¿La contraseña que usa para iniciar sesión en una VPN determina la fortaleza?

La "fuerza" de la VPN es doble. Quieres dos cosas:

1. Evitar que los atacantes espíen sus datos y / o modificarlos en silencio.
2. Evitar que los atacantes lo enmarquen, es decir, conectarse con éxito a la VPN bajo su nombre.

Si la VPN es buena, entonces su contraseña afecta solo al segundo tipo de fuerza, y el único vector de ataque para los atacantes es un ataque de diccionario en línea . "Ataque de diccionario" significa probar contraseñas potenciales. "En línea" significa que el atacante debe contactar al servidor VPN para cada contraseña que quiera probar.

La prevención de ataques del diccionario offline es muy importante, ya que con un ataque de diccionario fuera de línea, el atacante prueba las contraseñas en sus propias máquinas (por ejemplo, podría obtener un hash de la contraseña), y por lo tanto puede acelerar El ataque tirándole más máquinas. Con un ataque del diccionario en línea , el ataque no será más rápido de lo que el servidor VPN está dispuesto a aceptar.

Supongamos que el servidor VPN puede "probar" 1000 contraseñas por segundo; esto sería típico de una PC bastante fuerte y una VPN con SSL (conexión SSL entre el cliente y el servidor, luego el cliente muestra su contraseña dentro del túnel; allí, nuevamente, el servidor puede fallar al permitir la reutilización de la sesión SSL con mucho entusiasmo). Si el espacio de contraseñas potenciales tiene un tamaño de mil millones , entonces, en promedio, el atacante tendrá que probar la contraseña de 500 millones antes de golpear la derecha uno. A 1000 por segundo, esto le llevará aproximadamente 6 días.

Esto resalta los puntos importantes:

• La implementación del servidor VPN es importante.
• El servidor VPN puede disminuir la eficiencia de los ataques al reducir voluntariamente el número de nuevas conexiones que aceptará por segundo. Baja de 1000 a 100, y la resistencia a los ataques ha aumentado en un factor de 10.
• La longitud de la contraseña no importa directamente . Lo que importa es el tamaño del conjunto de posibles contraseñas.

Cualquiera que sea el método por el cual generas contraseñas, debes asumir que el atacante lo sabe (es malvado, después de todo). Las mejores contraseñas se generan aleatoriamente, con aleatoriedad real, es decir, su computadora, no su cabeza. Si genera una contraseña de 10 caracteres donde todos los caracteres son dígitos o letras (en minúsculas y mayúsculas), y cada carácter se elige realmente al azar e independientemente de los demás, entonces hay 62 ¹⁰ = 839299365868340224 posibles contraseñas Ese es el tamaño del conjunto. Y si usas aleatoriedad, entonces el atacante no tiene otra opción que probarlas todas; a 1000 contraseñas por segundo, el ataque lo llevará, en promedio, más de un millón de años . Me atrevo a decir que es suficiente.

Así que usa tus mejores dados, genera diez caracteres aleatorios, y eso estará bien. Si no está bien, entonces la implementación de la VPN está haciendo algo estúpido, y le recomendamos que busque una mejor VPN. Los puntos importantes para la generación de contraseñas son:

• Usa la aleatoriedad real.
• No use una contraseña "ingeniosa" que se (re) construye mentalmente (p. ej., tomando la primera letra de cada verso en un soneto de Shakespeare, el atacante también conoce a Shakespeare).
• Genere una contraseña y acepte . Recordar una contraseña, cualquier contraseña, es fácil si la escribe todos los días. No genere muchas contraseñas hasta que encuentre una que "se vea bien" porque solo disminuirá su seguridad.
• Calcular el tamaño del conjunto de contraseñas posibles; ese es el único punto donde importa la longitud de la contraseña . El mejor punto de la aleatoriedad real es que hace posibles las contraseñas uniformemente : esto le permite calcular el tiempo promedio de ataque, como hice anteriormente.
• Lo ideal es publicar la técnica de generación de contraseña. Derrotar al atacante es bueno; desanimarlo para que ni siquiera lo intente es mejor.

Hay muchos tipos diferentes de tecnología VPN, por lo que la respuesta no es estática. A menudo, las contraseñas están encriptadas o utilizan otra tecnología de fortalecimiento de claves para que las contraseñas cortas no creen conexiones inseguras (excepto, por supuesto, por el hecho de que las contraseñas cortas son más fáciles de adivinar).

Una contraseña de 10 caracteres es un espacio de clave de 57 bits si utiliza un caso mixto, 47 bits si utiliza un solo caso. Eso no es lo suficientemente bueno para la tecnología de hoy.

Deberías usar algo como:

Todo en minúscula : de al menos 16 a 18 letras
Estuche mixto : al menos 13 caracteres
Estuche y símbolos mixtos : Al menos 12 caracteres

Intente dirigirse a enlace y elimine las contraseñas de muestra para tener una idea de lo que es bueno y lo que no es tan bueno. Para la mayoría de las personas, esta es una experiencia reveladora.