¿Cómo puedo evitar que los registradores de claves de los cibercafés cosechen mi contraseña?

si no confía en el medio: no ingrese información confidencial. escribir su contraseña de alguna manera oscura es solo eso: seguridad a través de la oscuridad , que nunca funciona.

aparte de eso: es posible que pueda alcanzar cierto nivel de seguridad en lugares tan abiertos si la contraseña que ingresó cambia para el próximo inicio de sesión, consulte contraseñas de una sola vez . (nota: '2-factor-authentification es un esquema híbrido en el que ya conoce la mitad de la contraseña (que se mantiene constante / estática) y luego obtiene la otra mitad por sms o por cualquier otro medio; esa segunda mitad es una contraseña de tiempo)

Si no puede estar seguro de que sus pulsaciones no se capturan (y usted no puede), use cualquier tipo de autenticación de dos factores.

¡Asegúrate de que tu contraseña no sea útil por sí misma!

La única forma de asegurarse de que sus datos estén seguros es evitar que se introduzca "todo" en la máquina sospechosa.

Dado que los keyloggers son su única preocupación (es decir, no hay un software de rastreo sofisticado):

Por ejemplo, podría llevar una unidad USB con todas sus contraseñas importantes en un contenedor de KeePass , junto con KeePass Portable. Una vez que haya abierto KeePass Portable, use una contraseña maestra para el contenedor KeePass. Sí, se arriesgará a que se capture, pero para desbloquear el contenedor, también puede configurar KeePass para usar un archivo de claves. Sin este archivo de claves, la contraseña maestra es inútil. Este archivo de claves podría almacenarse en la misma unidad de almacenamiento o en otra que usted lleve separada de la unidad de almacenamiento original.

Una vez que haya abierto su contenedor KeePass, puede hacer uso de las funciones de KeePass que le permiten ingresar contraseñas sin escribir :

  

• KeePass puede minimizarse y escribir la información de la entrada seleccionada actualmente en diálogos, formularios web, etc. Por supuesto, la secuencia de escritura es 100% personalizable, lea el archivo de documentación para obtener más información.
  
• KeePass presenta una tecla de acceso rápido de tipo automático global. Cuando KeePass se ejecuta en segundo plano (con la base de datos abierta) y presiona la tecla de acceso rápido, busca la entrada correcta y ejecuta su secuencia de tipo automático.
  

Sin embargo, esto no engaña a un keylogger que escucha el búfer del teclado. Sin embargo, un keylogger integrado en la conexión del teclado sería inútil.

Una mejor alternativa:

  

• Todos los campos, el título, el nombre de usuario, la contraseña, la URL y las notas se pueden arrastrar y colocar en otras ventanas.
  

Al hacer esto, elimina la necesidad de escribir la contraseña de cualquier , excepto la contraseña maestra, que siempre puede "desechar" y cambiar si es necesario.

Puedo ver dos maneras:

1. Use alguna solución de teclado virtual . Puede escribir su contraseña con clics del mouse, esto evitará el registrador del teclado (pero puede que no evite el registrador basado en el clic del mouse). Sin embargo, sería un nivel de seguridad.

2. Simplemente escribiría una contraseña incorrecta en el cuadro de contraseña, la seleccionará con el mouse (reemplazando las claves incorrectas con la verdadera); escriba los primeros 3 caracteres de la contraseña verdadera, escriba 3 claves incorrectas, seleccione los últimos 3 caracteres no válidos y luego ingrese las 3 claves correctas reemplazando las claves no válidas.

Hay varias amenazas con las que estás lidiando; pero, fundamentalmente, lo que está preguntando (usar un hardware potencialmente malicioso) no es seguro y debe evitarse con fines delicados. (Por ejemplo, trate de no ingresar a su cuenta bancaria en vacaciones). Sin embargo, si está dispuesto a correr ese riesgo pero desea minimizarlo, aquí están sus amenazas:

1. Registradores de teclas de hardware. Un simple accesorio en la parte posterior del teclado comprado por menos de $ 30 puede almacenar cada pulsación de tecla; así que verías a alguien que va a un sitio, escribe un nombre de usuario y luego escribe una contraseña y puede descifrarlo fácilmente más tarde. No sería difícil modificar un teclado comercial para hacerlo automáticamente de forma interna; así que no crea que está seguro porque no ve un archivo adjunto en la parte posterior.

2. keyloggers de software. El sistema operativo podría estar ejecutando una rutina de captura de pantalla / keylogger / mouse-logger que podría, en principio, reproducir cada acción que realice.

3. Un DNS falsificado / dañado con certificados falsos instalados en el navegador para un MITM, incluso en sitios SSL.

4. Una extensión / pirateo del navegador que registra todo el texto escrito en el campo del formulario html (incluidas las contraseñas).

5. Alguien que supervisa el tráfico de red no cifrado, donde se envían las cookies de contraseña / autenticación en texto sin formato: asegúrese de estar usando SSL (con los certificados adecuados para evitar el MITM).

De estos, el # 5 es el más simple de prevenir; use un túnel ssh / vpn para los sitios sin cifrar o use HTTPS (con SSL) para los sitios firmados por un certificado adecuado.

Otra vez, su mejor opción es usar su propio hardware (lleve consigo un teléfono inteligente; una netbook / tableta barata), que elimina las amenazas # 1- # 4; y las buenas prácticas estándar previenen el # 5.

Su segunda mejor opción sería iniciar un sistema operativo invitado de su elección desde su propio Live CD, y luego usar un método como el suyo para ocultar su contraseña a un keylogger. Es posible que escriba la mitad de los caracteres (no necesariamente en orden; y corte y pegue la otra mitad de las letras en la página web / URL; preferiblemente haga esto solo con el mouse, por ejemplo, en gnome, si selecciona un carácter que pueda) pégalo con un clic del ratón central). El uso de un cd en vivo, evita # 2 y amp; # 3 & # 4. Aún eres vulnerable al # 1, pero probablemente puedas ocultar adecuadamente tu contraseña a un keylogger común, que si bien podrían haber recuperado una contraseña parcial, no tendrían toda la información (tampoco haría la contraseña completa desde el principio y pegue en caso de que estén grabando / clonando el video que se muestra en el monitor). Todavía recomendaría cambiar tu contraseña una vez que regreses a casa.

Si recurres a no poder iniciar en un sistema operativo invitado; Yo consideraría cualquier información ingresada comprometida. Podría hacer algo para que sea un poco más difícil (por ejemplo, descargar y ejecutar un nuevo navegador web; intente ocultar su contraseña escribiéndola fuera de orden / corte y pegando partes, etc.), pero en principio podrían obtener la información. si quisieran.

Posible, aunque tal vez no sea una solución muy práctica.

Tome su propia PC, arranque en Linux y use la conexión de red del cyber café

No muchos le permitirían hacer esto, pero algunos lo hacen

Podrías arrancar a un Linux live usb. A menos que el registrador de claves esté basado en hardware, esto será seguro. La Fuerza Aérea tiene una distro que está diseñada para este propósito. No monta los discos duros locales, por lo que no se puede guardar localmente. La distro se llama LPS (seguridad portátil liviana). Lo uso a diario. Puede descargarlo aquí

Iría con contraseñas de una sola vez. Algunos sitios proporcionan teclados virtuales en pantalla (que cambian la ubicación cada vez que haces clic), pero si hay registradores clave, existe una gran posibilidad de que haya spyware presente.

Por lo tanto, no elegiría usar un dispositivo de almacenamiento en miniatura que almacena la información confidencial, como contraseñas y SSN.

Lo que normalmente hago es cargar ubuntu live en USB flash, elegir una computadora en la esquina donde el propietario de caffe no pueda ver, inserte el flash USB y reinicie en ubuntu. Lo que obtengo es un ambiente seguro.

Aquí hay algunas buenas sugerencias.

A ellos, les agregaría la sugerencia de que cambies tu contraseña usando una conexión de internet confiable en la próxima oportunidad. Incluso si alguien logra obtener su contraseña, es posible que pueda cambiarla antes de que se pueda usar. Esto es especialmente cierto si están usando un keylogger de hardware que tienen que regresar y recuperar en una fecha posterior.

Una vez que estuve en un aeropuerto lejos de casa, me di cuenta de que la red wi-fi a la que estaba conectado podría no haber sido legítima. Me había conectado a GMail mientras estaba conectado a la red, así que para estar seguro, llamé a un miembro de mi familia desde mi teléfono celular, les dije mi contraseña de GMail y les pedí que la cambiaran por otra cosa. Escribieron la nueva contraseña que eligieron (sin decírmelo por teléfono), y la obtuve de ellos cuando volví a casa.

Si usa openid y algo como yubikey que usa una contraseña de un solo uso, incluso si toman su contraseña, no pueden reutilizarla.

el problema es el acceso al puerto usb

el yubikey aparece como un teclado USB, por lo que no se necesitan controladores a nivel de administrador

Veo que muchos bancos hacen esto. Sus campos de contraseña solo se pueden rellenar escribiendo en un teclado en pantalla que se coloca aleatoriamente en la página. Por lo tanto, no se hace clic en ninguna tecla, solo los clics del mouse Además, si la contraseña tiene una longitud de 8 caracteres, solo te piden que escribas ciertos caracteres para que puedas ver algo como X00XXX0 donde solo los caracteres de contraseña representados por los 0 deben escribirse en el teclado de la pantalla.

La combinación de los caracteres que se colocan al azar en el teclado de la pantalla y el clic del mouse y los caracteres seleccionados al azar para ser tipificados representaron cualquier posición del clic del mouse que pueda haber sido inútil.

Saludos,

Puede reenviar todo su correo electrónico a una cuenta temporal, que luego borra en su declaración. Esto limitará la posible exposición a la intercepción de los correos electrónicos enviados mientras usted estuvo ausente y el secuestro de la cuenta temporal.

Como puede desactivar el reenvío de su cuenta real, puede deshabilitar la cuenta temporal tan pronto como note que se ha visto comprometida.

Esta no es una solución perfecta, pero le brinda cierta protección incluso si su atacante logra robar su contraseña.

Traiga su propio dispositivo y use una conexión encriptada.

Además de lo que ya se ha dicho, puede considerar llevar una pequeña memoria USB que contenga el sistema operativo TAILS (abreviatura de The Amnesic Incognito Live System) que enruta todo su tráfico de Internet a través de Tor de forma predeterminada y no almacena nada en el hardware local, ya que todo lo que se hace en él se borra después de un reinicio.

Si prefieres, el hecho de que estés usando Tor permanece desconocido en la red local admin / ISP / government; debe configurar Tor / Tails para usar el Modo Puente

Sin embargo, tenga en cuenta que Tor no es una solución mágica para todo y debe leer la documentación correspondiente antes de confiar en cualquier software con información confidencial.

Además, debido a la información de usuario / contraseña de la arquitectura de Tor, el tercer salto puede observarla en su red de ofuscación (en lo que se denomina un nodo de salida), por lo que debería estar usando HTTPS para evitar esto. Extensión en todas partes para que sea más fácil.

[*] Por ejemplo: wired punto com / política / seguridad / noticias / 2007/09 / embassy_hacks? currentPage = all

Estás combinando dos problemas no relacionados. Un keylogger es un programa que se ha instalado en su computadora para monitorear las pulsaciones reales a medida que las realiza. No tiene nada que ver con una cafetería u otra red pública. Si su máquina ha sido hackeada, entonces tiene mayores preocupaciones, pero el método que menciona podría confundir a un simple keylogger.

De lo que debe preocuparse en una red wifi pública es de otras máquinas que detectan sus paquetes de red y ven lo que está enviando. Puede protegerse contra eso usando solo sitios web seguros que tengan SSL habilitado para que la conexión esté encriptada.

Si la cafetería no usa encriptación inalámbrica en el enrutador, entonces no está seguro usando ningún sistema operativo, boot stick o de otra manera, elija una cafetería que use encriptación inalámbrica y una contraseña para conectarse a su enrutador de punto de acceso.

Cualquier persona que se encuentre cerca del café o cerca de la cafetería puede detectar fácilmente las conexiones inalámbricas sin cifrar, esto revelará todo lo que envíe a través de la conexión, incluidos los inicios de sesión y las contraseñas que ingrese en un navegador.

Los registradores de claves se ejecutan en su máquina local y funcionarán independientemente de la conexión a Internet que utilice,

El problema que tiene en un cibercafé es el ataque de personas en el medio, donde otros interlocutores de la red pueden interceptar el tráfico de su red.

Asegúrese de usar HTTPS donde pueda, todo el tráfico se cifra antes de salir de su máquina, la mayoría de los inicios de sesión en sitios "decentes" usarán HTTPS y algunos sitios le permitirán navegar por todo el sitio en HTTPS, pero siempre verifique que antes de ingresar cualquier cosa no quiera que otra persona vea que la página es de hecho HTTPS, y si alguna vez visita un sitio que tiene un certificado SSL autofirmado, tenga mucho cuidado. ya que también podría ser un hombre en el ataque central. Sé que Firefox e IE le informan si la página tiene un certificado autofirmado.

Si está iniciando sesión en un sitio de redes sociales como Facebook, asegúrese de que la barra de direcciones contenga facebook.com y no facebook-home.com o similar, es el caso del phishing. Si está utilizando Mozilla Firefox, vaya a Herramientas y luego a Opciones de seguridad. Desde allí puede verificar si su contraseña se eliminó de la memoria o no una vez que haya cerrado su cuenta.

Tengo un método antiguo que es muy simple, pero efectivo. Obtenga un pendrive y abra un archivo .txt en su pendrive. Este archivo de texto contendrá las contraseñas de su cuenta en línea. Siempre use una herramienta generadora de contraseñas para generar su contraseña. .En el cibercafé, simplemente conecte su pendrive y copie y pegue las contraseñas que necesita. Con este sencillo método, su contraseña estará a salvo de los keyloggers.

Contraseñas de un solo uso o autorización de 2 factores

Toda la información que envíe al sitio web (no solo las pulsaciones de tecla) puede verse comprometida si no controla el hardware. Los datos de cualquier dispositivo que adjuntes (por ejemplo, una llave USB con el archivo KeePass) se pueden recuperar.

La única forma adecuada de protegerse es asegurarse de que todo lo que hizo en esa computadora fue útil para iniciar sesión en una vez , pero no es suficiente para iniciar sesión en de nuevo . Que la próxima vez necesitará algo diferente. Esto significa alguna otra autenticación que no sea una contraseña reutilizable.

Una forma de hacerlo es mediante una lista de contraseñas de un solo uso, pero con soporte limitado. Sin embargo, la mayoría de los servicios confidenciales, especialmente los principales proveedores de correo electrónico, permiten una autorización de 2 factores: donde además de la contraseña, necesita un código generado por un dispositivo que controla o, por ejemplo, un SMS a su número de teléfono. Esta es una forma razonable de protegerse contra los keyloggers, ya que capturar toda la información de su sesión actual no permitirá que el atacante inicie sesión por segunda vez a menos que robe el dispositivo o el número de teléfono requerido.

Lo que sugieres es probablemente la mejor manera de ingresar tu contraseña. El keylogger generalmente será interpretado por un humano y si su contraseña no tiene sentido en sí mismo (como lo señaló otro usuario), también puede engañarlo. Eso hará que sea bastante difícil adivinar su contraseña. Haría lo mismo con mi nombre de usuario también.

Se escriben todos los keystorkes registrados por un keylogger . Si usa algún software o su computadora recuerda sus contraseñas, no serán capturadas.