Публічний пароль VPN: чому він не має бути паролем вашої пошти

Публічні каталоги VPN перелічують сервер, ім'я користувача й пароль, які мають і тисячі інших людей, і спокуса — ввести щось запам'ятовуване. Саме цей інстинкт і є проблемою: значення не є особистою таємницею, і все, для чого ви використовуєте його повторно, теж стає публічним. Ставтеся до опублікованого логіна як до спільного ключа від публічного сервісу, а до кожного облікового запису, який вас ідентифікує, — як до цілком іншої категорії. Цей поділ легко підтримувати до того дня, коли він стане важливим.

Що насправді є обліковими даними

Логін, опублікований у публічному каталозі VPN, — це домовленість про доступ між оператором і будь-ким, хто прочитає сторінку. Він може ідентифікувати спільний службовий обліковий запис, а не людину, і оператор може спостерігати за з'єднанням на шлюзі.

Останній пункт вартий особливого наголосу: той, хто завершує тунель, бачить трафік, що входить і виходить, і тримає пароль, який його відкрив. Повторне використання значення для поштового облікового запису повідомляє оператору дещо про запис, який він ніколи не мав би змоги вгадати. Спільний пароль не є таємницею в жодному значущому сенсі, бо його тримають багато людей. Категорії різні: публічна таємниця доступу, пароль приватного облікового запису, клієнтський сертифікат і ключ партнера, кожна відповідає на інше питання.

Повторне використання — відоме значення, а не слабке

Поради щодо надійності паролів зазвичай зосереджуються на довжині та унікальності, а унікальність — саме те, що знищує повторне використання. Довгий пароль, використаний у двох місцях, стає відомим значенням в обох, щойно одне з них просочується.

Підстановка облікових даних залежить від цього збігу, а публічні каталоги роблять першу половину пари безкоштовною для будь-кого. Генерація окремого значення для кожного сервісу прибирає цей важіль, не вимагаючи нічого більш запам'ятовуваного. Довжина ніколи не компенсує значення, яке вже надруковане на публічній сторінці.

Якщо пароль уже використовувався повторно

Змініть не пов'язаний обліковий запис через його підтверджений процес відновлення, потім перегляньте його активні сеанси та налаштування відновлення, бо скидання, яке залишає старий сеанс живим, не завершило роботу. Не надсилайте пароль до підтримки VPN, щоб продемонструвати помилку. Там, де доступна багатофакторна автентифікація, увімкніть її, оскільки вона переживає витік пароля.

Змінюйте облікові дані VPN через будь-який процес, який документує оператор, і зауважте, що це окрема дія від зміни власного облікового запису. Тримайте обидві зміни в одній заявці, щоб ніхто не припустив, що одна охопила іншу.

Якщо замість пароля розкрито закритий клієнтський ключ, засіб — відкликання. Зміна пароля пошти не видаляє скопійований ключ.

Перевірте тип облікових даних перед зміною

Визначте, що насправді очікує поле, перш ніж щось генерувати. Код кімнати порталу, ключ партнера й пароль не взаємозамінні, а зміна не того залишає розкриття на місці.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Зберігайте згенеровані значення в менеджері паролів, а не в нотатці, щоб окремі записи залишалися придатними. Потім переконайтеся, що нове значення працює, перш ніж відкинути старе, і тримайте обидві події в одній заявці.

Завершіть очищенням збережених облікових даних на будь-якій спільній інсталяції, яка використовувала старий логін. Облікові дані, видалені з сервера, усе ще є витоком, якщо пристрій продовжує перепідключатися з кешованою копією.