VPN ці менеджар пароляў: што спыняе крадзеж уліковых даных

VPN і менеджар пароляў з’яўляюцца ў размовах пра бяспеку ўліковых запісаў, але абараняюць рознае. Тунель пераносіць запыт і хавае шлях; менеджар вырашае, які сакрэт прапанаваць, трымае яго зашыфраваным у стане спакою і запамінае яго за вас. Ні адзін не замяняе другі, і рэжымы адмовы амаль не перасякаюцца. Параўнанне іх па задачах паказвае, да якога сродку звяртацца, калі нешта ідзе не так.

Дзве задачы ў адным уваходзе

Калі вы ўваходзіце, VPN адказвае на пытанне транспарту: які шлях бяруць гэтыя пакеты і што бачыць далёкі бок. Менеджар пароляў адказвае на пытанне ўліковых даных: які сакрэт належыць гэтаму сайту, дзе ён захоўваецца і што абараняе яго ў сховішчы. Першае — уласцівасць сеткі, другое — уласцівасць захоўвання і супастаўлення.

Таму бездакорна працуючы тунель нічога не робіць з паўторам пароляў. Ён не можа стварыць унікальны сакрэт, заўважыць, што два ўліковыя запісы падзяляюць адзін, ці не даць вам уставіць няправільны запіс у пераканаўчую імітацыю старонкі ўваходу. Гэта задачы менеджара і наладжвання ўліковага запісу.

Спрадвечнае таксама праўда. Сховішча, поўнае моцных унікальных пароляў, нічога не робіць з варожай сеткай, якая чытае незашыфраваную сесію, і нічога з сэрвісам, які адмаўляе злучэнні з вашага рэгіёна. Два інструменты, два наборы адмоваў, і справаздача, якая вінаваціць не той, марнуе ўсім час.

Што тунель можа абараніць, а што не

Тунель абараняе трафік у шляху паміж кліентам і шлюзам VPN, а таксама паміж шлюзам і пунктам прызначэння ў залежнасці ад архітэктуры. Гэты абсяг вузейшы, чым большасць людзей мяркуе пры куплі. Ён не абараняе тое, што адбываецца пасля прыходу ўліковых даных, і не абараняе сесію, што выходзіць праз маршрут, які тунель ніколі не пераносіў.

Фішынг — найбольш ясны выпадак. Зашыфраваны шлях да падманнага сайта ўсё адно дастаўляе пароль не таму атрымальніку, і тунель выканаў сваю працу бездакорна, пакуль уліковы запіс страчаны. Шкодныя праграмы на прыладзе — другі выпадак: праграма з дастатковым доступам да браўзера можа чытаць уліковыя даныя ў момант іх выкарыстання, які б шыфр ні абараняў лінію.

Змена адрасу выхаду мае пабочны эфект, які варта планаваць. Сэрвіс можа запытаць дадатковую праверку, калі ўваход прыходзіць з новай сеткі, і гэта законная рэакцыя, а не збой якога-небудзь інструмента. Адрознівайце запыт, які вы выклікалі, ад непавязанага запыту кода.

Як менеджар вырашае, які пароль прапанаваць

Менеджары звязваюць захаваны ўваход з адрасамі сайтаў і прымяняюць правілы супастаўлення. Гэтыя правілы — частка, значная для бяспекі, і яны наладжвальныя. Дакладнае супастаўленне хоста — самае строгае; правіла базавага дамена або «пачынаецца з» зручнейшае і ахоплівае больш субдаменаў, у тым ліку тыя, якія вы не мелі на ўвазе.

Калі чаканы ўваход адсутнічае на незнаёмай старонцы, прачытайце адрас, перш чым капіяваць пароль уручную. Нясупадзенне можа мець бяскрыўднае тлумачэнне, напрыклад іншы субдамен пасля перапрацоўкі, і можа быць першай прыкметай, што старонка не тое, чым сябе падае. Ручное капіяванне — менавіта той крок, які менеджар павінен быў прадухіліць.

Паспяховае аўтазапаўненне таксама не гарантыя. Правіла супастаўлення, браўзер і асяроддзе прылады сумесна вызначаюць вынік, таму запоўненае поле даказвае, што правіла супала, а не што сайт сапраўдны.

Бяспека сховішча, аднаўленне і экспарт

Абарона сховішча — справа менеджара. Прадукты розняцца ў тым, як яны выводзяць ключ, шыфруюць сховішча, сінхранізуюць яго і аднаўляюць доступ, і ўласная дакументацыя пастаўшчыка — адзінае надзейнае апісанне для вашай версіі. Напрыклад, Bitwarden дакументуе шыфраванне на баку кліента як частку сваёй архітэктуры, што азначае, што сервер захоўвае шыфратэкст, а не самі сакрэты.

Разумейце аднаўленне да надзвычайнай сітуацыі. Забыты галоўны пароль без спосабу аднаўлення — гэта назаўсёдная страта, а занадта просты спосаб аднаўлення — другі ўваход. Вырашыце, які кампраміс вы зрабілі, і запішыце яго.

Экспарт — тая частка, якую забываюць. Экспарт у адкрытым тэксце ў папцы загрузак — гэта копія кожных уліковых даных, і падключэнне да VPN зусім яго не абараняе. Калі экспарт сапраўды патрэбны, зашыфруйце яго і дакажыце, што архіў адкрываецца, перш чым выдаляць адкрыты тэкст.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Трымайце менеджар, браўзер і аперацыйную сістэму падтрыманымі. Састарэлы кліент з доступам да прылады — большая рызыка для захаваных уліковых даных, чым незашыфраваная сетка Wi-Fi для належна аўтэнтыфікаванай сесіі.

Дзе яны сапраўды сустракаюцца

Яны сустракаюцца на форме ўваходу і нідзе больш. Усё перад ёй належыць сетцы, усё пасля яе належыць сэрвісу. Менеджар падае сакрэт, сетка яго пераносіць, а сэрвіс вырашае, прыняць яго ці не. Унікальныя ўліковыя даныя, належная дадатковая аўтэнтыфікацыя і план аднаўлення застаюцца карыснымі з тунелем і без яго, а тунель застаецца карысным для той сеткавай уласцівасці, якая вам сапраўды патрэбна.

Выбірайце кожны сродак для праблемы, якую ён сапраўды вырашае, і перастаньце чакаць, што адзін закрые другі. Тунель — не сховішча, а сховішча — не маршрут.