VPN или менеджер паролей: что останавливает кражу учётных данных

VPN и менеджер паролей оба появляются в разговорах о безопасности аккаунтов, но защищают разное. Туннель несёт запрос и скрывает путь; менеджер решает, какой секрет предложить, хранит его зашифрованным в покое и запоминает его за вас. Ни один не заменяет другой, и режимы отказа почти не пересекаются. Сравнение задача за задачей показывает, к какому контролю прибегнуть, когда что-то идёт не так.

Две задачи в одном входе

Когда вы входите, VPN отвечает на транспортный вопрос: каким путём идут эти пакеты и что видит дальняя сторона. Менеджер паролей отвечает на вопрос об учётных данных: какой секрет принадлежит этому сайту, где он хранится и что защищает его в хранилище. Первое — свойство сети, второе — свойство хранения и сопоставления.

Поэтому безупречно работающий туннель ничего не делает с повторным использованием паролей. Он не может создать уникальный секрет, заметить, что два аккаунта делят один, или помешать вам вставить неверную запись в убедительную имитацию страницы входа. Это задачи менеджера и настройки аккаунта.

Верно и обратное. Хранилище, полное сильных уникальных паролей, ничего не делает против враждебной сети, читающей незашифрованную сессию, и ничего против сервиса, отказывающего в подключениях из вашего региона. Два инструмента, два набора отказов, а отчёт, обвиняющий не тот, тратит время всех.

Что туннель может защитить, а что нет

Туннель защищает трафик в пути между клиентом и VPN-шлюзом и, в зависимости от архитектуры, между шлюзом и назначением. Этот охват уже, чем предполагают большинство при покупке. Он не защищает то, что происходит после прибытия учётных данных, и не защищает сессию, уходящую по маршруту, который туннель никогда не нёс.

Фишинг — самый ясный случай. Зашифрованный путь к обманному сайту всё равно доставляет пароль не тому получателю, и туннель безупречно сделал своё дело, пока аккаунт теряется. Вредоносное ПО на устройстве — второй случай: программа с достаточным доступом к браузеру может читать учётные данные в момент их использования, каким бы шифром ни защищалась линия.

Смена адреса выхода имеет побочный эффект, который стоит планировать. Сервис может запросить дополнительную проверку, когда вход приходит из новой сети, и это законная реакция, а не сбой любого из инструментов. Отличайте запрос, который вызвали вы сами, от постороннего требования кода.

Как менеджер решает, какой пароль предложить

Менеджеры связывают сохранённый вход с адресами сайтов и применяют правила сопоставления. Эти правила — часть, значимая для безопасности, и они настраиваются. Точное совпадение хоста строже всего; правило базового домена или «начинается с» удобнее и охватывает больше поддоменов, включая те, которые вы не имели в виду.

Когда ожидаемый вход отсутствует на незнакомой странице, прочитайте адрес, прежде чем копировать пароль вручную. Несовпадение может иметь невинное объяснение, например другой поддомен после редизайна, а может быть и первым признаком того, что страница не та, за которую себя выдаёт. Ручное копирование — ровно тот шаг, который менеджер должен был предотвратить.

Успешное автозаполнение тоже не гарантия. Правило сопоставления, браузер и среда устройства вместе решают, что произойдёт, поэтому заполненное поле доказывает, что правило совпало, а не что сайт настоящий.

Безопасность хранилища, восстановление и экспорт

Защита хранилища — дело менеджера. Продукты различаются тем, как выводят ключ, шифруют хранилище, синхронизируют его и восстанавливают доступ, и документация самого поставщика — единственное надёжное описание для вашей версии. Bitwarden, например, документирует шифрование на стороне клиента как часть своей архитектуры, то есть сервер хранит шифротекст, а не сами секреты.

Разберитесь с восстановлением до чрезвычайной ситуации. Забытый мастер-пароль без метода восстановления — необратимая потеря, а слишком простой метод восстановления — второй вход. Решите, на какой компромисс вы пошли, и запишите его.

Экспорт — та часть, которую забывают. Экспорт в открытом тексте в папке загрузок — копия каждой учётной записи, и подключение к VPN совершенно его не защищает. Если экспорт действительно нужен, зашифруйте его и докажите, что архив открывается, прежде чем удалять открытый текст.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Держите менеджер, браузер и операционную систему поддерживаемыми. Устаревший клиент с доступом к устройству — больший риск для сохранённых учётных данных, чем незашифрованная сеть Wi-Fi для правильно аутентифицированной сессии.

Где эти двое действительно встречаются

Они встречаются на форме входа и больше нигде. Всё до неё принадлежит сети, всё после неё принадлежит сервису. Менеджер предоставляет секрет, сеть его несёт, а сервис решает, принять ли его. Уникальные учётные данные, надлежащая дополнительная аутентификация и план восстановления остаются полезными с туннелем или без него, а туннель остаётся полезным для того свойства сети, которое вам действительно нужно.

Выбирайте каждый контроль для проблемы, которую он действительно решает, и перестаньте ожидать, что один покроет другой. Туннель — не хранилище, а хранилище — не маршрут.