да погоди вашу лозинку за VPN?

Кашњење одговара на питање које нико није поставио. Три услова одређују шта процена погађања заиста значи: да ли се погађање проверава преко живе услуге или против затеченог материјала, која метода аутентификације је тај материјал створила и које контроле услуга спроводи. ping мери једно путовање тамо и назад на једном путу и не одговара ни на једно од њих. Дељење секунде тим бројем даје вредност која је прецизна, неповезана и често понављана као да је безбедносна особина.

Кашњење припада послу са повезивошћу. Снага аутентификације је особина проверaвaоца и протокола.

Једно путовање није ограничење брзине

Време путовања тамо и назад описује колико трају један захтев и његов одговор на одређеном путу. Чак и код онлајн покушаја, пропусност зависи од тога колико захтева клијент држи отвореним, колико времена сервер троши по покушају и која ограничења брзине важе. То је независно од ping. Ethernet веза не намеће правило да на једном путовању може постојати само један покушај, а брз ping не доказује да ће проверaвaлац прихватити погађања том брзином.

Ако услуга закључа налог после пет неуспеха, практична брзина је пет покушаја по прозору закључавања, без обзира на мрежу. То је контрола, и то је број који вреди навести.

Где се погађање заиста проверава

Онлајн, подносилац предаје сваког кандидата правој услузи, која може да посматра, одлаже, закључава и упозорава. Офлајн, нападач са одговарајућим материјалом за проверу проверава кандидате локално без учешћа услуге. Та разлика одређује скоро све у аритметици. Смернице NIST за лозинке ове претње третирају одвојено, захтевајући ограничење брзине неуспешних онлајн покушаја и складиштење које одолева офлајн нападу кроз солено хеширање са фактором трошка. Оба су особине проверaвaоца и слоја складиштења, без зависности од тога колико брзо одговара корисникова веза.

Да ли снимање пакета даје користан материјал зависи од протокола и методе аутентификације. Поседовање снимка, сертификата или шифрованог тунела само по себи не одговара ни на шта, а ни старост клијентске изградње.

Зашто аритметика времена разбијања обмањује

Број могућих низова је само толико добар колико су његове претпоставке. Лозинке које бирају људи нису равномерно распоређене по простору који формула описује, а поново коришћени акредитиви можда су већ на списку. Трошак провере је такође важан: онлајн услуга са спроведеним контролама потпуно се разликује од украденог проверaвaоца који се тестира локално. Прорачун који тихо прелази између тих случајева не може подржати тврдњу о годинама до разбијања.

Држите дефекте протокола у сопственој колони. Дужа лозинка не поправља слабу конструкцију аутентификације, а једна застарела метода не доказује да сваки дизајн заснован на лозинци дели њене слабости. То су одвојени налази са одвојеним исправкама.

Тражите доказ проверaвaоца, не кашњење

За процену пролаза одредите методу аутентификације, ко држи проверaвaоца, које контроле покушаја постоје и да ли је други фактор заиста независан. Дијалог са два поља за лозинку не успоставља два фактора. За сачуване акредитиве утврдите који материјал постоји, ко може да га чита и какву заштиту имплементација стварно примењује. Хипотетичка бројка брзине хеширања није доказ о неидентификованом систему складиштења.

Размотрите и изложеност ван погађања. Украдени профил, компромитована крајња тачка или фишинг ток представљају другачији проблем од нападача који набраја лозинке, а дужина лозинке ништа не чини против овлашћења већ датог активној сесији.

Запишите методу, контролу и заштиту складиштења. Та три одговарају на питање које ping никада није измерио.