VPN vagy jelszókezelő: melyik állítja meg a bejelentkezési adatok lopását

A VPN és a jelszókezelő egyaránt szóba kerül a fiókbiztonságról szóló beszélgetésekben, de különböző dolgokat védenek. Az alagút szállítja a kérést és elrejti az utat; a kezelő eldönti, melyik titkot kínálja, nyugalmi állapotban titkosítva tartja, és megjegyzi helyetted. Egyik sem helyettesíti a másikat, és a hiba módjai alig fedik egymást. A feladatról feladatra való összehasonlítás megmutatja, melyik kontrollhoz nyúlj, ha valami elromlik.

Két feladat egyetlen bejelentkezésben

Amikor bejelentkezik, a VPN egy szállítási kérdésre válaszol: melyik úton mennek ezek a csomagok, és mit lát a távoli vég. A jelszókezelő a hitelesítő adatok kérdésére válaszol: melyik titok tartozik ehhez az oldalhoz, hol tárolják, és mi védi a széfben. Az első hálózati tulajdonság, a második tárolási és párosítási tulajdonság.

Ezért egy tökéletesen működő alagút semmit sem tesz a jelszavak újrafelhasználása ellen. Nem tud egyedi titkot létrehozni, észrevenni, hogy két fiók egyet oszt meg, vagy megakadályozni, hogy a rossz bejegyzést illessze be egy meggyőző bejelentkező oldal másolatába. Ezek a kezelő és a fiókbeállítás feladatai.

Ez fordítva is igaz. Az erős, egyedi jelszavakkal teli széf semmit sem tesz a titkosítatlan munkamenetet olvasó ellenséges hálózat ellen, és semmit sem tesz azzal a szolgáltatással szemben, amely elutasítja az Ön régiójából érkező kapcsolatokat. Két eszköz, két hibahalmaz, és egy jelentés, amely a rosszat hibáztatja, mindenki idejét pazarolja.

Mit tud és mit nem tud védeni az alagút

Az alagút a forgalmat védi az ügyfél és a VPN-átjáró közötti úton, és a kialakítástól függően az átjáró és a cél között is. Ez a hatókör szűkebb, mint amit a legtöbben vásárláskor feltételeznek. Nem védi azt, ami a hitelesítő adat megérkezése után történik, és nem véd egy olyan munkamenetet, amely olyan útvonalon lép ki, amelyet az alagút soha nem vitt.

Az adathalászat a legvilágosabb eset. A megtévesztő oldalhoz vezető titkosított út továbbra is a rossz címzetthez juttatja a jelszót, és az alagút tökéletesen végezte a dolgát, miközben a fiók elveszett. Az eszközön lévő kártevő a második eset: a böngészőhöz elegendő hozzáféréssel rendelkező program használat közben olvashatja a hitelesítő adatokat, bármilyen rejtjel védi is a vezetéket.

A kilépési cím megváltoztatásának van egy mellékhatása, amelyet érdemes megtervezni. A szolgáltatás további ellenőrzést kérhet, ha egy bejelentkezés új hálózatról érkezik, ami jogszerű válasz, és nem hiba egyik eszközben sem. Különböztesse meg az Ön által kiváltott kérést egy kapcsolódó kódkéréstől.

Hogyan dönti el a kezelő, melyik jelszót kínálja

A kezelők egy mentett bejelentkezést weboldalcímekhez rendelnek, és párosítási szabályokat alkalmaznak. Ezek a szabályok a biztonság szempontjából releváns rész, és konfigurálhatók. A pontos hostegyezés a legszigorúbb; az alapdomain vagy a kezdődik-szabály kényelmesebb, és több aldomaint fed le, köztük olyanokat, amelyeket nem szándékozott.

Ha a várt bejelentkezés hiányzik egy ismeretlen oldalon, olvassa el a címet, mielőtt kézzel másolná a jelszót. Az eltérésnek lehet ártatlan magyarázata, például egy másik aldomain az újratervezés után, és ez lehet az első jele annak is, hogy az oldal nem az, aminek állítja magát. A kézi másolás éppen az a lépés, amelyet a kezelőnek meg kellett volna akadályoznia.

A sikeres automatikus kitöltés sem garancia. A párosítási szabály, a böngésző és az eszközkörnyezet együtt dönti el, mi történik, így egy kitöltött mező azt bizonyítja, hogy a szabály egyezett, nem azt, hogy az oldal valódi.

A széf biztonsága, helyreállítás és export

A széf védelme a kezelő feladata. A termékek különböznek abban, hogyan származtatják a kulcsot, titkosítják a széfet, szinkronizálják és állítják helyre a hozzáférést, és a szállító saját dokumentációja az egyetlen megbízható leírás az Ön által futtatott verzióhoz. A Bitwarden például az ügyféloldali titkosítást architektúrája részeként dokumentálja, ami azt jelenti, hogy a kiszolgáló rejtjelezett szöveget tárol, nem magukat a titkokat.

Értse meg a helyreállítást vészhelyzet előtt. Az elfelejtett fő jelszó helyreállítási módszer nélkül végleges veszteség, a túl könnyű helyreállítási módszer pedig második bejárat. Döntse el, milyen cserét kötött, és írja le.

Az export az a rész, amelyet az emberek elfelejtenek. A letöltési mappában lévő nyílt szövegű export minden hitelesítő adat másolata, és a VPN-hez való csatlakozás egyáltalán nem védi. Ha az export valóban szükséges, titkosítsa, és bizonyítsa, hogy az archívum megnyílik, mielőtt törli a nyílt szöveget.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Tartsa támogatottan a kezelőt, a böngészőt és az operációs rendszert. Egy elavult ügyfél, amely hozzáfér az eszközhöz, nagyobb kockázat a tárolt hitelesítő adatokra, mint amekkora egy titkosítatlan Wi-Fi-hálózat egy megfelelően hitelesített munkamenetre.

Ahol a kettő valóban találkozik

A bejelentkező űrlapon találkoznak, és sehol máshol. Minden, ami előtte van, a hálózathoz tartozik, minden, ami utána, a szolgáltatáshoz. A kezelő titkot szolgáltat, a hálózat szállítja, a szolgáltatás pedig eldönti, elfogadja-e. Az egyedi hitelesítő adatok, a megfelelő további hitelesítés és a helyreállítási terv alagúttal vagy anélkül is hasznos marad, és az alagút hasznos marad ahhoz a hálózati tulajdonsághoz, amelyre valóban szüksége van.

Minden kontrollt arra a problémára válasszon, amelyet valóban megold, és hagyja abba annak várását, hogy az egyik lefedi a másikat. Az alagút nem széf, és a széf nem útvonal.