VPN aŭ pasvortadministrilo: kio haltigas ŝtelon de ensalutaj datumoj

VPN kaj pasvortadministrilo ambaŭ aperas en interparoloj pri konta sekureco, sed ili protektas malsamajn aferojn. La tunelo portas la peton kaj kaŝas la vojon; la administrilo decidas, kiun sekreton proponi, tenas ĝin ĉifrita dum ripozo kaj memoras ĝin por vi. Nek unu anstataŭas la alian, kaj la fiaskomanieroj apenaŭ interkovras. Kompari ilin tasko post tasko montras, kiun regadon uzi kiam io misfunkcias.

Du taskoj ene de unu ensaluto

Kiam vi ensalutas, la VPN respondas transportan demandon: kiun vojon prenas tiuj pakoj, kaj kion vidas la fora flanko. La pasvortadministrilo respondas demandon pri legitimaĵoj: kiu sekreto apartenas al ĉi tiu retejo, kie ĝi estas konservata, kaj kio protektas ĝin en la kofro. La unua estas eco de la reto, la dua estas eco de konservado kaj parigado.

Tial perfekte funkcianta tunelo faras nenion pri reuzado de pasvortoj. Ĝi ne povas krei unikan sekreton, rimarki ke du kontoj dividas unu, nek malhelpi vin enmeti la malĝustan eron en konvinkan imitaĵon de ensaluta paĝo. Tiuj estas taskoj de la administrilo kaj de la konta agordo.

Ankaŭ la malo veras. Kofro plena je fortaj unikaj pasvortoj faras nenion pri malamika reto, kiu legas neĉifritan seancon, kaj nenion pri servo, kiu rifuzas konektojn el via regiono. Du iloj, du fiaskaroj, kaj raporto, kiu kulpigas la malĝustan, malŝparas la tempon de ĉiuj.

Kion la tunelo povas protekti kaj kion ne

La tunelo protektas trafikon dumvoje inter la kliento kaj la VPN-enirejo kaj, laŭ la dezajno, inter la enirejo kaj la celo. Tiu amplekso estas pli mallarĝa ol plej multaj homoj supozas kiam ili aĉetas unu. Ĝi ne protektas tion, kio okazas post kiam la legitimaĵo alvenas, kaj ne protektas seancon, kiu eliras per vojo, kiun la tunelo neniam portis.

Fiŝado estas la plej klara kazo. Ĉifrita vojo al trompa retejo ankoraŭ liveras la pasvorton al la malĝusta ricevanto, kaj la tunelo faris sian taskon perfekte dum la konto perdiĝas. Malica programaro sur la aparato estas la dua kazo: programo kun sufiĉa aliro al la retumilo povas legi legitimaĵojn dum ili estas uzataj, kia ajn ĉifro protektas la draton.

Ŝanĝi la eliran adreson havas flankefikon indan je planado. Servo povas postuli plian kontrolon kiam ensaluto venas el nova reto, kio estas legitima respondo kaj ne misfunkcio de iu ajn ilo. Distingu inviton, kiun vi mem kaŭzis, de senrelacia peto pri kodo.

Kiel administrilo decidas, kiun pasvorton proponi

Administriloj ligas konservitan ensaluton al retejaj adresoj kaj aplikas parigajn regulojn. Tiuj reguloj estas la sekurecgrava parto, kaj ili estas agordeblaj. Preciza gastiga kongruo estas la plej strikta; regulo pri baza domajno aŭ «komenciĝas per» estas pli oportuna kaj kovras pli da subdomajnoj, inkluzive tiujn, kiujn vi ne intencis.

Kiam la atendata ensaluto mankas sur nekonata paĝo, legu la adreson antaŭ ol kopii la pasvorton permane. Miskongruo povas havi senkulpan klarigon, kiel alian subdomajnon post refasonado, kaj ĝi ankaŭ povas esti la unua signo, ke la paĝo ne estas tio, kion ĝi asertas. Permana kopiado estas ĝuste tiu paŝo, kiun la administrilo devintus malhelpi.

Sukcesa aŭtomata plenigo ankaŭ ne estas garantio. La pariga regulo, la retumilo kaj la aparata medio ĉiuj decidas, kio okazas, do plenigita kampo pruvas, ke la regulo kongruis, ne ke la retejo estas aŭtentika.

Sekureco de la kofro, restaŭrado kaj eksporto

Protektado de la kofro apartenas al la administrilo. Produktoj diferencas laŭ tio, kiel ili derivas la ŝlosilon, ĉifras la kofron, sinkronigas ĝin kaj restaŭras aliron, kaj la dokumentaro de la vendanto mem estas la sola fidinda priskribo por la versio, kiun vi uzas. Bitwarden, ekzemple, dokumentas klientflankan ĉifradon kiel parton de sia arkitekturo, kio signifas, ke la servilo konservas ĉifrotekston anstataŭ la sekretojn mem.

Komprenu restaŭradon antaŭ krizo. Forgesita ĉefpasvorto sen restaŭra metodo estas daŭra perdo, kaj tro facila restaŭra metodo estas dua enirejo. Decidu, kiun interŝanĝon vi faris, kaj skribu ĝin.

Eksporto estas la parto, kiun homoj forgesas. Eksporto en malferma teksto en elŝuta dosierujo estas kopio de ĉiu legitimaĵo, kaj esti konektita al VPN tute ne protektas ĝin. Se eksporto vere necesas, ĉifru ĝin kaj pruvu, ke la arkivo malfermiĝas antaŭ ol vi forviŝos la malferman tekston.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Tenu la administrilon, la retumilon kaj la operaciumon subtenataj. Malfrua kliento kun aliro al la aparato estas pli granda risko por konservitaj legitimaĵoj ol neĉifrita Wi-Fi-reto por ĝuste aŭtentikigita seanco.

Kie la du fakte renkontiĝas

Ili renkontiĝas ĉe la ensaluta formularo kaj nenie alie. Ĉio antaŭ ĝi apartenas al la reto, ĉio post ĝi apartenas al la servo. La administrilo provizas sekreton, la reto portas ĝin, kaj la servo decidas, ĉu akcepti ĝin. Unikaj legitimaĵoj, taŭga plia aŭtentikigo kaj restaŭra plano restas utilaj kun aŭ sen tunelo, kaj tunelo restas utila por la reta eco, kiun vi vere bezonas.

Elektu ĉiun regadon por la problemo, kiun ĝi vere solvas, kaj ĉesu atendi, ke unu kovru la alian. Tunelo ne estas kofro, kaj kofro ne estas vojo.