VPNとパスワードマネージャー：認証情報の盗難を止めるのはどちらか

VPNとパスワードマネージャーはどちらもアカウントの安全性の話題に登場しますが、守る対象は違います。トンネルはリクエストを運び経路を隠しますが、マネージャーはどの認証情報を提示するかを決め、保管時には暗号化して保持し、あなたの代わりに覚えておきます。どちらも他方を代替せず、障害の仕方もほとんど重なりません。作業ごとに比べれば、何か問題が起きたときにどちらの制御を使うべきかが見えます。

一度のログインにある二つの作業

ログインすると、VPNは転送の問い、つまりこのパケットがどの経路を通り遠端から何が見えるかに答えます。パスワードマネージャーは認証情報の問い、つまりどの秘密がこのサイトのものか、どこに保存され、保管庫の中で何がそれを守るかに答えます。前者はネットワークの性質、後者は保存と照合の性質です。

だから完璧に動くトンネルはパスワードの使い回しに何の効果もありません。固有の秘密を作ることも、二つのアカウントが同じものを共有していると気づくことも、ログイン画面の巧妙な模倣に誤った項目を貼り付けるのを止めることもできません。それはマネージャーとアカウント設定の仕事です。

逆もまた真です。強力で固有のパスワードで満たされた保管庫は、暗号化されていないセッションを読む敵対的なネットワークには何の効果もなく、あなたの地域からの接続を拒むサービスにも何の効果もありません。二つの道具、二組の障害、そして誤った道具を責める報告は全員の時間を浪費します。

トンネルが守れるものと守れないもの

トンネルはクライアントとVPNゲートウェイの間、そして設計によってはゲートウェイと宛先の間の通信を守ります。その範囲は多くの人が購入時に想定するより狭いものです。認証情報が届いた後に起きることや、トンネルが運んだことのない経路から出ていくセッションは守りません。

フィッシングが最も明快な例です。偽のサイトへの暗号化された経路でもパスワードは誤った相手に届き、アカウントが失われる間もトンネルは完璧に仕事を果たしています。端末上のマルウェアが二つ目の例で、ブラウザへの十分なアクセスを持つプログラムは、回線をどんな暗号が守っていても、使われる瞬間の認証情報を読めます。

出口アドレスを変えることには、計画しておく価値のある副作用があります。新しいネットワークからログインが来ると、サービスが追加の確認を求めることがあり、これは正当な反応であってどちらの道具の不具合でもありません。自分が起こした要求と無関係なコード要求を区別してください。

マネージャーはどのパスワードを提示するかをどう決めるか

マネージャーは保存したログインをウェブサイトのアドレスに関連付け、照合規則を適用します。その規則こそがセキュリティに関わる部分で、設定できます。ホストの完全一致が最も厳格ですが、基本ドメインや前方一致の規則は便利で、意図しなかったサブドメインも含めてより多くのサブドメインを覆います。

見慣れないページで期待したログインが見つからないときは、手でパスワードをコピーする前にアドレスを読んでください。不一致には、再設計後の別のサブドメインといった無害な説明があることも、ページが名乗るものではないという最初の兆候であることもあります。手作業のコピーは、まさにマネージャーが防ぐはずだった手順です。

自動入力の成功も保証ではありません。照合規則、ブラウザ、端末の環境がすべてを決めるので、欄が埋まったことは規則が一致した証明であって、サイトが本物だという証明ではありません。

保管庫の安全性、復旧、エクスポート

保管庫の保護はマネージャーの担当です。製品ごとに鍵の導出、保管庫の暗号化、同期、アクセス復旧の方法が異なり、実行している版について信頼できる説明はベンダー自身の文書だけです。たとえばBitwardenはクライアント側の暗号化をアーキテクチャの一部として文書化しており、つまりサーバーは秘密そのものではなく暗号文を保存します。

緊急事態の前に復旧を理解してください。復旧方法のない忘れたマスターパスワードは恒久的な喪失であり、あまりに簡単な復旧方法は二つ目の入り口です。どちらの取引をしたのかを決めて書き留めてください。

エクスポートは人が忘れる部分です。ダウンロードフォルダに置かれた平文のエクスポートはあらゆる認証情報の複製であり、VPNに接続していてもまったく守られません。本当にエクスポートが必要なら、暗号化し、平文を削除する前にアーカイブが開くことを確かめてください。

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

マネージャー、ブラウザ、オペレーティングシステムをサポートされた状態に保ってください。端末へのアクセスを持つ古いクライアントは、保存された認証情報にとって、適切に認証されたセッションに対する暗号化なしのWi-Fiネットワークよりも大きな危険です。

二つが実際に出会う場所

二つはログインフォームで出会い、それ以外のどこでも出会いません。その前のすべてはネットワークに属し、その後のすべてはサービスに属します。マネージャーが秘密を提供し、ネットワークがそれを運び、サービスが受け入れるかどうかを決めます。固有の認証情報、適切な追加認証、復旧計画はトンネルの有無にかかわらず役に立ち、トンネルは本当に必要なネットワークの性質のために役に立ちます。

それぞれの制御は、それが実際に解く問題のために選び、片方がもう片方を覆うという期待をやめてください。トンネルは保管庫ではなく、保管庫は経路ではありません。