VPN alebo správca hesiel: čo zastaví krádež prihlasovacích údajov

VPN aj správca hesiel sa objavujú v rozhovoroch o zabezpečení účtov, ale chránia rôzne veci. Tunel nesie požiadavku a skrýva cestu; správca rozhoduje, ktoré tajomstvo ponúknuť, drží ho v pokoji zašifrované a pamätá si ho za vás. Ani jeden nenahrádza druhý a režimy zlyhania sa sotva prekrývajú. Porovnanie úloha po úlohe ukáže, ku ktorej kontrole siahnuť, keď sa niečo pokazí.

Dve úlohy v jednom prihlásení

Keď sa prihlasujete, VPN odpovedá na dopravnú otázku: ktorou cestou idú tieto pakety a čo vidí vzdialená strana. Správca hesiel odpovedá na otázku prihlasovacích údajov: ktoré tajomstvo patrí tejto stránke, kde je uložené a čo ho v trezore chráni. Prvé je vlastnosť siete, druhé vlastnosť ukladania a párovania.

Preto bezchybne fungujúci tunel nerobí nič proti opakovanému používaniu hesiel. Nedokáže vytvoriť jedinečné tajomstvo, všimnúť si, že dva účty zdieľajú jedno, ani vám zabrániť vložiť nesprávnu položku do presvedčivej napodobeniny prihlasovacej stránky. To sú úlohy správcu a nastavenia účtu.

Platí to aj opačne. Trezor plný silných jedinečných hesiel nerobí nič proti nepriateľskej sieti, ktorá číta nešifrovanú reláciu, ani proti službe, ktorá odmieta pripojenia z vášho regiónu. Dva nástroje, dve sady zlyhaní a správa, ktorá obviňuje nesprávny z nich, stráca čas všetkým.

Čo tunel chrániť môže a čo nie

Tunel chráni prevádzku na ceste medzi klientom a bránou VPN a podľa návrhu aj medzi bránou a cieľom. Tento rozsah je užší, než väčšina pri kúpe predpokladá. Nechráni to, čo sa stane po doručení prihlasovacích údajov, a nechráni reláciu, ktorá odchádza cestou, ktorou tunel nikdy nešiel.

Phishing je najjasnejší prípad. Šifrovaná cesta k podvodnej stránke napriek tomu doručí heslo nesprávnemu príjemcovi a tunel urobil svoju prácu bezchybne, kým sa účet stratí. Škodlivý softvér v zariadení je druhý prípad: program s dostatočným prístupom k prehliadaču môže čítať prihlasovacie údaje v okamihu použitia, nech drôt chráni akákoľvek šifra.

Zmena výstupnej adresy má vedľajší účinok, ktorý sa oplatí naplánovať. Služba môže pri prihlásení z novej siete požiadať o dodatočné overenie, čo je legitímna reakcia a nie závada žiadneho z nástrojov. Rozlišujte výzvu, ktorú ste vyvolali, od nesúvisiacej žiadosti o kód.

Ako správca rozhodne, ktoré heslo ponúknuť

Správcovia priraďujú uložené prihlásenie k adresám webov a uplatňujú pravidlá párovania. Tieto pravidlá sú časťou podstatnou pre bezpečnosť a sú konfigurovateľné. Presná zhoda hostiteľa je najprísnejšia; pravidlo základnej domény alebo začína-na je pohodlnejšie a pokrýva viac subdomén, vrátane tých, ktoré ste nezamýšľali.

Keď na neznámej stránke chýba očakávané prihlásenie, prečítajte si adresu, kým heslo skopírujete ručne. Nezhoda môže mať nevinné vysvetlenie, napríklad inú subdoménu po redizajne, a môže byť aj prvým znakom, že stránka nie je to, čo tvrdí. Ručné kopírovanie je presne ten krok, ktorému mal správca zabrániť.

Úspešné automatické vyplnenie tiež nie je zárukou. Pravidlo párovania, prehliadač a prostredie zariadenia spoločne rozhodujú, čo sa stane, takže vyplnené pole dokazuje, že pravidlo sedelo, nie že web je pravý.

Zabezpečenie trezora, obnova a export

Ochrana trezora je vecou správcu. Produkty sa líšia v tom, ako odvodzujú kľúč, šifrujú trezor, synchronizujú ho a obnovujú prístup, a dokumentácia samotného dodávateľa je jediný spoľahlivý opis pre verziu, ktorú používate. Bitwarden napríklad dokumentuje šifrovanie na strane klienta ako súčasť svojej architektúry, čo znamená, že server ukladá šifrovaný text, nie samotné tajomstvá.

Pochopte obnovu skôr než núdzu. Zabudnuté hlavné heslo bez metódy obnovy je trvalá strata a príliš ľahká metóda obnovy je druhý vstup. Rozhodnite sa, akú výmenu ste urobili, a zapíšte si ju.

Export je časť, na ktorú ľudia zabúdajú. Export v otvorenom texte v priečinku sťahovania je kópiou každého prihlasovacieho údaja a pripojenie k VPN ho vôbec nechráni. Ak je export skutočne potrebný, zašifrujte ho a dokážte, že archív sa otvorí, kým vymažete otvorený text.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Udržujte správcu, prehliadač aj operačný systém podporované. Zastaraný klient s prístupom k zariadeniu je pre uložené prihlasovacie údaje väčšie riziko, než je nešifrovaná sieť Wi-Fi pre riadne overenú reláciu.

Kde sa oba skutočne stretávajú

Stretávajú sa pri prihlasovacom formulári a nikde inde. Všetko pred ním patrí sieti, všetko po ňom patrí službe. Správca dodá tajomstvo, sieť ho nesie a služba rozhodne, či ho prijme. Jedinečné prihlasovacie údaje, vhodné dodatočné overenie a plán obnovy zostávajú užitočné s tunelom aj bez neho a tunel zostáva užitočný pre sieťovú vlastnosť, ktorú skutočne potrebujete.

Vyberajte každú kontrolu pre problém, ktorý skutočne rieši, a prestaňte očakávať, že jedna pokryje druhú. Tunel nie je trezor a trezor nie je trasa.