¡Esta es una pregunta interesante!

La regla general es que si alguien más tiene el control del dispositivo (y están lo suficientemente determinados), siempre podrán monitorear y modificar todas sus acciones en el dispositivo.

¡Podemos (hasta cierto punto) solucionar esto sin embargo! La autenticación de dos factores se puede usar para garantizar que, incluso si alguien tiene su contraseña, no puede acceder a su cuenta sin tener también acceso a un dispositivo separado (que sea de su propiedad y esté controlado por usted).

Tenga en cuenta que una vez que inicie sesión, la computadora finalmente tendrá control sobre su interacción con el sitio web y, como resultado, podría ver de manera trivial todo lo que hace en el sitio y, menos trivialmente, modificar sus solicitudes al sitio ( incluso cuando no haya finalizado su sesión cuando termine, y posiblemente cambie sus datos de inicio de sesión para bloquear su propia cuenta).

Todo esto depende de lo preocupado que esté por ser atacado: si acaba de iniciar sesión en Facebook en la computadora de un amigo, probablemente pueda confiar en que al presionar "Cerrar sesión", realmente se desconectará. Sin embargo, si está iniciando sesión en algo realmente importante, es posible que desee atenerse a los dispositivos que controla.

Además, considere lo siguiente, a través del usuario TemporalWolf

  

Algunos sitios web permiten generar contraseñas de un solo uso que eluden cualquier tipo de registro de contraseñas. .. como mencionó, esto no evita que se desordenen con la sesión ahora autenticada.

En mi consulta, cuando necesito seguridad adicional, generalmente cambio la contraseña en mi teléfono (u otro dispositivo de confianza), luego inicio sesión en la computadora que no es de confianza y, después de que todo haya terminado, vuelva a cambiar mi contraseña (si es posible).

Esto se basa en el hecho de que cambiar la contraseña lo desconecta en todas partes, para la mayoría de los sitios web. Es bastante práctico.

Alternativamente, algunos sitios web ofrecen un "control de sesión" donde puede forzar la separación / finalización de sesiones si lo desea.

Además de lo que dije anteriormente, también tengo un SSD portátil de 128 GiB, formateado a GPT y tiene 3 particiones: la partición del sistema EFI, una Ubuntu y una Windows To Go.

Si bien la seguridad del software no era mi preocupación al crear este SSD portátil, es sin duda un buen dispositivo para este propósito. Teóricamente y en la práctica, la ejecución de sistemas operativos en dichas piezas de almacenamiento de fabricación propia proporciona un entorno de software totalmente confiable y puede eliminar al 100% cualquier subproceso de software en la máquina extranjera.

Como han respondido otros, estos gadgets generalmente no son efectivos contra la intrusión basada en hardware, por ejemplo, un registrador de claves (a menos que algunos estúpidos requieran controladores para funcionar, entonces puedes LOL). Para esas cosas, es mejor revisarlas mirando los puertos de hardware. Si hay algo malicioso dentro de la caja, entonces estás fuera de suerte.

Pero de nuevo, es una pregunta interpersonal. Si está iniciando sesión en la computadora de su amigo de confianza y el amigo no es un técnico, es probable que no necesite más acciones que iniciar el navegador en modo incógnito o InPrivate (Internet Explorer).

Si se encuentra con esta situación regularmente, intente lo siguiente:

1. Cree una Tails dispositivo USB en vivo. Tails es un sistema operativo Linux diseñado para ejecutarse desde un USB, que se puede iniciar en la mayoría de las computadoras. Usar Tails significa que no necesita preocuparse por ningún software que la computadora hostil pueda haber instalado. Porque lo estás omitiendo completamente desde el inicio.

2. Use el teclado en pantalla . Debe cubrir esto con su mano mientras escribe, para evitar que alguien lo observe. Esto defiende contra key-loggers basados en hardware. Tenga en cuenta que no debe preocuparse por el software de grabación de pantalla, porque está ejecutando Tails , lo que significa que tiene control total sobre todo el software que se ejecuta en el sistema.

Editar:

Como @ Xen2050 se menciona en los comentarios, también puede lograr esto con otros sistemas operativos que pueden ser más fáciles de usar. Por ejemplo, aquí hay instrucciones para crear un Ubuntu Linux USB en vivo en Windows , Mac o Ubuntu . Y aquí están las instrucciones para acceder al teclado en pantalla en Ubuntu.

Posibles debilidades de este método:

Este método es vulnerable a lo siguiente:

• Grabación de pantalla basada en hardware. Es posible insertar un dispositivo entre la computadora y la pantalla que registrará todo lo que se envía a la pantalla. Por ejemplo, éste . Para protegerse contra esto, inspeccione el cable y asegúrese de que no haya dispositivos entre la computadora y la pantalla. Sin embargo, tenga en cuenta que es posible instalar dispositivos de grabación de pantalla internos que serían mucho más difíciles de detectar. Si sospechas de esto, entonces puedes evitarlos al desenchufar la pantalla de la parte posterior de la computadora y volver a conectarla a un puerto diferente.
• firmware malicioso, BIOS, rootkit , etc. Esta es probablemente la vulnerabilidad más difícil de defender. Si sospechas que la computadora que estás utilizando tiene un firmware malicioso, ¡no lo uses! Busque otra forma de iniciar sesión en el sitio web o no inicie sesión en él.

Utilizar SQRL

Si un sitio web admite SQRL ( enlace ), tiene la opción de que muestre un código QR en El navegador de la computadora que permite que la aplicación SQRL de su teléfono celular lea y, por lo tanto, negocie la autenticación fuera de banda.

SQRL aún no se ha adoptado ampliamente, pero este caso de uso preciso fue diseñado desde el principio. (El otro caso de uso principal es una aplicación SQRL en su computadora que funciona en concierto con el navegador). En ningún caso se transmite una contraseña; SQRL usa la tecnología de clave pública / privada de curva elíptica para firmar un documento presentado por el servidor para probar que el usuario tiene la clave privada asociada con la clave pública almacenada en el servidor en la información de la cuenta del usuario.

EDITAR: Debido a que muy pocos sitios son compatibles con SQRL, es probable que esta no sea una buena respuesta desde noviembre / diciembre de 2018, pero puede ser una buena respuesta en el futuro. . No creo que haya una forma segura de iniciar sesión en un sitio web en una computadora bajo el control de otra persona (que puede tener instalada una tecla / registrador de clics), que fue una de las razones por las que SQRL fue Creado en primer lugar. El enfoque de inicio de sesión fuera de banda, que no se basa en la computadora posiblemente comprometida para preservar un secreto como una contraseña, ya sea la forma específica tomada por el protocolo SQRL o algún esquema en competencia que use la misma idea general, es Un componente esencial de cualquier buena respuesta.

Es un PIA importante, pero relativamente seguro con respecto a la protección de su contraseña. Sobre todo porque es un PIA tal que es probable que nadie reúna lo que se necesita para capturarlo. Lo que significa que la advertencia sobre la seguridad a través de la oscuridad probablemente se aplique aquí ...

1. Abra el editor de texto de su elección.
2. Escriba el alfabeto completo en mayúsculas y minúsculas.
3. escriba la gama completa de números y símbolos disponibles.
4. Copie y pegue letra por letra para ingresar su contraseña en el formulario web.
5. Como una capa añadida de ofuscación, no tome las letras en el mismo orden que la contraseña final

Puedo pensar en algunas técnicas en las que podría capturar la contraseña de alguien que usa esta técnica, pero ninguna de ellas es lo que consideraría fácil o directo.

También vale la pena señalar que mi instructor de CEH sugirió originalmente esta técnica como contramedida. No es perfecto, pero es una opción semi decente que no requiere mucho en la preparación previa.

Hay una cosa que puede hacer en los sitios que lo permiten (Google es uno de ellos): use un factor de autenticación "tener", como TOTP o una aplicación móvil para aprobar los inicios de sesión. No tienes que usar 2FA, ese puede ser tu único factor. Tengo algunos de mis servidores no críticos configurados para permitir la contraseña O totp, así que puedo iniciar sesión con uno u otro, sin necesidad de ambos. Mientras que, como otros lo señalaron, eso no lo hace completamente seguro (después de iniciar sesión, el atacante podría deshabilitar la entrada y hacer lo que quiera ahora que está conectado), evita la divulgación de contraseñas.

Si necesita iniciar sesión usando la computadora de otra persona, no hay una manera segura de saber con certeza si existe algún tipo de software de espionaje. Incluso si se trata de alguien en quien confía, podrían estar infectados con un virus o un dispositivo nefasto similar, y puede ser difícil saber si está infectado. Siempre asuma que una entidad infame todavía podrá ver / acceder a cualquier cosa que suceda en la computadora. Aquí hay algunas formas en que puede intentar mitigar los riesgos.

No hay forma posible de garantizar que el sistema operativo de la persona no se vea comprometido. Puede mirar los procesos en ejecución, examinar las pilas de llamadas, las solicitudes de red o cualquier cosa, pero los programas de software espía pueden estar extremadamente bien disfrazados. La mejor solución posible es arrancar desde una memoria USB en vivo usando una distribución de linux como Ubuntu, cachorro linux o Kali linux. Esto significa que debe tener el control total del software que se ejecuta en la computadora, aunque un pirata informático determinado podría insertar un código malicioso en el BIOS o en el cargador de arranque de la computadora, cambiando el código real del sistema operativo. / p>

Mitigación de vulnerabilidades basadas en hardware

• Verifique el cable entre la computadora y la pantalla. Se puede insertar un dispositivo entre ellos, lo que permite a un pirata informático ver la salida de la pantalla.
• Evite usar un teclado o mouse inalámbrico. La señal puede interceptarse entre el transmisor y el receptor, exponiendo las pulsaciones del teclado y los movimientos del mouse, incluso a través de un dispositivo separado.
• Conecte cualquier dispositivo USB directamente a la placa base. No utilice una ranura PCIe, ya que el dispositivo podría estar almacenando / transmitiendo pulsaciones de teclas / comandos. Lo mismo se aplica a los conectores del panel frontal.
• Usa un teclado diferente, si es posible. Los dispositivos pueden tomar los sonidos de las teclas individuales que se presionan para descifrar qué tecla era. Desenchufe todos los micrófonos conectados a la computadora, por si acaso.
• Observe si hay algún dispositivo PCIe adicional o puerto serie conectado. Asegúrese de que solo estén conectados los necesarios, por si acaso.

Métodos de software para disminuir el riesgo

• Asegúrese de conectarse a una red WiFi segura, o Ethernet, si sabe que es seguro. Probablemente sea mejor usar datos móviles, y un punto de acceso móvil, si es posible, para que no tenga que confiar en su conexión a Internet. También puede usar un cable USB, si es posible, para que no corra el riesgo de que una conexión WiFi alternativa intercepte la señal en su lugar.
• Usa SSL. Esto es obvio, pero debe asegurarse de que la autoridad de certificación sea la que esperaría ver, ya que es posible que una entidad inserte un certificado autofirmado en la cadena.

Lo último es que debe, si es posible, cambiar temporalmente su contraseña (tal vez usando su teléfono) mientras inicia sesión con esa computadora, luego cambiarla de nuevo posteriormente, por lo que si la contraseña está comprometida, no se podrá usar después. se ha cambiado de nuevo.

La mejor manera de protegerse es decirle a la persona que no se siente cómodo al ingresar su contraseña en su computadora.

Si tiene una causa probable o paranoia general, no realice acciones inseguras.

Esperar detectar y / o mitigar a fondo todos los modelos de amenazas en cuestión de segundos es ridículo.

¿Cuál es el modelo de amenaza de todos modos?

• ¿No confías en la persona?
• ¿No confías en la computadora?
• ¿Está intentando impedir que accedan desde el sitio web en particular al que está iniciando sesión?
• ¿Está intentando evitar que se descubra su contraseña porque la reutiliza para otros cien servicios, como la banca personal?
• ¿Está simplemente tratando de encontrar una manera universal de no comprometerse, independientemente de qué computadora extranjera se encuentre en el futuro?
• ¿Está intentando evitar que se graben los detalles de la pantalla posterior al inicio de sesión? Es posible que desee barrer el área para cualquier dispositivo de grabación de video oculto en el techo.

No especifica si necesita iniciar sesión a través de la computadora de alguien porque:

1. Necesita su sistema operativo / software, por ejemplo. está configurando / arreglando la computadora de alguien y necesita obtener algunos datos de su servidor privado.
2. Necesita su hardware (por ejemplo, se le permite el acceso a la red en función de su dirección MAC u otros factores que existen solo en la máquina que desea utilizar.
3. Necesita su red (por ejemplo, debe estar dentro de su LAN, pero con su propio dispositivo)
4. No necesita su red o dispositivo, es conveniente que use su computadora.

La forma óptima de abordar estas inquietudes es, en orden inverso:

Caso 4. Traiga su computadora portátil / teléfono / tableta y use la conexión 3G / 4G para acceder a Internet. Hecho.

Caso 3. Traiga su computadora portátil, asegúrela adecuadamente (antivirus, firewall, etc.), conéctela a su red. Hecho.

Caso 2. Inspeccione su hardware en busca de cualquier registrador de hardware, inicie su propio sistema operativo (algún tipo de distribución en vivo). Si perdió el registrador de hardware, tiene el problema.

Caso 1. También ayuda con el Caso 2.

• a) Requiere acceso de administrador / raíz.

• b) Habilite el firewall, configúrelo en modo paranoico estricto, permita solo conexiones a su servidor de destino.

• c) Cambie su contraseña de acceso a través de su teléfono 3G / 4G a algo temporal,

• d) Acceda al servidor, use 2FA

• e) elimine las huellas (cookies, cualquier archivo temporal que pueda ocultar credenciales, ID únicas, tc)

• f) Vuelva a cambiar la contraseña a través de su teléfono 3G / 4G

• g) Vuelve a configurar el firewall como normal.

Ahora, el firewall también puede verse comprometido por un rootkit, así que para más paranoico, o en caso de que no tenga acceso Admin / root :

• a) Construya su enrutador personalizado usando Raspberry Pi o un dispositivo similar, agregue un puerto Ethernet adicional usando el adaptador Ethernet2USB. (por supuesto, los profesionales realmente conscientes de la seguridad tendrían Linux en su computadora portátil de todos modos, así que solo agregue el puerto Ethernet2USB y continúe sin Raspberry).

• b) Conecte su computadora a su Raspberry, obtenga la dirección MAC, clónela en el otro lado (saliente).

• c) Configure enrutamiento y cortafuegos estrictos en Linux, permita solo acceso a su servidor y enrute una NIC a otra.

• d) Configure MITM sniffing e instale su certificado en su servidor en su máquina. ¡Su certificado es el certificado MITM, el falso que generó!

• e) Proceda como se describe anteriormente en 1c) y en.

• f) Registre cualquier byte sangriento que atraviese su mini enrutador para que pueda enfrentarlos si intentan algo desagradable.

El razonamiento detrás de esta sugerencia es que la computadora host probablemente no tenga el conjunto completo de herramientas para atacar su cuenta. Keylogger registrará las claves de su contraseña temporal, pero no podrá reenviar los datos al tipo malo que está sentado en la otra habitación. Si lo hace e intenta piratear su servidor, tendrá un intento de pirateo registrado en texto sin formato, cualquiera de ellos puede confrontarlo o deshacer el daño (cambiaron el texto sin formato, ¡pero ha registrado el cambio! ). Tenga en cuenta que solo su servidor estará disponible para su computadora en el momento crítico, por lo que su computadora intenta piratear solo o no ocurrirá nada.

Agradecería comentarios sobre esa ruta, si tal vez me perdiera algo.

En teoría, si el sitio no le proporciona una mejor manera de hacerlo, todavía hay una manera: inicie sesión en un dispositivo que esté bajo su control y transfiera la cookie de sesión que recibe de ese dispositivo al no confiable. computadora. Esto permitirá que la computadora no confiable realice cualquier operación que pueda realizar en el sitio una vez que haya iniciado sesión, pero a menos que el sitio tenga un diseño de seguridad extremadamente malo, no permitirá que la computadora no confiable cambie su contraseña, cambie la dirección de correo electrónico asociada a la cuenta , o realizar otras operaciones de toma de cuenta.

Una vez que haya terminado, puede usar el dispositivo de confianza que controla para cerrar sesión en su cookie de sesión (que copió de ella) realizando la operación de cierre de sesión allí o realizar la operación de "cerrar sesión de todos los dispositivos" si el sitio lo proporciona tal característica.

Tenga en cuenta que bajo este esquema, su contraseña nunca se ingresa en una computadora que no es de confianza y, por lo tanto, no tiene medios para grabarla / capturarla. En el mejor de los casos, puede capturar la cookie de sesión, que invalidará al cerrar sesión con el dispositivo de confianza una vez que haya terminado.

Si confías en esa persona, sigue adelante y usa su computadora. Considere crear un perfil de navegador separado que pueda limpiar después de que haya terminado sin borrar las cookies / configuraciones / lo que sea de esa persona. Tome nota de los archivos adjuntos que descargue para que también pueda eliminarlos. No solo abra archivos adjuntos, a menos que desee jugar al detective para averiguar cuál de las posibles ubicaciones "temporales" se usó para almacenarlos. Y evite manipular cualquier información confidencial que no esté relacionada con el propósito forzar a usar la computadora de otra persona.

Si no confías en la persona, no uses su computadora. No hay forma de asegurar una computadora desconocida al 100%, y mucho menos sin hacer cosas que hagan que la otra persona sospeche que está intentando piratearla. En ese momento, probablemente se le negará el uso de su computadora de todos modos.

Aunque hay varias respuestas buenas y sorprendentes, creo que esta "respuesta" radical se está perdiendo:

Si le preocupa la seguridad, probablemente también use un administrador de contraseñas. Siempre genero una contraseña aleatoria y muy difícil. En otras computadoras probablemente no tenga el software ni el archivo donde se almacenan mis contraseñas (uso keepass). Tengo este archivo almacenado en una solución en la nube, pero al iniciar sesión también requiere un archivo separado que solo tengo localmente en mis dispositivos de confianza.

Por lo tanto, es posible que entienda la molestia por la que debo pasar antes de iniciar sesión en el otro dispositivo que no es de confianza. Lo que en realidad me impide hacerlo en primer lugar.

Entonces, si me veo obligado a iniciar sesión: "No conozco mi contraseña".

Cuando sospeche que el sistema está bloqueado, debe poder interrumpir ese proceso para hacer lo que está pidiendo.

Sin embargo, ese podría ser un proceso visible, por lo que si es crítico para la misión, intente encontrar ese proceso o crear otra cuenta de usuario con un terminal cifrado en un recinto aislado para ver si puede evitar el registro de esa manera, es decir, Linux con una carpeta de inicio cifrada y amp; cambiar como ejemplo.