Vì sao một lối ra VPN dùng chung gây ra cảnh báo đăng nhập mà bạn không gây ra
Chặn đăng nhập thường là điểm số rủi ro, không phải phán quyết về đường hầm của bạn. Lối ra dùng chung thay đổi ai khác nằm trong điểm số đó và họ phải trả giá gì.
Mở một trang quen thuộc qua VPN và gặp thêm một thử thách, và lời giải thích hấp dẫn là đường hầm đã bị phát hiện. Có thứ gì đó bị phát hiện, nhưng không phải bạn. Trang đã chấm điểm một tập hợp tín hiệu, một trong số đó là địa chỉ nguồn, và địa chỉ đó được chia sẻ với những người lạ có thể đã tạo ra các lần đăng nhập thất bại một phút trước. Đọc quyết định này như một phán quyết về kết nối của bạn là hiểu sai mục đích của điểm số.
Địa chỉ nguồn có thể và không thể giải quyết điều gì
Một địa chỉ IP mô tả đường đi qua mạng tại một thời điểm. Nó không nhận diện một người, một thiết bị hay thậm chí một tài khoản, và với NAT cấp nhà mạng hoặc một nhóm VPN đông đúc, nó có thể đại diện cho hàng nghìn phiên không liên quan cùng lúc. Một trang coi địa chỉ là danh tính thực ra coi đó là uy tín, một phát biểu thống kê chứ không phải sự thật.
Hai người có thể dùng chung một lối ra và tạo ra bằng chứng trái ngược: một người đăng nhập thành công bằng yếu tố thứ hai, người kia thử bốn mươi mật khẩu. Địa chỉ giống hệt nhau, nên không quy tắc nào chỉ dựa trên địa chỉ có thể phân biệt họ, và bất kỳ phản ứng nào được kích hoạt đều áp dụng cho cả hai.
Đó không phải là lập luận để bỏ qua địa chỉ. Đó là lập luận để nhớ tín hiệu đo cái gì, vì phần lớn hành vi đáng ngạc nhiên quanh đăng nhập VPN đến từ việc áp dụng kiểm soát ở mức độ chi tiết sai, chứ không phải từ quan sát sai.
Vì sao chặn lối ra lại trừng phạt người lạ
Chặn ở cấp địa chỉ rẻ để triển khai và đắt để nhắm đúng. Bán kính tác động là mọi phiên phía sau địa chỉ đó, và đó là lý do hành vi của địa chỉ dùng chung và NAT có lịch sử riêng trong tài liệu vận hành: lập luận tương tự xuất hiện trong công trình của IETF về địa chỉ nguồn dùng chung và tác dụng phụ của việc lọc dựa trên địa chỉ.
| Signal | What it provides evidence about | What it cannot settle |
|---|---|---|
| Source address and its reputation | The network path, and how that path behaved recently for others | Which account or person is behind the request |
| Authenticator result | Whether the account claim was proved at the required strength | Whether the account's owner initiated it |
| Request timing and volume | Whether the pattern looks automated or burst-like | Whether the intent was malicious or a shared client |
| Application event history | What this account has done while signed in | Anything about requests that never authenticated |
Hãy xem xét hai thất bại mà một lệnh chặn tạo ra. Một khách hàng hợp pháp phía sau cùng lối ra bị từ chối dịch vụ và mở một phiếu hỗ trợ tốn kém hơn cả hành vi lạm dụng. Một kẻ tấn công thực sự chuyển sang lối ra tiếp theo trong một nhóm hàng nghìn và tiếp tục, chỉ tốn một lần kết nối lại.
Tương xứng là bước còn thiếu. Đăng nhập thất bại lặp lại, một đợt yêu cầu tự động và một vi phạm quyền đã xác thực là ba sự kiện khác nhau, và chỉ sự kiện thứ hai có khả năng là vấn đề mang hình dạng địa chỉ. Áp dụng cùng một lệnh cấm mạng toàn trang cho cả ba là cách một kiểm soát bảo mật trở thành hàng đợi hỗ trợ.
Đặt quyết định ở nơi có bằng chứng
Kiểm soát ở cấp tài khoản đi theo tài khoản qua các địa chỉ, điều này khớp với thực thể mà bạn thực sự quan tâm. Giới hạn tốc độ, thời gian chờ sau các lần thất bại lặp lại và xác thực từng bước cho các hành động nhạy cảm đều tác động lên tài khoản hoặc hành động chứ không phải đường mạng. Điều đó phù hợp hơn với thực thể mà bạn thực sự bảo vệ. Nó cũng loại bỏ động cơ của kẻ tấn công trong việc tìm địa chỉ lối ra mới.
Hướng dẫn xác thực của NIST coi những thứ này là đầu vào của một đánh giá rủi ro và liệt kê địa chỉ, vị trí địa lý và thời điểm yêu cầu trong số các tín hiệu, đây chính xác là khuôn khổ đáng mượn: một tín hiệu thông báo cho quyết định, nó không thay thế một bộ xác thực. Hãy đọc danh sách đó như đầu vào, không phải như thực đơn những thứ cần cấm. Bộ xác thực vẫn thực hiện việc chứng minh, và các tín hiệu khác chỉ quyết định bao nhiêu ma sát đặt quanh nó.
Hai ràng buộc thiết kế ngăn cách tiếp cận cấp tài khoản trở thành sự cố của chính nó. Giới hạn tốc độ cần một lộ trình xem xét an toàn để người dùng có thể báo cáo phân loại sai mà không công bố thông tin đăng nhập, và các thử thách từng bước không được có thể trả lời bằng mật khẩu hoặc mã dùng một lần trao cho một liên hệ hỗ trợ chưa xác minh.
Một chính sách công bằng trông như thế nào từ bên ngoài
Ghi ra mỗi kiểm soát hỗ trợ quyết định nào, rồi kiểm tra xem mức độ chi tiết của kiểm soát có khớp không. Kiểm soát địa chỉ trả lời các câu hỏi về lưu lượng từ một mạng; kiểm soát tài khoản trả lời các câu hỏi về một tài khoản; sự kiện ứng dụng trả lời các câu hỏi về hành vi sau xác thực. Một chính sách nêu cả ba là có thể kiểm toán, còn một chính sách chỉ nêu lưu lượng VPN thì không.
Sau đó đo kết quả thay vì số lượng quy tắc. Các nỗ lực trái phép nên giảm, người dùng hợp pháp nên giữ được một lộ trình được hỗ trợ, và số liên hệ hỗ trợ trên mỗi nghìn lần đăng nhập không nên tăng. Một lệnh chặn cải thiện con số đầu tiên trong khi phá hủy hai con số còn lại đã di chuyển vấn đề, không giải quyết nó.
Chấp nhận kết nối VPN và thực thi kiểm soát lạm dụng là những mục tiêu tương thích. Phiên bản hoạt động coi địa chỉ nguồn là một đầu vào trong số nhiều, áp dụng kiểm soát hẹp nhất phù hợp với bằng chứng và để lại một lộ trình trung thực cho người bị phân loại sai. Phiên bản thất bại coi một địa chỉ là nghi phạm và gọi đó là chính sách.