Ang iyong VPN password ay kasing-pribado ng verifier nito

Suriin ang apat na tanong tungkol sa anumang pag-login sa VPN: ano ang nagpoprotekta sa password habang naglalakbay, aling component ang tumatanggap nito, ano ang ginagawa ng component na iyon dito, at ano ang nakaimbak pagkatapos. Ang bawat sagot ay ibang kontrol, at ang matibay na sagot sa isa ay walang sinasabi tungkol sa iba. Ang pagkakamali ay ituring ang encryption ng tunnel na sumasaklaw sa lahat ng apat. Sinasaklaw lamang nito ang una, at ang una lamang.

Itanong kung sino ang nagtatapos ng sesyon, hindi kung naka-encrypt ang sesyon.

Naka-encrypt para kanino, eksakto?

Pinoprotektahan ng TLS ang password sa pagitan ng kliyente at ng nagtatapos ng koneksyon. Kung ang endpoint na iyon ay ang gateway ng VPN, nakikita ng authentication code ng gateway ang password sa plaintext, bini-verify ito, at ipinapasa ito o ang hinangong halaga. Ito ang sinadyang disenyo, hindi isang pagtagas. Ang tagamasid ng network sa landas ay walang natututuhan na kapaki-pakinabang, at ang component na nagsasagawa ng verification ay natututuhan ang lahat ng kailangan nito.

Idinodokumento ito ng komunidad ng OpenVPN nang tahasan: ipinapasa ng auth-user-pass-verify ang mga isinumiteng kredensyal sa isang verification script o plugin. Ito ay sinadyang paghahatid sa pagitan ng mga component, at kabilang ito sa modelo ng pagtitiwala bilang pinangalanang partido.

Nakikita ng verifier ang password

Kapag nakatanggap ang isang component ng password upang i-verify ito, ang mga kontrol sa pag-access, pag-log at kalidad ng code nito ang nagpapasya kung mananatiling nakakulong ang lihim. Ang isang script na nagsusulat ng kredensyal sa log, o plugin na nag-cache nito, ay lumilikha ng mas malaking pagkakalantad kaysa ginawa ng protocol. Ang pag-access ay nakadepende sa arkitektura at mga tungkulin, hindi sa tunnel, kaya kabilang sa pagtatasa ang may-ari ng serbisyo na kumokontrol sa verifier.

Iba't ibang pamamaraan ang naglalantad ng iba't ibang materyal. Ang authentication gamit ang sertipiko ay nagpapatunay ng pribadong key nang hindi ito ipinapadala, at ang daloy ng federation ay maaaring magpanatili ng password sa identity provider habang naglalabas ng limitadong assertion sa VPN. Pinapaliit ng mga disenyong iyon ang bilog; wala sa kanila ang nag-aalis ng bawat pinagkakatiwalaang partido.

Ang mga nakaimbak na hash ay nagpoprotekta sa ibang yugto

Hinihiwalay ng gabay ng NIST ang protektadong transmisyon mula sa matibay na imbakan ng verifier. Tinutugunan ng paglalagay ng asin at ng hash scheme na may gastos ang banta ng nakaimbak na verifier, na siyang nangyayari pagkatapos ng pangyayari kung tumagas ang isang database. Wala silang ginagawa para sa isang runtime component na dapat tumanggap ng input upang ihambing ito. Ang pagbasa sa gabay na parang nangangako ng pagiging lihim sa runtime ay isang pagkakamali ng kategorya.

Kaya ang isang maayos na na-hash na imbakan ng password at isang nakalantad na verification script ay maaaring magkasamang umiral sa isang produkto nang walang kontradiksyon.

Pagpili ng paraang nagpapaliit ng bilog

Kung ang pangangailangan ay hindi kailanman makatanggap ang gateway ng magagamit muli na password, pumili ng paraang tunay na nagagarantiya nito; ang pagpapalit ng data cipher ay hindi lumilikha ng katangiang iyon. Ang pag-verify ng sertipiko ng VPN server ay nagsasabi sa iyo kung aling kapareha ang naabot mo; wala itong sinasabi tungkol sa kung paano hinahawakan ng kaparehang iyon ang mga kredensyal pagkatapos. Panatilihin ang verification ng server, gumamit ng magkakaibang kredensyal bawat serbisyo, at sundin ang sinusuportahang daloy ng pagkakakilanlan ng organisasyon.

Itala ang partidong tumatanggap ng password, ang partidong nagbe-verify nito at ang anyo kung saan ito pinananatili. Ang tatlong sagot na iyon ay kabilang sa tabi ng profile ng koneksyon, dahil nabubuhay sila nang mas matagal kaysa sa anumang partikular na tunnel.

Ang kapaki-pakinabang na tanong ay hindi kung naka-encrypt ang password, kundi kanino ito itinatago, aling component ang tumatanggap nito at anong anyo ang nananatili pagkatapos.