รหัสผ่าน VPN สาธารณะ: ทำไมจึงไม่ควรเป็นรหัสผ่านอีเมลของคุณ

โปรไฟล์ในไดเรกทอรี VPN สาธารณะแสดงรายการเซิร์ฟเวอร์ ชื่อผู้ใช้ และรหัสผ่านที่คนอื่นอีกหลายพันคนก็มี และสิ่งล่อใจคือการพิมพ์สิ่งที่จำได้ง่าย สัญชาตญาณนั้นเองคือปัญหา ค่านั้นไม่ใช่ความลับส่วนบุคคล และอะไรก็ตามที่คุณนำไปใช้ซ้ำก็กลายเป็นสาธารณะเช่นกัน มองการเข้าสู่ระบบที่เผยแพร่เป็นกุญแจร่วมของบริการสาธารณะ และมองทุกบัญชีที่ระบุตัวคุณเป็นหมวดหมู่ที่แตกต่างไปเลย การแยกนี้ดูแลได้ง่ายจนถึงวันที่มันสำคัญ

ข้อมูลรับรองคืออะไรกันแน่

การเข้าสู่ระบบที่เผยแพร่ในไดเรกทอรี VPN สาธารณะคือข้อตกลงการเข้าถึงระหว่างผู้ให้บริการกับใครก็ตามที่อ่านหน้าเพจ มันอาจระบุบัญชีบริการร่วมแทนบุคคล และผู้ให้บริการสามารถสังเกตการเชื่อมต่อที่เกตเวย์ได้

ประเด็นสุดท้ายควรเน้น ผู้ที่ยุติอุโมงค์จะเห็นทราฟฟิกที่เข้าและออกจากอุโมงค์ และถือรหัสผ่านที่เปิดมันไว้ การใช้ค่าเดิมซ้ำสำหรับบัญชีอีเมลบอกผู้ให้บริการบางอย่างเกี่ยวกับบัญชีที่พวกเขาไม่ควรจะเดาได้เลย รหัสผ่านร่วมไม่ใช่ความลับในความหมายที่มีความหมายใด ๆ เพราะมีคนจำนวนมากถือมันไว้ หมวดหมู่แตกต่างกัน ความลับการเข้าถึงสาธารณะ รหัสผ่านบัญชีส่วนตัว ใบรับรองไคลเอนต์ และคีย์เพียร์ แต่ละอย่างตอบคำถามคนละข้อ

การใช้ซ้ำคือค่าที่รู้กัน ไม่ใช่ค่าที่อ่อนแอ

คำแนะนำเรื่องความแข็งแรงของรหัสผ่านมักเน้นความยาวและความเป็นเอกลักษณ์ และความเป็นเอกลักษณ์คือสิ่งที่การใช้ซ้ำทำลาย รหัสผ่านยาวที่ใช้ในสองที่กลายเป็นค่าที่รู้กันทั้งสองที่เมื่อที่ใดที่หนึ่งรั่ว

การยัดไส้ข้อมูลรับรองขึ้นอยู่กับการทับซ้อนนั้น และไดเรกทอรีสาธารณะทำให้ครึ่งแรกของคู่ฟรีสำหรับใครก็ตาม การสร้างค่าแยกสำหรับแต่ละบริการขจัดแรงได้เปรียบนั้นโดยไม่ต้องให้จำอะไรยากขึ้น ความยาวไม่เคยชดเชยค่าที่พิมพ์อยู่บนหน้าเพจสาธารณะแล้ว

หากรหัสผ่านเคยถูกใช้ซ้ำแล้ว

เปลี่ยนบัญชีที่ไม่เกี่ยวข้องผ่านกระบวนการกู้คืนที่ยืนยันแล้ว จากนั้นตรวจสอบเซสชันที่ใช้งานอยู่และการตั้งค่าการกู้คืน เพราะการรีเซ็ตที่ปล่อยให้เซสชันเก่ายังมีชีวิตอยู่ยังทำงานไม่เสร็จ อย่าส่งรหัสผ่านไปยังฝ่ายสนับสนุน VPN เพื่อแสดงข้อผิดพลาด ที่ใดมีการยืนยันตัวตนหลายปัจจัย ให้เปิดใช้งาน เพราะมันอยู่รอดจากรหัสผ่านที่รั่วไหล

หมุนเวียนข้อมูลรับรอง VPN ผ่านกระบวนการใดก็ตามที่ผู้ให้บริการจัดทำเอกสาร และสังเกตว่านี่เป็นการกระทำแยกจากการเปลี่ยนบัญชีของคุณเอง เก็บการเปลี่ยนแปลงทั้งสองไว้ในตั๋วเดียวกัน เพื่อไม่ให้ใครคิดว่าอันหนึ่งครอบคลุมอีกอัน

หากคีย์ไคลเอนต์ส่วนตัวถูกเปิดเผยแทนรหัสผ่าน การเพิกถอนคือทางแก้ การเปลี่ยนรหัสผ่านอีเมลไม่ได้ลบคีย์ที่ถูกคัดลอก

ตรวจสอบประเภทข้อมูลรับรองก่อนหมุนเวียน

ระบุว่าฟิลด์คาดหวังอะไรจริง ๆ ก่อนสร้างสิ่งใด รหัสห้องพอร์ทัล คีย์เพียร์ และรหัสผ่านใช้แทนกันไม่ได้ และการหมุนเวียนผิดตัวจะทำให้การเปิดเผยยังคงอยู่

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

เก็บค่าที่สร้างขึ้นในตัวจัดการรหัสผ่านแทนบันทึกย่อ เพื่อให้รายการที่แยกจากกันยังใช้ได้ จากนั้นยืนยันว่าค่าใหม่ทำงานก่อนทิ้งค่าเก่า และเก็บเหตุการณ์ทั้งสองไว้ในตั๋วเดียวกัน

จบด้วยการล้างข้อมูลรับรองที่บันทึกไว้บนการติดตั้งที่ใช้ร่วมกันใด ๆ ที่ใช้การเข้าสู่ระบบเก่า ข้อมูลรับรองที่ลบออกจากเซิร์ฟเวอร์ยังคงเป็นการรั่วไหลหากอุปกรณ์ยังคงเชื่อมต่อใหม่ด้วยสำเนาที่แคชไว้