Innlogging til panelet: et passord alene er ikke et forsvar

Man setter et passord på panelet og tror saken er ferdig. Men et passord er én eneste forsvarslinje, og styrken kan ikke kontrolleres: den kan bare antas.

Tre ting endrer virkelig utfallet.

Én: en forsøksgrense

Styrken til et passord betyr noe først når gjetting er dyrt. Med ubegrensede forsøk blir hvert passord et spørsmål om tid; den eneste forskjellen er hvor lang tid det tar.

En forsøksgrense gjør ikke passordet sterkere. Den gjør gjettingen dyr. Det er to forskjellige ting, og den andre ligger i din hånd.

To: hvor økten bor

Etter innloggingen er det ikke passordet som bærer deg, men økten. Det egentlige spørsmålet er derfor: hvor bor den økten, og hvem kan nå den?

Økten bør ligge i nettleseren på et sted skript ikke kan lese, og være merket slik at en side på et annet nettsted ikke kan sende forespørsler i ditt navn. Ellers kan en fane du har latt stå åpen, handle med din myndighet.

Tre: et andre steg

Dette er det eneste tiltaket som ikke lar et lekket passord overleve. Et passord kan stjeles, gjettes eller komme fra en lekkasje på et annet nettsted. Et andre steg hindrer ingenting av dette, det sørger bare for at passordet alene ikke holder.

Slå det på for kontoer som kan endre ting. For kontoer som bare ser, er det en smakssak.

Antagelsen som koster mest: "jeg er på det lokale nettet"

Den setningen er på sikkerhetssiden den mest gjentatte og den mest feilaktige.

Tell hva som finnes på det lokale nettet ditt: den trådløse forbindelsen du ga gjestene, en smart dings som ikke er oppdatert på årevis, barnas datamaskin, og hver virtuelle maskin du kjører på din egen tjener.

Den siste overses oftest. Kjører du programvare du har lastet ned fra internett inne i en virtuell maskin, ligger den maskinen på ditt lokale nett og kan nå innloggingssiden til panelet.

"Jeg har ikke åpnet utover" betyr altså ikke "ingen kan prøve". Det betyr bare "ikke alle på internett kan prøve". Forskjellen ligger i hvem som er nær nok til å prøve.

Hva du gjør, i rekkefølge

Ikke åpne panelet direkte mot internett. Trenger du fjerntilgang, legg et lag imellom.

Sørg for at det finnes en forsøksgrense. Uten den er passordgjetting fra det lokale nettet gratis.

Sett et andre steg på kontoer som kan endre ting.

Slutt å gjøre det daglige arbeidet med den mektigste kontoen. Det har en egen artikkel i denne wikien og regnes som fortsettelsen av denne: selv med beskyttet innlogging er hvor mye den innloggede kan endre, et eget spørsmål.

Hva Atlas gjør

Innloggingsporten til Atlas har en forsøksteller, og telleren føres per kildeadresse. Blir det ti gale forsøk innenfor et vindu på fem minutter, sperres den adressen i femten minutter.

Hvorfor det finnes, står i kodens egen kommentar og er nettopp emnet for denne artikkelen: Proxmox har allerede sin egen forsinkelse, men det må stanses også ved agentens port, ellers er passordgjetting fra det lokale nettet gratis.

På øktsiden brukes to merkinger sammen. Øktbetegnelsen holdes i nettleseren i en form skript ikke kan lese, og den er merket slik at den ikke sendes med forespørsler som kommer fra et annet nettsted. En side i en annen åpen fane kan altså ikke få nettleseren din til å bruke økten din.

En ærlig grense: ingenting av dette gjør passordet ditt sterkere. Det gjør gjettingen dyr og løfter økten ut av kategorien stjelbar. Passordet selv er fortsatt ditt valg, og det samme gjelder om du slår på det andre steget.