VPN ou gestionnaire de mots de passe : ce qui arrête le vol d’identifiants

Un VPN et un gestionnaire de mots de passe apparaissent tous deux dans les discussions sur la sécurité des comptes, mais ils protègent des choses différentes. Le tunnel transporte la requête et masque le chemin ; le gestionnaire décide quel identifiant proposer, le garde chiffré au repos et s’en souvient pour vous. Ni l’un ni l’autre ne remplace l’autre, et les modes de défaillance se recoupent à peine. Les comparer tâche par tâche montre vers quel contrôle se tourner quand quelque chose va mal.

Deux tâches dans une seule connexion

Quand vous vous connectez, le VPN répond à une question de transport : quel chemin prennent ces paquets, et que voit l’extrémité distante. Le gestionnaire de mots de passe répond à une question d’identifiants : quel secret appartient à ce site, où est-il stocké, et qu’est-ce qui le protège dans le coffre. Le premier est une propriété du réseau, le second une propriété de stockage et d’appariement.

C’est pourquoi un tunnel qui fonctionne parfaitement ne fait rien contre la réutilisation de mots de passe. Il ne peut pas générer un secret unique, remarquer que deux comptes en partagent un, ni vous empêcher de coller la mauvaise entrée dans une imitation convaincante d’une page de connexion. Ce sont des tâches du gestionnaire et de la configuration du compte.

L’inverse est vrai aussi. Un coffre rempli de mots de passe forts et uniques ne fait rien contre un réseau hostile qui lit une session non chiffrée, ni contre un service qui refuse les connexions de votre région. Deux outils, deux ensembles de défaillances, et un rapport qui accuse le mauvais fait perdre du temps à tout le monde.

Ce que le tunnel peut protéger et ce qu’il ne peut pas

Le tunnel protège le trafic en transit entre le client et la passerelle VPN et, selon la conception, entre la passerelle et la destination. Cette portée est plus étroite que ce que la plupart des gens supposent en en achetant un. Il ne protège pas ce qui se passe après l’arrivée de l’identifiant, ni une session qui sort par une route que le tunnel n’a jamais portée.

L’hameçonnage est le cas le plus clair. Un chemin chiffré vers un site trompeur livre quand même le mot de passe au mauvais destinataire, et le tunnel a parfaitement fait son travail pendant que le compte est perdu. Un logiciel malveillant sur l’appareil est le second cas : un programme avec un accès suffisant au navigateur peut lire les identifiants pendant qu’ils sont utilisés, quel que soit le chiffrement qui protège le fil.

Changer l’adresse de sortie a un effet secondaire qui mérite d’être planifié. Un service peut demander une vérification supplémentaire lorsqu’une connexion arrive d’un nouveau réseau, ce qui est une réponse légitime et non un défaut de l’un ou l’autre outil. Distinguez une invite que vous avez déclenchée d’une demande de code sans rapport.

Comment le gestionnaire décide quel mot de passe proposer

Les gestionnaires associent une connexion enregistrée à des adresses de sites et appliquent des règles d’appariement. Ces règles sont la partie pertinente pour la sécurité, et elles sont configurables. Une correspondance exacte d’hôte est la plus stricte ; une règle de domaine de base ou de commence-par est plus commode et couvre davantage de sous-domaines, y compris ceux que vous ne vouliez pas.

Quand la connexion attendue manque sur une page inconnue, lisez l’adresse avant de copier le mot de passe à la main. Une discordance peut avoir une explication innocente, comme un sous-domaine différent après une refonte, et elle peut aussi être le premier signe que la page n’est pas ce qu’elle prétend. La copie manuelle est exactement l’étape que le gestionnaire était censé empêcher.

Un remplissage automatique réussi n’est pas non plus une garantie. La règle d’appariement, le navigateur et l’environnement de l’appareil décident ensemble de ce qui se passe, donc un champ rempli prouve que la règle a correspondu, pas que le site soit authentique.

Sécurité, récupération et export du coffre

La protection du coffre relève du gestionnaire. Les produits diffèrent par la façon dont ils dérivent la clé, chiffrent le coffre, le synchronisent et récupèrent l’accès, et la documentation de l’éditeur lui-même est la seule description fiable pour la version que vous exécutez. Bitwarden, par exemple, documente le chiffrement côté client comme partie de son architecture, ce qui signifie que le serveur stocke du texte chiffré plutôt que les secrets eux-mêmes.

Comprenez la récupération avant une urgence. Un mot de passe principal oublié sans méthode de récupération est une perte définitive, et une méthode de récupération trop facile est une seconde voie d’entrée. Décidez quel compromis vous avez fait et écrivez-le.

L’export est la partie que les gens oublient. Un export en clair dans un dossier de téléchargements est une copie de chaque identifiant, et être connecté à un VPN ne le protège pas du tout. Si un export est vraiment nécessaire, chiffrez-le et prouvez que l’archive s’ouvre avant de supprimer le texte en clair.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Gardez le gestionnaire, le navigateur et le système d’exploitation pris en charge. Un client obsolète avec accès à l’appareil est un risque plus grand pour les identifiants stockés qu’un réseau Wi-Fi non chiffré pour une session correctement authentifiée.

Où les deux se rencontrent réellement

Ils se rencontrent au formulaire de connexion et nulle part ailleurs. Tout ce qui précède appartient au réseau, tout ce qui suit appartient au service. Le gestionnaire fournit un secret, le réseau le transporte et le service décide de l’accepter. Des identifiants uniques, une authentification supplémentaire adaptée et un plan de récupération restent utiles avec ou sans tunnel, et un tunnel reste utile pour la propriété réseau dont vous avez réellement besoin.

Choisissez chaque contrôle pour le problème qu’il résout réellement, et cessez d’attendre que l’un couvre l’autre. Un tunnel n’est pas un coffre, et un coffre n’est pas une route.