VPN eller kodeordsmanager: hvad stopper tyveri af loginoplysninger

En VPN og en kodeordsmanager dukker begge op i samtaler om kontosikkerhed, men de beskytter forskellige ting. Tunnelen bærer anmodningen og skjuler vejen; manageren afgør, hvilke loginoplysninger der tilbydes, holder dem krypteret i hvile og husker dem for dig. Ingen af dem erstatter den anden, og fejlmønstrene overlapper næsten ikke. En sammenligning opgave for opgave viser, hvilken kontrol man skal gribe efter, når noget går galt.

To opgaver i ét login

Når du logger ind, besvarer VPN'et et transportspørgsmål: hvilken vej tager disse pakker, og hvad ser den anden ende. Kodeordsmanageren besvarer et loginspørgsmål: hvilken hemmelighed hører til dette websted, hvor er den gemt, og hvad beskytter den i boksen. Det første er en netværksegenskab, det andet er en lager- og matchningsegenskab.

Derfor gør en perfekt fungerende tunnel intet ved genbrug af adgangskoder. Den kan ikke skabe en unik hemmelighed, opdage at to konti deler én, eller forhindre dig i at indsætte den forkerte post i en overbevisende efterligning af en login-side. Det er managerens og kontoopsætningens opgaver.

Det omvendte gælder også. En boks fuld af stærke unikke adgangskoder gør intet ved et fjendtligt netværk, der læser en ukrypteret session, og intet ved en tjeneste, der afviser forbindelser fra din region. To værktøjer, to fejlsæt, og en rapport, der giver det forkerte skylden, spilder alles tid.

Hvad tunnelen kan og ikke kan beskytte

Tunnelen beskytter trafik undervejs mellem klienten og VPN-gatewayen og, afhængigt af designet, mellem gatewayen og destinationen. Det omfang er smallere, end de fleste antager, når de køber en. Den beskytter ikke det, der sker, efter loginoplysningerne ankommer, og den beskytter ikke en session, der forlader via en rute, tunnelen aldrig har båret.

Phishing er det tydeligste tilfælde. En krypteret vej til et vildledende websted leverer stadig adgangskoden til den forkerte modtager, og tunnelen har gjort sit arbejde perfekt, mens kontoen er tabt. Ondsindet software på enheden er det andet tilfælde: software med tilstrækkelig adgang til browseren kan læse loginoplysninger, mens de bruges, uanset hvilken cipher der beskytter ledningen.

At skifte exit-adresse har en bivirkning, der er værd at planlægge efter. En tjeneste kan kræve ekstra verifikation, når et login kommer fra et nyt netværk, og det er en legitim reaktion og ikke en fejl i noget af værktøjet. Skeln mellem en anmodning, du selv har udløst, og en urelateret anmodning om en kode.

Hvordan en manager vælger, hvilken adgangskode der tilbydes

Managere knytter et gemt login til webadresser og anvender matchningsregler. De regler er den sikkerhedsrelevante del, og de kan konfigureres. Et præcist værtsmatch er strengest; en basisdomæne- eller starter-med-regel er mere bekvem og dækker flere underdomæner, også dem du ikke havde tænkt på.

Når det forventede login mangler på en ukendt side, så læs adressen, før du kopierer adgangskoden manuelt. En afvigelse kan have en uskyldig forklaring, fx et andet underdomæne efter et redesign, og den kan også være det første tegn på, at siden ikke er det, den udgiver sig for. Manuel kopiering er netop det trin, manageren skulle forhindre.

Vellykket autofuldførelse er heller ikke en garanti. Matchningsreglen, browseren og enhedsmiljøet afgør alle, hvad der sker, så et udfyldt felt beviser, at reglen matchede, ikke at webstedet er ægte.

Boksens sikkerhed, gendannelse og eksport

Boksbeskyttelse er managerens ansvar. Produkter adskiller sig i, hvordan de udleder nøglen, krypterer boksen, synkroniserer den og gendanner adgang, og leverandørens egen dokumentation er den eneste pålidelige beskrivelse for den version, du kører. Bitwarden dokumenterer fx klient-side-kryptering som en del af sin arkitektur, hvilket betyder, at serveren gemmer ciphertext i stedet for selve hemmelighederne.

Forstå gendannelse før en nødsituation. En glemt hovedadgangskode uden gendannelsesmetode er et permanent tab, og en for nem gendannelsesmetode er en anden vej ind. Beslut, hvilket bytte du har lavet, og skriv det ned.

Eksport er den del, folk glemmer. En eksport i klartekst i en download-mappe er en kopi af hver loginoplysning, og at være forbundet til en VPN beskytter den slet ikke. Hvis en eksport virkelig er nødvendig, så krypter den og bevis, at arkivet åbner, før du sletter klarteksten.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Hold manageren, browseren og styresystemet understøttet. En forældet klient med adgang til enheden er en større risiko for gemte loginoplysninger, end et ukrypteret Wi-Fi-netværk er for en korrekt autentificeret session.

Hvor de to faktisk mødes

De mødes ved login-formularen og ingen andre steder. Alt før den hører til netværket, alt efter den hører til tjenesten. Managere leverer en hemmelighed, netværket bærer den, og tjenesten afgør, om den accepteres. Unikke loginoplysninger, passende ekstra autentificering og en gendannelsesplan forbliver nyttige med eller uden tunnel, og en tunnel forbliver nyttig for den netværksegenskab, du faktisk har brug for.

Vælg hver kontrol til det problem, den faktisk løser, og hold op med at forvente, at den ene dækker den anden. En tunnel er ikke en boks, og en boks er ikke en rute.