Aanmelden bij het paneel: een wachtwoord alleen is geen verdediging

Er wordt een wachtwoord op het paneel gezet en men gelooft dat de zaak daarmee klaar is. Maar een wachtwoord is één enkele verdedigingslinie, en de sterkte ervan is niet te controleren: die kan alleen worden aangenomen.

Drie dingen veranderen de uitkomst werkelijk.

Eén: een pogingsgrens

De sterkte van een wachtwoord betekent alleen iets als raden duur is. Met onbeperkte pogingen wordt elk wachtwoord een kwestie van tijd; het enige verschil is hoe lang het duurt.

Een pogingsgrens maakt het wachtwoord niet sterker. Ze maakt raden duur. Dat zijn twee verschillende dingen, en het tweede ligt in jouw hand.

Twee: waar de sessie leeft

Na het aanmelden draagt niet het wachtwoord je maar de sessie. De echte vraag is dus: waar leeft die sessie en wie kan erbij?

De sessie hoort in de browser op een plek te staan die scripts niet kunnen lezen, en zo gemarkeerd te zijn dat een pagina op een andere site geen verzoeken namens jou kan sturen. Anders kan een tabblad dat je open liet met jouw bevoegdheid handelen.

Drie: een tweede stap

Dit is de enige maatregel die een uitgelekt wachtwoord niet laat overleven. Een wachtwoord kan gestolen of geraden worden, of komen uit een lek op een andere site. Een tweede stap voorkomt dat allemaal niet, ze zorgt er alleen voor dat het op zichzelf niet genoeg is.

Zet hem aan voor accounts die dingen kunnen wijzigen. Voor accounts die alleen kijken is het een kwestie van voorkeur.

De aanname die het meest kost: "ik zit op het lokale netwerk"

Deze zin is aan de beveiligingskant de meest herhaalde en de meest onjuiste.

Tel op wat er op je lokale netwerk zit: de draadloze verbinding die je je gasten gaf, een slim apparaat dat al jaren niet is bijgewerkt, de computer van de kinderen, en elke virtuele machine die je op je eigen server draait.

Die laatste wordt het vaakst over het hoofd gezien. Draai je in een virtuele machine software die je van internet hebt gehaald, dan zit die machine op je lokale netwerk en kan hij de aanmeldpagina van het paneel bereiken.

"Ik heb het niet naar buiten opengezet" betekent dus niet "niemand kan het proberen". Het betekent alleen "niet iedereen op internet kan het proberen". Het verschil zit in wie dichtbij genoeg is om het te proberen.

Wat te doen, op volgorde

Zet het paneel niet rechtstreeks op internet open. Heb je toegang op afstand nodig, leg er dan een laag tussen.

Zorg dat er een pogingsgrens is. Zonder die grens is wachtwoorden raden vanaf het lokale netwerk gratis.

Zet een tweede stap op accounts die kunnen wijzigen.

Stop met het dagelijkse werk met het machtigste account. Daar bestaat een eigen artikel over in deze wiki en het geldt als vervolg op dit: zelfs met een beschermde aanmelding is hoeveel de aangemelde persoon kan wijzigen een aparte vraag.

Wat Atlas doet

De aanmeldpoort van Atlas heeft een pogingsteller, en die teller wordt per bronadres bijgehouden. Zijn er tien foute pogingen binnen een venster van vijf minuten, dan wordt dat adres vijftien minuten geblokkeerd.

Waarom dat bestaat staat in het commentaar van de code zelf en is precies het onderwerp van dit artikel: Proxmox heeft al zijn eigen vertraging, maar het moet ook bij de poort van de agent gestopt worden, anders is wachtwoorden raden vanaf het lokale netwerk gratis.

Aan de sessiekant worden twee markeringen samen gebruikt. De sessie-aanduiding wordt in de browser bewaard in een vorm die scripts niet kunnen lezen, en is gemarkeerd zodat ze niet wordt meegestuurd met verzoeken die van een andere site komen. Een pagina in een ander openstaand tabblad kan je browser dus niet jouw sessie laten gebruiken.

Een eerlijke grens: niets hiervan maakt je wachtwoord sterker. Het maakt raden duur en haalt de sessie uit de categorie van het steelbare. Het wachtwoord zelf blijft jouw keuze, en of je de tweede stap aanzet ook.