VPN ou gerenciador de senhas: o que impede o roubo de credenciais

Uma VPN e um gerenciador de senhas aparecem ambos nas conversas sobre segurança de contas, mas protegem coisas diferentes. O túnel transporta a solicitação e esconde o caminho; o gerenciador decide qual credencial oferecer, mantém-na cifrada em repouso e lembra-se dela por você. Nenhum substitui o outro, e os modos de falha quase não se sobrepõem. Compará-los tarefa por tarefa mostra a qual controle recorrer quando algo dá errado.

Duas tarefas dentro de um único login

Quando você entra, a VPN responde a uma pergunta de transporte: que caminho esses pacotes percorrem e o que a outra ponta vê. O gerenciador de senhas responde a uma pergunta de credenciais: qual segredo pertence a este site, onde ele é armazenado e o que o protege no cofre. O primeiro é uma propriedade de rede, o segundo é uma propriedade de armazenamento e correspondência.

Por isso um túnel que funciona perfeitamente não faz nada contra a reutilização de senhas. Ele não pode gerar um segredo único, notar que duas contas compartilham um nem impedir que você cole a entrada errada numa imitação convincente de uma página de login. Essas são tarefas do gerenciador e da configuração da conta.

O contrário também é verdadeiro. Um cofre cheio de senhas fortes e únicas não faz nada contra uma rede hostil que lê uma sessão sem criptografia, nem contra um serviço que recusa conexões da sua região. Duas ferramentas, dois conjuntos de falhas, e um relatório que culpa a errada faz todo mundo perder tempo.

O que o túnel pode e não pode proteger

O túnel protege o tráfego em trânsito entre o cliente e o gateway VPN e, conforme o projeto, entre o gateway e o destino. Esse escopo é mais estreito do que a maioria supõe ao comprar um. Ele não protege o que acontece depois que a credencial chega, nem protege uma sessão que sai por uma rota que o túnel nunca carregou.

O phishing é o caso mais claro. Um caminho cifrado até um site enganoso ainda entrega a senha ao destinatário errado, e o túnel fez seu trabalho perfeitamente enquanto a conta se perde. O software malicioso no dispositivo é o segundo caso: um programa com acesso suficiente ao navegador pode ler credenciais enquanto são usadas, seja qual for a cifra que protege o fio.

Mudar o endereço de saída tem um efeito colateral que vale a pena planejar. Um serviço pode pedir verificação adicional quando um login chega de uma rede nova, o que é uma resposta legítima e não um defeito de nenhuma das duas ferramentas. Distinga uma solicitação que você mesmo provocou de um pedido de código não relacionado.

Como o gerenciador decide qual senha oferecer

Os gerenciadores associam um login salvo a endereços de sites e aplicam regras de correspondência. Essas regras são a parte relevante para a segurança, e são configuráveis. Uma correspondência exata de host é a mais rigorosa; uma regra de domínio base ou de começa-com é mais conveniente e cobre mais subdomínios, incluindo os que você não pretendia.

Quando o login esperado falta numa página desconhecida, leia o endereço antes de copiar a senha à mão. Uma divergência pode ter explicação inocente, como um subdomínio diferente após um redesenho, e também pode ser o primeiro sinal de que a página não é o que afirma. Copiar à mão é exatamente o passo que o gerenciador deveria impedir.

O preenchimento automático bem-sucedido também não é garantia. A regra de correspondência, o navegador e o ambiente do dispositivo decidem juntos o que acontece, então um campo preenchido prova que a regra coincidiu, não que o site seja autêntico.

Segurança, recuperação e exportação do cofre

A proteção do cofre é responsabilidade do gerenciador. Os produtos diferem em como derivam a chave, cifram o cofre, sincronizam-no e recuperam o acesso, e a documentação do próprio fornecedor é a única descrição confiável para a versão que você executa. O Bitwarden, por exemplo, documenta a cifragem do lado do cliente como parte de sua arquitetura, o que significa que o servidor armazena texto cifrado e não os segredos em si.

Entenda a recuperação antes de uma emergência. Uma senha mestra esquecida sem método de recuperação é uma perda permanente, e um método de recuperação fácil demais é uma segunda via de entrada. Decida qual troca você fez e escreva-a.

A exportação é a parte que as pessoas esquecem. Uma exportação em texto simples numa pasta de downloads é uma cópia de cada credencial, e estar conectado a uma VPN não a protege em nada. Se uma exportação é realmente necessária, cifre-a e prove que o arquivo abre antes de apagar o texto simples.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Mantenha o gerenciador, o navegador e o sistema operacional com suporte. Um cliente desatualizado com acesso ao dispositivo é um risco maior para as credenciais armazenadas do que uma rede Wi-Fi sem criptografia para uma sessão devidamente autenticada.

Onde as duas realmente se encontram

Elas se encontram no formulário de login e em nenhum outro lugar. Tudo antes dele pertence à rede, tudo depois pertence ao serviço. O gerenciador fornece um segredo, a rede o transporta e o serviço decide se o aceita. Credenciais únicas, autenticação adicional adequada e um plano de recuperação continuam úteis com ou sem túnel, e um túnel continua útil para a propriedade de rede de que você realmente precisa.

Escolha cada controle para o problema que ele realmente resolve e pare de esperar que um cubra o outro. Um túnel não é um cofre, e um cofre não é uma rota.