VPN edo pasahitz-kudeatzailea: zer gelditzen duen saio-hasieraren lapurreta

VPN bat eta pasahitz-kudeatzaile bat kontuen segurtasunari buruzko elkarrizketetan agertzen dira biak, baina gauza desberdinak babesten dituzte. Tunelak eskaera garraiatzen du eta bidea ezkutatzen du; kudeatzaileak erabakitzen du zein kredentzial eskaini, geldirik zifratuta edukitzen du eta zuretzat gogoratzen du. Batek ez du bestea ordezkatzen, eta hutsegite-moduek ia ez dute bat egiten. Zereginez zeregin alderatzeak erakusten du zein kontrol erabili zerbait gaizki doanean.

Bi zeregin saio-hasiera bakarrean

Saioa hasten duzunean, VPNak garraio-galdera bat erantzuten du: zein bide hartzen dute pakete hauek eta zer ikusten du urruneko aldeak. Pasahitz-kudeatzaileak kredentzialen galdera erantzuten du: zein sekretu dagokio gune honi, non gordetzen da eta zer babesten du kutxa gotorrean. Lehena sarearen propietatea da, bigarrena biltegiratze eta parekatze propietatea.

Horregatik, ezin hobeto funtzionatzen duen tunelak ez du ezer egiten pasahitzen berrerabileraren aurka. Ezin du sekretu bakarra sortu, bi kontuk bat partekatzen dutenik ohartu, edo sarrera okerra saio-hasierako orri baten imitazio sinesgarri batean itsastea eragotzi. Kudeatzailearen eta kontuaren konfigurazioaren zereginak dira.

Alderantzizkoa ere egia da. Pasahitz sendo eta bakarrez betetako kutxa gotor batek ez du ezer egiten saio deszifratua irakurtzen duen sare etsai baten aurka, ez eta zure eskualdeko konexioak ukatzen dituen zerbitzu baten aurka ere. Bi tresna, bi hutsegite-multzo, eta okerra dena erruduntzen duen txostenak denon denbora galtzen du.

Zer babes dezakeen tunelak eta zer ez

Tunelak bezeroaren eta VPN atebidearen arteko ibilbideko trafikoa babesten du, eta, diseinuaren arabera, atebidearen eta helmugaren artekoa ere bai. Esparru hori jende gehienak erosterakoan suposatzen duena baino estuagoa da. Ez du kredentziala iritsi ondoren gertatzen dena babesten, ez eta tunelak inoiz eraman ez zuen ibilbide batetik irteten den saioa ere.

Phishinga da kasurik argiena. Gune iruzurti baterako bide zifratuak pasahitza hartzaile okerrarekin entregatzen du oraindik, eta tunelak bere lana primeran egin du kontua galdu bitartean. Gailuko software gaiztoa da bigarren kasua: nabigatzailearekiko sarbide nahikoa duen programak kredentzialak erabiltzen diren bitartean irakur ditzake, kablea zifratzeak babestu arren.

Irteera-helbidea aldatzeak kontuan hartzeko albo-efektu bat du. Zerbitzu batek egiaztatze gehigarria eska dezake sare berri batetik saio-hasiera iristen denean, eta hori erantzun zilegia da, ez tresna horietako baten akatsa. Bereizi zuk sortutako eskaera bat erlaziorik gabeko kode-eskaera batetik.

Nola erabakitzen duen kudeatzaileak zein pasahitz eskaini

Kudeatzaileek gordetako saio-hasiera bat webguneen helbideekin lotzen dute eta parekatze-arauak aplikatzen dituzte. Arau horiek dira segurtasunari dagokion zatia, eta konfigura daitezke. Ostalariaren bat-etortze zehatza da zorrotzena; oinarrizko domeinuaren edo «hasten da» araua erosoagoa da eta azpidomeinu gehiago hartzen ditu, nahi ez zenituenak barne.

Espero zen saio-hasiera orri ezezagun batean falta denean, irakurri helbidea pasahitza eskuz kopiatu aurretik. Desadostasunak azalpen errugabea izan dezake, hala nola azpidomeinu desberdina berriz diseinatu ondoren, eta orriak dioena ez dela izatearen lehen seinalea ere izan daiteke. Eskuz kopiatzea kudeatzaileak eragotzi behar zuen urratsa da zehazki.

Osatze automatiko arrakastatsua ere ez da bermea. Parekatze-arauak, nabigatzaileak eta gailuaren inguruneak erabakitzen dute elkarrekin zer gertatuko den, beraz betetako eremu batek araua bat etorri zela frogatzen du, ez gunea benetakoa denik.

Kutxa gotorraren segurtasuna, berreskuratzea eta esportazioa

Kutxa gotorraren babesa kudeatzailearen kontua da. Produktuak desberdinak dira gakoa nola eratortzen duten, kutxa nola zifratzen duten, nola sinkronizatzen duten eta sarbidea nola berreskuratzen duten, eta hornitzailearen beraren dokumentazioa da erabiltzen duzun bertsiorako deskribapen fidagarri bakarra. Bitwardenek, adibidez, bezeroaren aldeko zifratzea dokumentatzen du bere arkitekturaren parte gisa, eta horrek esan nahi du zerbitzariak zifratutako testua gordetzen duela, sekretuak beraiek ez ezik.

Ulertu berreskuratzea larrialdia baino lehen. Berreskuratze-metodorik gabeko pasahitz nagusi ahaztua galera iraunkorra da, eta berreskuratze-metodo erraza sarbideko bigarren bidea da. Erabaki zein truke egin duzun eta idatzi.

Esportazioa jendeak ahazten duen zatia da. Deskarga-karpeta batean dagoen testu lauko esportazioa kredentzial bakoitzaren kopia da, eta VPN batera konektatuta egoteak ez du batere babesten. Esportazioa benetan beharrezkoa bada, zifratu eta frogatu artxiboa irekitzen dela testu laua ezabatu aurretik.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Eduki kudeatzailea, nabigatzailea eta sistema eragilea onartuta. Gailurako sarbidea duen bezero zaharkitua arrisku handiagoa da gordetako kredentzialentzat, deszifratutako Wi-Fi sare bat ongi autentifikatutako saio batentzat baino.

Non topatzen diren benetan biak

Saio-hasierako inprimakian topatzen dira eta beste inon ez. Haren aurreko guztia sarearena da, ondorengo guztia zerbitzuarena. Kudeatzaileak sekretu bat ematen du, sareak hura garraiatzen du, eta zerbitzuak erabakitzen du onartuko duen. Kredentzial bakarrak, egokia den autentifikazio gehigarria eta berreskuratze-plan bat erabilgarriak izaten jarraitzen dute tunelarekin edo gabe, eta tunel bat erabilgarria izaten jarraitzen du benetan behar duzun sare-propietatearentzat.

Aukeratu kontrol bakoitza benetan konpontzen duen problemarako, eta utzi batak bestea estaliko duela espero izateari. Tunel bat ez da kutxa gotorra, eta kutxa gotorra ez da ibilbidea.