VPN sau manager de parole: ce oprește furtul de date de autentificare

Un VPN și un manager de parole apar amândouă în discuțiile despre securitatea conturilor, dar protejează lucruri diferite. Tunelul transportă cererea și ascunde calea; managerul decide ce secret este oferit, îl ține criptat în repaus și îl reține pentru tine. Niciunul nu îl înlocuiește pe celălalt, iar modurile de eșec abia se suprapun. Compararea lor sarcină cu sarcină arată la ce control să apelezi când ceva merge prost.

Două sarcini într-o singură autentificare

Când te autentifici, VPN-ul răspunde la o întrebare de transport: pe ce cale merg aceste pachete și ce vede capătul îndepărtat. Managerul de parole răspunde la o întrebare despre datele de autentificare: ce secret aparține acestui site, unde este stocat și ce îl protejează în seif. Prima este o proprietate a rețelei, a doua o proprietate de stocare și potrivire.

De aceea un tunel care funcționează perfect nu face nimic împotriva reutilizării parolălor. Nu poate genera un secret unic, nu observă că două conturi împart unul și nu te oprește să lipești intrarea greșită într-o imitație convingătoare a unei pagini de autentificare. Acestea sunt sarcini ale managerului și ale configurării contului.

Și invers este adevărat. Un seif plin de parole puternice și unice nu face nimic împotriva unei rețele ostile care citește o sesiune necriptată și nimic împotriva unui serviciu care refuză conexiuni din regiunea ta. Două instrumente, două seturi de eșecuri, iar un raport care dă vina pe cel greșit pierde timpul tuturor.

Ce poate și ce nu poate proteja tunelul

Tunelul protejează traficul în tranzit între client și gateway-ul VPN și, în funcție de design, între gateway și destinație. Această sferă este mai îngustă decât presupun majoritatea când cumpără unul. Nu protejează ce se întâmplă după ce datele de autentificare ajung și nu protejează o sesiune care iese pe o rută pe care tunelul nu a purtat-o niciodată.

Phishingul este cazul cel mai clar. O cale criptată către un site înșelător livrează totuși parola destinatarului greșit, iar tunelul și-a făcut treaba perfect în timp ce contul se pierde. Software-ul malițios de pe dispozitiv este al doilea caz: un program cu acces suficient la browser poate citi datele de autentificare în momentul utilizării, orice cifru ar proteja firul.

Schimbarea adresei de ieșire are un efect secundar care merită planificat. Un serviciu poate cere verificare suplimentară când o autentificare vine dintr-o rețea nouă, ceea ce este un răspuns legitim, nu un defect al vreunuia dintre instrumente. Distinge o solicitare pe care ai provocat-o tu de o cerere de cod fără legătură.

Cum decide managerul ce parolă să ofere

Managerii asociază o autentificare salvată cu adrese de site-uri și aplică reguli de potrivire. Aceste reguli sunt partea relevantă pentru securitate și pot fi configurate. O potrivire exactă a gazdei este cea mai strictă; o regulă de domeniu de bază sau de începe-cu este mai comodă și acoperă mai multe subdomenii, inclusiv pe cele pe care nu le-ai intenționat.

Când autentificarea așteptată lipsește pe o pagină necunoscută, citește adresa înainte de a copia parola manual. O nepotrivire poate avea o explicație nevinovată, cum ar fi un subdomeniu diferit după o reproiectare, și poate fi și primul semn că pagina nu este ceea ce pretinde. Copierea manuală este exact pasul pe care managerul trebuia să îl împiedice.

Nici completarea automată reușită nu este o garanție. Regula de potrivire, browserul și mediul dispozitivului decid împreună ce se întâmplă, așa că un câmp completat dovedește că regula s-a potrivit, nu că site-ul este autentic.

Securitatea, recuperarea și exportul seifului

Protecția seifului este treaba managerului. Produsele diferă în modul în care derivă cheia, criptează seiful, îl sincronizează și recuperează accesul, iar documentația furnizorului însuși este singura descriere de încredere pentru versiunea pe care o rulezi. Bitwarden, de exemplu, documentează criptarea pe partea clientului ca parte a arhitecturii sale, ceea ce înseamnă că serverul stochează text cifrat, nu secretele în sine.

Înțelege recuperarea înainte de o urgență. O parolă principală uitată fără metodă de recuperare este o pierdere permanentă, iar o metodă de recuperare prea ușoară este o a doua intrare. Decide ce schimb ai făcut și notează-l.

Exportul este partea pe care oamenii o uită. Un export în text simplu într-un folder de descărcări este o copie a fiecărei date de autentificare, iar conectarea la un VPN nu îl protejează deloc. Dacă un export este cu adevărat necesar, criptează-l și dovedește că arhiva se deschide înainte de a șterge textul simplu.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Menține managerul, browserul și sistemul de operare acceptate. Un client învechit cu acces la dispozitiv este un risc mai mare pentru datele de autentificare stocate decât este o rețea Wi-Fi necriptată pentru o sesiune autentificată corect.

Unde se întâlnesc de fapt cele două

Se întâlnesc la formularul de autentificare și nicăieri altundeva. Tot ce este înaintea lui aparține rețelei, tot ce este după el aparține serviciului. Managerul furnizează un secret, rețeaua îl transportă, iar serviciul decide dacă îl acceptă. Datele de autentificare unice, autentificarea suplimentară adecvată și un plan de recuperare rămân utile cu sau fără tunel, iar un tunel rămâne util pentru proprietatea de rețea de care ai cu adevărat nevoie.

Alege fiecare control pentru problema pe care o rezolvă cu adevărat și încetează să te aștepți ca unul să îl acopere pe celălalt. Un tunel nu este un seif, iar un seif nu este o rută.