VPN 与密码管理器：谁更能阻止凭据被盗

VPN 和密码管理器都会出现在账号安全的话题里，但它们保护的是不同的东西。隧道承载请求并隐藏路径；管理器决定提供哪一个机密，将其在静止状态下加密保存，并替你记住它。两者互不替代，失败模式也几乎不重叠。逐项对比可以看出，出了问题该用哪一种控制。

一次登录里的两项工作

登录时，VPN 回答的是传输问题：这些数据包走哪条路径，远端看到什么。密码管理器回答的是凭据问题：哪个机密属于这个站点、存放在哪里、在保险库里由什么保护。前者是网络属性，后者是存储与匹配属性。

所以一条工作完美的隧道对密码重用毫无作用。它无法生成唯一机密，无法察觉两个账号共用一个密码，也无法阻止你把错误条目粘贴进一个逼真的登录页面仿冒品。这些是管理器和账号设置的工作。

反过来也一样。装满强唯一密码的保险库，对付不了读取未加密会话的敌对网络，也对付不了拒绝你所在地区连接的服务。两件工具、两套故障，把责任归错的一方只是浪费所有人的时间。

隧道能保护什么、不能保护什么

隧道保护客户端与 VPN 网关之间，以及视设计而定、网关与目的地之间在途的流量。这个范围比多数人购买时所设想的更窄。它不保护凭据送达之后发生的事，也不保护一条从未经过隧道的路径上离开的会话。

钓鱼是最清楚的例子。通往欺骗性站点的加密路径仍然把密码交给了错误的人，隧道完美履行了职责，而账号已经丢失。终端恶意软件是第二种情形：只要程序对浏览器有足够权限，就能在凭据被使用的瞬间读取它，无论线路上用的是什么密码算法。

更换出口地址有一个值得提前规划的副作用。当登录来自新网络时，服务可能要求额外验证，这是合理反应，而不是任一工具的缺陷。要区分你自己触发的提示和一次无关的验证码请求。

管理器如何决定提供哪个密码

管理器把已保存的登录与网站地址关联，并应用匹配规则。这些规则才是与安全相关的部分，而且可以配置。精确主机匹配最严格；基础域或“以……开头”的规则更方便，覆盖更多子域，包括你并不打算覆盖的那些。

当陌生页面上缺少预期登录项时，先读地址，再手动复制密码。不匹配可能有清白解释，比如改版后换了子域；也可能是该页面并非其所声称之物的第一个信号。手动复制正是管理器本该阻止的那一步。

自动填充成功也不是保证。匹配规则、浏览器和设备环境共同决定结果，所以填好的字段只能证明规则匹配成功，不能证明站点是真的。

保险库的安全、恢复与导出

保险库的保护属于管理器。各产品在密钥派生、加密保险库、同步与恢复访问上做法不同，而厂商自己的文档是你所运行版本唯一可靠的说明。例如 Bitwarden 把客户端加密写入其架构，这意味着服务器存储的是密文，而不是机密本身。

在紧急情况之前先理解恢复。忘记主密码又没有恢复方式就是永久性损失；恢复方式太容易，就是第二条进入通道。想清楚你做的是哪种交换，并写下来。

导出是常被忽略的一环。下载文件夹里的一份明文导出，就是每一份凭据的副本，而连上 VPN 完全保护不了它。如果确实需要导出，就加密它，并在删除明文之前证明归档能够打开。

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

让管理器、浏览器和操作系统保持受支持状态。带终端访问权限的过期客户端，对已存凭据的威胁比未加密的 Wi-Fi 网络对正确认证的会话更大。

两者真正相遇的地方

它们只在登录表单处相遇，别处不会。表单之前的一切属于网络，之后的一切属于服务。管理器提供机密，网络承载它，服务决定是否接受。唯一凭据、恰当的附加认证和恢复方案，有没有隧道都同样有用；隧道则对你真正需要的网络属性有用。

为每个问题选择真正解决它的控制，不要再指望一个去覆盖另一个。隧道不是保险库，保险库也不是路径。