VPN hay trình quản lý mật khẩu: cái nào chặn đánh cắp thông tin đăng nhập

VPN và trình quản lý mật khẩu đều xuất hiện trong các cuộc trò chuyện về an toàn tài khoản, nhưng chúng bảo vệ những thứ khác nhau. Đường hầm chở yêu cầu và che giấu con đường; trình quản lý quyết định đưa ra bí mật nào, giữ nó được mã hóa khi lưu trữ và ghi nhớ nó thay bạn. Không cái nào thay thế cái kia, và các kiểu hỏng hóc hầu như không chồng lên nhau. So sánh từng việc một cho thấy nên dùng biện pháp kiểm soát nào khi có sự cố.

Hai việc trong một lần đăng nhập

Khi bạn đăng nhập, VPN trả lời một câu hỏi về truyền tải: các gói này đi con đường nào và đầu xa nhìn thấy gì. Trình quản lý mật khẩu trả lời một câu hỏi về thông tin đăng nhập: bí mật nào thuộc về trang này, nó được lưu ở đâu và điều gì bảo vệ nó trong két. Điều thứ nhất là thuộc tính của mạng, điều thứ hai là thuộc tính của lưu trữ và đối chiếu.

Vì thế một đường hầm hoạt động hoàn hảo không làm gì với việc dùng lại mật khẩu. Nó không thể tạo ra một bí mật duy nhất, không nhận ra hai tài khoản dùng chung một bí mật, và không ngăn bạn dán sai mục vào một bản sao đầy thuyết phục của trang đăng nhập. Đó là việc của trình quản lý và của thiết lập tài khoản.

Điều ngược lại cũng đúng. Một két đầy mật khẩu mạnh và duy nhất không làm gì với một mạng đối nghịch đọc phiên không mã hóa, và không làm gì với dịch vụ từ chối kết nối từ khu vực của bạn. Hai công cụ, hai tập hợp hỏng hóc, và một báo cáo đổ lỗi sai công cụ làm mọi người mất thời gian.

Đường hầm bảo vệ được gì và không bảo vệ được gì

Đường hầm bảo vệ lưu lượng trên đường đi giữa máy khách và cổng VPN và, tùy thiết kế, giữa cổng và đích. Phạm vi đó hẹp hơn nhiều người giả định khi mua. Nó không bảo vệ những gì xảy ra sau khi thông tin đăng nhập đến, và không bảo vệ một phiên đi ra qua con đường mà đường hầm chưa bao giờ chở.

Lừa đảo trực tuyến là trường hợp rõ nhất. Con đường mã hóa đến một trang lừa dối vẫn giao mật khẩu cho người nhận sai, và đường hầm đã làm tròn việc của nó trong khi tài khoản bị mất. Phần mềm độc hại trên thiết bị là trường hợp thứ hai: một chương trình có đủ quyền truy cập trình duyệt có thể đọc thông tin đăng nhập ngay khi chúng được dùng, bất kể mật mã nào bảo vệ đường dây.

Việc đổi địa chỉ đầu ra có một tác dụng phụ đáng được tính trước. Một dịch vụ có thể yêu cầu xác minh thêm khi có đăng nhập từ mạng mới, đó là phản ứng hợp lý chứ không phải lỗi của công cụ nào. Phân biệt yêu cầu do bạn tự tạo với một yêu cầu mã không liên quan.

Trình quản lý quyết định đưa ra mật khẩu nào như thế nào

Các trình quản lý liên kết một lần đăng nhập đã lưu với địa chỉ trang web và áp dụng quy tắc đối chiếu. Những quy tắc đó là phần liên quan đến bảo mật, và chúng có thể cấu hình được. Đối chiếu chính xác máy chủ là chặt nhất; quy tắc tên miền gốc hoặc bắt đầu bằng thì tiện hơn và bao phủ nhiều tên miền con hơn, kể cả những tên bạn không định.

Khi thiếu lần đăng nhập mong đợi trên một trang lạ, hãy đọc địa chỉ trước khi sao chép mật khẩu bằng tay. Sự không khớp có thể có lời giải thích vô hại, như một tên miền con khác sau khi thiết kế lại, và cũng có thể là dấu hiệu đầu tiên rằng trang không phải như nó tuyên bố. Sao chép bằng tay chính là bước mà trình quản lý lẽ ra phải ngăn.

Tự động điền thành công cũng không phải bảo đảm. Quy tắc đối chiếu, trình duyệt và môi trường thiết bị cùng quyết định điều gì xảy ra, nên một trường đã điền chứng minh quy tắc đã khớp, không chứng minh trang là thật.

Bảo mật, khôi phục và xuất két

Việc bảo vệ két là của trình quản lý. Các sản phẩm khác nhau ở cách tạo khóa, mã hóa két, đồng bộ và khôi phục quyền truy cập, và tài liệu của chính nhà cung cấp là mô tả đáng tin cậy duy nhất cho phiên bản bạn chạy. Chẳng hạn, Bitwarden ghi nhận mã hóa phía máy khách như một phần kiến trúc của mình, nghĩa là máy chủ lưu bản mã chứ không lưu chính các bí mật.

Hiểu khôi phục trước khi có sự cố. Một mật khẩu chủ bị quên mà không có cách khôi phục là mất vĩnh viễn, còn cách khôi phục quá dễ là lối vào thứ hai. Hãy quyết định bạn đã đánh đổi điều gì và ghi lại.

Xuất là phần mọi người quên. Một bản xuất văn bản thuần trong thư mục tải xuống là bản sao của mọi thông tin đăng nhập, và việc kết nối VPN hoàn toàn không bảo vệ nó. Nếu thực sự cần xuất, hãy mã hóa nó và chứng minh tệp lưu mở được trước khi xóa văn bản thuần.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Hãy giữ trình quản lý, trình duyệt và hệ điều hành được hỗ trợ. Một máy khách lỗi thời có quyền truy cập thiết bị là rủi ro lớn hơn cho thông tin đăng nhập đã lưu so với một mạng Wi-Fi không mã hóa đối với một phiên được xác thực đúng cách.

Nơi hai thứ thực sự gặp nhau

Chúng gặp nhau ở biểu mẫu đăng nhập và không ở nơi nào khác. Mọi thứ trước đó thuộc về mạng, mọi thứ sau đó thuộc về dịch vụ. Trình quản lý cung cấp bí mật, mạng chở nó đi, và dịch vụ quyết định có chấp nhận hay không. Thông tin đăng nhập duy nhất, xác thực bổ sung phù hợp và kế hoạch khôi phục vẫn hữu ích dù có hay không có đường hầm, và đường hầm vẫn hữu ích cho thuộc tính mạng mà bạn thực sự cần.

Chọn từng biện pháp cho đúng vấn đề nó thực sự giải quyết, và đừng mong cái này che cho cái kia. Đường hầm không phải két, và két không phải con đường.