Як швидко хтось може вгадати ваш пароль від VPN?

Затримка відповідає на питання, яке ніхто не ставив. Три умови визначають, що насправді означає оцінка вгадування: чи перевіряється здогад працюючим сервісом або проти перехопленого матеріалу, який метод автентифікації створив цей матеріал і які контролі застосовує сервіс. ping вимірює один круговий обхід на одному шляху й не відповідає на жодне з них. Ділення секунди на це число дає величину точну, не пов'язану ні з чим і часто повторювану так, ніби це властивість безпеки.

Затримка належить до роботи зі зв'язністю. Стійкість автентифікації — властивість перевіряча та протоколу.

Один круговий обхід — не обмеження швидкості

Час кругового обходу описує, скільки тривають один запит і його відповідь на конкретному шляху. Навіть за онлайн-спроб пропускна здатність залежить від того, скільки запитів клієнт тримає відкритими, скільки часу сервер витрачає на одну спробу і які обмеження швидкості діють. Це не залежить від ping. З'єднання Ethernet не встановлює правила, що на один обхід може бути лише одна спроба, а швидкий ping не доводить, що перевіряч прийме здогади з такою швидкістю.

Якщо сервіс блокує обліковий запис після п'яти невдач, практична швидкість — п'ять спроб на вікно блокування незалежно від мережі. Це контроль, і саме це число варто наводити.

Де здогад насправді перевіряється

В онлайн-режимі заявник подає кожного кандидата справжньому сервісу, який може спостерігати, затримувати, блокувати й попереджати. В офлайн-режимі зловмисник із належним матеріалом для перевірки перевіряє кандидатів локально без участі сервісу. Ця різниця визначає майже все в арифметиці. Настанови NIST щодо паролів розглядають ці загрози окремо, вимагаючи обмеження швидкості невдалих онлайн-спроб і зберігання, стійкого до офлайн-атаки завдяки хешуванню з сіллю та коефіцієнту вартості. І те, і те — властивості перевіряча та рівня зберігання, без залежності від того, наскільки швидко відповідає канал користувача.

Чи дає перехоплення пакетів корисний матеріал, залежить від протоколу та методу автентифікації. Володіння перехопленням, сертифікатом або зашифрованим тунелем саме по собі ні на що не відповідає, як і вік збирання клієнта.

Чому арифметика часу зламу вводить в оману

Кількість можливих рядків хороша лише настільки, наскільки правильні її припущення. Паролі, вибрані людьми, розподілені нерівномірно в просторі, який описує формула, а повторно використані облікові дані можуть уже бути в списку. Вартість перевірки теж важлива: онлайн-сервіс із застосованими контролями цілком відрізняється від украденого перевіряча, який тестують локально. Розрахунок, що тихо переходить між цими випадками, не може обґрунтувати твердження про роки до зламу.

Тримайте дефекти протоколу в окремому стовпці. Довший пароль не виправляє слабку конструкцію автентифікації, а один застарілий метод не доводить, що кожен проєкт на основі пароля поділяє його слабкості. Це окремі висновки з окремими виправленнями.

Вимагайте доказів від перевіряча, а не затримки

Для оцінки шлюзу визначте метод автентифікації, у кого перебуває перевіряч, які контролі спроб існують і чи справді другий фактор незалежний. Діалог із двома полями пароля не встановлює два фактори. Для збережених облікових даних з'ясуйте, який матеріал існує, хто може його читати і який захист реалізація справді застосовує. Гіпотетична цифра швидкості хешування не є доказом щодо неідентифікованої системи зберігання.

Врахуйте й експозицію поза межами вгадування. Украдений профіль, скомпрометована кінцева точка або фішинговий потік створюють іншу проблему, ніж зловмисник, що перебирає паролі, а довжина пароля нічого не робить проти повноважень, уже наданих активній сесії.

Запишіть метод, контроль і захист зберігання. Ці три відповідають на питання, яке ping ніколи не вимірював.