Mật khẩu VPN công khai: vì sao không nên là mật khẩu email của bạn

Các hồ sơ trong thư mục VPN công khai liệt kê một máy chủ, một tên người dùng và một mật khẩu mà hàng nghìn người khác cũng có, và sự cám dỗ là gõ một thứ dễ nhớ. Chính bản năng đó là vấn đề: giá trị này không phải bí mật cá nhân, và bất cứ thứ gì bạn dùng lại nó cũng trở thành công khai. Hãy coi thông tin đăng nhập được công bố như một chìa khóa dùng chung cho dịch vụ công khai, và mỗi tài khoản nhận diện bạn như một phạm trù hoàn toàn khác. Việc tách biệt này dễ duy trì cho đến ngày nó thực sự quan trọng.

Thông tin xác thực thực sự là gì

Thông tin đăng nhập được công bố trong một thư mục VPN công khai là một thỏa thuận truy cập giữa nhà vận hành và bất kỳ ai đọc trang. Nó có thể nhận diện một tài khoản dịch vụ dùng chung thay vì một người, và nhà vận hành có thể quan sát kết nối tại cổng.

Điểm cuối cùng đáng được nhấn mạnh: ai kết thúc một đường hầm sẽ thấy lưu lượng đi vào và đi ra, và giữ mật khẩu đã mở nó. Dùng lại một giá trị cho tài khoản email cho nhà vận hành biết điều gì đó về một tài khoản mà lẽ ra họ không bao giờ có thể đoán được. Một mật khẩu dùng chung không phải là bí mật theo bất kỳ nghĩa có ý nghĩa nào, vì nhiều người giữ nó. Các phạm trù khác nhau: bí mật truy cập công khai, mật khẩu tài khoản riêng, chứng chỉ máy khách và khóa ngang hàng, mỗi thứ trả lời một câu hỏi khác.

Dùng lại là một giá trị đã biết, không phải giá trị yếu

Hướng dẫn về độ mạnh mật khẩu thường tập trung vào độ dài và tính duy nhất, và tính duy nhất chính là thứ mà việc dùng lại phá hủy. Một mật khẩu dài dùng ở hai nơi trở thành giá trị đã biết ở cả hai khi một trong hai bị rò rỉ.

Việc nhồi nhét thông tin xác thực phụ thuộc vào sự chồng lấn đó, và các thư mục công khai khiến nửa đầu của cặp trở nên miễn phí cho bất kỳ ai. Tạo một giá trị riêng cho mỗi dịch vụ loại bỏ đòn bẩy đó mà không đòi hỏi thứ gì dễ nhớ hơn. Độ dài không bao giờ bù đắp cho một giá trị đã được in trên một trang công khai.

Nếu mật khẩu đã từng bị dùng lại

Thay đổi tài khoản không liên quan thông qua quy trình khôi phục đã xác minh của nó, sau đó xem lại các phiên hoạt động và cài đặt khôi phục, vì một lần đặt lại để một phiên cũ còn sống thì chưa hoàn thành công việc. Đừng gửi mật khẩu cho bộ phận hỗ trợ VPN để chứng minh sai sót. Ở đâu có xác thực đa yếu tố, hãy bật nó, vì nó sống sót qua một mật khẩu bị rò rỉ.

Xoay thông tin xác thực VPN theo bất kỳ quy trình nào nhà vận hành ghi lại, và lưu ý rằng đây là hành động riêng biệt với việc thay đổi tài khoản của chính bạn. Giữ cả hai thay đổi trong cùng một phiếu để không ai cho rằng cái này đã bao trùm cái kia.

Nếu một khóa máy khách riêng bị lộ thay vì mật khẩu, thu hồi là biện pháp. Thay đổi mật khẩu email không xóa một khóa đã sao chép.

Kiểm tra loại thông tin xác thực trước khi xoay

Xác định trường thực sự mong đợi điều gì trước khi tạo bất cứ thứ gì. Mã phòng cổng, khóa ngang hàng và mật khẩu không thể hoán đổi, và xoay nhầm cái sẽ để mặc lộ lọt tại chỗ.

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

Lưu các giá trị đã tạo trong trình quản lý mật khẩu thay vì ghi chú, để các mục riêng biệt vẫn dùng được. Sau đó xác nhận giá trị mới hoạt động trước khi bỏ giá trị cũ, và giữ cả hai sự kiện trong cùng một phiếu.

Kết thúc bằng việc dọn sạch thông tin xác thực đã lưu trên bất kỳ bản cài đặt dùng chung nào từng dùng thông tin đăng nhập cũ. Thông tin xác thực bị xóa khỏi máy chủ vẫn là rò rỉ nếu một thiết bị tiếp tục kết nối lại bằng bản sao đã lưu trong bộ nhớ đệm.