VPN eller lösenordshanterare: vad stoppar stöld av inloggningsuppgifter

Ett VPN och en lösenordshanterare dyker båda upp i samtal om kontosäkerhet, men de skyddar olika saker. Tunneln bär begäran och döljer vägen; hanteraren avgör vilken hemlighet som erbjuds, håller den krypterad i vila och kommer ihåg den åt dig. Ingen av dem ersätter den andra, och fellägena överlappar knappt. Att jämföra dem uppgift för uppgift visar vilken kontroll man ska ta till när något går fel.

Två uppgifter i en inloggning

När du loggar in svarar VPN:et på en transportfråga: vilken väg tar dessa paket, och vad ser den andra änden. Lösenordshanteraren svarar på en inloggningsfråga: vilken hemlighet hör till den här webbplatsen, var lagras den, och vad skyddar den i valvet. Det första är en nätverksegenskap, det andra en lagrings- och matchningssegenskap.

Därför gör en perfekt fungerande tunnel ingenting åt återanvändning av lösenord. Den kan inte skapa en unik hemlighet, upptäcka att två konton delar en, eller hindra dig från att klistra in fel post i en övertygande efterbild av en inloggningssida. Det är hanterarens och kontoinställningens uppgifter.

Det omvända gäller också. Ett valv fullt av starka unika lösenord gör ingenting åt ett fientligt nätverk som läser en okrypterad session, och ingenting åt en tjänst som nekar anslutningar från din region. Två verktyg, två felmängder, och en rapport som skyller på fel verktyg slösar allas tid.

Vad tunneln kan och inte kan skydda

Tunneln skyddar trafik under vägen mellan klienten och VPN-gatewayen och, beroende på design, mellan gatewayen och målet. Den omfattningen är snävare än de flesta antar när de köper en. Den skyddar inte det som händer efter att inloggningsuppgifterna anlänt, och inte en session som går ut via en väg som tunneln aldrig bar.

Nätfiske är det tydligaste fallet. En krypterad väg till en vilseledande webbplats levererar ändå lösenordet till fel mottagare, och tunneln har gjort sitt jobb perfekt medan kontot förloras. Skadlig programvara på enheten är det andra fallet: program med tillräcklig åtkomst till webbläsaren kan läsa inloggningsuppgifter medan de används, oavsett vilket chiffer som skyddar ledningen.

Att byta utgångsadress har en bieffekt som är värd att planera. En tjänst kan begära extra verifiering när en inloggning kommer från ett nytt nätverk, vilket är ett legitimt svar och inte ett fel i något av verktygen. Skilj en begäran du själv utlöst från en orelaterad begäran om en kod.

Hur en hanterare avgör vilket lösenord som erbjuds

Hanterare kopplar en sparad inloggning till webbadresser och tillämpar matchningsregler. Dessa regler är den säkerhetsrelevanta delen, och de går att konfigurera. En exakt värdmatchning är strängast; en regel för basdomän eller börjar-med är bekvämare och täcker fler underdomäner, även de du inte avsåg.

När den förväntade inloggningen saknas på en okänd sida, läs adressen innan du kopierar lösenordet för hand. En avvikelse kan ha en oskyldig förklaring, som en annan underdomän efter en omdesign, och den kan också vara det första tecknet på att sidan inte är vad den utger sig för. Manuell kopiering är precis steget som hanteraren skulle förhindra.

Lyckad autofyllning är inte heller någon garanti. Matchningsregeln, webbläsaren och enhetsmiljön avgör tillsammans vad som händer, så ett ifyllt fält bevisar att regeln matchade, inte att webbplatsen är äkta.

Valvets säkerhet, återställning och export

Skyddet av valvet är hanterarens ansvar. Produkter skiljer sig i hur de härleder nyckeln, krypterar valvet, synkroniserar det och återställer åtkomst, och leverantörens egen dokumentation är den enda tillförlitliga beskrivningen för den version du kör. Bitwarden dokumenterar till exempel kryptering på klientsidan som en del av sin arkitektur, vilket innebär att servern lagrar chiffertext och inte hemligheterna själva.

Förstå återställning före en nödsituation. Ett glömt huvudlösenord utan återställningsmetod är en permanent förlust, och en alltför enkel återställningsmetod är en andra ingång. Bestäm vilket byte du har gjort och skriv ned det.

Export är den del folk glömmer. En export i klartext i en nedladdningsmapp är en kopia av varje inloggningsuppgift, och att vara ansluten till ett VPN skyddar den inte alls. Om en export verkligen behövs, kryptera den och bevisa att arkivet öppnas innan du raderar klartexten.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Håll hanteraren, webbläsaren och operativsystemet understödda. En föråldrad klient med åtkomst till enheten är en större risk för lagrade inloggningsuppgifter än ett okrypterat Wi-Fi-nätverk är för en korrekt autentiserad session.

Var de två faktiskt möts

De möts vid inloggningsformuläret och ingen annanstans. Allt före det tillhör nätverket, allt efter det tillhör tjänsten. Hanteraren levererar en hemlighet, nätverket bär den, och tjänsten avgör om den godtas. Unika inloggningsuppgifter, lämplig extra autentisering och en återställningsplan förblir användbara med eller utan tunnel, och en tunnel förblir användbar för den nätverksegenskap du faktiskt behöver.

Välj varje kontroll för problemet den faktiskt löser, och sluta förvänta dig att den ena täcker den andra. En tunnel är inte ett valv, och ett valv är inte en väg.