VPN ar slaptažodžių tvarkyklė: kas sustabdo prisijungimo duomenų vagystę

VPN ir slaptažodžių tvarkyklė abu pasirodo pokalbiuose apie paskyros saugumą, bet saugo skirtingus dalykus. Tunelis perneša užklausą ir paslepia kelią; tvarkyklė nusprendžia, kurią paslaptį pasiūlyti, laiko ją ramybės būsenoje užšifruotą ir įsimena ją už jus. Nė vienas nepakeičia kito, o gedimų režimai vos persidengia. Palyginus juos užduotis po užduoties matyti, kurios kontrolės griebtis, kai kažkas nepavyksta.

Dvi užduotys viename prisijungime

Kai prisijungiate, VPN atsako į transporto klausimą: kokiu keliu eina šie paketai ir ką mato tolimasis galas. Slaptažodžių tvarkyklė atsako į prisijungimo duomenų klausimą: kuri paslaptis priklauso šiai svetainei, kur ji saugoma ir kas ją saugo saugykloje. Pirmoji yra tinklo savybė, antroji – saugojimo ir sutapatinimo savybė.

Todėl nepriekaištingai veikiantis tunelis nieko nepadaro dėl slaptažodžių pakartotinio naudojimo. Jis negali sukurti unikalios paslapties, pastebėti, kad dvi paskyros dalijasi viena, ar sutrukdyti jums įklijuoti netinkamą įrašą į įtikinamą prisijungimo puslapio imitaciją. Tai tvarkyklės ir paskyros sąrankos darbai.

Priešingai irgi tiesa. Saugykla, pilna stiprių unikalių slaptažodžių, nieko nepadaro prieš priešišką tinklą, skaitantį neužšifruotą sesiją, ir nieko prieš paslaugą, atsisakančią jungčių iš jūsų regiono. Du įrankiai, du gedimų rinkiniai, o ataskaita, kaltinanti netinkamą, eikvoja visų laiką.

Ką tunelis gali apsaugoti, o ko ne

Tunelis saugo srautą kelyje tarp kliento ir VPN šliuzo, o priklausomai nuo projekto – ir tarp šliuzo bei paskirties. Ši apimtis siauresnė, nei dauguma mano pirkdami. Jis neapsaugo to, kas nutinka atgabenus prisijungimo duomenis, ir neapsaugo sesijos, kuri išeina keliu, kurio tunelis niekada nenešė.

Fišingas yra aiškiausias atvejis. Užšifruotas kelias į apgaulingą svetainę vis tiek pristato slaptažodį netinkamam gavėjui, o tunelis atliko savo darbą nepriekaištingai, kol paskyra prarandama. Kenkėjiška programinė įranga įrenginyje yra antrasis atvejis: programa, turinti pakankamą prieigą prie naršyklės, gali skaityti prisijungimo duomenis jų naudojimo metu, kad ir koks šifras saugotų liniją.

Išėjimo adreso keitimas turi šalutinį poveikį, kurį verta planuoti. Paslauga gali paprašyti papildomo patvirtinimo, kai prisijungimas ateina iš naujo tinklo, ir tai yra teisėta reakcija, o ne kurio nors įrankio gedimas. Atskirkite jūsų paties sukeltą raginimą nuo nesusijusio kodo prašymo.

Kaip tvarkyklė nusprendžia, kurį slaptažodį pasiūlyti

Tvarkyklės susieja išsaugotą prisijungimą su svetainių adresais ir taiko sutapatinimo taisykles. Šios taisyklės yra saugumui svarbi dalis, ir jas galima konfigūruoti. Tikslus prieglobos sutapimas yra griežčiausias; bazinio domeno arba prasideda-taisyklė yra patogesnė ir apima daugiau subdomenų, įskaitant tuos, kurių nenorėjote.

Kai nežinomame puslapyje trūksta laukiamo prisijungimo, perskaitykite adresą prieš kopijuodami slaptažodį ranka. Nesutapimas gali turėti nekaltą paaiškinimą, pavyzdžiui, kitą subdomeną po pertvarkos, ir gali būti pirmasis ženklas, kad puslapis nėra tai, kuo teigia esąs. Rankinis kopijavimas yra būtent tas žingsnis, kurį tvarkyklė turėjo užkirsti.

Sėkmingas automatinis užpildymas taip pat nėra garantija. Sutapatinimo taisyklė, naršyklė ir įrenginio aplinka kartu nusprendžia, kas įvyks, todėl užpildytas laukas įrodo, kad taisyklė sutapo, o ne kad svetainė tikra.

Saugyklos saugumas, atkūrimas ir eksportas

Saugyklos apsauga priklauso tvarkyklei. Produktai skiriasi tuo, kaip išveda raktą, užšifruoja saugyklą, sinchronizuoja ją ir atkuria prieigą, o paties tiekėjo dokumentacija yra vienintelis patikimas jūsų naudojamos versijos aprašymas. Pavyzdžiui, Bitwarden dokumentuoja kliento pusės šifravimą kaip savo architektūros dalį, o tai reiškia, kad serveris saugo šifrotekstą, o ne pačias paslaptis.

Supraskite atkūrimą prieš ekstremalią situaciją. Pamirštas pagrindinis slaptažodis be atkūrimo metodo yra negrįžtamas praradimas, o per lengvas atkūrimo metodas yra antras įėjimas. Nuspręskite, kokį mainus padarėte, ir užsirašykite.

Eksportas yra ta dalis, kurią žmonės pamiršta. Atviro teksto eksportas atsisiuntimų aplanke yra kiekvieno prisijungimo duomenų kopija, o prisijungimas prie VPN jo visiškai neapsaugo. Jei eksportas tikrai reikalingas, užšifruokite jį ir įrodykite, kad archyvas atsidaro, prieš ištrindami atvirą tekstą.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Palaikykite tvarkyklę, naršyklę ir operacinę sistemą palaikomas. Pasenęs klientas, turintis prieigą prie įrenginio, yra didesnė rizika saugomiems prisijungimo duomenims nei neužšifruotas Wi-Fi tinklas tinkamai autentifikuotai sesijai.

Kur šie du iš tikrųjų susitinka

Jie susitinka prisijungimo formoje ir niekur kitur. Viskas prieš ją priklauso tinklui, viskas po jos – paslaugai. Tvarkyklė pateikia paslaptį, tinklas ją perneša, o paslauga nusprendžia, ar priimti. Unikalūs prisijungimo duomenys, tinkamas papildomas autentifikavimas ir atkūrimo planas išlieka naudingi su tuneliu ar be jo, o tunelis išlieka naudingas tai tinklo savybei, kurios jums tikrai reikia.

Kiekvieną kontrolę rinkitės pagal problemą, kurią ji tikrai sprendžia, ir nustokite tikėtis, kad viena padengs kitą. Tunelis nėra saugykla, o saugykla nėra maršrutas.