Logowanie do panelu: samo hasło nie jest obroną

Na panel zakłada się hasło i ludzie wierzą, że na tym praca się kończy. Ale hasło to pojedyncza linia obrony, a jego siły nie da się zweryfikować: można ją tylko założyć.

Trzy rzeczy naprawdę zmieniają wynik.

Po pierwsze: limit prób

Siła hasła znaczy coś tylko wtedy, gdy zgadywanie jest kosztowne. Przy nieograniczonej liczbie prób każde hasło zamienia się w kwestię czasu; różnicą jest tylko to, jak długo to potrwa.

Limit prób nie czyni hasła silniejszym. Czyni zgadywanie kosztownym. To dwie różne rzeczy, a ta druga jest w twoich rękach.

Po drugie: gdzie mieszka sesja

Po zalogowaniu niesie cię nie hasło, tylko sesja. Prawdziwe pytanie brzmi więc: gdzie ta sesja mieszka i kto może do niej sięgnąć?

Sesja powinna siedzieć w przeglądarce w miejscu, którego skrypty nie mogą odczytać, i powinna być oznaczona tak, by strona z innej witryny nie mogła wysyłać żądań w twoim imieniu. Inaczej pozostawiona otwarta karta może działać z twoimi uprawnieniami.

Po trzecie: drugi krok

To jedyny środek, który nie pozwala przeżyć wyciekłemu hasłu. Hasło można wykraść, zgadnąć albo dostać z wycieku na zupełnie innej stronie. Drugi krok żadnej z tych rzeczy nie zapobiega, tylko sprawia, że samo hasło nie wystarcza.

Włącz go dla kont mogących coś zmieniać. Dla kont tylko patrzących to kwestia upodobania.

Założenie kosztujące najwięcej: jestem w sieci lokalnej

To zdanie jest najczęściej powtarzaną i najbardziej błędną rzeczą po stronie bezpieczeństwa.

Policz, co jest w twojej sieci lokalnej: połączenie bezprzewodowe udostępnione gościom, inteligentne urządzenie nieaktualizowane od lat, komputer dzieci i każda maszyna wirtualna, którą uruchamiasz na własnym serwerze.

Ta ostatnia jest pomijana najczęściej. Gdy uruchamiasz wewnątrz maszyny wirtualnej oprogramowanie pobrane z internetu, ta maszyna jest w twojej sieci lokalnej i może dosięgnąć strony logowania panelu.

Zdanie, że nie wystawiłem tego na zewnątrz, nie znaczy więc, że nikt nie może spróbować. Znaczy tylko, że nie może spróbować każdy w internecie. Różnicą jest to, kto jest wystarczająco blisko, żeby spróbować.

Co robić, po kolei

Nie wystawiaj panelu wprost do internetu. Jeśli potrzebujesz dostępu zdalnego, włóż pomiędzy jakąś warstwę.

Upewnij się, że jest limit prób. Bez niego zgadywanie haseł z sieci lokalnej jest darmowe.

Załóż drugi krok na konta mogące coś zmieniać.

Przestań wykonywać codzienną pracę kontem o najszerszych uprawnieniach. Ma to w tej bazie wiedzy własny wpis i liczy się jako ciąg dalszy tego: nawet jeśli logowanie jest chronione, to, ile może zmienić logujący się, jest osobnym pytaniem.

Co robi Atlas

Brama logowania Atlasa ma licznik prób, a licznik prowadzony jest per adres źródłowy. Jeśli w oknie pięciu minut padnie dziesięć błędnych prób, ten adres zostaje zablokowany na piętnaście minut.

Dlaczego to istnieje, zapisano we własnym komentarzu w kodzie i jest to dokładnie temat tego wpisu: Proxmox ma już własne opóźnienie, ale trzeba zatrzymać to także przy bramie agenta, inaczej zgadywanie haseł z sieci lokalnej jest darmowe.

Po stronie sesji używane są razem dwa oznaczenia. Identyfikator sesji trzymany jest w przeglądarce w postaci, której skrypty nie mogą odczytać, i oznaczony tak, by nie był wysyłany razem z żądaniami przychodzącymi z innej witryny. Strona w innej pozostawionej karcie nie może więc skłonić twojej przeglądarki do użycia twojej sesji.

Uczciwe ograniczenie: nic z tego nie czyni twojego hasła silniejszym. Czyni zgadywanie kosztownym i wyprowadza sesję z kategorii rzeczy możliwych do wykradzenia. Samo hasło nadal jest twoim wyborem, tak samo jak to, czy włączyć drugi krok.