ใครจะเดารหัสผ่าน VPN ของคุณได้เร็วแค่ไหน?

เวลาแฝงตอบคำถามที่ไม่มีใครถาม สามเงื่อนไขกำหนดว่าการประมาณการเดามีความหมายจริงอย่างไร: การเดาถูกตรวจโดยบริการที่ทำงานอยู่หรือเทียบกับวัสดุที่ดักจับได้ วิธีรับรองความถูกต้องใดสร้างวัสดุนั้น และบริการบังคับใช้การควบคุมใด การวัดค่าปิงวัดการเดินทางไปกลับหนึ่งครั้งบนเส้นทางเดียวและไม่ตอบข้อใดเลย การหารหนึ่งวินาทีด้วยตัวเลขนั้นให้ค่าที่แม่นยำแต่ไม่เกี่ยวข้อง และมักถูกอ้างซ้ำราวกับเป็นคุณสมบัติด้านความปลอดภัย

เวลาแฝงเป็นเรื่องของงานเชื่อมต่อ ความแข็งแรงของการรับรองความถูกต้องเป็นคุณสมบัติของผู้ตรวจสอบและของโพรโทคอล

การไปกลับหนึ่งครั้งไม่ใช่ขีดจำกัดอัตรา

เวลาการไปกลับอธิบายว่าคำขอหนึ่งรายการและการตอบกลับใช้เวลานานเท่าใดบนเส้นทางหนึ่ง แม้แต่การพยายามออนไลน์ อัตราการส่งผ่านก็ขึ้นอยู่กับจำนวนคำขอที่ไคลเอนต์เปิดค้างไว้ เวลาที่เซิร์ฟเวอร์ใช้ต่อการพยายามหนึ่งครั้ง และขีดจำกัดอัตราที่บังคับใช้ สิ่งเหล่านี้ไม่ขึ้นกับค่าปิง ลิงก์อีเทอร์เน็ตไม่ได้กำหนดกฎว่ามีการพยายามได้เพียงครั้งเดียวต่อการไปกลับหนึ่งครั้ง และค่าปิงที่เร็วไม่ได้พิสูจน์ว่าผู้ตรวจสอบจะยอมรับการเดาในอัตรานั้น

หากบริการล็อกบัญชีหลังล้มเหลวห้าครั้ง อัตราที่ใช้ได้จริงคือห้าครั้งต่อหน้าต่างการล็อก โดยไม่ขึ้นกับเครือข่าย นั่นคือการควบคุม และนั่นคือตัวเลขที่ควรอ้างถึง

การเดาถูกตรวจที่ใดจริง

เมื่อออนไลน์ ผู้กล่าวอ้างส่งผู้สมัครแต่ละรายไปยังบริการจริง ซึ่งสามารถสังเกต หน่วง ล็อก และแจ้งเตือนได้ เมื่อออฟไลน์ ผู้โจมตีที่มีวัสดุตรวจสอบเหมาะสมจะตรวจผู้สมัครในเครื่องโดยไม่มีการมีส่วนร่วมของบริการ ความแตกต่างนี้กำหนดเกือบทุกอย่างในเลขคณิต แนวทางรหัสผ่านของ NIST แยกปฏิบัติต่อภัยคุกคามเหล่านี้ เรียกร้องให้จำกัดอัตราการพยายามออนไลน์ที่ล้มเหลว และการจัดเก็บที่ต้านทานการโจมตีแบบออฟไลน์ด้วยการแฮชเค็มและตัวคูณต้นทุน ทั้งสองเป็นคุณสมบัติของผู้ตรวจสอบและชั้นจัดเก็บ โดยไม่ขึ้นกับว่าลิงก์ของผู้ใช้ตอบเร็วเพียงใด

การดักจับแพ็กเก็ตจะให้วัสดุที่มีประโยชน์หรือไม่ขึ้นอยู่กับโพรโทคอลและวิธีรับรองความถูกต้อง การมีไฟล์ดักจับ ใบรับรอง หรืออุโมงค์เข้ารหัสไม่ตอบอะไรด้วยตัวเอง และอายุของไคลเอนต์ก็เช่นกัน

เหตุใดเลขคณิตของเวลาถอดรหัสจึงทำให้เข้าใจผิด

จำนวนสายอักขระที่เป็นไปได้ดีได้เพียงเท่าข้อสมมติของมัน รหัสผ่านที่มนุษย์เลือกไม่ได้กระจายสม่ำเสมอทั่วพื้นที่ที่สูตรอธิบาย และข้อมูลรับรองที่นำกลับมาใช้อาจอยู่ในรายการแล้ว ต้นทุนการตรวจก็สำคัญเช่นกัน บริการออนไลน์ที่มีการควบคุมบังคับใช้แตกต่างอย่างสิ้นเชิงจากผู้ตรวจสอบที่ถูกขโมยและทดสอบในเครื่อง การคำนวณที่ย้ายไปมาระหว่างกรณีเหล่านี้อย่างเงียบ ๆ ไม่สามารถสนับสนุนข้ออ้างเรื่องจำนวนปีจนถอดรหัสได้

เก็บข้อบกพร่องของโพรโทคอลไว้ในคอลัมน์ของตัวเอง รหัสผ่านที่ยาวขึ้นไม่ได้ซ่อมโครงสร้างการรับรองที่อ่อนแอ และวิธีที่ล้าสมัยหนึ่งวิธีไม่ได้พิสูจน์ว่าการออกแบบทุกรูปแบบที่อิงรหัสผ่านมีจุดอ่อนร่วมกัน สิ่งเหล่านี้เป็นข้อค้นพบแยกกันพร้อมการแก้ไขแยกกัน

ขอหลักฐานจากผู้ตรวจสอบ ไม่ใช่เวลาแฝง

สำหรับการประเมินเกตเวย์ ให้ระบุวิธีรับรองความถูกต้อง ใครถือผู้ตรวจสอบ มีการควบคุมการพยายามใดอยู่ และปัจจัยที่สองเป็นอิสระจริงหรือไม่ กล่องโต้ตอบที่มีช่องรหัสผ่านสองช่องไม่ได้สร้างสองปัจจัย สำหรับข้อมูลรับรองที่จัดเก็บไว้ ให้ระบุว่ามีวัสดุอะไร ใครอ่านได้ และการนำไปใช้ป้องกันอะไรจริง การคาดการณ์อัตราแฮชเชิงสมมติไม่ใช่หลักฐานเกี่ยวกับระบบจัดเก็บที่ไม่ระบุตัวตน

พิจารณาการเปิดเผยนอกเหนือจากการเดาด้วย โปรไฟล์ที่ถูกขโมย จุดปลายทางที่ถูกบุกรุก หรือกระแสฟิชชิงนำเสนอปัญหาที่ต่างจากการที่ผู้โจมตีไล่รหัสผ่าน และความยาวรหัสผ่านไม่ได้แก้อำนาจที่ให้แก่เซสชันที่ใช้งานอยู่แล้ว

บันทึกวิธี การควบคุม และการป้องกันการจัดเก็บ สามสิ่งนั้นตอบคำถามที่ค่าปิงไม่เคยวัด