VPN, nebo správce hesel: co zastaví krádež přihlašovacích údajů

VPN i správce hesel se objevují v rozhovorech o zabezpečení účtů, ale chrání různé věci. Tunel nese požadavek a skrývá cestu; správce rozhoduje, který tajný údaj nabídnout, drží ho v klidu zašifrovaný a pamatuje si ho za vás. Ani jeden nenahrazuje druhý a režimy selhání se sotva překrývají. Srovnání úkol po úkolu ukáže, ke které kontrole sáhnout, když se něco pokazí.

Dva úkoly v jednom přihlášení

Když se přihlašujete, VPN odpovídá na dopravní otázku: kterou cestou tyto pakety jdou a co vidí vzdálená strana. Správce hesel odpovídá na otázku přihlašovacích údajů: které tajemství patří tomuto webu, kde je uloženo a co ho v trezoru chrání. První je vlastnost sítě, druhé vlastnost ukládání a párování.

Proto bezvadně fungující tunel nedělá nic proti opakovanému použití hesel. Nedokáže vytvořit jedinečné tajemství, všimnout si, že dva účty sdílejí jedno, ani vám zabránit vložit špatnou položku do přesvědčivé napodobeniny přihlašovací stránky. To jsou úkoly správce a nastavení účtu.

Platí to i obráceně. Trezor plný silných jedinečných hesel nedělá nic proti nepřátelské síti, která čte nešifrovanou relaci, ani proti službě, která odmítá spojení z vašeho regionu. Dva nástroje, dvě sady selhání a zpráva, která viní špatný z nich, ztrácí čas všem.

Co tunel chránit může a co ne

Tunel chrání provoz na cestě mezi klientem a branou VPN a podle návrhu také mezi branou a cílem. Tento rozsah je užší, než většina lidí při koupi předpokládá. Nechrání to, co se stane po doručení přihlašovacího údaje, a nechrání relaci, která odchází cestou, kterou tunel nikdy nevedl.

Phishing je nejjasnější případ. Šifrovaná cesta k podvodnému webu přesto doručí heslo špatnému příjemci a tunel udělal svou práci bezvadně, zatímco účet je ztracen. Škodlivý software v zařízení je druhý případ: program s dostatečným přístupem k prohlížeči může číst přihlašovací údaje v okamžiku použití, ať drát chrání jakákoli šifra.

Změna výstupní adresy má vedlejší účinek, který stojí za plánování. Služba může při přihlášení z nové sítě požádat o dodatečné ověření, což je legitimní reakce a ne závada žádného z nástrojů. Rozlišujte výzvu, kterou jste vyvolali, od nesouvisející žádosti o kód.

Jak správce rozhodne, které heslo nabídnout

Správci přiřazují uložené přihlášení k adresám webů a uplatňují pravidla párování. Tato pravidla jsou částí podstatnou pro bezpečnost a jsou konfigurovatelná. Přesná shoda hostitele je nejpřísnější; pravidlo základní domény nebo „začíná na“ je pohodlnější a pokrývá více subdomén, včetně těch, které jste nezamýšleli.

Když na neznámé stránce chybí očekávané přihlášení, přečtěte si adresu, než heslo zkopírujete ručně. Neshoda může mít nevinné vysvětlení, například jinou subdoménu po redesignu, a může být také prvním znamením, že stránka není to, co tvrdí. Ruční kopírování je přesně ten krok, kterému měl správce zabránit.

Úspěšné automatické vyplnění také není zárukou. Pravidlo párování, prohlížeč i prostředí zařízení společně rozhodují, co se stane, takže vyplněné pole dokazuje, že pravidlo odpovídalo, ne že web je pravý.

Zabezpečení trezoru, obnova a export

Ochrana trezoru je věcí správce. Produkty se liší v tom, jak odvozují klíč, šifrují trezor, synchronizují ho a obnovují přístup, a dokumentace samotného dodavatele je jediný spolehlivý popis pro verzi, kterou používáte. Bitwarden například dokumentuje šifrování na straně klienta jako součást své architektury, což znamená, že server ukládá šifrovaný text, nikoli tajemství samotná.

Pochopte obnovu dříve než nouzi. Zapomenuté hlavní heslo bez metody obnovy je trvalá ztráta a příliš snadná metoda obnovy je druhý vstup. Rozhodněte se, jakou výměnu jste učinili, a zapište ji.

Export je část, na kterou lidé zapomínají. Export v otevřeném textu ve složce stahování je kopií každého přihlašovacího údaje a připojení k VPN ho vůbec nechrání. Pokud je export skutečně potřeba, zašifrujte ho a dokažte, že archiv se otevře, než otevřený text smažete.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Udržujte správce, prohlížeč i operační systém podporované. Zastaralý klient s přístupem k zařízení je pro uložené přihlašovací údaje větší riziko, než je nešifrovaná síť Wi-Fi pro řádně ověřenou relaci.

Kde se oba skutečně potkávají

Potkávají se u přihlašovacího formuláře a nikde jinde. Vše před ním patří síti, vše po něm patří službě. Správce dodá tajemství, síť ho nese a služba rozhodne, zda ho přijme. Jedinečné přihlašovací údaje, vhodné dodatečné ověření a plán obnovy zůstávají užitečné s tunelem i bez něj a tunel zůstává užitečný pro síťovou vlastnost, kterou skutečně potřebujete.

Vyberte každou kontrolu pro problém, který skutečně řeší, a přestaňte čekat, že jedna pokryje druhou. Tunel není trezor a trezor není trasa.