Birisi VPN parolanızı ne kadar hızlı tahmin edebilir?

Gecikme, kimsenin sormadığı bir soruyu yanıtlar. Bir tahmin tahmininin gerçekte ne anlama geldiğini üç koşul belirler: tahminin canlı bir hizmet tarafından mı yoksa yakalanan materyale karşı mı denetlendiği, o materyali hangi kimlik doğrulama yönteminin ürettiği ve hizmetin hangi kontrolleri uyguladığı. ping tek bir yolda tek bir gidiş-dönüşü ölçer ve bunların hiçbirine yanıt vermez. Bir saniyeyi o sayıya bölmek, kesin, ilgisiz ve güvenlik özelliğiymiş gibi sık sık tekrarlanan bir değer üretir.

Gecikme bağlantı işine aittir. Kimlik doğrulama gücü, doğrulayıcının ve protokolün bir özelliğidir.

Tek gidiş-dönüş bir hız sınırı değildir

Gidiş-dönüş süresi, belirli bir yolda bir isteğin ve yanıtının ne kadar sürdüğünü anlatır. Çevrimiçi denemelerde bile verim, bir istemcinin kaç isteği açık tuttuğuna, sunucunun her denemeye ne kadar zaman harcadığına ve hangi hız sınırlarının uygulandığına bağlıdır. Bunlar pingden bağımsızdır. Bir Ethernet bağlantısı, gidiş-dönüş başına yalnızca bir deneme olabileceği kuralını dayatmaz ve hızlı bir ping, doğrulayıcının tahminleri bu hızda kabul edeceğini kanıtlamaz.

Hizmet beş başarısızlıktan sonra bir hesabı kilitlerse, pratik hız ağdan bağımsız olarak kilit penceresi başına beş denemedir. Bu bir kontroldür ve atıfta bulunmaya değer sayı budur.

Tahmin gerçekte nerede denetlenir

Çevrimiçi olarak, talep sahibi her adayı gerçek hizmete sunar; hizmet gözlemleyebilir, geciktirebilir, kilitleyebilir ve uyarabilir. Çevrimdışı olarak, uygun doğrulama materyaline sahip bir saldırgan adayları hizmetin hiçbir katılımı olmadan yerel olarak denetler. Bu ayrım aritmetikteki neredeyse her şeyi belirler. NIST'in parola kılavuzu bu tehditleri ayrı ayrı ele alır; başarısız çevrimiçi denemelerin hızının sınırlandırılmasını ve tuzlanmış karma ile maliyet çarpanı sayesinde çevrimdışı saldırıya dayanan depolamayı talep eder. İkisi de doğrulayıcının ve depolama katmanının özelliğidir; kullanıcının bağlantısının ne kadar hızlı yanıt verdiğine bağlı değildir.

Bir paket yakalamanın yararlı materyal verip vermemesi protokole ve kimlik doğrulama yöntemine bağlıdır. Bir yakalama, sertifika veya şifreli tünel bulundurmak kendi başına hiçbir şeyi yanıtlamaz; istemci derlemesinin yaşı da yanıtlamaz.

Neden kırma süresi aritmetiği yanıltır

Olası dizelerin sayısı yalnızca varsayımları kadar iyidir. İnsanların seçtiği parolalar bir formülün tanımladığı uzaya eşit dağılmaz ve yeniden kullanılan kimlik bilgileri hâlihazırda bir listede olabilir. Denetim maliyeti de önemlidir: uygulanan kontrollere sahip çevrimiçi bir hizmet, yerel olarak test edilen çalınmış bir doğrulayıcıdan tamamen farklıdır. Bu durumlar arasında sessizce hareket eden bir hesaplama, kırmaya kadar yıllar olduğu iddiasını destekleyemez.

Protokol kusurlarını kendi sütununda tutun. Daha uzun bir parola zayıf bir kimlik doğrulama yapısını onarmaz ve tek bir eskimiş yöntem, parola tabanlı her tasarımın onun zayıflıklarını paylaştığını kanıtlamaz. Bunlar ayrı bulgular ve ayrı düzeltmelerdir.

Gecikmeyi değil, doğrulayıcının kanıtını isteyin

Bir ağ geçidi değerlendirmesi için kimlik doğrulama yöntemini, doğrulayıcının kimde olduğunu, hangi deneme kontrollerinin bulunduğunu ve ikinci faktörün gerçekten bağımsız olup olmadığını belirleyin. İki parola kutusu olan bir iletişim penceresi iki faktör oluşturmaz. Saklanan kimlik bilgileri için hangi materyalin bulunduğunu, kimin okuyabildiğini ve uygulamanın gerçekte hangi korumayı uyguladığını belirleyin. Varsayımsal bir karma hızı rakamı, kimliği belirsiz bir depolama sistemi hakkında kanıt değildir.

Tahminin dışındaki maruziyeti de düşünün. Çalınmış bir profil, ele geçirilmiş bir uç nokta veya bir kimlik avı akışı, parolaları sayan bir saldırgandan farklı bir sorun ortaya koyar ve parola uzunluğu, etkin bir oturuma zaten verilmiş yetkiye hiçbir şey yapmaz.

Yöntemi, kontrolü ve depolama korumasını kaydedin. Bu üçü, pingin hiç ölçmediği soruyu yanıtlar.