VPN atau pengurus kata laluan: mana yang menghalang kecurian kelayakan

VPN dan pengurus kata laluan kedua-duanya muncul dalam perbualan tentang keselamatan akaun, tetapi keduanya melindungi perkara yang berbeza. Terowong membawa permintaan dan menyembunyikan laluan; pengurus menentukan kelayakan mana yang ditawarkan, menyimpannya disulitkan semasa rehat dan mengingatnya untuk anda. Kedua-duanya tidak menggantikan satu sama lain, dan mod kegagalan hampir tidak bertindih. Membandingkan mereka tugas demi tugas menunjukkan kawalan mana yang perlu digunakan apabila sesuatu berlaku tidak kena.

Dua tugas dalam satu log masuk

Apabila anda log masuk, VPN menjawab soalan pengangkutan: laluan mana yang diambil oleh paket ini, dan apa yang dilihat oleh hujung jauh. Pengurus kata laluan menjawab soalan kelayakan: rahsia mana yang dimiliki oleh laman ini, di mana ia disimpan, dan apa yang melindunginya dalam peti besi. Yang pertama ialah sifat rangkaian, yang kedua ialah sifat penyimpanan dan pemadanan.

Sebab itu terowong yang berfungsi sempurna tidak melakukan apa-apa tentang penggunaan semula kata laluan. Ia tidak boleh menghasilkan rahsia unik, perasan bahawa dua akaun berkongsi satu, atau menghalang anda menampal entri yang salah ke dalam tiruan halaman log masuk yang meyakinkan. Itu tugas pengurus dan persediaan akaun.

Sebaliknya juga benar. Peti besi penuh dengan kata laluan kuat yang unik tidak melakukan apa-apa tentang rangkaian bermusuhan yang membaca sesi tidak disulitkan, dan tidak melakukan apa-apa tentang perkhidmatan yang menolak sambungan dari wilayah anda. Dua alat, dua set kegagalan, dan laporan yang menyalahkan alat yang salah membuang masa semua orang.

Apa yang terowong boleh lindungi dan apa yang tidak

Terowong melindungi trafik dalam perjalanan antara klien dan gerbang VPN, dan bergantung pada reka bentuk, antara gerbang dan destinasi. Skop itu lebih sempit daripada yang diandaikan kebanyakan orang semasa membelinya. Ia tidak melindungi apa yang berlaku selepas kelayakan tiba, dan tidak melindungi sesi yang keluar melalui laluan yang tidak pernah dibawa oleh terowong.

Phishing ialah kes paling jelas. Laluan disulitkan ke laman menipu masih menyampaikan kata laluan kepada penerima yang salah, dan terowong telah melakukan tugasnya dengan sempurna sementara akaun hilang. Perisian hasad pada peranti ialah kes kedua: program dengan akses yang mencukupi kepada pelayar boleh membaca kelayakan semasa ia digunakan, apa jua sifer yang melindungi wayar.

Menukar alamat keluar mempunyai kesan sampingan yang wajar dirancang. Perkhidmatan mungkin meminta pengesahan tambahan apabila log masuk datang dari rangkaian baharu, yang merupakan respons sah dan bukan kerosakan pada mana-mana alat. Bezakan permintaan yang anda sendiri cetuskan daripada permintaan kod yang tidak berkaitan.

Bagaimana pengurus memutuskan kata laluan mana yang ditawarkan

Pengurus mengaitkan log masuk tersimpan dengan alamat laman web dan menggunakan peraturan pemadanan. Peraturan itulah bahagian yang berkaitan dengan keselamatan, dan ia boleh dikonfigurasikan. Pemadanan hos yang tepat adalah paling ketat; peraturan domain asas atau bermula-dengan lebih mudah dan meliputi lebih banyak subdomain, termasuk yang tidak anda maksudkan.

Apabila log masuk yang dijangka tiada pada halaman yang tidak dikenali, baca alamat itu sebelum menyalin kata laluan dengan tangan. Ketidakpadanan mungkin mempunyai penjelasan tidak bersalah, seperti subdomain berbeza selepas reka semula, dan ia juga mungkin tanda pertama bahawa halaman itu bukan seperti yang didakwa. Menyalin dengan tangan ialah langkah yang sepatutnya dihalang oleh pengurus.

Isi automatik yang berjaya juga bukan jaminan. Peraturan pemadanan, pelayar dan persekitaran peranti semuanya menentukan apa yang berlaku, jadi medan yang terisi membuktikan peraturan itu padan, bukan bahawa laman itu tulen.

Keselamatan, pemulihan dan eksport peti besi

Perlindungan peti besi adalah urusan pengurus. Produk berbeza dalam cara ia menerbitkan kunci, menyulitkan peti besi, menyegerakkannya dan memulihkan akses, dan dokumentasi vendor itu sendiri ialah satu-satunya penerangan yang boleh dipercayai untuk versi yang anda jalankan. Bitwarden, sebagai contoh, mendokumentasikan penyulitan sebelah klien sebagai sebahagian daripada seni binaannya, yang bermaksud pelayan menyimpan teks sifer dan bukan rahsia itu sendiri.

Fahami pemulihan sebelum kecemasan. Kata laluan induk yang terlupa tanpa kaedah pemulihan ialah kehilangan kekal, dan kaedah pemulihan yang terlalu mudah ialah pintu masuk kedua. Tentukan pertukaran yang anda buat dan tuliskannya.

Eksport ialah bahagian yang orang lupa. Eksport teks biasa dalam folder muat turun ialah salinan setiap kelayakan, dan bersambung ke VPN sama sekali tidak melindunginya. Jika eksport benar-benar diperlukan, sulitkan dan buktikan arkib itu terbuka sebelum anda memadam teks biasa.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Pastikan pengurus, pelayar dan sistem pengendalian disokong. Klien usang dengan akses kepada peranti ialah risiko yang lebih besar kepada kelayakan tersimpan daripada rangkaian Wi-Fi tidak disulitkan kepada sesi yang disahkan dengan betul.

Di mana kedua-duanya benar-benar bertemu

Kedua-duanya bertemu di borang log masuk dan tidak di tempat lain. Segala-galanya sebelum itu milik rangkaian, segala-galanya selepas itu milik perkhidmatan. Pengurus membekalkan rahsia, rangkaian membawanya, dan perkhidmatan memutuskan sama ada untuk menerimanya. Kelayakan unik, pengesahan tambahan yang sesuai dan pelan pemulihan kekal berguna dengan atau tanpa terowong, dan terowong kekal berguna untuk sifat rangkaian yang benar-benar anda perlukan.

Pilih setiap kawalan untuk masalah yang benar-benar diselesaikannya, dan berhenti mengharapkan yang satu menutup yang lain. Terowong bukan peti besi, dan peti besi bukan laluan.