VPN ili menadžer lozinki: šta zaustavlja krađu pristupnih podataka

VPN i menadžer lozinki pojavljuju se u razgovorima o sigurnosti računa, ali štite različite stvari. Tunel nosi zahtev i skriva put; menadžer odlučuje koji se tajni podatak nudi, drži ga šifrovanim u mirovanju i pamti ga umesto vas. Nijedan ne zamenjuje drugi, a načini kvara se jedva preklapaju. Poređenje zadatak po zadatak pokazuje kojoj kontroli posegnuti kada nešto pođe po zlu.

Dva zadatka unutar jedne prijave

Kada se prijavljujete, VPN odgovara na transportno pitanje: kojim putem idu ti paketi i šta vidi druga strana. Menadžer lozinki odgovara na pitanje pristupnih podataka: koji tajni podatak pripada ovom sajtu, gde je pohranjen i šta ga štiti u trezoru. Prvo je svojstvo mreže, drugo je svojstvo pohrane i uparivanja.

Zato besprekorno ispravan tunel ne čini ništa protiv ponovne upotrebe lozinki. Ne može stvoriti jedinstveni tajni podatak, primetiti da dva računa dele jedan ili vas sprečiti da zalepite pogrešan unos u uverljivu kopiju stranice za prijavu. To su poslovi menadžera i podešavanja računa.

Vredi i obrnuto. Trezor pun jakih jedinstvenih lozinki ne čini ništa protiv neprijateljske mreže koja čita nešifrovanu sesiju, niti protiv usluge koja odbija veze iz vašeg regiona. Dva alata, dva skupa kvarova, a izveštaj koji okrivljuje pogrešan gubi svačije vreme.

Šta tunel može, a šta ne može zaštititi

Tunel štiti saobraćaj u tranzitu između klijenta i VPN prolaza, te između prolaza i odredišta zavisno od dizajna. Taj obim je uži nego što većina ljudi pretpostavlja kada ga kupuje. Ne štiti ono što se dogodi nakon što pristupni podatak stigne i ne štiti sesiju koja izlazi putem koji tunel nikada nije nosio.

Fišing je najjasniji slučaj. Šifrovan put do obmanjujućeg sajta ipak dostavlja lozinku pogrešnom primaocu, a tunel je svoj posao odradio besprekorno dok je račun izgubljen. Zlonamerni softver na uređaju je drugi slučaj: program sa dovoljnim pristupom pregledaču može čitati pristupne podatke dok se koriste, koja god šifra štitila žicu.

Promena izlazne adrese ima nuspojavu koju vredi planirati. Usluga može zatražiti dodatnu proveru kada prijava stigne s nove mreže, što je legitiman odgovor, a ne greška ni jednog alata. Razlikujte zahtev koji ste sami izazvali od nepovezanog zahteva za kod.

Kako menadžer odlučuje koju lozinku ponuditi

Menadžeri povezuju sačuvanu prijavu s adresama sajtova i primenjuju pravila uparivanja. Ta pravila su deo relevantan za sigurnost i mogu se podesiti. Tačno podudaranje hosta je najstrože; pravilo osnovnog domena ili „počinje sa“ praktičnije je i pokriva više poddomena, uključujući one koje niste nameravali.

Kada očekivana prijava nedostaje na nepoznatoj stranici, pročitajte adresu pre nego što ručno kopirate lozinku. Nepodudaranje može imati bezopasno objašnjenje, poput drugog poddomena nakon redizajna, a može biti i prvi znak da stranica nije ono što tvrdi. Ručno kopiranje je upravo korak koji je menadžer trebalo da spreči.

Uspešno automatsko popunjavanje takođe nije garancija. Pravilo uparivanja, pregledač i okruženje uređaja zajedno odlučuju šta će se dogoditi, pa popunjeno polje dokazuje da se pravilo podudarilo, a ne da je sajt stvaran.

Sigurnost trezora, oporavak i izvoz

Zaštita trezora stvar je menadžera. Proizvodi se razlikuju po tome kako izvode ključ, šifruju trezor, sinhronizuju ga i vraćaju pristup, a dokumentacija samog dobavljača jedini je pouzdan opis za verziju koju pokrećete. Bitwarden, na primer, dokumentuje šifrovanje na strani klijenta kao deo svoje arhitekture, što znači da server čuva šifrat, a ne same tajne.

Shvatite oporavak pre hitnog slučaja. Zaboravljena glavna lozinka bez metode oporavka trajan je gubitak, a previše laka metoda oporavka drugi je ulaz. Odlučite kakvu ste razmenu napravili i zapišite je.

Izvoz je deo koji ljudi zaboravljaju. Izvoz u čistom tekstu u fascikli za preuzimanja kopija je svakog pristupnog podatka, a veza s VPN-om ga uopšte ne štiti. Ako je izvoz zaista potreban, šifrirajte ga i dokažite da se arhiva otvara pre nego što izbrišete čisti tekst.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Držite menadžer, pregledač i operativni sistem podržanim. Zastareo klijent s pristupom uređaju veći je rizik za pohranjene pristupne podatke nego što je nešifrovana Wi-Fi mreža za pravilno autentifikovanu sesiju.

Gde se njih dvoje zapravo sreću

Sreću se na obrascu za prijavu i nigde drugde. Sve pre njega pripada mreži, sve posle njega pripada usluzi. Menadžer daje tajni podatak, mreža ga nosi, a usluga odlučuje hoće li ga prihvatiti. Jedinstveni pristupni podaci, odgovarajuća dodatna autentifikacija i plan oporavka ostaju korisni s tunelom ili bez njega, a tunel ostaje koristan za mrežno svojstvo koje vam zaista treba.

Birajte svaku kontrolu za problem koji zaista rešava i prestanite očekivati da jedna pokriva drugu. Tunel nije trezor, a trezor nije ruta.