VPN of wachtwoordmanager: wat de diefstal van inloggegevens stopt

Een VPN en een wachtwoordmanager komen allebei ter sprake in gesprekken over accountbeveiliging, maar ze beschermen verschillende dingen. De tunnel draagt het verzoek en verbergt de route; de manager bepaalt welke inloggegevens worden aangeboden, houdt ze versleuteld in rust en onthoudt ze voor u. Geen van beide vervangt de ander, en de faalwijzen overlappen nauwelijks. Ze taak voor taak vergelijken laat zien welke controle u moet pakken als er iets misgaat.

Twee taken binnen één login

Als u inlogt, beantwoordt de VPN een transportvraag: welke route nemen deze pakketten, en wat ziet de andere kant. De wachtwoordmanager beantwoordt een vraag over inloggegevens: welk geheim hoort bij deze site, waar wordt het opgeslagen, en wat beschermt het in de kluis. Het eerste is een netwerkeigenschap, het tweede een opslag- en koppelingseigenschap.

Daarom doet een perfect werkende tunnel niets aan hergebruik van wachtwoorden. Hij kan geen uniek geheim maken, niet opmerken dat twee accounts er één delen, en u er niet van weerhouden de verkeerde invoer in een overtuigende nabootsing van een inlogpagina te plakken. Dat zijn taken van de manager en van de accountinstelling.

Het omgekeerde geldt ook. Een kluis vol sterke unieke wachtwoorden doet niets aan een vijandig netwerk dat een onversleutelde sessie leest, en niets aan een dienst die verbindingen uit uw regio weigert. Twee gereedschappen, twee sets storingen, en een rapport dat de verkeerde de schuld geeft kost iedereen tijd.

Wat de tunnel wel en niet kan beschermen

De tunnel beschermt verkeer onderweg tussen de client en de VPN-gateway en, afhankelijk van het ontwerp, tussen de gateway en de bestemming. Die reikwijdte is smaller dan de meeste mensen aannemen als ze er een kopen. Hij beschermt niet wat er gebeurt nadat de inloggegevens aankomen, en niet een sessie die vertrekt via een route die de tunnel nooit heeft gedragen.

Phishing is het duidelijkste geval. Een versleutelde route naar een misleidende site levert het wachtwoord nog steeds bij de verkeerde ontvanger af, en de tunnel heeft zijn werk perfect gedaan terwijl het account verloren gaat. Malware op het apparaat is het tweede geval: software met voldoende toegang tot de browser kan inloggegevens lezen terwijl ze worden gebruikt, welke cipher de lijn ook beschermt.

Het wijzigen van het uitgaande adres heeft een bijwerking die het plannen waard is. Een dienst kan om extra verificatie vragen wanneer een login van een nieuw netwerk komt, wat een legitieme reactie is en geen fout in een van beide gereedschappen. Onderscheid een verzoek dat u zelf hebt uitgelokt van een losstaand verzoek om een code.

Hoe een manager bepaalt welk wachtwoord wordt aangeboden

Managers koppelen een opgeslagen login aan webadressen en passen koppelingsregels toe. Die regels zijn het beveiligingsrelevante deel, en ze zijn configureerbaar. Een exacte hostmatch is het strengst; een regel voor het basisdomein of begint-met is handiger en dekt meer subdomeinen, ook degene die u niet bedoelde.

Als de verwachte login ontbreekt op een onbekende pagina, lees dan het adres voordat u het wachtwoord met de hand kopieert. Een afwijking kan een onschuldige verklaring hebben, zoals een ander subdomein na een herontwerp, en het kan ook het eerste teken zijn dat de pagina niet is wat ze beweert. Handmatig kopiëren is precies de stap die de manager had moeten voorkomen.

Geslaagd automatisch invullen is ook geen garantie. De koppelingsregel, de browser en de apparaatomgeving bepalen samen wat er gebeurt, dus een ingevuld veld bewijst dat de regel overeenkwam, niet dat de site echt is.

Kluisbeveiliging, herstel en export

De bescherming van de kluis is aan de manager. Producten verschillen in hoe ze de sleutel afleiden, de kluis versleutelen, synchroniseren en toegang herstellen, en de documentatie van de leverancier zelf is de enige betrouwbare beschrijving voor de versie die u draait. Bitwarden documenteert bijvoorbeeld client-side versleuteling als onderdeel van zijn architectuur, wat betekent dat de server ciphertext opslaat en niet de geheimen zelf.

Begrijp herstel vóór een noodgeval. Een vergeten hoofdwachtwoord zonder herstelmethode is een permanent verlies, en een te gemakkelijke herstelmethode is een tweede ingang. Bepaal welke ruil u hebt gedaan en schrijf die op.

Export is het deel dat mensen vergeten. Een export in platte tekst in een downloadmap is een kopie van elke inloggegeven, en verbonden zijn met een VPN beschermt die helemaal niet. Als een export echt nodig is, versleutel die dan en bewijs dat het archief opent voordat u de platte tekst verwijdert.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Houd de manager, de browser en het besturingssysteem ondersteund. Een verouderde client met toegang tot het apparaat is een groter risico voor opgeslagen inloggegevens dan een onversleuteld Wi-Fi-netwerk is voor een correct geauthenticeerde sessie.

Waar de twee elkaar echt ontmoeten

Ze ontmoeten elkaar bij het loginformulier en nergens anders. Alles daarvoor hoort bij het netwerk, alles daarna bij de dienst. De manager levert een geheim, het netwerk draagt het, en de dienst beslist of het wordt aanvaard. Unieke inloggegevens, passende extra authenticatie en een herstelplan blijven nuttig met of zonder tunnel, en een tunnel blijft nuttig voor de netwerkeigenschap die u echt nodig hebt.

Kies elke controle voor het probleem dat ze echt oplost, en verwacht niet langer dat de ene de andere dekt. Een tunnel is geen kluis, en een kluis is geen route.