VPN ili menadžer lozinki: šta zaustavlja krađu pristupnih podataka

VPN i menadžer lozinki pojavljuju se u razgovorima o sigurnosti računa, ali štite različite stvari. Tunel nosi zahtjev i skriva put; menadžer odlučuje koji se tajni podatak nudi, drži ga šifriranim u mirovanju i pamti ga umjesto vas. Niti jedan ne zamjenjuje drugi, a načini kvara se jedva preklapaju. Poređenje zadatak po zadatak pokazuje kojoj kontroli posegnuti kada nešto pođe po zlu.

Dva zadatka unutar jedne prijave

Kada se prijavljujete, VPN odgovara na transportno pitanje: kojim putem idu ti paketi i šta vidi druga strana. Menadžer lozinki odgovara na pitanje pristupnih podataka: koji tajni podatak pripada ovom sajtu, gdje je pohranjen i šta ga štiti u trezoru. Prvo je svojstvo mreže, drugo je svojstvo pohrane i uparivanja.

Zato besprijekorno ispravan tunel ne čini ništa protiv ponovne upotrebe lozinki. Ne može stvoriti jedinstveni tajni podatak, primijetiti da dva računa dijele jedan ili vas spriječiti da zalijepite pogrešan unos u uvjerljivu kopiju stranice za prijavu. To su poslovi menadžera i podešavanja računa.

Vrijedi i obrnuto. Trezor pun jakih jedinstvenih lozinki ne čini ništa protiv neprijateljske mreže koja čita nešifriranu sesiju, niti protiv usluge koja odbija veze iz vaše regije. Dva alata, dva skupa kvarova, a izvještaj koji okrivljuje pogrešan gubi svačije vrijeme.

Šta tunel može, a šta ne može zaštititi

Tunel štiti saobraćaj u tranzitu između klijenta i VPN prolaza, te između prolaza i odredišta zavisno od dizajna. Taj obim je uži nego što većina ljudi pretpostavlja kada ga kupuje. Ne štiti ono što se dogodi nakon što pristupni podatak stigne i ne štiti sesiju koja izlazi putem koji tunel nikada nije nosio.

Fišing je najjasniji slučaj. Šifriran put do obmanjujućeg sajta ipak dostavlja lozinku pogrešnom primaocu, a tunel je svoj posao odradio besprijekorno dok je račun izgubljen. Zlonamjerni softver na uređaju je drugi slučaj: program s dovoljnim pristupom pregledniku može čitati pristupne podatke dok se koriste, koja god šifra štitila žicu.

Promjena izlazne adrese ima nuspojavu koju vrijedi planirati. Usluga može zatražiti dodatnu provjeru kada prijava stigne s nove mreže, što je legitiman odgovor, a ne greška ni jednog alata. Razlikujte zahtjev koji ste sami izazvali od nepovezanog zahtjeva za kod.

Kako menadžer odlučuje koju lozinku ponuditi

Menadžeri povezuju sačuvanu prijavu s adresama sajtova i primjenjuju pravila uparivanja. Ta pravila su dio relevantan za sigurnost i mogu se podesiti. Tačno podudaranje hosta je najstrože; pravilo osnovnog domena ili „počinje sa“ praktičnije je i pokriva više poddomena, uključujući one koje niste namjeravali.

Kada očekivana prijava nedostaje na nepoznatoj stranici, pročitajte adresu prije nego što ručno kopirate lozinku. Nepodudaranje može imati bezopasno objašnjenje, poput drugog poddomena nakon redizajna, a može biti i prvi znak da stranica nije ono što tvrdi. Ručno kopiranje je upravo korak koji je menadžer trebao spriječiti.

Uspješno automatsko popunjavanje takođe nije garancija. Pravilo uparivanja, preglednik i okruženje uređaja zajedno odlučuju šta se dogodi, pa popunjeno polje dokazuje da se pravilo podudarilo, a ne da je sajt stvaran.

Sigurnost trezora, oporavak i izvoz

Zaštita trezora je stvar menadžera. Proizvodi se razlikuju po tome kako izvode ključ, šifriraju trezor, sinhronizuju ga i vraćaju pristup, a dokumentacija samog dobavljača jedini je pouzdan opis za verziju koju koristite. Bitwarden, na primjer, dokumentuje šifriranje na strani klijenta kao dio svoje arhitekture, što znači da server čuva šifrat, a ne same tajne.

Shvatite oporavak prije hitnog slučaja. Zaboravljena glavna lozinka bez metode oporavka trajan je gubitak, a previše laka metoda oporavka drugi je ulaz. Odlučite kakvu ste razmjenu napravili i zapišite je.

Izvoz je dio koji ljudi zaboravljaju. Izvoz u čistom tekstu u fascikli za preuzimanja kopija je svakog pristupnog podatka, a veza s VPN-om ga uopšte ne štiti. Ako je izvoz zaista potreban, šifrirajte ga i dokažite da se arhiva otvara prije nego što izbrišete čisti tekst.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Držite menadžer, preglednik i operativni sistem podržanim. Zastario klijent s pristupom uređaju veći je rizik za pohranjene pristupne podatke nego što je nešifrirana Wi-Fi mreža za propisno autentifikovanu sesiju.

Gdje se njih dvoje zapravo sreću

Sreću se na obrascu za prijavu i nigdje drugdje. Sve prije njega pripada mreži, sve nakon njega pripada usluzi. Menadžer daje tajni podatak, mreža ga nosi, a usluga odlučuje hoće li ga prihvatiti. Jedinstveni pristupni podaci, odgovarajuća dodatna autentifikacija i plan oporavka ostaju korisni s tunelom ili bez njega, a tunel ostaje koristan za mrežno svojstvo koje vam zaista treba.

Birajte svaku kontrolu za problem koji zaista rješava i prestanite očekivati da jedna pokriva drugu. Tunel nije trezor, a trezor nije ruta.