Paylaşılan bir VPN çıkışı neden sizin yol açmadığınız giriş uyarılarını tetikler
Bir giriş engeli genellikle bir risk puanıdır, tüneliniz hakkında bir hüküm değil. Paylaşılan çıkışlar o puana başka kimlerin dahil olduğunu ve bunun onlara neye mal olduğunu değiştirir.
Bir VPN üzerinden tanıdık bir site açın ve ek bir doğrulamayla karşılaşın; akla yatkın açıklama tünelin algılandığıdır. Bir şey algılandı, ama o siz değildiniz. Site bir dizi sinyali puanladı, bunlardan biri kaynak adresidir ve bu adres bir dakika önce başarısız girişler üretmiş olabilecek yabancılarla paylaşılır. Kararı bağlantınız hakkında bir hüküm olarak okumak, puanın ne için olduğunu yanlış anlamaktır.
Kaynak adresinin çözebileceği ve çözemeyeceği şeyler
Bir IP adresi, ağ üzerinden belirli bir anda geçen yolu tanımlar. Bir kişiyi, cihazı, hatta tek bir hesabı bile tanımlamaz ve operatör düzeyinde NAT veya yoğun bir VPN havuzuyla aynı anda binlerce ilgisiz oturumu temsil edebilir. Adresi kimlik olarak ele alan bir site, aslında onu itibar olarak ele alır; bu istatistiksel bir ifadedir, olgu değil.
İki kişi aynı çıkışı paylaşıp zıt kanıtlar üretebilir: biri ikinci faktörle başarıyla giriş yapar, diğeri kırk parola dener. Adres aynıdır, dolayısıyla yalnızca adrese dayanan hiçbir kural onları ayırt edemez ve tetiklenen herhangi bir yanıt ikisi için de geçerlidir.
Bu, adresleri görmezden gelme argümanı değildir. Sinyalin neyi ölçtüğünü hatırlama argümanıdır, çünkü VPN girişleri etrafındaki şaşırtıcı davranışların çoğu yanlış gözlemden değil, kontrolün yanlış ayrıntı düzeyinde uygulanmasından kaynaklanır.
Çıkışı engellemek yabancıları neden cezalandırır
Adres düzeyinde bir engel uygulaması ucuz, nişan alınması pahalıdır. Etki yarıçapı o adresin arkasındaki her oturumdur ve bu yüzden paylaşılan adresler ve NAT davranışının operasyonel belgelerde kendi tarihi vardır: aynı mantık IETF'in paylaşılan kaynak adresleri ve adres tabanlı filtrelemenin yan etkileri üzerine çalışmasında da görülür.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Bir engelin yarattığı iki başarısızlığı düşünün. Aynı çıkışın arkasındaki meşru bir müşteri hizmetten reddedilir ve istismardan daha pahalıya mal olan bir destek talebi açar. Gerçek bir saldırgan binlerce kişilik havuzdaki bir sonraki çıkışa geçer ve yeniden bağlanmaktan başka hiçbir şey harcamadan devam eder.
Orantılılık eksik olan adımdır. Tekrarlanan başarısız girişler, otomatik isteklerden oluşan bir dalga ve kimliği doğrulanmış bir yetki ihlali üç farklı olaydır ve yalnızca ikincisi makul biçimde adres biçimli bir sorundur. Aynı site geneli ağ yasağını üçüne de uygulamak bir güvenlik kontrolünün destek kuyruğuna dönüşme biçimidir.
Kararı kanıtın olduğu yere koyun
Hesap düzeyindeki kontroller hesabı adresler arasında izler; bu, gerçekten önemsediğiniz varlıkla eşleşir. Hız sınırlama, tekrarlanan başarısızlıklardan sonra bekleme süreleri ve hassas eylemler için kademeli kimlik doğrulama hepsi ağ yolunda değil, hesap veya eylem üzerinde çalışır. Bu, gerçekten koruduğunuz varlıkla daha iyi eşleşir. Ayrıca saldırganın yeni bir çıkış adresi arama teşvikini ortadan kaldırır.
NIST'in kimlik doğrulama kılavuzu bunları bir risk değerlendirmesinin girdileri olarak ele alır ve sinyaller arasında adres, coğrafi konum ve istek zamanını listeler; bu tam olarak ödünç alınması gereken çerçevedir: bir sinyal bir kararı bilgilendirir, bir kimlik doğrulayıcının yerini almaz. Bu listeyi yasaklanacak şeylerin menüsü olarak değil, girdi olarak okuyun. Kanıtı yine kimlik doğrulayıcı sağlar ve diğer sinyaller yalnızca çevresine ne kadar sürtünme konacağını belirler.
İki tasarım kısıtı, hesap düzeyi yaklaşımın kendi kesintisine dönüşmesini önler. Hız sınırlarının güvenli bir inceleme yolu olması gerekir ki kullanıcı kimlik bilgilerini yayınlamadan yanlış sınıflandırmayı bildirebilsin; kademeli doğrulamalar ise doğrulanmamış bir destek kişisine verilen parola veya tek kullanımlık kodla yanıtlanamamalıdır.
Adil bir politika dışarıdan nasıl görünür
Her kontrolün hangi kararı desteklediğini yazın, sonra kontrolün ayrıntı düzeyinin uyuştuğunu doğrulayın. Adres kontrolleri bir ağdan gelen trafikle ilgili soruları yanıtlar; hesap kontrolleri bir hesapla ilgili soruları yanıtlar; uygulama olayları kimlik doğrulamasından sonraki davranışla ilgili soruları yanıtlar. Üçünü de adlandıran bir politika denetlenebilirdir, yalnızca VPN trafiğini adlandıran ise değildir.
Sonra kural sayısını değil sonucu ölçün. Yetkisiz denemeler düşmeli, meşru kullanıcılar desteklenen bir yolu korumalı ve bin giriş başına destek kişisi sayısı artmamalıdır. İlk sayıyı iyileştirirken diğer ikisini mahveden bir engel sorunu çözmemiş, taşımıştır.
VPN bağlantılarını kabul etmek ve kötüye kullanım kontrollerini uygulamak uyumlu hedeflerdir. İşleyen sürüm kaynak adresini birkaç girdiden biri olarak ele alır, kanıtlara uyan en dar kontrolü uygular ve yanlış sınıflandırılan kişi için dürüst bir yol bırakır. Başarısız olan sürüm adresi bir şüpheli olarak ele alır ve buna politika der.