VPN чи менеджер паролів: що зупиняє крадіжку облікових даних

VPN і менеджер паролів обоє з'являються в розмовах про безпеку акаунтів, але захищають різне. Тунель несе запит і приховує шлях; менеджер вирішує, який секрет запропонувати, тримає його зашифрованим у спокої та запам'ятовує його за вас. Жоден не замінює інший, і режими відмови майже не перетинаються. Порівняння задача за задачею показує, до якого контролю вдатися, коли щось іде не так.

Дві задачі в одному вході

Коли ви входите, VPN відповідає на транспортне питання: яким шляхом ідуть ці пакети і що бачить дальня сторона. Менеджер паролів відповідає на питання про облікові дані: який секрет належить цьому сайту, де він зберігається і що захищає його у сховищі. Перше — властивість мережі, друге — властивість зберігання та зіставлення.

Тому бездоганно працюючий тунель нічого не робить із повторним використанням паролів. Він не може створити унікальний секрет, помітити, що два акаунти ділять один, або завадити вам вставити хибний запис у переконливу імітацію сторінки входу. Це задачі менеджера й налаштування акаунта.

Правильне й зворотне. Сховище, повне сильних унікальних паролів, нічого не робить проти ворожої мережі, яка читає незашифровану сесію, і нічого проти сервісу, що відмовляє в з'єднаннях із вашого регіону. Два інструменти, два набори відмов, а звіт, який звинувачує не той, марнує час усіх.

Що тунель може захистити, а що ні

Тунель захищає трафік у дорозі між клієнтом і VPN-шлюзом і, залежно від архітектури, між шлюзом і призначенням. Цей обсяг вужчий, ніж припускає більшість, купуючи такий. Він не захищає те, що відбувається після прибуття облікових даних, і не захищає сесію, що виходить маршрутом, який тунель ніколи не ніс.

Фішинг — найясніший випадок. Зашифрований шлях до оманливого сайту все одно доставляє пароль не тому одержувачу, і тунель бездоганно зробив свою справу, поки акаунт губиться. Шкідливе програмне забезпечення на пристрої — другий випадок: програма з достатнім доступом до браузера може читати облікові дані в момент їх використання, яким би шифром не захищалася лінія.

Зміна адреси виходу має побічний ефект, який варто планувати. Сервіс може вимагати додаткової перевірки, коли вхід надходить із нової мережі, і це законна реакція, а не збій будь-якого з інструментів. Відрізняйте запит, який викликали ви самі, від сторонньої вимоги коду.

Як менеджер вирішує, який пароль запропонувати

Менеджери пов'язують збережений вхід з адресами сайтів і застосовують правила зіставлення. Ці правила — частина, важлива для безпеки, і їх можна налаштувати. Точний збіг хоста найсуворіший; правило базового домену або «починається з» зручніше й охоплює більше субдоменів, зокрема ті, які ви не мали на увазі.

Коли очікуваний вхід відсутній на незнайомій сторінці, прочитайте адресу, перш ніж копіювати пароль вручну. Розбіжність може мати невинне пояснення, наприклад інший субдомен після редизайну, а може бути й першою ознакою, що сторінка не та, за яку себе видає. Ручне копіювання — рівно той крок, який менеджер мав запобігти.

Успішне автозаповнення теж не гарантія. Правило зіставлення, браузер і середовище пристрою разом вирішують, що станеться, тому заповнене поле доводить, що правило збіглося, а не що сайт справжній.

Безпека сховища, відновлення та експорт

Захист сховища — справа менеджера. Продукти різняться тим, як вони виводять ключ, шифрують сховище, синхронізують його та відновлюють доступ, і документація самого постачальника — єдиний надійний опис для вашої версії. Bitwarden, наприклад, документує шифрування на боці клієнта як частину своєї архітектури, тобто сервер зберігає шифротекст, а не самі секрети.

Розберіться з відновленням до надзвичайної ситуації. Забутий майстер-пароль без методу відновлення — незворотна втрата, а надто простий метод відновлення — другий вхід. Вирішіть, на який компроміс ви пішли, і запишіть його.

Експорт — та частина, яку забувають. Експорт у відкритому тексті в теці завантажень — копія кожного облікового запису, і підключення до VPN зовсім його не захищає. Якщо експорт справді потрібен, зашифруйте його й доведіть, що архів відкривається, перш ніж видаляти відкритий текст.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Тримайте менеджер, браузер і операційну систему підтримуваними. Застарілий клієнт із доступом до пристрою — більший ризик для збережених облікових даних, ніж незашифрована мережа Wi-Fi для правильно автентифікованої сесії.

Де ці двоє насправді зустрічаються

Вони зустрічаються на формі входу і більше ніде. Усе до неї належить мережі, усе після неї належить сервісу. Менеджер надає секрет, мережа його несе, а сервіс вирішує, чи прийняти. Унікальні облікові дані, належна додаткова автентифікація та план відновлення залишаються корисними з тунелем або без нього, а тунель залишається корисним для тієї властивості мережі, яка вам справді потрібна.

Обирайте кожен контроль для проблеми, яку він справді вирішує, і перестаньте чекати, що один покриє інший. Тунель — не сховище, а сховище — не маршрут.