Зашто заједнички излаз VPN покреће упозорења о пријави која нисте изазвали
Блокирање пријаве је обично резултат ризика, не пресуда о вашем тунелу. Заједнички излази мењају ко је још укључен у тај резултат и колико их то кошта.
Отворите познати сајт преко VPN-а и добијете додатни изазов, а примамљиво објашњење је да је тунел откривен. Нешто је откривено, али то нисте били ви. Сајт је оценио скуп сигнала, један од њих је изворна адреса, и та адреса се дели са странцима који су можда минуту раније стварали неуспешне пријаве. Читање одлуке као пресуде о вашој вези погрешно разуме чему резултат служи.
Шта изворна адреса може и шта не може да одреди
IP адреса описује пут кроз мрежу у одређеном тренутку. Она не идентификује особу, уређај ни чак један налог, и са NAT-ом на нивоу оператера или заузетим VPN базеном може истовремено да представља хиљаде неповезаних сесија. Сајт који адресу третира као идентитет заправо је третира као репутацију, што је статистичка тврдња, а не чињеница.
Две особе могу да деле један излаз и дају супротне доказе: једна се успешно пријави са другим фактором, друга покушава четрдесет лозинки. Адреса је иста, тако да ниједно правило засновано само на адреси не може да их разликује, и која год реакција буде покренута, важи за обоје.
То није аргумент за игнорисање адреса. То је аргумент да се запамти шта сигнал мери, јер већина изненађујућег понашања око пријава преко VPN-а долази од примене контроле на погрешном нивоу детаља, а не од погрешног запажања.
Зашто блокирање излаза кажњава странце
Блок на нивоу адресе је јефтин за увођење и скуп за циљање. Његов радијус утицаја је свака сесија иза те адресе, и зато понашање заједничких адреса и NAT-а има своју историју у оперативној документацији: исто резоновање се појављује у раду IETF-а о заједничким изворним адресама и нежељеним ефектима филтрирања заснованог на адреси.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Размотрите два неуспеха која блок ствара. Легитимном клијенту иза истог излаза се одбија услуга и он отвара тикет подршке који кошта више од саме злоупотребе. Стварни нападач прелази на следећи излаз у базену од хиљада и наставља, потрошивши само поновно повезивање.
Пропорционалност је корак који недостаје. Поновљене неуспешне пријаве, налет аутоматизованих захтева и ауторизовано кршење дозвола су три различита догађаја, и само је други вероватно проблем у облику адресе. Примена исте мрежне забране за цео сајт на сва три је начин на који контрола безбедности постаје ред за подршку.
Поставите одлуку тамо где су докази
Контроле на нивоу налога прате налог кроз адресе, што одговара ентитету који вам је заиста важан. Ограничење брзине, периоди чекања после поновљених неуспеха и степенована аутентикација за осетљиве радње делују на налог или радњу, а не на мрежни пут. То боље одговара ентитету који заиста штитите. То такође уклања подстицај нападача да тражи свежу излазну адресу.
NIST смернице за аутентикацију третирају ово као улазе у процену ризика и наводе адресу, геолокацију и време захтева међу сигналима, што је управо оквир који треба позајмити: сигнал информише одлуку, не замењује аутентикатор. Читајте ту листу као улазе, а не као мени ствари које треба забранити. Аутентикатор и даље даје доказ, а остали сигнали само одлучују колико трења поставити око њега.
Два дизајнерска ограничења спречавају да приступ на нивоу налога постане сопствени прекид. Ограничења брзине захтевају безбедан пут за преглед како би корисник могао да пријави погрешну класификацију без објављивања акредитива, а степеновани изазови не смеју моћи да се реше лозинком или једнократним кодом датим непровереном контакту подршке.
Како изгледа правична политика споља
Запишите коју одлуку подржава свака контрола, а затим проверите да ли се ниво детаља контроле поклапа. Контроле адресе одговарају на питања о саобраћају из мреже; контроле налога одговарају на питања о налогу; догађаји апликације одговарају на питања о понашању после аутентикације. Политика која именује сва три је проверљива, а она која именује само VPN саобраћај није.
Затим мерите резултат, а не број правила. Неовлашћени покушаји треба да опадају, легитимни корисници треба да задрже подржани пут, а број контаката са подршком на хиљаду пријава не треба да расте. Блок који побољшава први број, а уништава остала два, преместио је проблем, а не решио га.
Прихватање VPN веза и спровођење контрола злоупотребе су компатибилни циљеви. Верзија која функционише третира изворну адресу као један од неколико улаза, примењује најужи контролу која одговара доказима и оставља поштен пут за особу која је погрешно класификована. Верзија која не успева третира адресу као осумњиченог и то назива политиком.