VPN ou xestor de contrasinais: que detén o roubo de credenciais

Unha VPN e un xestor de contrasinais aparecen ambos nas conversas sobre seguridade das contas, pero protexen cousas distintas. O túnel transporta a petición e oculta o camiño; o xestor decide que credencial se ofrece, mantena cifrada en repouso e lémbraa por ti. Ningún substitúe ao outro, e os modos de fallo apenas se solapan. Comparalos tarefa por tarefa mostra a que control acudir cando algo vai mal.

Dúas tarefas dentro dun só inicio de sesión

Cando inicias sesión, a VPN responde unha pregunta de transporte: que camiño toman estes paquetes e que ve o extremo remoto. O xestor de contrasinais responde unha pregunta de credenciais: que segredo pertence a este sitio, onde se garda e que o protexe na caixa forte. O primeiro é unha propiedade de rede; o segundo, unha propiedade de almacenamento e emparellamento.

Por iso un túnel que funciona perfectamente non fai nada contra a reutilización de contrasinais. Non pode xerar un segredo único, notar que dúas contas comparten un nin impedir que pegues a entrada equivocada nunha imitación convincente dunha páxina de inicio de sesión. Esas son tarefas do xestor e da configuración da conta.

O contrario tamén é certo. Unha caixa forte chea de contrasinais fortes e únicos non fai nada contra unha rede hostil que le unha sesión sen cifrar, nin contra un servizo que rexeita conexións da túa rexión. Dúas ferramentas, dous conxuntos de fallos, e un informe que culpa a equivocada fai perder o tempo a todos.

Que pode protexer o túnel e que non

O túnel protexe o tráfico en tránsito entre o cliente e a pasarela VPN e, segundo o deseño, entre a pasarela e o destino. Ese alcance é máis estreito do que a maioría supón cando compra un. Non protexe o que ocorre despois de que chegue a credencial nin protexe unha sesión que sae por unha ruta que o túnel nunca levou.

O phishing é o caso máis claro. Un camiño cifrado cara a un sitio enganoso segue entregando o contrasinal ao destinatario equivocado, e o túnel fixo o seu traballo á perfección mentres a conta se perde. O software malicioso no dispositivo é o segundo caso: un programa con acceso suficiente ao navegador pode ler credenciais mentres se usan, sexa cal sexa o cifrado que protexe o cable.

Cambiar o enderezo de saída ten un efecto secundario que convén planificar. Un servizo pode pedir unha verificación adicional cando chega un inicio de sesión desde unha rede nova, o que é unha resposta lexítima e non un fallo de ningunha das dúas ferramentas. Distingue unha solicitude que provocaches ti dunha petición de código non relacionada.

Como decide o xestor que contrasinal ofrecer

Os xestores asocian un inicio de sesión gardado con enderezos de sitios web e aplican regras de emparellamento. Esas regras son a parte relevante para a seguridade e son configurables. Unha coincidencia exacta de host é a máis estrita; unha regra de dominio base ou de comeza-por é máis cómoda e cobre máis subdominios, incluídos os que non pretendías.

Cando falta o inicio de sesión esperado nunha páxina descoñecida, le o enderezo antes de copiar o contrasinal a man. Unha discrepancia pode ter unha explicación inocente, como un subdominio distinto tras un redeseño, e tamén pode ser o primeiro sinal de que a páxina non é o que di ser. Copiar a man é exactamente o paso que o xestor debía evitar.

O autorecheo correcto tampouco é unha garantía. A regra de emparellamento, o navegador e a contorna do dispositivo deciden que ocorre, así que un campo cuberto demostra que a regra coincidiu, non que o sitio sexa auténtico.

Seguridade, recuperación e exportación da caixa forte

A protección da caixa forte é cousa do xestor. Os produtos difiren en como derivan a clave, cifran a caixa forte, sincronízana e recuperan o acceso, e a documentación do propio provedor é a única descrición fiable para a versión que executas. Bitwarden, por exemplo, documenta o cifrado do lado do cliente como parte da súa arquitectura, o que significa que o servidor almacena texto cifrado e non os segredos en si.

Entende a recuperación antes dunha emerxencia. Un contrasinal mestre esquecido sen método de recuperación é unha perda permanente, e un método de recuperación demasiado fácil é unha segunda vía de entrada. Decide que intercambio fixeches e escríbeo.

A exportación é a parte que a xente esquece. Unha exportación en texto plano nun cartafol de descargas é unha copia de cada credencial, e estar conectado a unha VPN non a protexe en absoluto. Se unha exportación é realmente necesaria, cífraa e demostra que o arquivo se abre antes de borrar o texto plano.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Mantén o xestor, o navegador e o sistema operativo con soporte. Un cliente desactualizado con acceso ao dispositivo é un risco maior para as credenciais gardadas que unha rede Wi-Fi sen cifrar para unha sesión ben autenticada.

Onde se atopan realmente as dúas ferramentas

Atópanse no formulario de inicio de sesión e en ningún outro sitio. Todo o anterior pertence á rede, todo o posterior pertence ao servizo. O xestor fornece un segredo, a rede transpórtao e o servizo decide se o acepta. Unhas credenciais únicas, unha autenticación adicional adecuada e un plan de recuperación seguen sendo útiles con túnel ou sen el, e un túnel segue sendo útil para a propiedade de rede que realmente necesitas.

Escolle cada control polo problema que realmente resolve e deixa de esperar que un cubra o outro. Un túnel non é unha caixa forte, e unha caixa forte non é unha ruta.