VPN ili upravitelj lozinki: što zaustavlja krađu pristupnih podataka

VPN i upravitelj lozinki pojavljuju se u razgovorima o sigurnosti računa, ali štite različite stvari. Tunel nosi zahtjev i skriva put; upravitelj odlučuje koji se tajni podatak nudi, drži ga šifriranim u mirovanju i pamti ga umjesto vas. Nijedan ne zamjenjuje drugi, a načini kvara jedva se preklapaju. Usporedba zadatak po zadatak pokazuje kojoj se kontroli obratiti kad nešto pođe po zlu.

Dva zadatka unutar jedne prijave

Kada se prijavljujete, VPN odgovara na prometno pitanje: kojim putem idu ti paketi i što vidi druga strana. Upravitelj lozinki odgovara na pitanje pristupnih podataka: koji tajni podatak pripada ovom web-mjestu, gdje je pohranjen i što ga štiti u trezoru. Prvo je svojstvo mreže, drugo je svojstvo pohrane i uparivanja.

Zato besprijekorno ispravan tunel ne čini ništa protiv ponovne uporabe lozinki. Ne može stvoriti jedinstvenu tajnu, primijetiti da dva računa dijele jednu ili vas spriječiti da zalijepite pogrešan unos u uvjerljivu kopiju stranice za prijavu. To su poslovi upravitelja i postavljanja računa.

Vrijedi i obrnuto. Trezor pun jakih jedinstvenih lozinki ne čini ništa protiv neprijateljske mreže koja čita nešifriranu sesiju, ni protiv usluge koja odbija veze iz vaše regije. Dva alata, dva skupa kvarova, a izvještaj koji okrivljuje pogrešan gubi svačije vrijeme.

Što tunel može, a što ne može zaštititi

Tunel štiti promet u tranzitu između klijenta i VPN pristupnika te, ovisno o dizajnu, između pristupnika i odredišta. Taj je opseg uži nego što većina ljudi pretpostavlja kad ga kupuje. Ne štiti ono što se dogodi nakon što pristupni podatak stigne i ne štiti sesiju koja izlazi putem koji tunel nikada nije nosio.

Fišing je najjasniji slučaj. Šifriran put do obmanjujućeg web-mjesta ipak dostavlja lozinku pogrešnom primatelju, a tunel je svoj posao odradio besprijekorno dok je račun izgubljen. Zlonamjerni softver na uređaju drugi je slučaj: program s dovoljnim pristupom pregledniku može čitati pristupne podatke dok se koriste, koja god šifra štitila žicu.

Promjena izlazne adrese ima nuspojavu koju vrijedi isplanirati. Usluga može zatražiti dodatnu provjeru kad prijava stigne s nove mreže, što je legitiman odgovor, a ne greška ni jednog alata. Razlikujte zahtjev koji ste sami izazvali od nepovezanog zahtjeva za kod.

Kako upravitelj odlučuje koju lozinku ponuditi

Upravitelji povezuju spremljenu prijavu s adresama web-mjesta i primjenjuju pravila uparivanja. Ta su pravila dio relevantan za sigurnost i mogu se postaviti. Točno podudaranje hosta najstrože je; pravilo osnovne domene ili „počinje s“ praktičnije je i pokriva više poddomena, uključujući one koje niste namjeravali.

Kad očekivana prijava nedostaje na nepoznatoj stranici, pročitajte adresu prije nego ručno kopirate lozinku. Nepodudaranje može imati bezazleno objašnjenje, poput druge poddomene nakon redizajna, a može biti i prvi znak da stranica nije ono što tvrdi. Ručno kopiranje upravo je korak koji je upravitelj trebao spriječiti.

Uspješno automatsko popunjavanje također nije jamstvo. Pravilo uparivanja, preglednik i okruženje uređaja zajedno odlučuju što će se dogoditi, pa popunjeno polje dokazuje da se pravilo podudarilo, a ne da je web-mjesto stvarno.

Sigurnost trezora, oporavak i izvoz

Zaštita trezora stvar je upravitelja. Proizvodi se razlikuju po tome kako izvode ključ, šifriraju trezor, sinkroniziraju ga i vraćaju pristup, a dokumentacija samog dobavljača jedini je pouzdan opis za verziju koju pokrećete. Bitwarden, primjerice, dokumentira šifriranje na strani klijenta kao dio svoje arhitekture, što znači da poslužitelj pohranjuje šifrat, a ne same tajne.

Shvatite oporavak prije hitnog slučaja. Zaboravljena glavna lozinka bez metode oporavka trajan je gubitak, a prelaka metoda oporavka drugi je ulaz. Odlučite kakvu ste razmjenu napravili i zapišite je.

Izvoz je dio koji ljudi zaboravljaju. Izvoz u čistom tekstu u mapi za preuzimanja kopija je svakog pristupnog podatka, a veza s VPN-om uopće ga ne štiti. Ako je izvoz doista potreban, šifrirajte ga i dokažite da se arhiva otvara prije nego izbrišete čisti tekst.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Držite upravitelj, preglednik i operacijski sustav podržanima. Zastario klijent s pristupom uređaju veći je rizik za pohranjene pristupne podatke nego što je nešifrirana Wi-Fi mreža za ispravno autentificiranu sesiju.

Gdje se njih dvoje zapravo sreću

Sreću se na obrascu za prijavu i nigdje drugdje. Sve prije njega pripada mreži, sve nakon njega pripada usluzi. Upravitelj daje tajni podatak, mreža ga nosi, a usluga odlučuje hoće li ga prihvatiti. Jedinstveni pristupni podaci, odgovarajuća dodatna autentifikacija i plan oporavka ostaju korisni s tunelom ili bez njega, a tunel ostaje koristan za mrežno svojstvo koje vam doista treba.

Birajte svaku kontrolu za problem koji doista rješava i prestanite očekivati da jedna pokriva drugu. Tunel nije trezor, a trezor nije ruta.