Ai đó có thể đoán mật khẩu VPN của bạn nhanh đến mức nào?

Độ trễ trả lời một câu hỏi mà không ai hỏi. Ba điều kiện quyết định ước lượng đoán thực sự có nghĩa gì: phỏng đoán được kiểm tra bởi một dịch vụ đang chạy hay dựa trên vật liệu bị chặn thu, phương thức xác thực nào tạo ra vật liệu đó, và dịch vụ thực thi những kiểm soát nào. ping đo một lượt đi và về trên một đường và không trả lời điều nào trong số đó. Chia một giây cho con số đó tạo ra một con số chính xác, không liên quan và thường được lặp lại như thể đó là một thuộc tính bảo mật.

Độ trễ thuộc về công việc kết nối. Sức mạnh xác thực là thuộc tính của bộ xác minh và giao thức.

Một lượt đi và về không phải là giới hạn tốc độ

Thời gian đi và về mô tả một yêu cầu và phản hồi của nó mất bao lâu trên một đường cụ thể. Ngay cả với các lần thử trực tuyến, thông lượng phụ thuộc vào số yêu cầu mà máy khách giữ mở, thời gian máy chủ dành cho mỗi lần thử và những giới hạn tốc độ được áp dụng. Những điều đó độc lập với ping. Một liên kết Ethernet không áp đặt quy tắc rằng chỉ có một lần thử cho mỗi lượt, và một ping nhanh không chứng minh bộ xác minh sẽ chấp nhận phỏng đoán ở tốc độ đó.

Nếu dịch vụ khóa tài khoản sau năm lần thất bại, tốc độ thực tế là năm lần thử mỗi cửa sổ khóa, bất kể mạng. Đó là một kiểm soát, và đó là con số đáng để trích dẫn.

Nơi phỏng đoán thực sự được kiểm tra

Trực tuyến, người yêu cầu gửi từng ứng viên đến dịch vụ thật, dịch vụ này có thể quan sát, trì hoãn, khóa và cảnh báo. Ngoại tuyến, kẻ tấn công có vật liệu xác minh phù hợp sẽ kiểm tra ứng viên cục bộ mà không có sự tham gia của dịch vụ. Sự khác biệt đó quyết định gần như mọi thứ trong số học. Hướng dẫn về mật khẩu của NIST xử lý các mối đe dọa này riêng rẽ, yêu cầu giới hạn tốc độ của các lần thử trực tuyến thất bại và lưu trữ chống lại tấn công ngoại tuyến nhờ băm có muối và hệ số chi phí. Cả hai đều là thuộc tính của bộ xác minh và lớp lưu trữ, không phụ thuộc vào việc đường truyền của người dùng trả lời nhanh đến đâu.

Việc chặn bắt gói có cung cấp vật liệu hữu ích hay không phụ thuộc vào giao thức và phương thức xác thực. Sở hữu một bản chặn bắt, chứng chỉ hoặc đường hầm mã hóa tự nó không trả lời điều gì, và tuổi của bản dựng máy khách cũng vậy.

Vì sao số học thời gian bẻ khóa gây nhầm lẫn

Số lượng chuỗi khả dĩ chỉ tốt bằng các giả định của nó. Mật khẩu do con người chọn không phân bố đều trên không gian mà một công thức mô tả, và thông tin đăng nhập được dùng lại có thể đã nằm trong một danh sách. Chi phí kiểm tra cũng quan trọng: một dịch vụ trực tuyến với các kiểm soát được thực thi hoàn toàn khác với một bộ xác minh bị đánh cắp được thử cục bộ. Một phép tính lặng lẽ di chuyển giữa các trường hợp đó không thể chống đỡ cho tuyên bố nhiều năm mới bẻ khóa.

Giữ các khiếm khuyết giao thức trong cột riêng của chúng. Mật khẩu dài hơn không sửa được một cấu trúc xác thực yếu, và một phương thức lỗi thời không chứng minh mọi thiết kế dựa trên mật khẩu đều chia sẻ điểm yếu của nó. Đó là những phát hiện riêng với cách sửa riêng.

Hãy yêu cầu bằng chứng từ bộ xác minh, không phải độ trễ

Để đánh giá một cổng, hãy xác định phương thức xác thực, ai giữ bộ xác minh, có những kiểm soát lần thử nào và yếu tố thứ hai có thực sự độc lập không. Một hộp thoại có hai ô mật khẩu không thiết lập hai yếu tố. Với thông tin đăng nhập được lưu trữ, hãy xác định vật liệu nào tồn tại, ai có thể đọc nó và biện pháp bảo vệ nào mà bản triển khai thực sự áp dụng. Một con số giả định về tốc độ băm không phải là bằng chứng về một hệ thống lưu trữ chưa được nhận diện.

Cũng hãy xem xét phơi nhiễm ngoài phỏng đoán. Một hồ sơ bị đánh cắp, một điểm cuối bị xâm phạm hoặc một luồng lừa đảo đặt ra vấn đề khác với kẻ tấn công đang liệt kê mật khẩu, và độ dài mật khẩu không làm gì với thẩm quyền đã cấp cho một phiên đang hoạt động.

Ghi lại phương thức, kiểm soát và biện pháp bảo vệ lưu trữ. Ba điều đó trả lời câu hỏi mà ping chưa bao giờ đo.