Bakit ang Pinagsasaluhang VPN Exit ay Nagdudulot ng mga Babala sa Pag-login na Hindi Mo Ginawa
Ang pagharang sa pag-login ay karaniwang isang iskor ng panganib, hindi hatol sa iyong tunnel. Binabago ng pinagsasaluhang exit kung sino pa ang kasama sa iskor na iyon at kung magkano ang halaga nito sa kanila.
Buksan ang isang pamilyar na site sa pamamagitan ng VPN at makakuha ng karagdagang hamon, at ang nakakaakit na paliwanag ay nakita ang tunnel. May nakita, ngunit hindi ikaw iyon. Nag-iskor ang site ng isang hanay ng mga senyales, isa na rito ang address ng pinagmulan, at ang address na iyon ay ibinabahagi sa mga estranghero na maaaring gumawa ng mga nabigong pag-login isang minuto ang nakalipas. Ang pagbasa sa desisyon bilang hatol sa iyong koneksyon ay maling pag-unawa sa kung para saan ang iskor.
Ano ang maaari at hindi maaaring mapagpasyahan ng address ng pinagmulan
Ang address ng IP ay naglalarawan ng landas sa network sa isang partikular na sandali. Hindi nito tinutukoy ang isang tao, aparato, o kahit isang account, at sa carrier-grade NAT o abalang pool ng VPN maaari itong kumatawan sa libu-libong hindi magkakaugnay na sesyon nang sabay. Ang site na itinuturing ang address bilang pagkakakilanlan ay talagang itinuturing itong reputasyon, na isang pahayag na istatistika at hindi katotohanan.
Dalawang tao ang maaaring magbahagi ng isang exit at gumawa ng magkasalungat na ebidensya: ang isa ay matagumpay na nag-log in gamit ang pangalawang salik, ang isa ay sumusubok ng apatnapung password. Ang address ay magkapareho, kaya walang tuntunin na nakabatay lamang sa address ang makakapaghiwalay sa kanila, at anumang tugon na maudyok ay naaangkop sa dalawa.
Ito ay hindi argumento para huwag pansinin ang mga address. Ito ay argumento para tandaan kung ano ang sinusukat ng senyales, dahil ang karamihan ng nakakagulat na pag-uugali sa paligid ng mga pag-login sa VPN ay nagmumula sa paglalapat ng kontrol sa maling antas ng detalye, hindi sa maling obserbasyon.
Bakit ang pagharang sa exit ay nagpaparusa sa mga estranghero
Ang harang sa antas ng address ay mura iimplement at mahal i-target. Ang radius ng epekto nito ay bawat sesyon sa likod ng address na iyon, at iyon ang dahilan kung bakit ang pag-uugali ng pinagsasaluhang address at NAT ay may sariling kasaysayan sa dokumentasyong pang-operasyon: ang parehong pangangatwiran ay lumilitaw sa gawain ng IETF tungkol sa pinagsasaluhang address ng pinagmulan at ang mga side effect ng pagsasala batay sa address.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Isaalang-alang ang dalawang kabiguan na nililikha ng harang. Ang isang lehitimong kostumer sa likod ng parehong exit ay tinatanggihan ng serbisyo at nagbubukas ng tiket sa suporta na mas mahal kaysa sa pang-aabuso. Ang isang tunay na umaatake ay lumipat sa susunod na exit sa isang pool ng libu-libo at nagpapatuloy, na gumastos ng wala maliban sa muling pagkonekta.
Ang proporsyonalidad ang nawawalang hakbang. Ang paulit-ulit na nabigong pag-login, isang bugso ng mga awtomatikong kahilingan at isang awtentikadong paglabag sa pahintulot ay tatlong magkakaibang pangyayari, at ang pangalawa lamang ang malamang na problemang hugis-address. Ang paglalapat ng parehong site-wide network ban sa lahat ng tatlo ay kung paano nagiging pila ng suporta ang isang kontrol sa seguridad.
Ilagay ang desisyon kung saan naroon ang ebidensya
Ang mga kontrol sa antas ng account ay sumusunod sa account sa mga address, na tumutugma sa entidad na talagang mahalaga sa iyo. Ang paglilimita ng bilis, mga panahon ng paghihintay pagkatapos ng paulit-ulit na kabiguan at step-up na pagpapatunay para sa mga sensitibong aksyon ay gumagana sa account o aksyon, hindi sa landas ng network. Mas tumutugma iyon sa entidad na talagang pinoprotektahan mo. Tinatanggal din nito ang insentibo ng umaatake na maghanap ng bagong address ng exit.
Ang gabay ng NIST sa pagpapatunay ay itinuturing ang mga ito bilang input sa isang pagtatasa ng panganib at inililista ang address, geolocation at oras ng kahilingan sa mga senyales, na siyang eksaktong balangkas na dapat hiramin: ang senyales ay nagpapaalam sa isang desisyon, hindi nito pinapalitan ang isang authenticator. Basahin ang listahang iyon bilang input, hindi bilang menu ng mga bagay na dapat ipagbawal. Ang authenticator pa rin ang gumagawa ng patunay, at ang iba pang senyales ay nagpapasya lamang kung gaano karaming alitan ang ilalagay sa paligid nito.
Dalawang hadlang sa disenyo ang pumipigil sa diskarte sa antas ng account na maging sariling pagkagambala. Ang mga limitasyon sa bilis ay nangangailangan ng ligtas na landas ng pagsusuri upang ang isang gumagamit ay makapag-ulat ng maling klasipikasyon nang hindi naglalathala ng mga kredensyal, at ang mga step-up na hamon ay hindi dapat masagot ng password o one-time code na ibinigay sa hindi na-verify na contact ng suporta.
Paano ang hitsura ng patas na patakaran mula sa labas
Isulat kung aling desisyon ang sinusuportahan ng bawat kontrol, pagkatapos ay tiyakin na tumutugma ang antas ng detalye ng kontrol. Ang mga kontrol sa address ay sumasagot sa mga tanong tungkol sa trapiko mula sa isang network; ang mga kontrol sa account ay sumasagot sa mga tanong tungkol sa isang account; ang mga kaganapan sa aplikasyon ay sumasagot sa mga tanong tungkol sa pag-uugali pagkatapos ng pagpapatunay. Ang isang patakaran na nagngangalan ng lahat ng tatlo ay naa-audit, at ang isa na nagngangalan lamang ng trapiko ng VPN ay hindi.
Pagkatapos ay sukatin ang kinalabasan kaysa sa bilang ng mga tuntunin. Dapat bumaba ang mga hindi awtorisadong pagtatangka, dapat mapanatili ng mga lehitimong gumagamit ang sinusuportahang landas, at hindi dapat tumaas ang bilang ng mga contact sa suporta bawat libong pag-login. Ang harang na nagpapabuti sa unang numero habang sinisira ang dalawa pa ay naglipat ng problema, hindi ito nalutas.
Ang pagtanggap ng mga koneksyon sa VPN at pagpapatupad ng mga kontrol sa pang-aabuso ay magkatugmang layunin. Ang bersyong gumagana ay itinuturing ang address ng pinagmulan bilang isang input sa ilang, inilalapat ang pinakamakitid na kontrol na umaangkop sa ebidensya, at nag-iiwan ng tapat na landas para sa taong maling na-classify. Ang bersyong nabibigo ay itinuturing ang address bilang suspek at tinatawag iyon na patakaran.