VPN과 비밀번호 관리자: 자격 증명 도난을 막는 쪽은 어느 것인가

VPN과 비밀번호 관리자는 모두 계정 보안에 관한 대화에 등장하지만 서로 다른 것을 보호합니다. 터널은 요청을 옮기고 경로를 숨기지만, 관리자는 어떤 자격 증명을 제공할지 결정하고 저장 상태에서 암호화해 두며 사용자를 대신해 기억합니다. 어느 쪽도 다른 쪽을 대신하지 못하고, 실패 방식도 거의 겹치지 않습니다. 작업별로 비교하면 문제가 생겼을 때 어느 통제를 써야 하는지 드러납니다.

한 번의 로그인 안에 있는 두 가지 작업

로그인할 때 VPN은 전송에 관한 질문, 즉 이 패킷이 어느 경로로 가고 반대편이 무엇을 보는가에 답합니다. 비밀번호 관리자는 자격 증명에 관한 질문, 즉 어느 비밀이 이 사이트의 것인지, 어디에 저장되는지, 보관함에서 무엇이 그것을 보호하는지에 답합니다. 전자는 네트워크 속성이고 후자는 저장과 대조의 속성입니다.

그래서 완벽하게 동작하는 터널은 비밀번호 재사용에 아무것도 하지 못합니다. 고유한 비밀을 만들 수도, 두 계정이 하나를 공유한다는 것을 알아챌 수도, 로그인 페이지를 정교하게 흉내 낸 곳에 잘못된 항목을 붙여 넣는 것을 막을 수도 없습니다. 그것은 관리자와 계정 설정의 일입니다.

반대도 사실입니다. 강력하고 고유한 비밀번호로 가득한 보관함은 암호화되지 않은 세션을 읽는 적대적 네트워크에 아무것도 하지 못하고, 사용자의 지역에서 오는 연결을 거부하는 서비스에도 아무것도 하지 못합니다. 두 도구, 두 가지 실패 집합, 그리고 잘못된 도구를 탓하는 보고서는 모두의 시간을 낭비합니다.

터널이 지킬 수 있는 것과 없는 것

터널은 클라이언트와 VPN 게이트웨이 사이, 그리고 설계에 따라 게이트웨이와 목적지 사이를 오가는 트래픽을 보호합니다. 그 범위는 대부분의 사람이 구매할 때 가정하는 것보다 좁습니다. 자격 증명이 도착한 뒤에 일어나는 일은 보호하지 않고, 터널이 한 번도 실어 나르지 않은 경로로 나가는 세션도 보호하지 않습니다.

피싱이 가장 분명한 사례입니다. 기만적인 사이트로 가는 암호화된 경로도 비밀번호를 잘못된 수신자에게 전달하며, 계정을 잃는 동안에도 터널은 완벽하게 제 일을 해냈습니다. 기기의 악성코드가 두 번째 사례로, 브라우저에 충분히 접근할 수 있는 프로그램은 회선을 어떤 암호가 보호하든 자격 증명이 사용되는 순간 읽을 수 있습니다.

출구 주소를 바꾸는 데는 계획할 만한 부작용이 있습니다. 서비스는 새 네트워크에서 로그인이 오면 추가 확인을 요구할 수 있으며, 이는 정당한 반응이지 두 도구의 결함이 아닙니다. 사용자가 자초한 요청과 무관한 코드 요청을 구분하십시오.

관리자는 어떤 비밀번호를 제공할지 어떻게 정하는가

관리자는 저장된 로그인을 웹사이트 주소와 연결하고 대조 규칙을 적용합니다. 그 규칙이 보안과 관련된 부분이며 설정할 수 있습니다. 호스트의 정확한 일치가 가장 엄격하지만, 기본 도메인이나 시작-일치 규칙은 더 편리하고 의도하지 않은 하위 도메인까지 더 많은 하위 도메인을 포괄합니다.

낯선 페이지에서 기대한 로그인이 없으면 손으로 비밀번호를 복사하기 전에 주소를 읽으십시오. 불일치에는 재설계 후 다른 하위 도메인처럼 무해한 설명이 있을 수도 있고, 페이지가 주장하는 것이 아니라는 첫 신호일 수도 있습니다. 손으로 복사하는 것은 관리자가 막아야 했던 바로 그 단계입니다.

자동 채우기가 성공해도 보장은 아닙니다. 대조 규칙, 브라우저, 기기 환경이 모두 함께 결정하므로 채워진 입력란은 규칙이 일치했다는 증거일 뿐 사이트가 진짜라는 증거는 아닙니다.

보관함 보안, 복구, 내보내기

보관함 보호는 관리자의 몫입니다. 제품마다 키를 유도하고 보관함을 암호화하고 동기화하며 접근을 복구하는 방식이 다르고, 실행 중인 버전에 대해 신뢰할 수 있는 설명은 공급업체 자체 문서뿐입니다. 예를 들어 Bitwarden은 클라이언트 측 암호화를 아키텍처의 일부로 문서화하며, 이는 서버가 비밀 자체가 아니라 암호문을 저장한다는 뜻입니다.

비상 상황 전에 복구를 이해하십시오. 복구 방법이 없는 잊어버린 마스터 비밀번호는 영구적인 손실이고, 너무 쉬운 복구 방법은 두 번째 입구입니다. 어떤 맞바꿈을 했는지 정하고 적어 두십시오.

내보내기는 사람들이 잊는 부분입니다. 다운로드 폴더에 있는 평문 내보내기는 모든 자격 증명의 사본이며, VPN에 연결되어 있다고 해서 전혀 보호되지 않습니다. 내보내기가 정말 필요하다면 암호화하고 평문을 지우기 전에 보관 파일이 열리는지 확인하십시오.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

관리자, 브라우저, 운영체제를 지원되는 상태로 유지하십시오. 기기에 접근할 수 있는 오래된 클라이언트는 저장된 자격 증명에 대해 암호화되지 않은 Wi-Fi 네트워크가 제대로 인증된 세션에 가하는 위험보다 큰 위험입니다.

둘이 실제로 만나는 곳

둘은 로그인 양식에서 만나고 다른 곳에서는 만나지 않습니다. 그 이전의 모든 것은 네트워크의 몫이고, 그 이후의 모든 것은 서비스의 몫입니다. 관리자는 비밀을 공급하고, 네트워크는 그것을 옮기며, 서비스는 받아들일지 결정합니다. 고유한 자격 증명, 적절한 추가 인증, 복구 계획은 터널이 있든 없든 유용하며, 터널은 정말로 필요한 네트워크 속성을 위해 유용합니다.

각 통제는 그것이 실제로 해결하는 문제를 위해 고르고, 하나가 다른 하나를 덮으리라는 기대를 버리십시오. 터널은 보관함이 아니고, 보관함은 경로가 아닙니다.