VPN vai salasanahallinta: mikä pysäyttää kirjautumistietojen varkauden

VPN ja salasanahallinta esiintyvät molemmat keskusteluissa tilien turvallisuudesta, mutta ne suojaavat eri asioita. Tunneli kuljettaa pyynnön ja kätkee reitin; hallinta päättää, mikä tunnistetieto tarjotaan, pitää sen levossa salattuna ja muistaa sen puolestasi. Kumpikaan ei korvaa toista, eivätkä vikatilat juuri kohtaa. Tehtävä tehtävältä vertaaminen näyttää, mihin kontrolliin tarttua, kun jotain menee pieleen.

Kaksi tehtävää yhdessä kirjautumisessa

Kun kirjaudut, VPN vastaa kuljetuskysymykseen: mitä reittiä nämä paketit kulkevat ja mitä kaukokanta näkee. Salasanahallinta vastaa tunnistetietokysymykseen: mikä salaisuus kuuluu tälle sivustolle, missä se säilytetään ja mikä suojaa sitä holvissa. Ensimmäinen on verkon ominaisuus, toinen tallennuksen ja täsmäytyksen ominaisuus.

Siksi täydellisesti toimiva tunneli ei tee mitään salasanojen uudelleenkäytölle. Se ei voi luoda ainutlaatuista salaisuutta, huomata että kaksi tiliä jakaa yhden, eikä estää sinua liittämästä väärää merkintää vakuuttavaan jäljitelmään kirjautumissivusta. Ne ovat hallinnan ja tilin asetusten tehtäviä.

Päinvastainen pitää myös paikkansa. Holvi täynnä vahvoja ainutlaatuisia salasanoja ei tee mitään vihamieliselle verkolle, joka lukee salaamatonta istuntoa, eikä palvelulle, joka hylkää yhteydet alueeltasi. Kaksi työkalua, kaksi vikajoukkoa, ja raportti, joka syyttää väärää, tuhlaa kaikkien aikaa.

Mitä tunneli voi suojata ja mitä ei

Tunneli suojaa liikennettä matkalla asiakkaan ja VPN-yhdyskäytävän välillä ja suunnittelusta riippuen myös yhdyskäytävän ja kohteen välillä. Tämä laajuus on kapeampi kuin useimmat olettavat ostaessaan sellaisen. Se ei suojaa sitä, mitä tapahtuu tunnistetiedon saapumisen jälkeen, eikä istuntoa, joka lähtee reitille, jota tunneli ei koskaan kuljettanut.

Phishing on selkein tapaus. Salattu reitti harhaanjohtavalle sivustolle toimittaa salasanan silti väärälle vastaanottajalle, ja tunneli on tehnyt työnsä moitteettomasti tilin menetyksen aikana. Laitteen haittaohjelma on toinen tapaus: ohjelma, jolla on riittävä pääsy selaimeen, voi lukea tunnistetietoja niiden käytön aikana, mikä salaus tahansa johtoa suojaa.

Poistumisosoitteen vaihtamisella on sivuvaikutus, joka kannattaa suunnitella. Palvelu voi pyytää lisävahvistusta, kun kirjautuminen tulee uudesta verkosta, mikä on laillinen vastaus eikä kummankaan työkalun vika. Erota itse laukaisemasi kehote toisistaan riippumattomasta koodipyynnöstä.

Miten hallinta päättää, mikä salasana tarjotaan

Hallinnat yhdistävät tallennetun kirjautumisen verkkosivujen osoitteisiin ja soveltavat täsmäytyssääntöjä. Nämä säännöt ovat turvallisuuden kannalta olennainen osa, ja ne ovat konfiguroitavia. Tarkka isäntävastaavuus on tiukin; perusverkkotunnus tai alkaa-kirjaimella -sääntö on mukavampi ja kattaa enemmän aliverkkotunnuksia, myös niitä joita et tarkoittanut.

Kun odotettu kirjautuminen puuttuu tuntemattomalta sivulta, lue osoite ennen kuin kopioit salasanan käsin. Poikkeamalla voi olla viaton selitys, kuten eri aliverkkotunnus uudistuksen jälkeen, ja se voi myös olla ensimmäinen merkki siitä, ettei sivu ole sitä, mitä se väittää. Käsin kopioiminen on juuri se vaihe, jonka hallinnan piti estää.

Onnistunut automaattinen täyttö ei sekään ole tae. Täsmäytyssääntö, selain ja laiteympäristö päättävät yhdessä, mitä tapahtuu, joten täytetty kenttä todistaa, että sääntö täsmäsi, ei sitä että sivusto on aito.

Holvin turvallisuus, palautus ja vienti

Holvin suojaaminen on hallinnan asia. Tuotteet eroavat siinä, miten ne johtavat avaimen, salaavat holvin, synkronoivat sen ja palauttavat pääsyn, ja toimittajan oma dokumentaatio on ainoa luotettava kuvaus käyttämällesi versiolle. Bitwarden esimerkiksi dokumentoi asiakaspään salauksen osana arkkitehtuuriaan, mikä tarkoittaa, että palvelin tallentaa salatekstiä eikä itse salaisuuksia.

Ymmärrä palautus ennen hätätilannetta. Unohdettu pääsalasana ilman palautusmenetelmää on pysyvä menetys, ja liian helppo palautusmenetelmä on toinen sisäänkäynti. Päätä, minkä vaihtokaupan olet tehnyt, ja kirjoita se ylös.

Vienti on se osa, jonka ihmiset unohtavat. Latauskansiossa oleva selkokielinen vienti on kopio jokaisesta tunnistetiedosta, eikä VPN-yhteys suojaa sitä lainkaan. Jos vienti on todella tarpeen, salaa se ja todista, että arkisto avautuu, ennen kuin poistat selkokielisen version.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Pidä hallinta, selain ja käyttöjärjestelmä tuettuina. Vanhentunut asiakasohjelma, jolla on pääsy laitteeseen, on suurempi riski tallennetuille tunnistetiedoille kuin salaamaton Wi-Fi-verkko asianmukaisesti todennetulle istunnolle.

Missä kaksi todella kohtaavat

Ne kohtaavat kirjautumislomakkeessa eivätkä missään muualla. Kaikki sitä ennen kuuluu verkolle, kaikki sen jälkeen palvelulle. Hallinta toimittaa salaisuuden, verkko kuljettaa sen ja palvelu päättää, hyväksytäänkö se. Ainutlaatuiset tunnistetiedot, asianmukainen lisätodennus ja palautussuunnitelma pysyvät hyödyllisinä tunnelin kanssa tai ilman, ja tunneli pysyy hyödyllisenä siltä verkon ominaisuudelta, jota todella tarvitset.

Valitse jokainen kontrolli sen ongelman mukaan, jonka se todella ratkaisee, ja lakkaa odottamasta, että yksi kattaa toisen. Tunneli ei ole holvi, eikä holvi ole reitti.