VPN или менаџер лозинки: шта зауставља крађу приступних података

VPN и менаџер лозинки појављују се у разговорима о безбедности налога, али штите различите ствари. Тунел носи захтев и скрива пут; менаџер одлучује који се тајни податак нуди, држи га шифрираним у мировању и памти га уместо вас. Ниједан не замењује други, а начини отказа се једва преклапају. Поређење задатак по задатак показује којој контроли прибећи када нешто крене наопако.

Два задатка унутар једне пријаве

Када се пријављујете, VPN одговара на транспортно питање: којим путем иду ти пакети и шта види друга страна. Менаџер лозинки одговара на питање приступних података: који тајни податак припада овом сајту, где је сачуван и шта га штити у сефу. Прво је својство мреже, друго је својство чувања и упаривања.

Зато беспрекорно исправан тунел не чини ништа против поновне употребе лозинки. Не може створити јединствени тајни податак, приметити да два налога деле један или вас спречити да залепите погрешан унос у уверљиву копију странице за пријаву. То су послови менаџера и подешавања налога.

Важи и обрнуто. Сеф пун јаких јединствених лозинки не чини ништа против непријатељске мреже која чита нешифровану сесију, нити против услуге која одбија везе из вашег региона. Два алата, два скупа отказа, а извештај који окривљује погрешан губи свима време.

Шта тунел може, а шта не може да заштити

Тунел штити саобраћај у транзиту између клијента и VPN пролаза, те између пролаза и одредишта зависно од дизајна. Тај обим је ужи него што већина људи претпоставља када га купује. Не штити оно што се догоди након што приступни податак стигне и не штити сесију која излази путем који тунел никада није носио.

Фишинг је најјаснији случај. Шифриран пут до обмањујућег сајта ипак доставља лозинку погрешном примаоцу, а тунел је свој посао обавио беспрекорно док је налог изгубљен. Злонамерни софтвер на уређају је други случај: програм са довољним приступом прегледачу може читати приступне податке док се користе, која год шифра штитила жицу.

Промена излазне адресе има нуспојаву коју вреди испланирати. Услуга може затражити додатну проверу када пријава стигне са нове мреже, што је легитиман одговор, а не грешка ни једног алата. Разликујте захтев који сте сами изазвали од неповезаног захтева за код.

Како менаџер одлучује коју лозинку понудити

Менаџери повезују сачувану пријаву с адресама сајтова и примењују правила упаривања. Та правила су део релевантан за безбедност и могу се подесити. Тачно подударање хоста је најстроже; правило основног домена или „почиње са“ практичније је и покрива више поддомена, укључујући оне које нисте намеравали.

Када очекивана пријава недостаје на непознатој страници, прочитајте адресу пре него што ручно копирате лозинку. Неподударање може имати безопасно објашњење, попут другог поддомена након редизајна, а може бити и први знак да страница није оно што тврди. Ручно копирање је управо корак који је менаџер требало да спречи.

Успешно аутоматско попуњавање такође није гаранција. Правило упаривања, прегледач и окружење уређаја заједно одлучују шта ће се догодити, па попуњено поље доказује да се правило подударило, а не да је сајт стваран.

Безбедност сефа, опоравак и извоз

Заштита сефа ствар је менаџера. Производи се разликују по томе како изводе кључ, шифрирају сеф, синхронизују га и враћају приступ, а документација самог добављача једини је поуздан опис за верзију коју покрећете. Bitwarden, на пример, документује шифрирање на страни клијента као део своје архитектуре, што значи да сервер чува шифрат, а не саме тајне.

Схватите опоравак пре хитног случаја. Заборављена главна лозинка без методе опоравка трајан је губитак, а превише лака метода опоравка други је улаз. Одлучите какву сте размену направили и запишите је.

Извоз је део који људи заборављају. Извоз у чистом тексту у фасцикли за преузимања копија је сваког приступног податка, а веза с VPN-ом га уопште не штити. Ако је извоз заиста потребан, шифрирајте га и докажите да се архива отвара пре него што избришете чисти текст.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Држите менаџер, прегледач и оперативни систем подржаним. Застарео клијент с приступом уређају већи је ризик за сачуване приступне податке него што је нешифрована Wi-Fi мрежа за правилно аутентификовану сесију.

Где се њих двоје заправо срећу

Срећу се на обрасцу за пријаву и нигде другде. Све пре њега припада мрежи, све после њега припада услузи. Менаџер даје тајни податак, мрежа га носи, а услуга одлучује хоће ли га прихватити. Јединствени приступни подаци, одговарајућа додатна аутентификација и план опоравка остају корисни с тунелом или без њега, а тунел остаје користан за мрежно својство које вам заиста треба.

Бирајте сваку контролу за проблем који заиста решава и престаните да очекујете да једна покрива другу. Тунел није сеф, а сеф није рута.