Accesso al pannello: una password da sola non è una difesa

Si mette una password sul pannello e si crede che la faccenda finisca lì. Ma una password è una sola linea di difesa, e la sua forza non è verificabile: si può soltanto presumere.

Tre cose cambiano davvero l’esito.

Uno: un limite ai tentativi

La forza di una password conta solo se indovinarla è costoso. Con tentativi illimitati ogni password diventa una questione di tempo; l’unica differenza è quanto ci vuole.

Un limite ai tentativi non rende la password più forte. Rende costoso indovinarla. Sono due cose diverse, e la seconda è nelle tue mani.

Due: dove sta la sessione

Dopo l’accesso a portarti non è la password ma la sessione. La vera domanda è quindi: dove sta quella sessione e chi può arrivarci?

La sessione deve stare nel browser in un punto che gli script non possono leggere, ed essere marcata in modo che una pagina di un altro sito non possa inviare richieste a tuo nome. Altrimenti una scheda lasciata aperta può agire con la tua autorità.

Tre: un secondo passo

È l’unica misura che non lascia sopravvivere una password trapelata. Una password può essere rubata, indovinata o arrivare da una fuga su un altro sito. Un secondo passo non impedisce nulla di tutto ciò, fa solo in modo che da sola non basti.

Attivalo per gli account che possono cambiare le cose. Per quelli che solo guardano è una preferenza.

L’assunto che costa di più: "sono sulla rete locale"

Questa frase è, sul lato sicurezza, la più ripetuta e la più sbagliata.

Conta che cosa c’è sulla tua rete locale: la connessione senza fili data agli ospiti, un dispositivo intelligente non aggiornato da anni, il computer dei bambini, e ogni macchina virtuale che fai girare sul tuo stesso server.

L’ultima è la più trascurata. Quando fai girare in una macchina virtuale un software scaricato da internet, quella macchina è sulla tua rete locale e può raggiungere la pagina di accesso del pannello.

Quindi "non l’ho esposto" non vuol dire "nessuno può provarci". Vuol dire soltanto "non tutti su internet possono provarci". La differenza sta in chi è abbastanza vicino da provarci.

Che cosa fare, in ordine

Non esporre il pannello direttamente a internet. Se ti serve accesso remoto, metti uno strato in mezzo.

Assicurati che ci sia un limite ai tentativi. Senza, indovinare password dalla rete locale è gratis.

Metti un secondo passo sugli account che possono cambiare le cose.

Smetti di fare il lavoro quotidiano con l’account più potente. Ha un suo articolo in questa wiki e vale come continuazione di questo: anche se l’accesso è protetto, quanto possa cambiare chi entra è una domanda a parte.

Che cosa fa Atlas

La porta di accesso di Atlas ha un contatore di tentativi, tenuto per indirizzo di origine. Se ci sono dieci tentativi sbagliati in una finestra di cinque minuti, quell’indirizzo viene bloccato per quindici minuti.

Il perché esiste è scritto nel commento del codice stesso ed è esattamente il tema di questo articolo: Proxmox ha già il suo ritardo, ma va fermato anche alla porta dell’agente, altrimenti indovinare password dalla rete locale è gratis.

Sul lato sessione si usano due marcature insieme. L’identificativo di sessione è tenuto nel browser in una forma che gli script non possono leggere, ed è marcato per non essere inviato insieme alle richieste che arrivano da un altro sito. Una pagina in un’altra scheda lasciata aperta non può quindi far usare al tuo browser la tua sessione.

Un limite onesto: niente di tutto ciò rende più forte la tua password. Rende costoso indovinarla e toglie la sessione dalla categoria del rubabile. La password resta una tua scelta, e così pure attivare il secondo passo.