VPN parolanız yalnızca doğrulayıcısı kadar gizlidir

Herhangi bir VPN girişiyle ilgili dört soruyu ele alın: parolayı aktarım sırasında ne korur, onu hangi bileşen alır, o bileşen onunla ne yapar ve ardından ne saklanır. Her yanıt farklı bir kontroldir ve birine verilen güçlü yanıt diğerleri hakkında hiçbir şey söylemez. Hata, tünel şifrelemesini dördünü de kapsıyormuş gibi ele almaktır. Yalnızca birincisini kapsar, sadece birincisini.

Oturumun şifrelenip şifrelenmediğini değil, oturumu kimin sonlandırdığını sorun.

Tam olarak kime şifrelenmiş?

TLS parolayı istemci ile bağlantıyı sonlandıran arasında korur. Bu uç nokta VPN ağ geçidiyse, ağ geçidinin kimlik doğrulama kodu parolayı düz metin olarak görür, doğrular ve onu ya da ondan türetilmiş bir değeri ileri iletir. Bu amaçlanan tasarımdır, sızıntı değildir. Yoldaki bir ağ gözlemcisi yararlı hiçbir şey öğrenmez ve doğrulamayı yapan bileşen ihtiyaç duyduğu her şeyi öğrenir.

OpenVPN topluluğu bunu açıkça belgeler: auth-user-pass-verify gönderilen kimlik bilgilerini bir doğrulama betiğine veya eklentisine teslim eder. Bu, bileşenler arasında kasıtlı bir devirdir ve adlandırılmış bir taraf olarak güven modeline aittir.

Doğrulayıcı parolayı görür

Bir bileşen doğrulamak için parola aldığında, sırrın içeride kalıp kalmayacağına o bileşenin erişim kontrolleri, günlüklemesi ve kod kalitesi karar verir. Kimlik bilgilerini günlüğe yazan bir betik veya bunları önbelleğe alan bir eklenti, protokolün yarattığından çok daha büyük bir maruziyet yaratır. Erişim tünele değil mimariye ve rollere bağlıdır, bu yüzden doğrulayıcıyı kontrol eden hizmet sahibi değerlendirmeye girer.

Farklı yöntemler farklı materyal açığa çıkarır. Sertifika kimlik doğrulaması özel anahtarı göndermeden kanıtlar ve bir federasyon akışı parolayı kimlik sağlayıcıda tutarken VPN'e kapsamı sınırlı bir iddia verebilir. Bu tasarımlar çemberi daraltır; hiçbiri her güvenilen tarafı ortadan kaldırmaz.

Depolanan karmalar farklı bir aşamayı korur

NIST rehberi korunan aktarımı dayanıklı doğrulayıcı deposundan ayırır. Tuzlama ve maliyetli bir karma şeması, depolanan doğrulayıcı tehdidini ele alır; bu, bir veritabanı sızarsa sonradan olan şeydir. Karşılaştırmak için girdiyi alması gereken bir çalışma zamanı bileşeni için hiçbir şey yapmazlar. Rehberi çalışma zamanı gizliliği vaat ediyormuş gibi okumak bir kategori hatasıdır.

Bu nedenle iyi karmalanmış bir parola deposu ile açığa çıkmış bir doğrulama betiği çelişki olmadan aynı üründe bir arada bulunabilir.

Çemberi daraltan bir yöntem seçmek

Gereksinim, ağ geçidinin asla yeniden kullanılabilir bir parola almamasıysa, bunu gerçekten garanti eden bir yöntem seçin; veri şifresini değiştirmek bu özelliği yaratmaz. VPN sunucusunun sertifikasını doğrulamak hangi eşe ulaştığınızı söyler; o eşin daha sonra kimlik bilgilerini nasıl ele aldığı hakkında hiçbir şey söylemez. Sunucu doğrulamasını koruyun, her hizmet için ayrı kimlik bilgileri kullanın ve kuruluşun desteklediği kimlik akışını izleyin.

Parolayı alan tarafı, onu doğrulayan tarafı ve hangi biçimde tutulduğunu kaydedin. Bu üç yanıt bağlantı profilinin yanına aittir, çünkü herhangi bir belirli tünelden daha uzun yaşarlar.

Yararlı soru parolanın şifrelenip şifrelenmediği değil, kimden saklandığı, hangi bileşenin onu aldığı ve sonrasında hangi biçimin kaldığıdır.