VPN o gestor de contrasenyes: què atura el robatori de credencials

Una VPN i un gestor de contrasenyes apareixen tots dos a les converses sobre seguretat dels comptes, però protegeixen coses diferents. El túnel transporta la petició i amaga el camí; el gestor decideix quina credencial s’ofereix, la manté xifrada en repòs i la recorda per tu. Cap dels dos substitueix l’altre, i els modes de fallada gairebé no es solapen. Comparar-los tasca per tasca mostra a quin control recórrer quan alguna cosa falla.

Dues feines dins d’un sol inici de sessió

Quan inicies sessió, la VPN respon una pregunta de transport: quin camí fan aquests paquets i què veu l’extrem remot. El gestor de contrasenyes respon una pregunta de credencials: quin secret pertany a aquest lloc, on es guarda i què el protegeix a la caixa forta. El primer és una propietat de xarxa; el segon, una propietat d’emmagatzematge i d’aparellament.

Per això un túnel que funciona perfectament no fa res contra la reutilització de contrasenyes. No pot generar un secret únic, adonar-se que dos comptes en comparteixen un ni impedir que enganxis l’entrada equivocada en una imitació convincent d’una pàgina d’inici de sessió. Aquestes són feines del gestor i de la configuració del compte.

El contrari també és cert. Una caixa forta plena de contrasenyes fortes i úniques no fa res contra una xarxa hostil que llegeix una sessió sense xifrar, ni contra un servei que rebutja connexions de la teva regió. Dues eines, dos conjunts de fallades, i un informe que culpa la que no toca fa perdre el temps a tothom.

Què pot protegir el túnel i què no

El túnel protegeix el trànsit entre el client i la passarel·la VPN i, segons el disseny, entre la passarel·la i la destinació. Aquest abast és més estret del que la majoria de la gent suposa quan en compra un. No protegeix el que passa després que arribi la credencial ni protegeix una sessió que surt per una ruta que el túnel no ha portat mai.

El phishing és el cas més clar. Un camí xifrat cap a un lloc enganyós encara lliura la contrasenya al destinatari equivocat, i el túnel ha fet la seva feina perfectament mentre el compte es perd. El programari maliciós a l’equip és el segon cas: un programa amb prou accés al navegador pot llegir les credencials mentre s’utilitzen, sigui quin sigui el xifratge que protegeix el cable.

Canviar l’adreça de sortida té un efecte secundari que val la pena planificar. Un servei pot demanar una verificació addicional quan arriba un inici de sessió des d’una xarxa nova, cosa que és una resposta legítima i no un defecte de cap de les dues eines. Distingeix una petició que has provocat tu d’una sol·licitud de codi no relacionada.

Com decideix el gestor quina contrasenya oferir

Els gestors associen un inici de sessió desat amb adreces de llocs web i apliquen regles d’aparellament. Aquestes regles són la part rellevant per a la seguretat i són configurables. Una coincidència exacta d’amfitrió és la més estricta; una regla de domini base o de comença-per és més còmoda i cobreix més subdominis, inclosos els que no volies.

Quan l’inici de sessió esperat falta en una pàgina desconeguda, llegeix l’adreça abans de copiar la contrasenya a mà. Una discrepància pot tenir una explicació innocent, com un subdomini diferent després d’un redisseny, i també pot ser el primer senyal que la pàgina no és el que diu ser. Copiar a mà és exactament el pas que el gestor havia d’evitar.

L’emplenament automàtic correcte tampoc no és una garantia. La regla d’aparellament, el navegador i l’entorn del dispositiu decideixen què passa, així que un camp emplenat demostra que la regla ha coincidit, no que el lloc sigui autèntic.

Seguretat, recuperació i exportació de la caixa forta

La protecció de la caixa forta és cosa del gestor. Els productes difereixen en com deriven la clau, xifren la caixa forta, la sincronitzen i recuperen l’accés, i la documentació del propi proveïdor és l’única descripció fiable per a la versió que fas servir. Bitwarden, per exemple, documenta el xifratge al costat del client com a part de la seva arquitectura, cosa que vol dir que el servidor desa text xifrat i no els secrets mateixos.

Entén la recuperació abans d’una emergència. Una contrasenya mestra oblidada sense mètode de recuperació és una pèrdua permanent, i un mètode de recuperació massa fàcil és una segona via d’entrada. Decideix quin intercanvi has fet i escriu-lo.

L’exportació és la part que la gent oblida. Una exportació en text pla dins una carpeta de baixades és una còpia de cada credencial, i estar connectat a una VPN no la protegeix gens. Si una exportació és realment necessària, xifra-la i demostra que l’arxiu s’obre abans d’esborrar el text pla.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Mantén el gestor, el navegador i el sistema operatiu amb suport. Un client desactualitzat amb accés a l’equip és un risc més gran per a les credencials desades que una xarxa Wi-Fi sense xifrar per a una sessió ben autenticada.

On es troben realment les dues eines

Es troben al formulari d’inici de sessió i enlloc més. Tot el que hi ha abans pertany a la xarxa, tot el que hi ha després pertany al servei. El gestor forneix un secret, la xarxa el transporta i el servei decideix si l’accepta. Unes credencials úniques, una autenticació addicional adequada i un pla de recuperació continuen sent útils amb túnel o sense, i un túnel continua sent útil per a la propietat de xarxa que realment necessites.

Tria cada control pel problema que realment resol i deixa d’esperar que un cobreixi l’altre. Un túnel no és una caixa forta, i una caixa forta no és una ruta.