Moyen sécurisé de se connecter à un site Web sur l'ordinateur de quelqu'un d'autre
Supposons que je suis dans une situation où je suis obligé de me connecter à mon compte en utilisant l'ordinateur de quelqu'un d'autre . Existe-t-il un moyen sécurisé de le faire afin que je sois sûr que mes informations de connexion (par exemple, mon mot de passe) ne sont pas enregistrées par quelque moyen que ce soit (par exemple, l'enregistrement des frappes)? Ou, si cela est impossible, quels sont au moins les moyens d'atténuer les risques?
Bien que lié, mais notez que c'est un peu différent de cette question puisque je suis pas en utilisant mon propre ordinateur pour me connecter.
C'est une question intéressante!
La règle de base est que si quelqu'un d'autre a le contrôle de l'appareil (et qu'il est suffisamment déterminé), il sera toujours en mesure de surveiller et de modifier toutes vos actions sur l'appareil.
Nous pouvons (dans une certaine mesure) contourner ce problème! L'authentification à deux facteurs peut être utilisée pour garantir que même si quelqu'un a votre mot de passe, il ne peut pas accéder à votre compte sans avoir également accès à un appareil distinct (détenu et contrôlé par vous).
Gardez à l'esprit qu'une fois que vous vous connectez, l'ordinateur a finalement le contrôle de votre interaction avec le site Web et, par conséquent, il pourrait voir trivialement tout ce que vous faites sur le site et même modifier vos demandes sur le site (y compris ne pas vous déconnecter correctement lorsque vous avez terminé, et éventuellement modifier vos informations de connexion pour vous verrouiller sur votre propre compte).
Tout dépend de la façon dont vous vous inquiétez d'être attaqué - si vous vous connectez simplement à Facebook sur un ordinateur d'amis, vous pouvez probablement faire confiance à ce que lorsque vous appuyez sur "Déconnexion", cela vous déconnecte réellement. Si vous vous connectez à quelque chose de vraiment important, cependant, vous voudrez peut-être vous en tenir aux appareils que vous contrôlez.
En outre, considérez ce qui suit, via l'utilisateur TemporalWolf
Certains sites Web permettent la génération à usage unique mots de passe à usage unique qui évite toute sorte de journalisation des mots de passe ... comme vous l'avez mentionné, cela ne les empêche pas de foutre en l'air avec la session maintenant authentifiée.
Dans ma pratique, lorsque j'ai besoin d'une sécurité supplémentaire, je change généralement le mot de passe sur mon téléphone (ou un autre appareil de confiance), puis je me connecte sur l'ordinateur non fiable et, une fois que tout est fait, je change de nouveau mon mot de passe (si possible).
Cela repose sur le fait que le changement de mot de passe vous déconnecte partout, pour la plupart des sites Web. C'est plutôt pratique.
Alternativement, certains sites Web offrent un "contrôle de session" où vous pouvez forcer le détachement/la fin des sessions si vous le souhaitez.
Outre ce que j'ai dit ci-dessus, j'ai également un SSD portable de 128 Go, formaté en GPT et dispose de 3 partitions: la partition système EFI, un Ubuntu et un Windows To Go.
Bien que la sécurité des logiciels ne m'ait pas préoccupé lors de la création de ce SSD portable, c'est sans aucun doute un bon gadget à avoir à cet effet. Théoriquement et pratiquement, l'exécution de systèmes d'exploitation sur de tels éléments de stockage auto-fabriqués fournit un environnement logiciel entièrement fiable et peut éliminer à 100% tout thread logiciel sur la machine étrangère.
Comme d'autres l'ont répondu, ces gadgets ne sont généralement pas efficaces contre l'intrusion matérielle, par exemple un enregistreur de frappe (à moins que certains stupides nécessitent des pilotes pour fonctionner, vous pouvez alors LOL). Pour ces choses, vous feriez mieux de les vérifier en regardant les ports matériels. S'il y a quelque chose de malveillant à l'intérieur de la caisse, alors vous n'avez pas de chance.
Mais encore une fois, c'est une question interpersonnelle. Si vous vous connectez sur l'ordinateur de votre ami de confiance et que l'ami n'est pas un technicien, vous n'aurez probablement pas besoin d'autres actions que de lancer le navigateur en mode navigation privée ou InPrivate (Internet Explorer).
Si vous rencontrez régulièrement cette situation, essayez ce qui suit:
Créez une Tails clé USB en direct. Tails est un système d'exploitation Linux conçu pour fonctionner avec une clé USB, qui peut être démarré sur la plupart des ordinateurs. L'utilisation de Tails signifie que vous n'avez pas à vous soucier des logiciels que l'ordinateur hostile peut avoir installés. Parce que vous le contournez complètement au démarrage.
Utilisez le clavier à l'écran . Vous devez couvrir cela avec votre main pendant que vous tapez, pour empêcher quiconque d'observer. Cela se défend contre les enregistreurs de frappe basés sur le matériel. Notez que vous n'avez pas à vous soucier des logiciels d'enregistrement d'écran, car vous exécutez Tails , ce qui signifie que vous avez un contrôle total sur tous les logiciels exécutés sur le système.
Éditer:
Comme @ Xen2050 l'a mentionné dans les commentaires, vous pouvez également y parvenir avec d'autres systèmes d'exploitation qui peuvent être plus conviviaux. Par exemple, voici des instructions pour créer un USB Ubuntu Linux en direct sur Windows , Mac ou bunt . Et voici les instructions pour accéder au clavier à l'écran sur Ubuntu.
Faiblesses potentielles de cette méthode:
Cette méthode est vulnérable aux éléments suivants:
- Enregistrement d'écran basé sur le matériel. Il est possible d'insérer un appareil entre l'ordinateur et l'écran qui enregistrera tout ce qui est envoyé à l'écran. Par exemple, celui-ci . Pour vous protéger contre cela, inspectez le câble et assurez-vous qu'il n'y a aucun périphérique entre l'ordinateur et l'écran. Notez cependant qu'il est possible d'installer des appareils d'enregistrement d'écran internes qui seraient beaucoup plus difficiles à détecter. Si vous suspectez cela, vous pourrez peut-être les contourner en débranchant l'écran à l'arrière de l'ordinateur et en le reconnectant à un autre port.
- Firmware malveillant, BIOS, rootkit , etc. C'est probablement la vulnérabilité la plus difficile à défendre. Si vous pensez que l'ordinateur que vous utilisez possède un micrologiciel malveillant, ne l'utilisez pas! Trouvez une autre façon de vous connecter au site Web ou ne vous y connectez pas.
Utiliser SQRL
Si un site Web prend en charge SQRL ( https://www.grc.com/sqrl/sqrl.htm ), vous avez la possibilité de lui faire afficher un code QR dans le navigateur de l'ordinateur que vous laissez le SQRL dans votre téléphone portable lire et négocier ainsi l'authentification hors bande.
Le SQRL n'est pas encore largement adopté, mais ce cas d'utilisation précis a été conçu dès le départ. (L'autre cas d'utilisation principal est une application SQRL sur votre ordinateur fonctionnant de concert avec le navigateur). Dans aucun cas, un mot de passe n'est transmis; SQRL utilise la technologie de clé publique/privée Elliptic Curve pour signer un nonce présenté par le serveur pour prouver que l'utilisateur a la clé privée associée à la clé publique stockée sur le serveur dans les informations de compte de l'utilisateur.
EDIT: Parce que si peu de sites prennent en charge SQRL, c'est probablement pas une bonne réponse en novembre/décembre 2018, mais cela pourrait être une bonne réponse à l'avenir. Je ne pense pas qu'il existe est un moyen sûr de se connecter à un site Web sur un ordinateur sous le contrôle de quelqu'un d'autre (qui peut avoir une clé/enregistreur de clics installé), ce qui était l'une des raisons SQRL a été créé en premier lieu. L'approche de connexion hors bande, qui ne repose pas sur l'ordinateur éventuellement compromis pour conserver un secret comme un mot de passe, que ce soit la forme spécifique prise par le protocole SQRL ou un schéma concurrent qui utilise la même idée générale, est un élément essentiel de toute bonne réponse.
Il s'agit d'un PIA majeur, mais relativement sûr en ce qui concerne la protection de votre mot de passe. Principalement parce que c'est une telle EIP que personne n'est susceptible de rassembler ce qui est nécessaire pour la capturer. Ce qui signifie que la mise en garde concernant la sécurité par l'obscurité s'applique probablement ici ...
- Éditeur de texte ouvert de choix.
- Tapez l'alphabet complet en majuscule et en minuscule.
- tapez la gamme complète des chiffres et des symboles disponibles.
- Copiez et collez lettre par lettre pour saisir votre mot de passe sur le formulaire Web.
- En tant que couche d'obscurcissement supplémentaire, ne saisissez pas les lettres dans le même ordre que le mot de passe final
Je peux penser à quelques techniques où je pourrais être en mesure de capturer le mot de passe de quelqu'un qui utilise cette technique, mais aucune d'entre elles n'est ce que je considérerais comme facile ou simple.
Il convient également de noter que cette technique a été initialement suggérée comme contre-mesure par mon instructeur CEH. Ce n'est pas parfait, mais c'est une option semi-décente qui ne nécessite pas beaucoup de préparation préalable.
Il y a une chose que vous pouvez faire sur les sites qui le permettent (Google en est un): utilisez un facteur d'authentification "have", comme TOTP ou une application mobile pour approuver les connexions. Vous n'avez pas besoin d'utiliser 2FA - cela peut être votre seul facteur. Certains de mes serveurs non critiques sont configurés pour autoriser le mot de passe OR totp, afin que je puisse me connecter avec l'un ou l'autre, sans avoir besoin des deux. Bien que, comme d'autres l'ont souligné, cela ne fonctionne pas) t vous sécuriser complètement (après vous être connecté, l'attaquant pourrait désactiver la saisie et faire ce qu'il veut maintenant que vous êtes connecté), il empêche la divulgation de mots de passe.
La meilleure façon de vous protéger est de dire à la personne que vous n'êtes pas à l'aise d'entrer votre mot de passe sur son ordinateur.
Si vous avez une cause probable ou une paranoïa générale, n'effectuez aucune action dangereuse.
S'attendre à détecter en profondeur et/ou à atténuer tous les modèles de menace en quelques secondes est ridicule.
Quel est le modèle de menace de toute façon?
- Ne faites-vous pas confiance à la personne?
- Ne faites-vous pas confiance à l'ordinateur?
- Essayez-vous d'empêcher leur accès à partir du site Web auquel vous vous connectez?
- Essayez-vous d'empêcher la découverte de votre mot de passe parce que vous le réutilisez pour une centaine d'autres services tels que les services bancaires personnels?
- Essayez-vous simplement de trouver un moyen universel de ne pas être compromis, quel que soit l'ordinateur étranger que vous rencontrerez à l'avenir?
- Essayez-vous d'empêcher l'enregistrement des détails de l'écran post-connexion? Vous souhaiterez peut-être balayer la zone pour tout appareil d'enregistrement vidéo caché dans le plafond.
Si vous devez vous connecter en utilisant l'ordinateur de quelqu'un d'autre, il n'existe aucun moyen certain de savoir avec certitude s'il existe une forme quelconque de logiciel d'espionnage. Même s'il s'agit de quelqu'un en qui vous avez confiance, il pourrait être infecté par un virus ou un dispositif similaire néfaste, et il peut être difficile voire impossible de savoir s'il est infecté. Supposez toujours qu'une entité néfaste sera toujours en mesure de visualiser/accéder à tout ce qui se passe sur l'ordinateur. Voici quelques façons dont vous pouvez essayer d'atténuer les risques.
Il n'y a aucun moyen possible de s'assurer que le système d'exploitation de la personne n'est pas compromis. Vous pouvez regarder les processus en cours, examiner les piles d'appels, les demandes réseau ou quoi que ce soit, mais les programmes espions peuvent être extrêmement bien déguisés. La meilleure solution possible est de démarrer à partir d'une clé USB en direct en utilisant une distribution Linux telle que Ubuntu, Puppy Linux ou Kali Linux. Cela signifie que vous devez avoir le contrôle total de logiciel exécuté sur l'ordinateur, bien qu'un pirate déterminé puisse insérer du code malveillant dans le BIOS ou le chargeur de démarrage de l'ordinateur, modifiant le code réel du système d'exploitation.
Atténuation des vulnérabilités basées sur le matériel
- Vérifiez le câble entre l'ordinateur et l'écran. Un appareil peut être inséré entre eux permettant à un pirate de voir la sortie d'affichage.
- Évitez d'utiliser un clavier ou une souris sans fil. Le signal peut être intercepté entre l'émetteur et le récepteur, exposant les frappes et les mouvements de la souris, même via un appareil séparé.
- Branchez tous les périphériques USB directement sur la carte mère. N'utilisez pas de slot PCIe, car le périphérique peut stocker/transmettre des frappes/commandes. Il en va de même pour les connecteurs du panneau avant.
- Si possible, utilisez un autre clavier. Les appareils peuvent prendre les sons des touches individuelles pressées pour déchiffrer de quelle clé il s'agit. Débranchez tous les microphones connectés à l'ordinateur, au cas où.
- Vérifiez s'il y a des périphériques PCIe ou port série supplémentaires branchés. Assurez-vous que seuls ceux requis sont branchés, au cas où.
Méthodes logicielles de réduction du risque
- Assurez-vous de vous connecter à un réseau WiFi sécurisé ou à Ethernet, si vous savez qu'il est sûr. Il est probablement préférable d'utiliser des données mobiles et, si possible, un point d'accès mobile, de sorte que vous n'ayez pas à vous fier à leur connexion Internet. Utilisez également un câble USB, si possible, afin de ne pas courir le risque qu'une autre connexion Wi-Fi intercepte le signal à la place.
- Utilisez SSL. Cela est évident, mais vous devez vous assurer que l'autorité de certification est celle que vous attendez, car il est possible pour une entité d'insérer un certificat auto-signé dans la chaîne.
La dernière chose est que vous devriez, si possible, changer temporairement votre mot de passe (peut-être en utilisant votre téléphone) pendant que vous vous connectez en utilisant cet ordinateur, puis le changer à nouveau par la suite, donc si le mot de passe est compromis, il ne sera pas utilisable après qu'il soit changé retour.
Vous ne spécifiez pas si vous devez vous connecter via l'ordinateur de quelqu'un parce que vous:
- Besoin de leur OS/logiciel, par ex. vous configurez/réparez l'ordinateur de quelqu'un et vous devez récupérer des données sur votre serveur privé.
- Besoin de leur matériel (par exemple, vous êtes autorisé à accéder au réseau en fonction de leur adresse MAC ou d'autres facteurs qui n'existent que sur la machine que vous souhaitez utiliser.
- Besoin de leur réseau (par exemple, vous devez être à l'intérieur de leur réseau local, mais avec votre propre appareil)
- Vous n'avez pas du tout besoin de leur réseau ou de leur appareil, il vous suffit d'utiliser leur ordinateur.
La façon optimale de répondre à ces préoccupations est, dans l'ordre inverse:
Cas 4. Apportez votre ordinateur portable/téléphone/tablette et utilisez une connexion 3G/4G pour accéder à Internet. Terminé.
Cas 3. Apportez votre ordinateur portable, sécurisez-le correctement (antivirus, pare-feu, etc.), branchez-le sur leur réseau. Terminé.
Cas 2. Inspectez leur matériel pour tout enregistreur matériel, démarrez votre propre système d'exploitation (une sorte de distribution en direct). Si vous avez manqué l'enregistreur matériel, vous avez le problème.
Cas 1. Aide également avec le cas 2.
a) Nécessite un accès administrateur/root.
b) Activez le pare-feu, réglez-le en mode paranoïaque strict, autorisez uniquement les connexions à votre serveur cible.
c) Modifiez votre mot de passe d'accès via votre téléphone 3G/4G en quelque chose de temporaire,
d) Accédez au serveur, utilisez 2FA
e) supprimer les traces (cookies, tous les fichiers temporaires qui pourraient masquer les informations d'identification, identifiants uniques, tc)
f) Changer le mot de passe via votre téléphone 3G/4G
g) Remettez le pare-feu en position normale.
Maintenant le pare-feu peut être compromis également par un rootkit, donc pour plus de paranoïaques, ou dans si vous n'obtenez pas Admin/root accès:
a) Construisez votre routeur personnalisé à l'aide de Raspberry Pi ou d'un appareil similaire, ajoutez un port Ethernet supplémentaire à l'aide de l'adaptateur Ethernet2USB. (bien sûr, un pro très soucieux de la sécurité aurait de toute façon Linux sur son ordinateur portable, alors ajoutez simplement le port Ethernet2USB et continuez sans Raspberry.
b) Branchez leur ordinateur sur votre Raspberry, obtenez l'adresse MAC, clonez-la de l'autre côté (sortant).
c) Configurez un routage strict et un pare-feu sur Linux, n'autorisez que l'accès à votre serveur et acheminez l'un NIC vers un autre).
d) Configurez le reniflement MITM et installez votre certificat sur votre serveur sur leur machine. Votre certificat est un certificat MITM, le faux que vous avez généré!
e) Procédez comme décrit précédemment en 1c) et ainsi de suite.
f) Enregistrez tout octet sanglant qui traverse votre mini routeur afin que vous puissiez les confronter s'ils essaient quelque chose de méchant.
Le raisonnement derrière cette suggestion est que l'ordinateur hôte n'a probablement pas le suite complète d'outils pour attaquer votre compte. Keylogger enregistrera les clés de votre mot de passe temporaire, mais ne sera pas en mesure de transmettre les données au méchant assis dans l'autre pièce. S'il le fait et essaie de pirater votre serveur, vous aurez toute tentative de piratage enregistrée en texte brut, vous pouvez soit les confronter ou réparer les dommages (ils ont changé le texte en clair, mais vous avez enregistré la modification! ). Notez que seul votre serveur sera disponible pour leur ordinateur au moment critique, donc soit leur ordinateur essaie de pirater en solo, soit rien ne se passera.
J'apprécierais des commentaires sur cette route, si j'ai peut-être raté quelque chose.
En théorie, si le site ne vous offre pas une meilleure façon de le faire, il y a toujours un moyen: connectez-vous sur un appareil sous votre contrôle et transférez le cookie de session que vous recevez de cet appareil vers l'ordinateur non fiable. Cela permettra à l'ordinateur non fiable d'effectuer toute opération que vous pouvez effectuer sur le site une fois connecté, mais à moins que le site n'ait une conception de sécurité mortellement mauvaise, il ne permettra pas à l'ordinateur non approuvé de changer votre mot de passe, de modifier l'adresse e-mail associée au compte ou effectuer d'autres opérations de prise de contrôle de compte.
Une fois que vous avez terminé, vous pouvez utiliser l'appareil de confiance que vous contrôlez pour vous déconnecter de son cookie de session (que vous en avez copié) en y effectuant l'opération de déconnexion, ou effectuer une opération de "déconnexion de tous les appareils" si le site fournit une telle fonctionnalité. .
Notez que dans ce schéma, votre mot de passe n'est jamais entré sur l'ordinateur non fiable et qu'il n'a donc aucun moyen de l'enregistrer/le capturer. Au mieux, il peut capturer le cookie de session, que vous invaliderez en vous déconnectant à l'aide du périphérique de confiance une fois que vous aurez terminé.
Si vous faites confiance à cette personne, allez-y et utilisez son ordinateur. Envisagez de créer un profil de navigateur distinct que vous pouvez nettoyer après avoir terminé sans effacer les cookies/paramètres/autres de cette personne. Prenez note des pièces jointes que vous téléchargez afin de pouvoir également les supprimer. Ne vous contentez pas d'ouvrir les fichiers joints, sauf si vous voulez jouer au détective pour déterminer lequel des emplacements "temporaires" possibles a été utilisé pour les stocker. Et évitez de manipuler des données sensibles qui ne sont pas liées à l'objectif forcer vous d'utiliser l'ordinateur de quelqu'un d'autre.
Si vous ne faites pas confiance à la personne, n'utilisez pas son ordinateur. Il n'y a aucun moyen de sécuriser un ordinateur inconnu à 100%, et encore moins sans faire des choses qui feront soupçonner à l'autre personne que vous essayez de les pirater. À ce moment-là, il vous sera probablement refusé d'utiliser leur ordinateur de toute façon.