VPN teenoor wagwoordbestuurder: wat keer die diefstal van aanmeldingsbewyse

’n VPN en ’n wagwoordbestuurder kom albei ter sprake wanneer mense oor rekeningveiligheid praat, maar hulle beskerm verskillende dinge. Die tonnel dra die versoek en verberg die pad; die bestuurder besluit watter aanmeldingsbewys aangebied word, hou dit in rus versleutel en onthou dit vir jou. Nie een vervang die ander nie, en die foutmodusse oorvleuel skaars. Om hulle stap vir stap te vergelyk wys watter beheer om te gebruik wanneer iets verkeerd loop.

Twee take binne een aanmelding

Wanneer jy aanmeld, beantwoord die VPN ’n vervoervraag: watter pad neem hierdie pakkette, en wat sien die ander kant. Die wagwoordbestuurder beantwoord ’n aanmeldingsvraag: watter geheim hoort by hierdie webwerf, waar word dit gestoor, en wat beskerm dit in die kluis. Die eerste is ’n netwerkeienskap, die tweede is ’n stoor- en pas-eienskap.

Daarom doen ’n tonnel wat perfek werk niks aan die hergebruik van wagwoorde nie. Dit kan nie ’n unieke geheim skep nie, nie agterkom dat twee rekeninge een deel nie, en jou nie keer om die verkeerde inskrywing in ’n oortuigende namaaksel van ’n aanmeldbladsy te plak nie. Dit is take vir die bestuurder en vir die opstel van die rekening.

Die omgekeerde is ook waar. ’n Kluis vol sterk, unieke wagwoorde doen niks aan ’n vyandige netwerk wat ’n onversleutelde sessie lees nie, en niks aan ’n diens wat verbindings uit jou streek weier nie. Twee gereedskapstukke, twee stelle foute, en ’n verslag wat die verkeerde een blameer mors almal se tyd.

Wat die tonnel kan beskerm en wat nie

Die tonnel beskerm verkeer in transito tussen die kliënt en die VPN-hek, en tussen die hek en die bestemming, afhangend van die ontwerp. Daardie omvang is smaller as wat die meeste mense aanneem wanneer hulle een koop. Dit beskerm nie wat gebeur nadat die aanmeldingsbewys aankom nie, en dit beskerm nie ’n sessie wat deur ’n roete vertrek wat die tonnel nooit gedra het nie.

Fishing is die duidelikste geval. ’n Versleutelde pad na ’n misleidende webwerf lewer die wagwoord steeds by die verkeerde ontvanger af, en die tonnel het sy werk perfek gedoen terwyl die rekening verlore is. Kwaadwillige sagteware op die toestel is die tweede geval: sagteware met genoeg toegang tot die blaaier kan aanmeldingsbewyse lees terwyl hulle gebruik word, maak nie saak watter syfer die draad beskerm nie.

Om die uitgangsadres te verander het ’n newe-effek wat die beplanning werd is. ’n Diens kan ekstra verifikasie vra wanneer ’n aanmelding van ’n nuwe netwerk kom, wat ’n wettige reaksie is en nie ’n fout in een van die gereedskapstukke nie. Onderskei ’n versoek wat jy self veroorsaak het van ’n onverwante versoek om ’n kode.

Hoe ’n bestuurder besluit watter wagwoord om aan te bied

Bestuurders koppel ’n gestoorde aanmelding aan webwerfadresse en pas passingreëls toe. Daardie reëls is die veiligheidsrelevante deel, en hulle is verstelbaar. ’n Presiese gasheer-passing is die strengste; ’n basisdomein- of begin-met-reël is geriefliker en dek meer subdomeine, insluitend dié wat jy nie bedoel het nie.

Wanneer die verwagte aanmelding op ’n onbekende bladsy ontbreek, lees die adres voordat jy die wagwoord met die hand kopieer. ’n Wanpassing kan ’n onskuldige verklaring hê, soos ’n ander subdomein ná ’n herontwerp, en dit kan ook die eerste teken wees dat die bladsy nie is wat dit voorgee nie. Handmatige kopiëring is juis die stap wat die bestuurder moes voorkom.

Suksesvolle outomatiese invulling is ook nie ’n waarborg nie. Die passingreël, die blaaier en die toestelomgewing besluit almal wat gebeur, so ’n ingevulde veld bewys dat die reël gepas het, nie dat die webwerf eg is nie.

Kluisveiligheid, herstel en uitvoer

Kluisbeskerming hoort by die bestuurder. Produkte verskil in hoe hulle die sleutel aflei, die kluis versleutel, dit sinchroniseer en toegang herstel, en die verskaffer se eie dokumentasie is die enigste betroubare beskrywing vir die weergawe wat jy gebruik. Bitwarden dokumenteer byvoorbeeld kliëntkant-versleuteling as deel van sy argitektuur, wat beteken die bediener stoor syferteks eerder as die geheime self.

Verstaan herstel voor ’n noodgeval. ’n Vergeet magtigingswagwoord sonder ’n herstelmetode is ’n permanente verlies, en ’n herstelmetode wat te maklik is, is ’n tweede manier in. Besluit watter ruil jy gemaak het en skryf dit neer.

Uitvoere is die deel wat mense vergeet. ’n Gewone-teks-uitvoer in ’n aflaaigids is ’n kopie van elke aanmeldingsbewys, en om aan ’n VPN gekoppel te wees beskerm dit glad nie. As ’n uitvoer werklik nodig is, versleutel dit en bewys die argief oopmaak voordat jy die gewone teks verwyder.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Hou die bestuurder, die blaaier en die bedryfstelsel ondersteun. ’n Verouderde kliënt met toegang tot die toestel is ’n groter risiko vir gestoorde aanmeldingsbewyse as wat ’n onversleutelde Wi-Fi-netwerk vir ’n behoorlik geauthentiseerde sessie is.

Waar die twee werklik ontmoet

Hulle ontmoet by die aanmeldvorm en nêrens anders nie. Alles voor dit hoort by die netwerk, alles ná dit hoort by die diens. Die bestuurder lewer ’n geheim, die netwerk dra dit, en die diens besluit of dit aanvaar word. Unieke aanmeldingsbewyse, gepaste bykomende verifikasie en ’n herstelplan bly nuttig met of sonder ’n tonnel, en ’n tonnel bly nuttig vir die netwerkeienskap wat jy werklik nodig het.

Kies elke beheer vir die probleem wat dit werklik oplos, en hou op om te verwag dat een die ander kan dek. ’n Tonnel is nie ’n kluis nie, en ’n kluis is nie ’n roete nie.