VPN czy menedżer haseł: co powstrzymuje kradzież danych logowania

VPN i menedżer haseł pojawiają się w rozmowach o bezpieczeństwie kont, ale chronią różne rzeczy. Tunel przenosi żądanie i ukrywa drogę; menedżer decyduje, który sekret zaproponować, trzyma go zaszyfrowanego w spoczynku i pamięta go za ciebie. Żaden nie zastępuje drugiego, a tryby awarii ledwo się pokrywają. Porównanie zadanie po zadaniu pokazuje, po którą kontrolę sięgnąć, gdy coś idzie nie tak.

Dwa zadania w jednym logowaniu

Gdy się logujesz, VPN odpowiada na pytanie transportowe: którą drogą idą te pakiety i co widzi druga strona. Menedżer haseł odpowiada na pytanie o dane logowania: który sekret należy do tej witryny, gdzie jest przechowywany i co go chroni w sejfie. Pierwsze jest właściwością sieci, drugie właściwością przechowywania i dopasowania.

Dlatego doskonale działający tunel nic nie robi z ponownym użyciem haseł. Nie potrafi utworzyć unikalnego sekretu, zauważyć, że dwa konta dzielą jeden, ani powstrzymać cię przed wklejeniem błędnego wpisu do przekonującej imitacji strony logowania. To zadania menedżera i konfiguracji konta.

Odwrotnie też jest prawdą. Sejf pełen silnych, unikalnych haseł nic nie robi wobec wrogiej sieci czytającej niezaszyfrowaną sesję ani wobec usługi, która odrzuca połączenia z twojego regionu. Dwa narzędzia, dwa zbiory awarii, a raport obwiniający niewłaściwe marnuje wszystkim czas.

Co tunel może ochronić, a czego nie

Tunel chroni ruch w drodze między klientem a bramą VPN i, w zależności od projektu, między bramą a celem. Ten zakres jest węższy, niż większość zakłada przy zakupie. Nie chroni tego, co dzieje się po dotarciu danych logowania, ani sesji, która wychodzi drogą, której tunel nigdy nie niósł.

Phishing to najjaśniejszy przypadek. Zaszyfrowana droga do zwodniczej witryny wciąż dostarcza hasło niewłaściwemu odbiorcy, a tunel wykonał swoją pracę doskonale, podczas gdy konto jest tracone. Złośliwe oprogramowanie na urządzeniu to drugi przypadek: program z wystarczającym dostępem do przeglądarki może czytać dane logowania w momencie ich użycia, niezależnie od tego, jaki szyfr chroni linię.

Zmiana adresu wyjścia ma skutek uboczny, który warto zaplanować. Usługa może zażądać dodatkowej weryfikacji, gdy logowanie przychodzi z nowej sieci, co jest reakcją uzasadnioną, a nie usterką któregokolwiek narzędzia. Odróżnij monit, który sam wywołałeś, od niezwiązanego żądania kodu.

Jak menedżer decyduje, które hasło zaproponować

Menedżerowie wiążą zapisane logowanie z adresami witryn i stosują reguły dopasowania. Te reguły to część istotna dla bezpieczeństwa i można je konfigurować. Dokładne dopasowanie hosta jest najostrzejsze; reguła domeny bazowej lub zaczyna-się jest wygodniejsza i obejmuje więcej subdomen, w tym te niezamierzone.

Gdy oczekiwanego logowania brakuje na nieznanej stronie, przeczytaj adres, zanim skopiujesz hasło ręcznie. Niezgodność może mieć niewinne wyjaśnienie, na przykład inną subdomenę po zmianie wyglądu, i może też być pierwszym sygnałem, że strona nie jest tym, za co się podaje. Ręczne kopiowanie to dokładnie ten krok, któremu menedżer miał zapobiec.

Udane autouzupełnianie też nie jest gwarancją. Reguła dopasowania, przeglądarka i środowisko urządzenia decydują wspólnie, co się stanie, więc wypełnione pole dowodzi, że reguła pasowała, a nie że witryna jest autentyczna.

Bezpieczeństwo, odzyskiwanie i eksport sejfu

Ochrona sejfu należy do menedżera. Produkty różnią się sposobem wyprowadzania klucza, szyfrowania sejfu, synchronizacji i odzyskiwania dostępu, a dokumentacja samego dostawcy jest jedynym wiarygodnym opisem dla wersji, którą uruchamiasz. Bitwarden na przykład dokumentuje szyfrowanie po stronie klienta jako część swojej architektury, co oznacza, że serwer przechowuje szyfrogram, a nie same sekrety.

Zrozum odzyskiwanie przed sytuacją awaryjną. Zapomniane hasło główne bez metody odzyskiwania to trwała utrata, a zbyt łatwa metoda odzyskiwania to drugie wejście. Zdecyduj, jakiej wymiany dokonałeś, i zapisz to.

Eksport to część, o której ludzie zapominają. Eksport w postaci czystego tekstu w folderze pobierania jest kopią każdej danej logowania, a połączenie z VPN wcale go nie chroni. Jeśli eksport jest naprawdę potrzebny, zaszyfruj go i udowodnij, że archiwum się otwiera, zanim usuniesz czysty tekst.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Utrzymuj menedżera, przeglądarkę i system operacyjny we wsparciu. Przestarzały klient z dostępem do urządzenia to większe ryzyko dla przechowywanych danych logowania niż niezaszyfrowana sieć Wi-Fi dla poprawnie uwierzytelnionej sesji.

Gdzie te dwa naprawdę się spotykają

Spotykają się przy formularzu logowania i nigdzie indziej. Wszystko przed nim należy do sieci, wszystko po nim należy do usługi. Menedżer dostarcza sekret, sieć go przenosi, a usługa decyduje, czy go przyjąć. Unikalne dane logowania, odpowiednie uwierzytelnianie dodatkowe i plan odzyskiwania pozostają użyteczne z tunelem lub bez, a tunel pozostaje użyteczny dla właściwości sieci, której naprawdę potrzebujesz.

Wybieraj każdą kontrolę do problemu, który naprawdę rozwiązuje, i przestań oczekiwać, że jedna pokryje drugą. Tunel to nie sejf, a sejf to nie trasa.