Јавна VPN лозинка: зашто не сме бити лозинка ваше е-поште

Јавни VPN директоријуми наводе сервер, корисничко име и лозинку коју имају и хиљаде других људи, а искушење је откуцати нешто памтљиво. Тај инстинкт је проблем: вредност није лична тајна, и све за шта је поново употребите постаје јавно. Третирајте објављену пријаву као заједнички кључ за јавну услугу, а сваки налог који вас идентификује као потпуно другу категорију. Раздвајање је лако одржавати до дана када постане важно.

Шта су акредитиви заправо

Пријава објављена у јавном VPN директоријуму је договор о приступу између оператера и свакога ко прочита страницу. Може идентификовати заједнички сервисни налог, а не особу, и оператер може посматрати везу на мрежном пролазу.

Последња тачка заслужује посебан нагласак: ко прекине тунел види саобраћај који у њега улази и из њега излази, и држи лозинку која га је отворила. Поновна употреба вредности за мејл налог говори оператеру нешто о налогу који никада није требало моћи погодити. Заједничка лозинка није тајна ни у једном смисленом смислу, јер је многи људи држе. Категорије су различите: јавна тајна приступа, лозинка приватног налога, клијентски сертификат и кључ партнера, свака одговара на друго питање.

Поновна употреба је позната вредност, не слаба

Смернице за јачину лозинке обично се фокусирају на дужину и јединственост, а јединственост је управо оно што поновна употреба уништава. Дуга лозинка коришћена на два места позната је вредност на оба места након што било које од њих процури.

Credential stuffing зависи од тог преклапања, а јавни директоријуми прву половину пара чине бесплатном за свакога. Генерисање одвојене вредности за сваку услугу уклања ту полугу без захтева за нечим памтљивијим. Дужина никада не компензује вредност која је већ одштампана на јавној страници.

Ако је лозинка већ била поново употребљена

Промените неповезани налог кроз његов потврђени процес опоравка, затим прегледајте његове активне сесије и поставке опоравка, јер ресет који остави стару сесију живом није завршио посао. Не шаљите лозинку VPN подршци да бисте показали грешку. Где је доступна вишефакторска аутентификација, укључите је, јер преживљава процурелу лозинку.

Ротирајте VPN акредитив кроз који год процес оператер документује, и имајте на уму да је то одвојена радња од промене сопственог налога. Држите обе промене у истом тикету да нико не претпостави да је једна покрила другу.

Ако је изложен приватни клијентски кључ уместо лозинке, опозив је лек. Промена лозинке е-поште не уклања копирани кључ.

Проверите тип акредитива пре ротације

Идентификујте шта поље заиста очекује пре него што ишта генеришете. Код собе портала, кључ партнера и лозинка нису заменљиви, а ротација погрешног оставља излагање на месту.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Чувајте генерисане вредности у менаџеру лозинки, а не у белешци, како би различити уноси остали употребљиви. Затим потврдите да нова вредност ради пре него што одбаците стару, и држите оба догађаја у истом тикету.

Завршите чишћењем сачуваних акредитива на свакој дељеној инсталацији која је користила стару пријаву. Акредитив уклоњен са сервера и даље је цурење ако се уређај настави поново повезивати са кешираном копијом.