VPN eller passordhandsamar: kva stoppar tjuveri av påloggingsdetaljar

Ein VPN og ein passordhandsamar dukkar begge opp i samtalar om kontotryggleik, men dei verner ulike ting. Tunnelen ber førespurnaden og gøymer vegen; handsamaren avgjer kva løyndom som vert tilboden, held han kryptert i ro og hugsar han for deg. Ingen av dei erstattar den andre, og feilmodusane overlappar så vidt. Å samanlikne dei oppgåve for oppgåve viser kva kontroll ein skal gripe til når noko går gale.

To oppgåver i éi pålogging

Når du loggar på, svarar VPN-et på eit transportspørsmål: kva veg tek desse pakkane, og kva ser den andre enden. Passordhandsamaren svarar på eit påloggingsspørsmål: kva løyndom høyrer til denne nettstaden, kvar vert han lagra, og kva vernar han i kvelvet. Det fyrste er ein nettverkseigenskap, det andre er ein lagrings- og matcheigenskap.

Difor gjer ein perfekt fungerande tunnel ingenting med gjenbruk av passord. Han kan ikkje lage ein unik løyndom, oppdage at to kontoar deler éin, eller hindre deg i å lime inn feil oppføring i ein overtydande etterlikning av ei påloggingsside. Det er oppgåvene til handsamaren og kontooppsettet.

Det motsette er òg sant. Eit kvelv fullt av sterke unike passord gjer ingenting med eit fiendtleg nettverk som les ei ukryptert økt, og ingenting med ein teneste som avviser tilkoplingar frå regionen din. To verktøy, to feilsett, og ein rapport som gir det gale skulda kastar bort tida til alle.

Kva tunnelen kan og ikkje kan verne

Tunnelen vernar trafikk undervegs mellom klienten og VPN-gatewayen og, avhengig av designet, mellom gatewayen og målet. Det omfanget er smalare enn dei fleste føreset når dei kjøper ein. Han vernar ikkje det som skjer etter at påloggingsdetaljane kjem fram, og ikkje ei økt som går ut via ein rute tunnelen aldri bar.

Fisking er det tydelegaste tilfellet. Ein kryptert veg til ein villeiande nettstad leverer likevel passordet til feil mottakar, og tunnelen har gjort jobben sin perfekt medan kontoen er tapt. Vondsinna programvare på eininga er det andre tilfellet: programvare med nok tilgang til nettlesaren kan lese påloggingsdetaljar medan dei vert brukte, uansett kva siffer som vernar leidningen.

Å byte utgangsadresse har ei sideverknad det er verdt å planleggje. Ein teneste kan krevje ekstra stadfesting når ei pålogging kjem frå eit nytt nettverk, noko som er ein legitim respons og ikkje ein feil i nokon av verktøya. Skil ein førespurnad du sjølv utløyste frå ein urelatert førespurnad om ein kode.

Korleis ein handsamar avgjer kva passord som vert tilbode

Handsamarar knyter ei lagra pålogging til nettadresser og brukar matchereglar. Desse reglane er den tryggleiksrelevante delen, og dei kan konfigurerast. Ein nøyaktig vertsmatch er strengast; ein regel for basisdomene eller startar-med er meir praktisk og dekkjer fleire underdomene, òg dei du ikkje hadde til hensikt.

Når den forventa pålogginga manglar på ei ukjend side, les adressa før du kopierer passordet for hand. Eit avvik kan ha ei uskuldig forklaring, som eit anna underdomene etter ein redesign, og det kan òg vere det første teiknet på at sida ikkje er det ho gir seg ut for. Manuell kopiering er nettopp trinnet handsamaren skulle hindre.

Vellykka autofyll er heller inga garanti. Matcheregelen, nettlesaren og einingsmiljøet avgjer alle kva som skjer, så eit fylt felt beviser at regelen matcha, ikkje at nettstaden er ekte.

Tryggleiken, attoppretting og eksport av kvelvet

Vernet av kvelvet er handsamaren sitt ansvar. Produkt varierer i korleis dei utleier nøkkelen, krypterer kvelvet, synkroniserer det og attopprettar tilgang, og dokumentasjonen til leverandøren sjølv er den einaste pålitelege skildringa for versjonen du køyrer. Bitwarden dokumenterer til dømes kryptering på klientsida som ein del av arkitekturen, noko som tyder at tenaren lagrar siffertekst og ikkje løyndomane sjølve.

Forstå attoppretting før ein nødssituasjon. Eit gløymt hovudpassord utan attopprettingsmetode er eit permanent tap, og ein for enkel attopprettingsmetode er ein annan veg inn. Bestem kva bytehandel du har gjort, og skriv han ned.

Eksport er den delen folk gløymer. Ein eksport i klartekst i ei nedlastingsmappe er ein kopi av kvar påloggingsdetalj, og å vere kopla til eit VPN vernar han ikkje i det heile. Viss ein eksport verkeleg er naudsynt, krypter han og prov at arkivet opnar før du slettar klarteksten.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Hald handsamaren, nettlesaren og operativsystemet støtta. Ein utdatert klient med tilgang til eininga er ein større risiko for lagra påloggingsdetaljar enn eit ukryptert Wi-Fi-nettverk er for ei rett autentisert økt.

Kvar dei to faktisk møtest

Dei møtest ved påloggingsskjemaet og ingen andre stader. Alt før det høyrer til nettverket, alt etter det høyrer til tenesta. Handsamaren leverer ein løyndom, nettverket ber han, og tenesta avgjer om han vert godteken. Unike påloggingsdetaljar, passande ekstra autentisering og ein attopprettingsplan held fram med å vere nyttige med eller utan tunnel, og ein tunnel held fram med å vere nyttig for nettverkseigenskapen du faktisk treng.

Vel kvar kontroll for problemet han faktisk løyser, og slutt å vente at den eine dekkjer den andre. Ein tunnel er ikkje eit kvelv, og eit kvelv er ikkje ein rute.