VPN o gestore di password: cosa ferma il furto di credenziali

Una VPN e un gestore di password compaiono entrambi nelle discussioni sulla sicurezza degli account, ma proteggono cose diverse. Il tunnel trasporta la richiesta e nasconde il percorso; il gestore decide quale credenziale offrire, la mantiene cifrata a riposo e la ricorda per te. Nessuno dei due sostituisce l’altro, e le modalità di guasto si sovrappongono appena. Confrontarli compito per compito mostra a quale controllo ricorrere quando qualcosa va storto.

Due compiti dentro un solo accesso

Quando accedi, la VPN risponde a una domanda di trasporto: quale percorso seguono questi pacchetti e cosa vede l’estremità remota. Il gestore di password risponde a una domanda di credenziali: quale segreto appartiene a questo sito, dove è memorizzato e cosa lo protegge nella cassaforte. Il primo è una proprietà di rete, il secondo una proprietà di archiviazione e abbinamento.

Per questo un tunnel che funziona perfettamente non fa nulla contro il riuso delle password. Non può generare un segreto unico, notare che due account ne condividono uno né impedirti di incollare la voce sbagliata in un’imitazione convincente di una pagina di accesso. Sono compiti del gestore e della configurazione dell’account.

Vale anche il contrario. Una cassaforte piena di password forti e uniche non fa nulla contro una rete ostile che legge una sessione non cifrata, né contro un servizio che rifiuta connessioni dalla tua regione. Due strumenti, due insiemi di guasti, e un rapporto che incolpa quello sbagliato fa perdere tempo a tutti.

Cosa può proteggere il tunnel e cosa no

Il tunnel protegge il traffico in transito tra il client e il gateway VPN e, a seconda del progetto, tra il gateway e la destinazione. Quella portata è più stretta di quanto la maggior parte delle persone supponga quando ne acquista uno. Non protegge ciò che accade dopo l’arrivo della credenziale, né protegge una sessione che esce da un percorso che il tunnel non ha mai portato.

Il phishing è il caso più chiaro. Un percorso cifrato verso un sito ingannevole consegna comunque la password al destinatario sbagliato, e il tunnel ha fatto il suo lavoro perfettamente mentre l’account è perso. Il software dannoso sul dispositivo è il secondo caso: un programma con accesso sufficiente al browser può leggere le credenziali mentre vengono usate, qualunque cifrario protegga il filo.

Cambiare l’indirizzo di uscita ha un effetto collaterale che vale la pena pianificare. Un servizio può chiedere una verifica aggiuntiva quando arriva un accesso da una rete nuova, il che è una risposta legittima e non un difetto di nessuno dei due strumenti. Distingui una richiesta che hai provocato tu da una richiesta di codice non correlata.

Come il gestore decide quale password offrire

I gestori associano un accesso salvato a indirizzi di siti web e applicano regole di abbinamento. Quelle regole sono la parte rilevante per la sicurezza e sono configurabili. Una corrispondenza esatta dell’host è la più rigorosa; una regola di dominio di base o di inizia-per è più comoda e copre più sottodomini, compresi quelli che non intendevi.

Quando l’accesso atteso manca su una pagina sconosciuta, leggi l’indirizzo prima di copiare la password a mano. Una discrepanza può avere una spiegazione innocente, come un sottodominio diverso dopo un restyling, e può anche essere il primo segno che la pagina non è ciò che dichiara. La copia manuale è esattamente il passo che il gestore doveva impedire.

Anche il riempimento automatico riuscito non è una garanzia. La regola di abbinamento, il browser e l’ambiente del dispositivo decidono insieme cosa accade, quindi un campo compilato dimostra che la regola ha corrisposto, non che il sito sia autentico.

Sicurezza, recupero ed esportazione della cassaforte

La protezione della cassaforte spetta al gestore. I prodotti differiscono nel modo in cui derivano la chiave, cifrano la cassaforte, la sincronizzano e recuperano l’accesso, e la documentazione del fornitore stesso è l’unica descrizione affidabile per la versione che esegui. Bitwarden, per esempio, documenta la cifratura lato client come parte della sua architettura, il che significa che il server memorizza testo cifrato e non i segreti stessi.

Comprendi il recupero prima di un’emergenza. Una password principale dimenticata senza metodo di recupero è una perdita definitiva, e un metodo di recupero troppo facile è una seconda via d’ingresso. Decidi quale scambio hai fatto e scrivilo.

L’esportazione è la parte che le persone dimenticano. Un’esportazione in chiaro in una cartella dei download è una copia di ogni credenziale, ed essere connesso a una VPN non la protegge affatto. Se un’esportazione è davvero necessaria, cifrala e dimostra che l’archivio si apre prima di cancellare il testo in chiaro.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Mantieni il gestore, il browser e il sistema operativo supportati. Un client obsoleto con accesso al dispositivo è un rischio maggiore per le credenziali memorizzate di quanto lo sia una rete Wi-Fi non cifrata per una sessione autenticata correttamente.

Dove i due si incontrano davvero

Si incontrano nel modulo di accesso e in nessun altro luogo. Tutto ciò che precede appartiene alla rete, tutto ciò che segue appartiene al servizio. Il gestore fornisce un segreto, la rete lo trasporta e il servizio decide se accettarlo. Credenziali uniche, un’autenticazione aggiuntiva adeguata e un piano di recupero restano utili con o senza tunnel, e un tunnel resta utile per la proprietà di rete di cui hai davvero bisogno.

Scegli ogni controllo per il problema che risolve davvero e smetti di aspettarti che uno copra l’altro. Un tunnel non è una cassaforte, e una cassaforte non è un percorso.