VPN או מנהל סיסמאות: מה עוצר גניבת פרטי התחברות

VPN ומנהל סיסמאות שניהם עולים בדיונים על אבטחת חשבונות, אבל הם מגנים על דברים שונים. המנהרה נושאת את הבקשה ומסתירה את הנתיב; המנהל קובע איזה סוד יוצע, שומר אותו מוצפן במנוחה וזוכר אותו עבורך. אף אחד מהם לא מחליף את השני, ואופני הכשל בקושי חופפים. השוואה משימה אחר משימה מראה לאיזה בקרה לפנות כשמשהו משתבש.

שתי משימות בתוך התחברות אחת

כשאתם מתחברים, ה-VPN עונה על שאלת תעבורה: באיזה נתיב הולכות החבילות האלה, ומה רואה הצד המרוחק. מנהל הסיסמאות עונה על שאלת פרטי התחברות: איזה סוד שייך לאתר הזה, היכן הוא נשמר, ומה מגן עליו בכספת. הראשון הוא תכונת רשת, השני תכונת אחסון והתאמה.

לכן מנהרה שעובדת באופן מושלם לא עושה דבר בנוגע לשימוש חוזר בסיסמאות. היא לא יכולה ליצור סוד ייחודי, להבחין ששני חשבונות חולקים אחד, או למנוע מכם להדביק את הרשומה הלא נכונה בחיקוי משכנע של דף התחברות. אלה משימות של המנהל ושל הגדרת החשבון.

גם ההפך נכון. כספת מלאה בסיסמאות חזקות וייחודיות לא עושה דבר מול רשת עוינת שקוראת הפעלה לא מוצפנת, ולא מול שירות שמסרב לחיבורים מהאזור שלכם. שני כלים, שתי קבוצות כשלים, ודוח שמאשים את הכלי הלא נכון מבזבז לכולם את הזמן.

מה המנהרה יכולה להגן עליו ומה לא

המנהרה מגנה על תעבורה בדרך בין הלקוח לשער ה-VPN, ובין השער ליעד בהתאם לתכנון. הטווח הזה צר ממה שרוב האנשים מניחים כשהם קונים אחד. היא לא מגנה על מה שקורה אחרי שפרט ההתחברות מגיע, ולא מגנה על הפעלה שיוצאת בנתיב שהמנהרה מעולם לא נשאה.

פישינג הוא המקרה הברור ביותר. נתיב מוצפן לאתר מטעה עדיין מוסר את הסיסמה לנמען הלא נכון, והמנהרה עשתה את עבודתה בצורה מושלמת בזמן שהחשבון אבד. תוכנה זדונית במכשיר היא המקרה השני: תוכנה עם גישה מספקת לדפדפן יכולה לקרוא פרטי התחברות בזמן השימוש בהם, וכל צופן שיגן על החוט לא ישנה זאת.

לשינוי כתובת היציאה יש תופעת לוואי שכדאי לתכנן. שירות עשוי לבקש אימות נוסף כשהתחברות מגיעה מרשת חדשה, וזו תגובה לגיטימית ולא תקלה באף אחד משני הכלים. הבחינו בין בקשה שאתם גרמתם לבין בקשת קוד לא קשורה.

איך מנהל מחליט איזו סיסמה להציע

מנהלים מקשרים התחברות שמורה לכתובות אתרים ומיישמים כללי התאמה. הכללים האלה הם החלק הרלוונטי לאבטחה, והם ניתנים להגדרה. התאמת מארח מדויקת היא המחמירה ביותר; כלל של דומיין בסיס או מתחיל-ב נוח יותר ומכסה יותר תת-דומיינים, כולל כאלה שלא התכוונתם אליהם.

כשההתחברות הצפויה חסרה בעמוד לא מוכר, קראו את הכתובת לפני העתקת הסיסמה ביד. לאי-התאמה יכול להיות הסבר תמים, כמו תת-דומיין אחר לאחר עיצוב מחדש, והיא יכולה גם להיות הסימן הראשון לכך שהעמוד אינו מה שהוא טוען. העתקה ידנית היא בדיוק השלב שהמנהל היה אמור למנוע.

גם מילוי אוטומטי מוצלח אינו ערובה. כלל ההתאמה, הדפדפן וסביבת המכשיר כולם קובעים מה יקרה, כך ששדה מלא מוכיח שהכלל התאים, ולא שהאתר אמיתי.

אבטחת הכספת, שחזור וייצוא

הגנת הכספת היא באחריות המנהל. מוצרים נבדלים באופן שבו הם גוזרים את המפתח, מצפינים את הכספת, מסנכרנים אותה ומשחזרים גישה, והתיעוד של הספק עצמו הוא התיאור האמין היחיד לגרסה שאתם מריצים. Bitwarden, למשל, מתעד הצפנה בצד הלקוח כחלק מהארכיטקטורה שלו, כלומר השרת מאחסן טקסט מוצפן ולא את הסודות עצמם.

הבינו את השחזור לפני מצב חירום. סיסמה ראשית שנשכחה בלי שיטת שחזור היא אובדן קבוע, ושיטת שחזור קלה מדי היא דרך כניסה שנייה. החליטו איזה חילוף עשיתם ורשמו אותו.

הייצוא הוא החלק שאנשים שוכחים. ייצוא בטקסט גלוי בתיקיית הורדות הוא עותק של כל פרט התחברות, וחיבור ל-VPN לא מגן עליו כלל. אם ייצוא באמת נדרש, הצפינו אותו והוכיחו שהארכיון נפתח לפני שמוחקים את הטקסט הגלוי.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

החזיקו את המנהל, הדפדפן ומערכת ההפעלה נתמכים. לקוח מיושן עם גישה למכשיר הוא סיכון גדול יותר לפרטי התחברות מאוחסנים מאשר רשת Wi-Fi לא מוצפנת למושב שמאומת כראוי.

איפה השניים באמת נפגשים

הם נפגשים בטופס ההתחברות ולא בשום מקום אחר. כל מה שלפניו שייך לרשת, כל מה שאחריו שייך לשירות. המנהל מספק סוד, הרשת נושאת אותו, והשירות מחליט אם לקבל אותו. פרטי התחברות ייחודיים, אימות נוסף הולם ותוכנית שחזור נשארים שימושיים עם מנהרה או בלעדיה, ומנהרה נשארת שימושית עבור תכונת הרשת שבאמת דרושה לכם.

בחרו כל בקרה עבור הבעיה שהיא באמת פותרת, והפסיקו לצפות שאחת תכסה את השנייה. מנהרה אינה כספת, וכספת אינה נתיב.