VPN apo menaxheri i fjalëkalimeve: çfarë ndalon vjedhjen e kredencialeve

Një VPN dhe një menaxher fjalëkalimesh shfaqen të dy në bisedat për sigurinë e llogarive, por mbrojnë gjëra të ndryshme. Tuneli transporton kërkesën dhe fsheh rrugën; menaxheri vendos cilin sekret të ofrojë, e mban të kriptuar në qetësi dhe e mban mend për ju. Asnjëri nuk zëvendëson tjetrin, dhe mënyrat e dështimit mezi mbivendosen. Krahasimi detyrë për detyrë tregon në cilin kontroll të mbështetemi kur diçka shkon keq.

Dy detyra brenda një hyrjeje

Kur hyni, VPN-ja përgjigjet një pyetjeje transporti: cilën rrugë marrin këto paketa dhe çfarë sheh skaji i largët. Menaxheri i fjalëkalimeve përgjigjet një pyetjeje mbi kredencialet: cili sekret i përket këtij sajti, ku ruhet dhe çfarë e mbron në kasafortë. I pari është veti e rrjetit, i dyti është veti e ruajtjes dhe përputhjes.

Prandaj një tunel që funksionon në mënyrë të përsosur nuk bën asgjë për ripërdorimin e fjalëkalimeve. Nuk mund të krijojë një sekret unik, të vërë re se dy llogari ndajnë një, ose t'ju ndalojë të ngjitni hyrjen e gabuar në një imitim bindës të një faqeje hyrjeje. Këto janë detyra të menaxherit dhe të konfigurimit të llogarisë.

E kundërta është gjithashtu e vërtetë. Një kasafortë plot fjalëkalime të fortë dhe unikë nuk bën asgjë kundër një rrjeti armiqësor që lexon një sesion të pakriptuar, dhe asgjë kundër një shërbimi që refuzon lidhjet nga rajoni juaj. Dy mjete, dy grupe dështimesh, dhe një raport që fajëson të gabuarin humb kohën e të gjithëve.

Çfarë mund dhe çfarë nuk mund të mbrojë tuneli

Tuneli mbron trafikun në tranzit midis klientit dhe portës VPN dhe, sipas dizajnit, midis portës dhe destinacionit. Ky shtrirje është më e ngushtë sesa supozojnë shumica kur blejnë një të tillë. Nuk mbron atë që ndodh pasi mbërrin kredenciali, dhe nuk mbron një sesion që del nëpër një rrugë që tuneli nuk e ka mbajtur kurrë.

Phishing është rasti më i qartë. Një rrugë e kriptuar drejt një sajti mashtrues prapë e dërgon fjalëkalimin te marrësi i gabuar, dhe tuneli e ka bërë punën e vet në mënyrë të përsosur ndërsa llogaria humbet. Programi keqdashës në pajisje është rasti i dytë: një program me akses të mjaftueshëm në shfletues mund të lexojë kredencialet në momentin e përdorimit, cilado shifër të mbrojë telin.

Ndryshimi i adresës së daljes ka një efekt anësor që ia vlen të planifikohet. Një shërbim mund të kërkojë verifikim shtesë kur një hyrje vjen nga një rrjet i ri, gjë që është përgjigje legjitime dhe jo defekt në asnjë prej mjeteve. Diferencioni një kërkesë që keni nxitur vetë nga një kërkesë kodi e palidhur.

Si vendos menaxheri cilin fjalëkalim të ofrojë

Menaxherët lidhin një hyrje të ruajtur me adresat e sajteve dhe zbatojnë rregulla përputhjeje. Këto rregulla janë pjesa që ka rëndësi për sigurinë, dhe ato konfigurohen. Përputhja e saktë e hostit është më e rrepta; një rregull domeni bazë ose fillon-me është më i përshtatshëm dhe mbulon më shumë nëndomene, përfshirë ata që nuk i kishit për qëllim.

Kur hyrja e pritur mungon në një faqe të panjohur, lexoni adresën përpara se ta kopjoni fjalëkalimin me dorë. Mospërputhja mund të ketë një shpjegim të pafajshëm, si një nëndomen tjetër pas një ridizajni, dhe gjithashtu mund të jetë shenja e parë që faqja nuk është ajo që pretendon. Kopjimi me dorë është pikërisht hapi që menaxheri duhej të parandalonte.

Plotësimi automatik i suksesshëm gjithashtu nuk është garanci. Rregulli i përputhjes, shfletuesi dhe mjedisi i pajisjes vendosin së bashku çfarë ndodh, kështu që një fushë e plotësuar provon që rregulli u përputh, jo që sajti është autentik.

Siguria, rikuperimi dhe eksporti i kasafortës

Mbrojtja e kasafortës është punë e menaxherit. Produktet ndryshojnë në mënyrën se si nxjerrin çelësin, kriptojnë kasafortën, e sinkronizojnë dhe rikuperojnë aksesin, dhe dokumentacioni i vetë furnizuesit është përshkrimi i vetëm i besueshëm për versionin që ekzekutoni. Bitwarden, për shembull, dokumenton kriptimin në anën e klientit si pjesë të arkitekturës së vet, që do të thotë se serveri ruan tekst të kriptuar dhe jo vetë sekretet.

Kuptoni rikuperimin përpara një urgjence. Një fjalëkalim kryesor i harruar pa metodë rikuperimi është humbje e përhershme, dhe një metodë rikuperimi shumë e lehtë është një hyrje e dytë. Vendosni çfarë shkëmbimi keni bërë dhe shkruajeni atë.

Eksporti është pjesa që njerëzit e harrojnë. Një eksport në tekst të thjeshtë në një dosje shkarkimesh është kopje e çdo kredenciali, dhe lidhja me një VPN nuk e mbron aspak. Nëse një eksport është vërtet i nevojshëm, kriptojeni dhe provoni që arkivi hapet përpara se të fshini tekstin e thjeshtë.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Mbani menaxherin, shfletuesin dhe sistemin operativ të mbështetur. Një klient i vjetëruar me akses në pajisje është një rrezik më i madh për kredencialet e ruajtura sesa është një rrjet Wi-Fi i pakriptuar për një sesion të autentikuar si duhet.

Ku takohen vërtet të dy

Takohen në formularin e hyrjes dhe askund tjetër. Gjithçka para tij i përket rrjetit, gjithçka pas tij i përket shërbimit. Menaxheri siguron një sekret, rrjeti e transporton, dhe shërbimi vendos nëse e pranon. Kredencialet unike, autentikimi shtesë i përshtatshëm dhe një plan rikuperimi mbeten të dobishme me ose pa tunel, dhe një tunel mbetet i dobishëm për vetinë e rrjetit që ju nevojitet vërtet.

Zgjidhni çdo kontroll për problemin që zgjidh vërtet, dhe ndaloni së prituri që njëri të mbulojë tjetrin. Një tunel nuk është kasafortë, dhe një kasafortë nuk është rrugë.