VPN eller passordbehandler: hva stopper tyveri av påloggingsdetaljer

En VPN og en passordbehandler dukker begge opp i samtaler om kontosikkerhet, men de beskytter ulike ting. Tunnelen bærer forespørselen og skjuler veien; behandleren avgjør hvilken hemmelighet som tilbys, holder den kryptert i ro og husker den for deg. Ingen av dem erstatter den andre, og feilmodusene overlapper så vidt. Å sammenligne dem oppgave for oppgave viser hvilken kontroll man skal gripe til når noe går galt.

To oppgaver i én pålogging

Når du logger på, svarer VPN-et på et transportspørsmål: hvilken vei tar disse pakkene, og hva ser den andre enden. Passordbehandleren svarer på et påloggingsspørsmål: hvilken hemmelighet hører til dette nettstedet, hvor lagres den, og hva beskytter den i hvelvet. Det første er en nettverksegenskap, det andre er en lagrings- og matchingsegenskap.

Derfor gjør en perfekt fungerende tunnel ingenting med gjenbruk av passord. Den kan ikke lage en unik hemmelighet, oppdage at to kontoer deler én, eller hindre deg i å lime inn feil oppføring i en overbevisende etterligning av en påloggingsside. Det er behandlerens og kontoopsætningens oppgaver.

Det motsatte er også sant. Et hvelv fullt av sterke unike passord gjør ingenting med et fiendtlig nettverk som leser en ukryptert økt, og ingenting med en tjeneste som avviser tilkoblinger fra din region. To verktøy, to feilsæt, og en rapport som gir det gale skylden kaster bort alles tid.

Hva tunnelen kan og ikke kan beskytte

Tunnelen beskytter trafikk underveis mellom klienten og VPN-gatewayen og, avhengig av designet, mellom gatewayen og målet. Det omfanget er smalere enn de fleste antar når de kjøper en. Den beskytter ikke det som skjer etter at påloggingsdetaljene kommer frem, og ikke en økt som går ut via en rute tunnelen aldri bar.

Fisking er det tydeligste tilfellet. En kryptert vei til et villedende nettsted leverer likevel passordet til feil mottaker, og tunnelen har gjort jobben sin perfekt mens kontoen er tapt. Ondsinnet programvare på enheten er det andre tilfellet: programvare med nok tilgang til nettleseren kan lese påloggingsdetaljer mens de brukes, uansett hvilken chiffer som beskytter ledningen.

Å bytte utgangsadresse har en bivirkning det er verdt å planlegge. En tjeneste kan kreve ekstra verifisering når en pålogging kommer fra et nytt nettverk, noe som er en legitim respons og ikke en feil i noen av verktøyene. Skill en forespørsel du selv utløste fra en urelatert forespørsel om en kode.

Hvordan en behandler avgjør hvilket passord som tilbys

Behandlere knytter en lagret pålogging til nettadresser og bruker matcheregler. Disse reglene er den sikkerhetsrelevante delen, og de kan konfigureres. En nøyaktig vertsmatch er strengest; en regel for basisdomene eller starter-med er mer praktisk og dekker flere underdomener, også de du ikke hadde til hensikt.

Når den forventede påloggingen mangler på en ukjent side, les adressen før du kopierer passordet for hånd. Et avvik kan ha en uskyldig forklaring, som et annet underdomene etter en redesign, og det kan også være det første tegnet på at siden ikke er det den utgir seg for. Manuell kopiering er nettopp trinnet behandleren skulle hindre.

Vellykket autofyll er heller ingen garanti. Matcheregelen, nettleseren og enhetsmiljøet avgjør alle hva som skjer, så et fylt felt beviser at regelen matchet, ikke at nettstedet er ekte.

Hvelvets sikkerhet, gjenoppretting og eksport

Beskyttelsen av hvelvet er behandlerens ansvar. Produkter varierer i hvordan de utleder nøkkelen, krypterer hvelvet, synkroniserer det og gjenoppretter tilgang, og leverandørens egen dokumentasjon er den eneste pålitelige beskrivelsen for versjonen du kjører. Bitwarden dokumenterer for eksempel kryptering på klientsiden som en del av arkitekturen, noe som betyr at serveren lagrer chiffertekst og ikke hemmelighetene selv.

Forstå gjenoppretting før en nødsituasjon. Et glemt hovedpassord uten gjenopprettingsmetode er et permanent tap, og en for enkel gjenopprettingsmetode er en annen vei inn. Bestem hvilken byttehandel du har gjort, og skriv den ned.

Eksport er den delen folk glemmer. En eksport i klartekst i en nedlastingsmappe er en kopi av hver påloggingsdetalj, og å være koblet til en VPN beskytter den ikke i det hele tatt. Hvis en eksport virkelig er nødvendig, krypter den og bevis at arkivet åpnes før du sletter klarteksten.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Hold behandleren, nettleseren og operativsystemet støttet. En utdatert klient med tilgang til enheten er en større risiko for lagrede påloggingsdetaljer enn et ukryptert Wi-Fi-nettverk er for en riktig autentisert økt.

Hvor de to faktisk møtes

De møtes ved påloggingsskjemaet og ingen andre steder. Alt før det tilhører nettverket, alt etter det tilhører tjenesten. Behandleren leverer en hemmelighet, nettverket bærer den, og tjenesten avgjør om den godtas. Unike påloggingsdetaljer, passende ekstra autentisering og en gjenopprettingsplan forblir nyttige med eller uten tunnel, og en tunnel forblir nyttig for nettverksegenskapen du faktisk trenger.

Velg hver kontroll for problemet den faktisk løser, og slutt å forvente at den ene dekker den andre. En tunnel er ikke et hvelv, og et hvelv er ikke en rute.