VPN или мениджър на пароли: кое спира кражбата на идентификационни данни

VPN и мениджърът на пароли се появяват в разговорите за сигурност на акаунтите, но защитават различни неща. Тунелът пренася заявката и скрива пътя; мениджърът решава коя тайна да предложи, пази я шифрована в покой и я помни вместо вас. Нито един от двата не замества другия и режимите на отказ почти не се припокриват. Сравнението им задача по задача показва кой контрол да изберете, когато нещо се обърка.

Две задачи в един вход

Когато влизате, VPN отговаря на транспортния въпрос: по кой път минават тези пакети и какво вижда далечната страна. Мениджърът на пароли отговаря на въпроса за идентификационните данни: коя тайна принадлежи на този сайт, къде се съхранява и какво я защитава в трезора. Първото е свойство на мрежата, второто е свойство на съхранението и съпоставянето.

Затова безупречно работещ тунел не прави нищо срещу повторното използване на пароли. Той не може да генерира уникална тайна, да забележи, че два акаунта споделят една, или да ви спре да поставите грешния запис в убедително копие на страница за вход. Това са задачи на мениджъра и на настройката на акаунта.

Обратното също е вярно. Трезор, пълен със силни уникални пароли, не прави нищо срещу враждебна мрежа, която чете нешифрована сесия, и нищо срещу услуга, която отказва връзки от вашия регион. Два инструмента, два набора от откази и доклад, който обвинява грешния, губи времето на всички.

Какво тунелът може и какво не може да защити

Тунелът защитава трафика по пътя между клиента и VPN шлюза, а също между шлюза и дестинацията в зависимост от дизайна. Този обхват е по-тесен, отколкото повечето хора предполагат, когато купуват такъв. Той не защитава това, което се случва след пристигането на идентификационните данни, и не защитава сесия, която излиза по маршрут, който тунелът никога не е пренасял.

Фишингът е най-ясният случай. Шифрован път към измамен сайт все още доставя паролата на грешния получател и тунелът е свършил работата си безупречно, докато акаунтът е загубен. Зловреден софтуер на устройството е вторият случай: програма с достатъчен достъп до браузъра може да чете идентификационни данни, докато се използват, какъвто и шифър да пази линията.

Смяната на изходния адрес има страничен ефект, който си струва да планирате. Услуга може да поиска допълнителна проверка, когато вход идва от нова мрежа, което е законна реакция, а не дефект в който и да е от инструментите. Различавайте покана, която вие сте предизвикали, от несвързана заявка за код.

Как мениджърът решава коя парола да предложи

Мениджърите свързват запазен вход с адреси на сайтове и прилагат правила за съпоставяне. Тези правила са частта, значима за сигурността, и са конфигурируеми. Точното съвпадение на хост е най-стриктно; правило за базов домейн или „започва с“ е по-удобно и покрива повече поддомейни, включително такива, които не сте имали предвид.

Когато очакваният вход липсва на непозната страница, прочетете адреса, преди да копирате паролата на ръка. Несъответствието може да има невинно обяснение, например различен поддомейн след преработка, а може да е и първият знак, че страницата не е това, за което се представя. Ръчното копиране е точно стъпката, която мениджърът е трябвало да предотврати.

Успешното автоматично попълване също не е гаранция. Правилото за съпоставяне, браузърът и средата на устройството решават заедно какво се случва, така че попълнено поле доказва, че правилото е съвпаднало, а не че сайтът е истински.

Сигурност на трезора, възстановяване и експорт

Защитата на трезора е грижа на мениджъра. Продуктите се различават по това как извеждат ключа, шифроват трезора, синхронизират го и възстановяват достъп, а собствената документация на доставчика е единственото надеждно описание за версията, която използвате. Bitwarden например документира шифроването от страна на клиента като част от архитектурата си, което означава, че сървърът съхранява шифротекст, а не самите тайни.

Разберете възстановяването преди извънредна ситуация. Забравена главна парола без метод за възстановяване е окончателна загуба, а твърде лесният метод за възстановяване е втори вход. Решете какъв компромис сте направили и го запишете.

Експортът е частта, която хората забравят. Експорт в открит текст в папка за изтегляния е копие на всяка идентификационна тайна и връзката с VPN изобщо не го защитава. Ако експорт наистина е необходим, шифровайте го и докажете, че архивът се отваря, преди да изтриете открития текст.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Поддържайте мениджъра, браузъра и операционната система актуални. Остарял клиент с достъп до устройството е по-голям риск за съхранените идентификационни данни, отколкото нешифрована Wi-Fi мрежа за правилно удостоверена сесия.

Къде двете наистина се срещат

Те се срещат във формуляра за вход и никъде другаде. Всичко преди него принадлежи на мрежата, всичко след него принадлежи на услугата. Мениджърът доставя тайна, мрежата я пренася, а услугата решава дали да я приеме. Уникалните идентификационни данни, подходящото допълнително удостоверяване и планът за възстановяване остават полезни с тунел или без него, а тунелът остава полезен за мрежовото свойство, което наистина ви трябва.

Избирайте всеки контрол за проблема, който наистина решава, и спрете да очаквате един да покрие другия. Тунелът не е трезор, а трезорът не е маршрут.