VPN ή διαχειριστής κωδικών: τι σταματά την κλοπή διαπιστευτηρίων

Ένα VPN και ένας διαχειριστής κωδικών εμφανίζονται και τα δύο σε συζητήσεις για την ασφάλεια λογαριασμών, αλλά προστατεύουν διαφορετικά πράγματα. Η σήραγγα μεταφέρει το αίτημα και κρύβει τη διαδρομή· ο διαχειριστής αποφασίζει ποιο διαπιστευτήριο θα προσφερθεί, το κρατά κρυπτογραφημένο σε ηρεμία και το θυμάται για εσάς. Κανένα δεν αντικαθιστά το άλλο, και οι τρόποι αποτυχίας ελάχιστα επικαλύπτονται. Η σύγκριση ανά εργασία δείχνει σε ποιον έλεγχο να καταφύγετε όταν κάτι πάει στραβά.

Δύο εργασίες μέσα σε μία σύνδεση

Όταν συνδέεστε, το VPN απαντά σε ένα ερώτημα μεταφοράς: ποια διαδρομή ακολουθούν αυτά τα πακέτα και τι βλέπει το άλλο άκρο. Ο διαχειριστής κωδικών απαντά σε ένα ερώτημα διαπιστευτηρίων: ποιο μυστικό ανήκει σε αυτόν τον ιστότοπο, πού αποθηκεύεται και τι το προστατεύει στο θησαυροφυλάκιο. Το πρώτο είναι ιδιότητα δικτύου, το δεύτερο ιδιότητα αποθήκευσης και αντιστοίχισης.

Γι’ αυτό μια σήραγγα που λειτουργεί άψογα δεν κάνει τίποτα για την επαναχρησιμοποίηση κωδικών. Δεν μπορεί να δημιουργήσει μοναδικό μυστικό, να παρατηρήσει ότι δύο λογαριασμοί μοιράζονται ένα, ούτε να σας εμποδίσει να επικολλήσετε τη λάθος καταχώριση σε ένα πειστικό αντίγραφο σελίδας σύνδεσης. Αυτές είναι δουλειές του διαχειριστή και της ρύθμισης λογαριασμού.

Το αντίστροφο ισχύει επίσης. Ένα θησαυροφυλάκιο γεμάτο ισχυρούς μοναδικούς κωδικούς δεν κάνει τίποτα απέναντι σε εχθρικό δίκτυο που διαβάζει μη κρυπτογραφημένη συνεδρία, ούτε απέναντι σε υπηρεσία που αρνείται συνδέσεις από την περιοχή σας. Δύο εργαλεία, δύο σύνολα αποτυχιών, και μια αναφορά που κατηγορεί το λάθος χάνει τον χρόνο όλων.

Τι μπορεί να προστατεύσει η σήραγγα και τι όχι

Η σήραγγα προστατεύει την κίνηση κατά τη μεταφορά ανάμεσα στον πελάτη και την πύλη VPN και, ανάλογα με τον σχεδιασμό, ανάμεσα στην πύλη και τον προορισμό. Αυτό το εύρος είναι στενότερο από ό,τι υποθέτουν οι περισσότεροι όταν αγοράζουν μία. Δεν προστατεύει ό,τι συμβαίνει αφού φτάσει το διαπιστευτήριο και δεν προστατεύει συνεδρία που φεύγει από διαδρομή που η σήραγγα δεν μετέφερε ποτέ.

Το phishing είναι η πιο ξεκάθαρη περίπτωση. Μια κρυπτογραφημένη διαδρομή προς παραπλανητικό ιστότοπο εξακολουθεί να παραδίδει τον κωδικό στον λάθος παραλήπτη, και η σήραγγα έχει κάνει άψογα τη δουλειά της ενώ ο λογαριασμός χάνεται. Το κακόβουλο λογισμικό στη συσκευή είναι η δεύτερη περίπτωση: λογισμικό με αρκετή πρόσβαση στον περιηγητή μπορεί να διαβάσει διαπιστευτήρια τη στιγμή που χρησιμοποιούνται, όποιος κρυπτογράφος κι αν προστατεύει το καλώδιο.

Η αλλαγή διεύθυνσης εξόδου έχει μια παρενέργεια που αξίζει σχεδιασμό. Μια υπηρεσία μπορεί να ζητήσει πρόσθετη επαλήθευση όταν φτάνει σύνδεση από νέο δίκτυο, κάτι που είναι νόμιμη αντίδραση και όχι σφάλμα κανενός εργαλείου. Διακρίνετε ένα μήνυμα που προκαλέσατε εσείς από ένα άσχετο αίτημα για κωδικό.

Πώς ο διαχειριστής αποφασίζει ποιον κωδικό να προσφέρει

Οι διαχειριστές συνδέουν μια αποθηκευμένη σύνδεση με διευθύνσεις ιστοτόπων και εφαρμόζουν κανόνες αντιστοίχισης. Αυτοί οι κανόνες είναι το τμήμα που αφορά την ασφάλεια και είναι ρυθμιζόμενοι. Η ακριβής αντιστοίχιση κεντρικού υπολογιστή είναι η αυστηρότερη· ένας κανόνας βασικού τομέα ή «αρχίζει με» είναι πιο βολικός και καλύπτει περισσότερους υποτομείς, μαζί με εκείνους που δεν σκοπεύατε.

Όταν η αναμενόμενη σύνδεση λείπει σε μια άγνωστη σελίδα, διαβάστε τη διεύθυνση πριν αντιγράψετε τον κωδικό με το χέρι. Μια αναντιστοιχία μπορεί να έχει αθώα εξήγηση, όπως διαφορετικό υποτομέα μετά από ανασχεδιασμό, και μπορεί επίσης να είναι το πρώτο σημάδι ότι η σελίδα δεν είναι αυτό που ισχυρίζεται. Η χειροκίνητη αντιγραφή είναι ακριβώς το βήμα που ο διαχειριστής έπρεπε να αποτρέψει.

Η επιτυχής αυτόματη συμπλήρωση δεν είναι ούτε αυτή εγγύηση. Ο κανόνας αντιστοίχισης, ο περιηγητής και το περιβάλλον της συσκευής αποφασίζουν από κοινού τι θα συμβεί, άρα ένα συμπληρωμένο πεδίο αποδεικνύει ότι ο κανόνας ταίριασε, όχι ότι ο ιστότοπος είναι γνήσιος.

Ασφάλεια, ανάκτηση και εξαγωγή του θησαυροφυλακίου

Η προστασία του θησαυροφυλακίου ανήκει στον διαχειριστή. Τα προϊόντα διαφέρουν στον τρόπο που παράγουν το κλειδί, κρυπτογραφούν το θησαυροφυλάκιο, το συγχρονίζουν και ανακτούν την πρόσβαση, και η τεκμηρίωση του ίδιου του κατασκευαστή είναι η μόνη αξιόπιστη περιγραφή για την έκδοση που εκτελείτε. Το Bitwarden, για παράδειγμα, τεκμηριώνει την κρυπτογράφηση στην πλευρά του πελάτη ως μέρος της αρχιτεκτονικής του, που σημαίνει ότι ο διακομιστής αποθηκεύει κρυπτοκείμενο και όχι τα ίδια τα μυστικά.

Κατανοήστε την ανάκτηση πριν από μια έκτακτη ανάγκη. Ένας ξεχασμένος κύριος κωδικός χωρίς μέθοδο ανάκτησης είναι μόνιμη απώλεια, και μια πολύ εύκολη μέθοδος ανάκτησης είναι δεύτερη πόρτα εισόδου. Αποφασίστε ποια ανταλλαγή κάνατε και γράψτε την.

Η εξαγωγή είναι το κομμάτι που οι άνθρωποι ξεχνούν. Μια εξαγωγή σε απλό κείμενο σε φάκελο λήψεων είναι αντίγραφο κάθε διαπιστευτηρίου, και η σύνδεση σε VPN δεν την προστατεύει καθόλου. Αν μια εξαγωγή είναι πραγματικά απαραίτητη, κρυπτογραφήστε την και αποδείξτε ότι το αρχείο ανοίγει πριν διαγράψετε το απλό κείμενο.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Κρατήστε τον διαχειριστή, τον περιηγητή και το λειτουργικό σύστημα υποστηριζόμενα. Ένας παρωχημένος πελάτης με πρόσβαση στη συσκευή είναι μεγαλύτερος κίνδυνος για τα αποθηκευμένα διαπιστευτήρια από ό,τι ένα μη κρυπτογραφημένο δίκτυο Wi-Fi για μια σωστά πιστοποιημένη συνεδρία.

Πού συναντώνται πραγματικά τα δύο

Συναντώνται στη φόρμα σύνδεσης και πουθενά αλλού. Όλα πριν από αυτήν ανήκουν στο δίκτυο, όλα μετά από αυτήν ανήκουν στην υπηρεσία. Ο διαχειριστής παρέχει ένα μυστικό, το δίκτυο το μεταφέρει και η υπηρεσία αποφασίζει αν θα το δεχτεί. Τα μοναδικά διαπιστευτήρια, η κατάλληλη πρόσθετη πιστοποίηση και ένα σχέδιο ανάκτησης παραμένουν χρήσιμα με ή χωρίς σήραγγα, και μια σήραγγα παραμένει χρήσιμη για την ιδιότητα δικτύου που πραγματικά χρειάζεστε.

Επιλέξτε κάθε έλεγχο για το πρόβλημα που πραγματικά λύνει και σταματήστε να περιμένετε ότι ο ένας καλύπτει τον άλλο. Μια σήραγγα δεν είναι θησαυροφυλάκιο, και ένα θησαυροφυλάκιο δεν είναι διαδρομή.