VPN atau pengelola kata sandi: mana yang menghentikan pencurian kredensial

VPN dan pengelola kata sandi sama-sama muncul dalam pembicaraan tentang keamanan akun, tetapi keduanya melindungi hal yang berbeda. Terowongan membawa permintaan dan menyembunyikan jalur; pengelola memutuskan kredensial mana yang ditawarkan, menyimpannya terenkripsi saat diam dan mengingatnya untuk Anda. Keduanya tidak saling menggantikan, dan mode kegagalannya hampir tidak bertumpang tindih. Membandingkannya tugas demi tugas menunjukkan kendali mana yang harus dipakai ketika ada yang salah.

Dua tugas dalam satu proses masuk

Saat Anda masuk, VPN menjawab pertanyaan transportasi: jalur mana yang diambil paket-paket ini, dan apa yang dilihat ujung jauh. Pengelola kata sandi menjawab pertanyaan kredensial: rahasia mana yang menjadi milik situs ini, di mana disimpan, dan apa yang melindunginya di brankas. Yang pertama adalah sifat jaringan, yang kedua sifat penyimpanan dan pencocokan.

Karena itu terowongan yang bekerja sempurna tidak melakukan apa pun terhadap penggunaan ulang kata sandi. Ia tidak dapat membuat rahasia unik, menyadari bahwa dua akun berbagi satu, atau mencegah Anda menempelkan entri yang salah ke tiruan halaman masuk yang meyakinkan. Itu tugas pengelola dan penyiapan akun.

Sebaliknya juga benar. Brankas penuh kata sandi kuat yang unik tidak melakukan apa pun terhadap jaringan bermusuhan yang membaca sesi tanpa enkripsi, dan tidak melakukan apa pun terhadap layanan yang menolak koneksi dari wilayah Anda. Dua alat, dua rangkaian kegagalan, dan laporan yang menyalahkan alat yang salah membuang waktu semua orang.

Apa yang bisa dan tidak bisa dilindungi terowongan

Terowongan melindungi lalu lintas dalam perjalanan antara klien dan gateway VPN, dan tergantung rancangan juga antara gateway dan tujuan. Cakupan itu lebih sempit daripada yang diasumsikan kebanyakan orang saat membelinya. Ia tidak melindungi apa yang terjadi setelah kredensial tiba, dan tidak melindungi sesi yang keluar melalui rute yang tidak pernah dibawa terowongan.

Phishing adalah kasus paling jelas. Jalur terenkripsi ke situs menipu tetap mengirimkan kata sandi kepada penerima yang salah, dan terowongan telah melakukan tugasnya dengan sempurna sementara akun hilang. Malware di perangkat adalah kasus kedua: program dengan akses cukup ke peramban dapat membaca kredensial saat digunakan, apa pun cipher yang melindungi kabel.

Mengubah alamat keluar punya efek samping yang layak direncanakan. Layanan mungkin meminta verifikasi tambahan ketika proses masuk datang dari jaringan baru, yang merupakan respons sah dan bukan kesalahan salah satu alat. Bedakan permintaan yang Anda picu sendiri dari permintaan kode yang tidak terkait.

Bagaimana pengelola memutuskan kata sandi mana yang ditawarkan

Pengelola mengaitkan proses masuk tersimpan dengan alamat situs web dan menerapkan aturan pencocokan. Aturan itu adalah bagian yang relevan bagi keamanan, dan dapat dikonfigurasi. Pencocokan host persis adalah yang paling ketat; aturan domain dasar atau diawali-dengan lebih nyaman dan mencakup lebih banyak subdomain, termasuk yang tidak Anda maksudkan.

Ketika proses masuk yang diharapkan tidak ada di halaman asing, baca alamatnya sebelum menyalin kata sandi dengan tangan. Ketidakcocokan bisa punya penjelasan tak bersalah, seperti subdomain berbeda setelah desain ulang, dan bisa juga menjadi tanda pertama bahwa halaman itu bukan seperti yang diklaim. Menyalin dengan tangan justru langkah yang seharusnya dicegah pengelola.

Isi otomatis yang berhasil juga bukan jaminan. Aturan pencocokan, peramban dan lingkungan perangkat semuanya menentukan apa yang terjadi, jadi kolom yang terisi membuktikan aturannya cocok, bukan bahwa situsnya asli.

Keamanan, pemulihan dan ekspor brankas

Perlindungan brankas adalah urusan pengelola. Produk berbeda dalam cara menurunkan kunci, mengenkripsi brankas, menyinkronkannya dan memulihkan akses, dan dokumentasi vendor itu sendiri adalah satu-satunya uraian tepercaya untuk versi yang Anda jalankan. Bitwarden, misalnya, mendokumentasikan enkripsi sisi klien sebagai bagian arsitekturnya, yang berarti server menyimpan teks terenkripsi dan bukan rahasianya sendiri.

Pahami pemulihan sebelum keadaan darurat. Kata sandi utama yang terlupakan tanpa metode pemulihan adalah kehilangan permanen, dan metode pemulihan yang terlalu mudah adalah jalan masuk kedua. Putuskan pertukaran apa yang Anda buat dan tuliskan.

Ekspor adalah bagian yang orang lupakan. Ekspor teks biasa di folder unduhan adalah salinan setiap kredensial, dan tersambung ke VPN sama sekali tidak melindunginya. Jika ekspor benar-benar diperlukan, enkripsikan dan buktikan arsipnya terbuka sebelum Anda menghapus teks biasa.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Jaga pengelola, peramban dan sistem operasi tetap didukung. Klien usang dengan akses ke perangkat adalah risiko yang lebih besar bagi kredensial tersimpan daripada jaringan Wi-Fi tanpa enkripsi bagi sesi yang terautentikasi dengan benar.

Di mana keduanya benar-benar bertemu

Keduanya bertemu di formulir masuk dan tidak di tempat lain. Segala hal sebelumnya milik jaringan, segala hal sesudahnya milik layanan. Pengelola menyediakan rahasia, jaringan membawanya, dan layanan memutuskan apakah menerimanya. Kredensial unik, autentikasi tambahan yang tepat dan rencana pemulihan tetap berguna dengan atau tanpa terowongan, dan terowongan tetap berguna untuk sifat jaringan yang benar-benar Anda butuhkan.

Pilih setiap kendali untuk masalah yang benar-benar diatasinya, dan berhenti mengharapkan yang satu menutupi yang lain. Terowongan bukan brankas, dan brankas bukan rute.