Cowthulhu

2018-11-29 22:55:12 UTC

view on stackexchange narkive permalink

To ciekawe pytanie!

Ogólna zasada jest taka, że jeśli ktoś inny ma kontrolę nad urządzeniem (i jest wystarczająco zdeterminowany), zawsze będzie mógł monitorować i modyfikować wszystkie Twoje działania na urządzeniu.

Możemy (w nieco ograniczonym zakresie) obejść ten problem! Uwierzytelnianie dwuskładnikowe może służyć do zapewnienia, że nawet jeśli ktoś zna Twoje hasło, nie może uzyskać dostępu do Twojego konta bez dostępu do oddzielnego urządzenia (należącego do Ciebie i kontrolowanego przez Ciebie).

Pamiętaj, że po zalogowaniu komputer ostatecznie kontroluje twoją interakcję z witryną, w wyniku czego może w trywialny sposób widzieć wszystko, co robisz w witrynie, a nawet modyfikować twoje żądania do witryny (w tym nie wylogowywać się poprawnie, gotowe i potencjalnie zmieniając dane logowania, aby zablokować Ci dostęp do własnego konta).

Wszystko zależy od tego, jak bardzo martwisz się, że zostaniesz zaatakowany - jeśli logujesz się do Facebooka na komputerze znajomego, prawdopodobnie możesz ufać, że kliknięcie „Wyloguj się” powoduje wylogowanie. Jeśli jednak logujesz się na coś naprawdę ważnego, możesz chcieć trzymać się urządzeń, które kontrolujesz.

Ponadto weź pod uwagę następujące kwestie, za pośrednictwem użytkownika TemporalWolf

Niektóre strony internetowe pozwalają na generowanie jednorazowych haseł jednorazowych, co pozwala uniknąć wszelkiego rodzaju logowania haseł ... jak wspomniałeś, nie powstrzymuje ich to przed modyfikowaniem uwierzytelniona sesja.

„Prawdopodobnie możesz ufać, że kliknięcie przycisku„ Wyloguj ”powoduje wylogowanie”. Chyba że Twój znajomy nieświadomie ma złośliwe oprogramowanie na swoim komputerze.

Ponieważ mówi się, że ktoś inny, kto kontroluje urządzenie, zapewnia, że zawsze będzie w stanie monitorować działania, które mają na nim miejsce, jest to jedyna poprawna odpowiedź.

@NotThatGuy Myślę, że jeśli prześlesz prośbę o edycję?

Problem z 2FA polega na tym, że jeśli rzeczywiście atakujący miał keyloggera i rzeczywiście zmodyfikował żądania wysyłane do witryn internetowych, aby zasadniczo blokować wylogowanie, byłby w stanie zmienić hasło do konta / ustawienia 2FA po wpisaniu hasła w dziennikuzalogowany. Nie znam żadnych usług, które wymagają 2FA do zmiany hasła * już uwierzytelnionego *.Więc to jest interesujący dylemat.

To jest dobra odpowiedź.Dodam, że jeśli OP martwi się, to powinien później monitorować swoje konto za pomocą kontrolowanego przez siebie urządzenia, np.kiedy jesteś na Facebooku, możesz zobaczyć listę zalogowanych urządzeń, a nawet zmusić je do wylogowania / ponownego uwierzytelnienia.(Nie jestem pewien, czy witryna sieci Web kontroli wyrzutni rakiet SAC ma tę samą funkcję).

+1 dla haseł jednorazowych.Zanim pojawiły się mobilne sieci danych i Wi-Fi, zawsze drukowałem arkusz OTP do użytku w kafejkach internetowych podczas podróży zagranicznych.

Czy ta odpowiedź byłaby lepsza, gdyby obejmowała użycie okna przeglądarki incognito i wyłączenie rozszerzeń na czas sesji logowania?Rozumiem, że incognito nie pozostawi tokena uwierzytelniania ani danych internetowych po zamknięciu.

„Jeśli jednak wprowadzasz kody wystrzeliwania pocisków, możesz chcieć trzymać się urządzeń, które kontrolujesz”.- czy to nie jest raczej podręcznikowy przykład odporności na powtarzanie ataków?Nie możesz dwukrotnie rozpocząć globalnej wojny termojądrowej.

@Qwertie's dobrze i sprawdzenie konta z własnego urządzenia później (Facebook wyświetla listę aktywnych sesji, ish) nie jest paranoikiem

@ChrisCirefice: Tak się składa, że mój bank wymaga 2FA po uwierzytelnieniu dla _ wszystkiego_, z wyjątkiem odczytu salda konta.Obejmuje, ale nie ogranicza się do zmiany hasła.Nie możesz nawet otworzyć biletu CS bez wpisania numeru SMS-TAN (co jest zabawne, ponieważ zakładając, że masz z tym problem, nie ma możliwości skontaktowania się z CS?).Chcesz przelać dużą sumę pieniędzy?To 3 numery TAN do wprowadzenia.Jeden w celu zwiększenia limitu transakcji, jeden na transakcję i jeden w celu przywrócenia limitu do normy.To naprawdę jedyna usługa działająca w takim trybie paranoi, jaką znam.

* „prawdopodobnie możesz ufać, że kliknięcie przycisku„ Wyloguj ”powoduje wylogowanie.” * Gdybym próbował cię zaatakować, gdy korzystałeś z mojego komputera, upewniłbym się * * * *, że akcja „wyloguj się” nie zadziałat pracować na określonej docelowej witrynie internetowej ... takiej jak Facebook.

iBug

2018-11-30 09:28:00 UTC

view on stackexchange narkive permalink

W mojej praktyce, gdy potrzebuję dodatkowego zabezpieczenia, zwykle zmieniam hasło w telefonie (lub innym zaufanym urządzeniu), a następnie loguję się na niezaufanym komputerze i po wszystkim zmieniam hasło z powrotem (jeśli to możliwe).

Zależy to od faktu, że zmiana hasła powoduje wylogowanie użytkownika wszędzie, w przypadku większości witryn internetowych. Jest to raczej praktyczne.

Alternatywnie, niektóre witryny oferują „kontrolę sesji”, w której można wymusić odłączenie / zakończenie sesji, jeśli chcesz.

Oprócz tego, co powiedziałem powyżej, ja mam też ze sobą przenośny dysk SSD o pojemności 128 GB, sformatowany na GPT i zawierający 3 partycje: partycję systemową EFI, Ubuntu i Windows To Go.

Podczas gdy tworzenie tego rozwiązania nie dotyczyło bezpieczeństwa oprogramowania przenośny dysk SSD, jest to niewątpliwie dobry gadżet do tego celu. Teoretycznie i praktycznie, uruchamianie systemów operacyjnych na takich samodzielnie utworzonych elementach pamięci zapewnia w pełni zaufane środowisko oprogramowania i może w 100% wyeliminować każdy wątek oprogramowania na obcym komputerze.

Jak powiedzieli inni, takie gadżety zwykle nie są skuteczne w przypadku włamań sprzętowych, na przykład rejestratora kluczy (chyba że niektóre głupie wymagają sterowników do pracy, wtedy możesz LOL). W przypadku tych rzeczy lepiej je sprawdź, patrząc na porty sprzętowe. Jeśli w skrzyni jest coś złośliwego, to nie masz szczęścia.

Ale znowu jest to kwestia interpersonalna. Jeśli logujesz się na komputerze zaufanego przyjaciela, a znajomy nie jest technikiem, prawdopodobnie nie potrzebujesz więcej czynności niż uruchomienie przeglądarki w trybie incognito lub InPrivate (Internet Explorer).

To dobry pomysł, który nie wymaga specjalnej wiedzy ani narzędzi i zapewnia wystarczające bezpieczeństwo.

Posiadanie przenośnego dysku SSD jest z pewnością dobrym pomysłem, ale patrząc z drugiej strony, nigdy nie pozwoliłbym komuś uruchomić komputera z jego własnym systemem operacyjnym.

@martinstoeckli Tak, ale to przeciwieństwo tego pytania.

Sugerowałbym nadal używanie MBR, ponieważ nie każdy ma jeszcze GPT, ale i tak dobry pomysł.

@iBug Dobre rozwiązanie, dzięki.Jednak „Jeśli logujesz się na komputerze swojego ** zaufanego przyjaciela **…”, czy „zaufany” odnosi się do znajomego lub komputera znajomego?Ponieważ mogę ufać swojemu przyjacielowi, ale nie jego komputerowi.

@today zależy od Ciebie

„dla większości witryn” - chciałbym, żeby to była prawda, ale nie jestem pewien, czy dotyczy to witryn o dużym natężeniu ruchu.

@MichaelMior Tak, to kolejny problem „zależności”.Ale z tego co widziałem, wszystkie strony internetowe wylogowywały mnie wszędzie (kończą wszystkie sesje), gdy zmieniam hasło.

* „uruchamianie systemów operacyjnych na takich samodzielnie utworzonych pamięciach masowych zapewnia w pełni zaufane środowisko oprogramowania i może w 100% wyeliminować każdy wątek oprogramowania na obcej maszynie” * ... z wyjątkiem rootkita oprogramowania układowego.

daviewales

2018-11-30 13:00:32 UTC

view on stackexchange narkive permalink

Jeśli regularnie napotykasz tę sytuację, wypróbuj następujące rozwiązania:

Utwórz działającą pamięć USB Tails. Tails to system operacyjny Linux zaprojektowany do pracy z USB, który można uruchomić na większości komputerów. Korzystanie z Tails oznacza, że nie musisz martwić się o żadne oprogramowanie, które mógł zainstalować wrogi komputer. Ponieważ całkowicie pomijasz go podczas rozruchu.
Użyj klawiatury ekranowej. Podczas pisania należy zakrywać to ręką, aby nikt nie mógł tego obserwować. Chroni to przed sprzętowymi rejestratorami kluczy. Pamiętaj, że nie musisz martwić się oprogramowaniem do nagrywania ekranu, ponieważ używasz Tails , co oznacza, że masz pełną kontrolę nad całym oprogramowaniem działającym w systemie.

Edycja:

Jak @ Xen2050 wspomniał w komentarzach, możesz to również osiągnąć z innymi systemami operacyjnymi, które mogą być bardziej przyjazne dla użytkownika. Na przykład tutaj znajdują się instrukcje tworzenia Live USB Ubuntu Linux na Windows, Mac lub Ubuntu. A oto instrukcje uzyskiwania dostępu do klawiatury ekranowej w systemie Ubuntu.

Potencjalne słabości tej metody:

Ta metoda jest podatna na następujące czynniki:

Sprzętowe nagrywanie ekranu. Możliwe jest włożenie urządzenia między komputer a ekran, które będzie nagrywać wszystko, co zostanie wysłane na ekran. Na przykład ten. Aby się przed tym zabezpieczyć, obejrzyj kabel i upewnij się, że między komputerem a ekranem nie ma żadnych urządzeń. Należy jednak pamiętać, że można zainstalować wewnętrzne urządzenia do nagrywania ekranu, które byłyby znacznie trudniejsze do wykrycia. Jeśli podejrzewasz, że to możliwe, możesz je ominąć, odłączając ekran z tyłu komputera i podłączając go ponownie do innego portu.
Złośliwe oprogramowanie układowe, system BIOS, rootkit itp. Jest to prawdopodobnie najtrudniejsza luka, przed którą należy się bronić. Jeśli podejrzewasz, że komputer, którego używasz, ma złośliwe oprogramowanie, nie używaj go! Znajdź inny sposób logowania się do witryny internetowej lub nie loguj się do niej.

W przypadku nieznanego sprzętu i ponieważ wydaje się, że nie potrzebujesz właściwości sieciowych TAILS, użycie bardziej przyjaznej i bootowalnej dystrybucji, takiej jak Mint lub Ubuntu, lub innej przyjaznej dla początkujących, może być o wiele bardziej skuteczne;TAILS może nie mieć prawie tyle szczęścia podczas uruchamiania na „nowych” nieznanych urządzeniach

@Xen2050 Windows To Go to także dobra alternatywa!

Słuszna uwaga, @Xen2050

W „Nagrywaniu sprzętowym” można by wspomnieć o sprzętowym rejestratorze naciśnięć klawiszy, który może być wbudowany w samą klawiaturę.Wydaje się to bardziej prawdopodobne, jeśli osoba będąca właścicielem komputera próbuje ukraść hasła OP.

@iBug Czy Windows To Go jest darmowy do pobrania i używania przez wszystkich - nawet jeśli nie posiadasz ani nie używasz legalnie żadnego innego systemu Windows?

@Xen2050 Nie.Windows To Go jest legalnie dostępny tylko w wersji Enterprise i musi zostać legalnie utworzony z innej działającej wersji Enterprise Edition systemu Windows.Jednak obejścia są w całym Internecie.

„* Korzystanie z klawiatury ekranowej chroni przed sprzętowymi rejestratorami klawiszy *” - chyba że zawierają one rejestrator myszy (do współrzędnych kliknięcia itp.) :-)

Możesz to po prostu zrobić z MacOS.Przytrzymaj opcję podczas uruchamiania, wyświetli każdy dysk rozruchowy, w tym wszystkie podłączone dyski USB.Mac nie rozróżnia dysków SATA, USB i Lightning re: bootowalność.Robię to od 2003 roku.

@Bergi Niektóre możliwe zabezpieczenia przed rejestratorami myszy: Przesuń klawiaturę ekranową w dowolne miejsce na ekranie przed każdym naciśnięciem klawisza.Przełącz się na losowy układ klawiatury.Znajdź klawiaturę ekranową, która szyfruje położenie klawiszy.

„Korzystanie z Tails oznacza, że nie musisz martwić się o żadne oprogramowanie, które mógł zainstalować wrogi komputer. Ponieważ całkowicie pomijasz je podczas rozruchu”.Pomijasz to tylko wtedy, gdy maszyna pozwala ci to ominąć.Może to być zachowanie standardowego sprzętu, ale nadal zależy od sprzętu, aby nie był złośliwy.

@Accumulation True.Czy możesz podać konkretne przykłady, które można dodać do sekcji „Potencjalne słabości”?

@daviewales Nawet w przypadku anty-keyloggera / mouseloggera nadal istnieje problem z urządzeniem do przechwytywania grafiki ekranu w czasie rzeczywistym (lub powiedzmy, przez ramię).W tym momencie potrzebujesz „przycisków dźwiękowych”, które pokazują tylko dźwięk (przez słuchawkę).Ale wtedy mogliby też nagrywać dźwięk ... cykl jest nieskończony.

Nie mam żadnych przykładów niczego, o czym wiem, że faktycznie zostało wdrożone, ale nie ma nic fizycznie niemożliwego w tworzeniu urządzenia, które czyta USB, emuluje wewnętrznie oprogramowanie na USB, a następnie zewnętrznie przeprowadza atak MITM.Oznacza to, że urządzenie może mieć wewnętrzną maszynę wirtualną z oprogramowaniem na USB i przeprowadzać atak MITM między maszyną wirtualną a użytkownikiem.

Klawiatury ekranowe można czytać, przeglądając strony przez ramię lub przez aparat.Wysokiej jakości obiektyw zmiennoogniskowy może widzieć ekran z dużej odległości, z której jest zbyt daleko, aby można go było zobaczyć wzrokiem.

@Criggie To prawda.Dlatego warto zasłaniać ekran ręką.

Monty Harder

2018-11-30 03:40:04 UTC

view on stackexchange narkive permalink

Użyj SQRL

Jeśli witryna obsługuje SQRL ( https://www.grc.com/sqrl/sqrl.htm), możesz wyświetlić ją kod QR w przeglądarce komputera, który pozwalasz aplikacji SQRL w telefonie komórkowym czytać, a tym samym negocjować uwierzytelnianie poza pasmem.

SQRL nie jest jeszcze powszechnie stosowany, ale ten precyzyjny przypadek użycia od początku. (Innym głównym przypadkiem użycia jest aplikacja SQRL na komputerze działająca w zgodzie z przeglądarką). W żadnym przypadku nie jest przesyłane hasło; SQRL wykorzystuje technologię klucza publicznego / prywatnego krzywej eliptycznej do podpisania numeru jednorazowego przedstawionego przez serwer, aby udowodnić, że użytkownik ma klucz prywatny powiązany z kluczem publicznym przechowywanym na serwerze w informacjach o koncie użytkownika.

EDYTUJ: Ponieważ tak niewiele witryn obsługuje SQRL, prawdopodobnie nie jest to dobra odpowiedź na listopad / grudzień 2018 r., Ale może to być dobra odpowiedź w przyszłości. Nie sądzę, aby istniał bezpieczny sposób logowania się do witryny internetowej na komputerze znajdującym się pod kontrolą innej osoby (na którym może być zainstalowany rejestrator kluczy / kliknięć), co było jednym z powodów, dla których SQRL stworzony w pierwszej kolejności. Podejście logowania poza pasmem, które nie polega na tym, że komputer, który może zhakować zabezpieczenia, zachowuje tajemnicę, taką jak hasło, niezależnie od tego, czy jest to określona forma przyjęta przez protokół SQRL, czy inny konkurencyjny schemat, który wykorzystuje tę samą ogólną ideę niezbędny element każdej dobrej odpowiedzi.

To bardzo ciekawa metoda!W ogóle nie byłem tego świadomy.Dzięki, że o tym wspomniałeś.

Koncepcja jest zdecydowanie interesująca, chociaż w praktyce może wymagać (więcej) wzajemnej oceny i testów użyteczności.Zresztą to rozwiązanie nie jest dziś praktyczne, a autor pytania zdawał się pytać głównie jako użytkownik, a nie jako programista.Spróbuj już dziś skorzystać z tej metody w Google, Amazon lub Facebook.

Niestety pytanie nie precyzuje, co oznacza „moje konto” - na Twojej własnej stronie?Na Facebooku?To różnica, ponieważ w jednym kontrolujesz mechanizm logowania, a w drugim nie.

https://security.blogoverflow.com/2013/10/debunking-sqrl/ - Dobrze zaprojektowane rozwiązanie, takie jak U2F, jest prawdopodobnie lepsze niż to, co Steve Gibson (który jest w dużej mierze maniakiem) zdołał samodzielnie ukąsić.

A co z aplikacją WhatsApp Desktop, w której logujesz się, skanując kod QR i możesz wylogować się ze smartfona?

Chociaż SQRL rzeczywiście byłby przyzwoitym rozwiązaniem tego problemu (mniej więcej w takim samym stopniu jak U2F), nie sądzę, aby ta odpowiedź była bardzo pomocna.FIDO nie jest szeroko obsługiwane, a zatem nie jest opłacalnym rozwiązaniem dla użytkowników w ~ 99% przypadków.

Czy tak działa logowanie za pomocą WhatsApp na komputerze?

** Uwaga od moda: ** SQRL nie ma najlepszej reputacji od czasu jego premiery.Mieliśmy członków, którzy sprawdzali dokumenty architektoniczne, kiedy zostały po raz pierwszy wydane i stwierdzili, że są one niepotrzebne.Ale minęło już 5 lat i wiemy, że programiści wprowadzili zmiany w wyniku krytyki, ale nie możemy znaleźć ostatnich recenzji.Tak więc * caveat emptor * z SQRL.Wiadomo, że dostępne są częściej używane i przetestowane opcje.

Tym, którzy mówią, że „Gibson jest wariatem” lub że SQRL ma złą reputację, mogę powiedzieć tylko tyle, że jest to atak _ad_hominem_.Większość zastrzeżeń, jakie widziałem w stosunku do SQRL, wynika z błędnych przekonań na temat tego, jak to działa, do pewnego stopnia w wyniku rozwoju projektu SQRL.Podstawowy pomysł został ogłoszony iw ciągu kilku dni ludzie, którzy nie lubią Gibsona, zdecydowali, że był to błędny protokół, mimo że nie został jeszcze formalnie zdefiniowany.

@vidarlo Komentarze na temat tego „obalania” wykonują świetną robotę w obalaniu tego obalania.Gibson nie złożył tego po prostu sam.Wpadł na podstawowy pomysł, założył grupę dyskusyjną i zaczął omawiać ją z innymi, którzy robili wszystko, co w ich mocy, aby zrobić w niej dziury i pomóc ją ulepszyć.[Ujawnienie: jestem jedną z tych osób.Byłem jednym z tych, którzy nalegali, aby mechanizmy odwoływania i zastępowania kluczy były wbudowane w protokół i zasugerowałem zmianę nazwy, gdy stało się oczywiste, że ludzie fiksują się na kodzie QR, jakby to była całość, podczas gdy w rzeczywistości jest to tylko jeden trybużytkowania.]

Powód, dla którego jest to okropna odpowiedź, nie ma nic wspólnego z zaletami SQRL lub jego twórców, ale dlatego, że sugeruje, że użytkownik końcowy ma możliwość „po prostu go używać”, jeśli chce.To nie działa w ten sposób.

@Beanluc To jest sytuacja jajka i kury.O ile użytkownicy nie wyrażą chęci, aby strony internetowe obsługiwały protokół, nie zrobią tego.A ludzie nie mogą używać czegoś, co nie jest obsługiwane.Gdyby istniała dobra odpowiedź, która jest powszechnie akceptowana, nawet nie opublikowałbym tej odpowiedzi, ale powodem istnienia SQRL jest to, że przynajmniej próbuje rozwiązać ten i kilka innych problemów.Tak więc prawdziwa odpowiedź jest prawdopodobnie taka, że żadna dobra odpowiedź nie jest jeszcze powszechnie dostępna, ale jeśli strony internetowe obsługują SQRL, może się to zmienić w najbliższej przyszłości.

SQLR nie rozwiązuje problemu fałszywego „wylogowania” komputera.Jeśli klikniesz „wyloguj się” ze strony, a przeglądarka celowo Cię nie wyloguje, osoba atakująca nadal ma kontrolę nad Twoim kontem po odejściu.

@schroeder Ciekawi mnie twoje poczucie „reputacji” SQRL, odkąd nie zostało jeszcze oficjalnie wydane.Wygląda jednak na to, że jest to w pełni udokumentowane na GRC.com w tym momencie.

@ChristopherSchultz Pamiętam dyskusje w grupie dyskusyjnej SQRL, które mogą dotyczyć twojego scenariusza.Witryna internetowa może wymagać dodatkowego uwierzytelnienia przed wykonaniem pewnych operacji o „wysokiej wartości”, podobnie jak istniejące schematy zabezpieczeń wymagają ponownego wprowadzenia hasła podczas jego zmiany.Bank może wymagać, aby klient SQRL podpisał cyfrowo ciąg znaków zawierający datę, godzinę, kwotę do zapłaty i nazwę odbiorcy przed autoryzacją transakcji kartą kredytową, nawet jeśli byłeś już „zalogowany” przezpodpisanie nonce bez treści.

@MontyHarder Tak, to byłby absolutny sposób na robienie rzeczy.Na przykład na Amazon.com możesz robić zakupy i wkładać rzeczy do koszyka, ale kiedy nadejdzie czas na dokonanie płatności (z zapisanym numerem karty), musisz ponownie uwierzytelnić się dla tej jednej operacji.Jednak większość witryn rzuca Ci wyzwanie tylko raz, kiedy się logujesz, a następnie możesz robić wszystko, na co zezwala użytkownik, bez dalszych kontroli.

Rozwel

2018-11-30 02:15:38 UTC

view on stackexchange narkive permalink

Jest to poważna PIA, ale stosunkowo bezpieczna pod względem ochrony hasła. Przede wszystkim dlatego, że jest to taka PIA, że nikt nie jest skłonny zebrać wszystkiego, co jest potrzebne, aby ją uchwycić. Co oznacza, że prawdopodobnie obowiązuje tutaj zastrzeżenie dotyczące bezpieczeństwa poprzez zaciemnienie ...

Otwórz wybrany edytor tekstu.
Wpisz pełny alfabet, używając dużych i małych liter.
wpisz pełny zakres dostępnych liczb i symboli.
Skopiuj i wklej litera po literze, aby wprowadzić hasło w formularzu internetowym.
Jako dodatkową warstwę zaciemniania nie chwytaj liter w tej samej kolejności, co końcowe hasło

Przychodzi mi na myśl kilka technik, w których mógłbym być w stanie przechwycić hasło osoby używającej tej techniki, ale żadna z nich nie jest tym, co uważam za łatwą lub prostą.

Warto również zauważyć, że ta technika została pierwotnie zasugerowana jako środek zaradczy przez mojego instruktora CEH. Nie jest doskonała, ale jest to opcja na wpół przyzwoita, która nie wymaga wiele wcześniejszego przygotowania.

Z pewnością zwykły rejestrator ekranu mógłby temu przeciwdziałać?

Ciekawe rozwiązanie, zwłaszcza że widzę, że polecił je Twój instruktor CEH!Właściwie myślałem o takim rozwiązaniu, zanim to opublikowałeś, ale potem pomyślałem, że może to trochę dziwne!Oczywiście, jak wspomniał @Draconis, rejestrator ekranu może być w stanie temu przeciwdziałać.

@Draconis prawdopodobnie nie rozważał tej opcji, ale istnieje duże prawdopodobieństwo, że zadziała.Miałem wątpliwości, kiedy to zasugerował instruktor, ale jest to lepsze niż nic i chroni przed większością rejestratorów naciśnięć klawiszy.Ale gdybym chciał przechwycić czyjeś dane logowania do witryny internetowej, użyłbym rozszerzenia przeglądarki lub serwera proxy do rejestrowania danych postu.Sprawiając, że to wszystko jest bezwartościowe ...

Rejestrator schowka działałby bardzo dobrze aż do kroku 5. Większość spakowanych szkodliwych programów, które widziałem, zawiera rejestrator schowka z keyloggerem.

Co ciekawe, samo wpisanie hasła byłoby bezpieczniejsze na moim komputerze.Nie mam keyloggera, ale mam menedżera schowka, który dla mojej wygody przechowuje historię każdej wykonanej kopii.

@NathanGoings To nie jest tak, że byłoby tyle permutacji.Sprawdzanie każdej kombinacji po kolei wydaje się trywialne.

CEH to rodzaj żartu wśród profesjonalistów infosec.Jeśli jest to zalecane przez instruktora CEH, to tylko powód do sceptycyzmu.Tak czy inaczej, żaden na wpół przyzwoity keylogger nie da się tym oszukać.

Mógłbyś to połączyć z bootowaniem z kija live ubuntu (kiedyś nosiłem go w kieszeni kurtki, może powinienem wrócić do przyzwyczajenia).Wtedy musisz się tylko martwić o keyloggery sprzętowe, a te są wystarczająco dobrze oszukane, zwłaszcza jeśli ukryjesz długość hasła, kopiując wklejanie trochę po zakończeniu.A może brakuje mi tu jakiegoś kąta natarcia?(Nie jest specjalistą od informacji).Edycja: Pozostałe kąty ataku, zobacz odpowiedź daviewales poniżej.

To chroniłoby tylko przed keyloggerami.Gdybym był właścicielem komputera, zainstalowałbym rozszerzenia JS w każdej przeglądarce, które zapisywałyby i wyodrębniały wszystkie pola formularza, w tym hasło.Łatwe i skuteczne.

Myślę, że keypass ma opcję zrobienia czegoś takiego - do użycia, gdy standardowa metoda wprowadzania hasła nie działa poprawnie.

Duncan X Simpson

2018-11-30 02:26:38 UTC

view on stackexchange narkive permalink

Jest jedna rzecz, którą możesz zrobić w witrynach, które na to zezwalają (czyli Google): użyj współczynnika uwierzytelniania „mieć”, takiego jak TOTP lub aplikacja mobilna, aby zatwierdzać loginy. Nie musisz używać 2FA - to może być jedyny czynnik. Niektóre z moich niekrytycznych serwerów są ustawione tak, aby zezwalały na hasło LUB totp, więc mogę zalogować się przy użyciu jednego lub drugiego, bez potrzeby używania obu. Chociaż, jak wskazywali inni, nie zapewnia to całkowitego bezpieczeństwa (po zalogowaniu się osoba atakująca może wyłączyć wprowadzanie danych i robić, co chce, teraz, gdy jesteś zalogowany), zapobiega ujawnieniu jakichkolwiek haseł.

Może to być ograniczone do własnego serwera, na którym mogą skonfigurować zabezpieczenia według własnego uznania.Ale w jaki sposób można to wykorzystać podczas logowania się na stronie internetowej firmy X, jeśli nadal obsługują one tylko uwierzytelnianie przy użyciu zwykłej nazwy użytkownika i hasła?

@miroxlav Nie może.Ale jak powiedziałem, przynajmniej jedna duża firma to obsługuje.

MonkeyZeus

2018-11-30 20:01:16 UTC

view on stackexchange narkive permalink

Najlepszym sposobem ochrony siebie jest poinformowanie osoby, że nie czujesz się komfortowo podczas wpisywania hasła na jej komputerze.

Jeśli masz prawdopodobną przyczynę lub ogólną paranoję, nie wykonuj niebezpiecznych czynności.

Oczekiwanie, że w ciągu kilku sekund dokładnie wykryje i / lub złagodzisz wszystkie modele zagrożeń, jest absurdalne.

Jaki jest w ogóle model zagrożenia?

Czy nie ufasz tej osobie?
Czy nie ufasz komputerowi?
Czy próbujesz uniemożliwić jej dostęp z określonej witryny internetowej, do której się logujesz?
Czy próbujesz zapobiec wykryciu hasła, ponieważ używasz go ponownie w stu innych usługach, takich jak bankowość osobista?
Czy po prostu próbujesz znaleźć uniwersalny sposób, aby nie zostać zagrożonym, niezależnie od jakiego obcego komputera napotkasz w przyszłości?
Czy próbujesz zapobiec rejestrowaniu szczegółów ekranu po zalogowaniu? Możesz zamieść ten obszar w poszukiwaniu ukrytych w suficie urządzeń do nagrywania wideo.

Myślę, że OP martwi się, że zagraniczni urzędnicy imigracyjni proszą go o pokazanie swoich mediów społecznościowych

Will Dereham

2018-12-01 16:12:01 UTC

view on stackexchange narkive permalink

Jeśli musisz zalogować się przy użyciu komputera innej osoby, nie ma określonego sposobu, aby dowiedzieć się na pewno, czy istnieje jakakolwiek forma oprogramowania szpiegującego. Nawet jeśli jest to osoba, której ufasz, może zostać zainfekowana wirusem lub podobnym niecnym urządzeniem, a ustalenie, czy jest zainfekowane, może być trudne lub niemożliwe. Zawsze zakładaj, że nikczemna istota nadal będzie mogła przeglądać / uzyskiwać dostęp do wszystkiego, co dzieje się na komputerze. Oto kilka sposobów na zmniejszenie ryzyka.

Nie ma żadnego sposobu, aby upewnić się, że system operacyjny danej osoby nie jest zagrożony. Możesz przyjrzeć się działającym procesom, zbadać stosy wywołań, żądania sieciowe lub cokolwiek, ale programy szpiegowskie mogą być bardzo dobrze zamaskowane. Najlepszym możliwym rozwiązaniem jest uruchomienie z pamięci USB Live przy użyciu dystrybucji Linuksa, takiej jak Ubuntu, puppy linux lub Kali linux. Oznacza to, że powinieneś mieć pełną kontrolę nad oprogramowaniem uruchomionym na komputerze, chociaż zdeterminowany haker może wstawić złośliwy kod do systemu BIOS lub programu ładującego komputera, zmieniając rzeczywisty kod systemu operacyjnego.

Ograniczanie luk w zabezpieczeniach sprzętowych

Sprawdź kabel między komputerem a wyświetlaczem. Pomiędzy nimi można włożyć urządzenie, aby haker mógł zobaczyć dane wyjściowe.
Unikaj używania bezprzewodowej klawiatury lub myszy. Sygnał może zostać przechwycony między nadajnikiem a odbiornikiem, ujawniając naciśnięcia klawiszy i ruchy myszy, nawet za pośrednictwem oddzielnego urządzenia.
Podłącz dowolne urządzenia USB bezpośrednio do płyty głównej. Nie używaj gniazda PCIe, ponieważ urządzenie może przechowywać / przesyłać naciśnięcia klawiszy / polecenia. To samo dotyczy złączy na panelu przednim.
Jeśli to możliwe, użyj innej klawiatury. Urządzenia mogą odczytywać dźwięki naciskania poszczególnych klawiszy, aby rozszyfrować, który to był klawisz. Na wszelki wypadek odłącz wszystkie mikrofony podłączone do komputera.
Sprawdź, czy są podłączone jakieś dodatkowe urządzenia PCIe lub portu szeregowego. Upewnij się, że na wszelki wypadek podłączone są tylko te wymagane.

Metody zmniejszania ryzyka za pomocą oprogramowania

Upewnij się, że łączysz się z zabezpieczoną siecią Wi-Fi lub siecią Ethernet, jeśli wiesz, że jest to bezpieczne. Prawdopodobnie lepiej jest korzystać z danych mobilnych i, jeśli to możliwe, z mobilnego punktu dostępowego, więc nie musisz polegać na ich połączeniu internetowym. Jeśli to możliwe, użyj również kabla USB, aby uniknąć ryzyka przechwycenia sygnału przez alternatywne połączenie Wi-Fi.
Używaj SSL. Jest to oczywiste, ale musisz upewnić się, że urząd certyfikacji jest tym, którego oczekujesz, ponieważ jednostka może wstawić do łańcucha certyfikat z podpisem własnym.

Ostatnią rzeczą jest to, że powinieneś, jeśli to możliwe, tymczasowo zmienić hasło (na przykład używając telefonu) podczas logowania się za pomocą tego komputera, a następnie zmienić je z powrotem, więc jeśli hasło zostanie naruszone, nie będzie można z niego korzystać po zmianie z powrotem.

xmp125a

2018-12-04 00:32:57 UTC

view on stackexchange narkive permalink

Nie określasz, czy musisz logować się za pośrednictwem czyjegoś komputera, ponieważ:

Potrzebujesz jego systemu operacyjnego / oprogramowania, np. konfigurujesz / naprawiasz czyjś komputer i musisz pobrać niektóre dane z prywatnego serwera.
Potrzebujesz jego sprzętu (np. masz dostęp do sieci na podstawie adresu MAC lub innych czynników, które istnieją tylko na maszyna, której chcesz używać.
Potrzebujesz ich sieci (np. musisz być w ich sieci LAN, ale z własnym urządzeniem).
W ogóle nie potrzebujesz ich sieci ani urządzenia, po prostu wygodnie jest korzystać z ich komputera.

Optymalnym sposobem rozwiązania tych problemów jest w odwrotnej kolejności:

Przypadek 4. Przynieś laptopa / telefon / tablet i skorzystaj z połączenia 3G / 4G, aby uzyskać dostęp do Internetu. Gotowe.

Przypadek 3. Przynieś laptopa, odpowiednio go zabezpiecz (antywirus, firewall itp.), podłącz go do ich sieci. Gotowe.

Przypadek 2. Sprawdź ich sprzęt pod kątem jakichkolwiek rejestratorów sprzętu, uruchom swój własny system operacyjny (rodzaj dystrybucji na żywo). Jeśli przegapiłeś rejestrator sprzętu, masz problem.

Przypadek 1. Pomaga również w przypadku 2.

a) Wymagaj dostępu administratora / roota.
b) Włącz zaporę ogniową, ustaw ją w paranoidalnie ścisłym trybie, zezwalaj tylko na połączenia z serwerem docelowym.
c) Zmień hasło dostępu za pośrednictwem telefonu 3G / 4G na tymczasowe,
d) Uzyskaj dostęp do serwera, użyj 2FA
e) usuń ślady (ciasteczka, wszelkie pliki tymczasowe, które mogłyby ukryć poświadczenia, unikalne identyfikatory, tc)
f) Zmień hasło z powrotem za pomocą telefonu 3G / 4G
g) Ustaw normalną zaporę ogniową.

Teraz zapora ogniowa może być również przejęta przez rootkita, więc dla większej paranoi lub w przypadku braku dostępu administratora / roota :

a) Zbuduj własny router za pomocą Raspberry Pi lub podobnego urządzenia, dodaj dodatkowy port Ethernet za pomocą adaptera Ethernet2USB. (oczywiście, naprawdę świadomy bezpieczeństwa profesjonalista i tak miałby Linuksa na swoim laptopie, więc po prostu dodaj port Ethernet2USB i kontynuuj bez Raspberry.
b) Podłącz komputer do swojego Raspberry, pobierz adres MAC, sklonuj go na drugą (wychodzącą) stronę.
c) Skonfiguruj ścisły routing i zaporę ogniową w systemie Linux, zezwalaj tylko na dostęp do swojego serwera i kieruj jeden NIC na inną.
d) Skonfiguruj śledzenie MITM i zainstaluj certyfikat na serwerze na ich komputerze. Twój certyfikat to certyfikat MITM, fałszywy, który wygenerowałeś!
e) Postępuj zgodnie z wcześniejszym opisem w 1c) i dalej.
f) Zapisz dowolny krwawy bajt, który przechodzi przez twój mini router, aby móc stawić mu czoła, jeśli spróbują czegoś paskudnego.

Uzasadnienie stojące za Sugeruje to, że komputer host prawdopodobnie nie ma pełnego zestawu narzędzi do ataku na Twoje konto. Keylogger zapisze klucze do tymczasowego hasła, ale nie będzie mógł przekazać danych złoczyńcy siedzącemu w innym pokoju. Jeśli tak się stanie i spróbuje zhakować twój serwer, każda próba włamania zostanie zarejestrowana w postaci zwykłego tekstu, możesz albo stawić im czoła , albo cofnąć szkody (zmienili zwykły tekst, ale zarejestrowałeś zmianę! ). Zwróć uwagę, że tylko twój serwer będzie dostępny dla ich komputera w krytycznym czasie, więc albo ich komputer spróbuje włamać się sam, albo nic się nie stanie.

Byłbym wdzięczny za opinie na temat tej trasy, jeśli być może coś przeoczyłem.

R.. GitHub STOP HELPING ICE

2018-12-03 09:29:00 UTC

view on stackexchange narkive permalink

Teoretycznie, jeśli witryna nie zapewnia lepszego sposobu, aby to zrobić, nadal istnieje sposób: zaloguj się na urządzeniu, które jest pod Twoją kontrolą, i prześlij plik cookie sesji, który otrzymałeś z tego urządzenia, do niezaufanego komputer. Umożliwi to niezaufanemu komputerowi wykonanie dowolnej operacji, którą możesz wykonać w witrynie po zalogowaniu, ale jeśli witryna nie ma fatalnie złego projektu zabezpieczeń, nie pozwoli niezaufanemu komputerowi na zmianę hasła, zmianę adresu e-mail powiązanego z kontem lub wykonać inne operacje przejęcia konta.

Gdy skończysz, możesz użyć zaufanego urządzenia, które kontrolujesz, do wylogowania się z pliku cookie sesji (skopiowanego z niego), wykonując tam operację wylogowania, lub wykonaj operację „wyloguj wszystkie urządzenia”, jeśli witryna udostępnia taką funkcję.

Zauważ, że w tym schemacie hasło nigdy nie jest wprowadzane na niezaufanym komputerze, a tym samym nie ma możliwości nagrywania / przechwytywania to. W najlepszym przypadku może przechwycić plik cookie sesji, który unieważnisz, wylogowując się z zaufanego urządzenia, gdy skończysz.

Dmitry Grigoryev

2018-12-03 18:45:20 UTC

view on stackexchange narkive permalink

Jeśli ufasz tej osobie, śmiało korzystaj z jej komputera. Rozważ utworzenie osobnego profilu przeglądarki, który możesz wyczyścić po zakończeniu bez usuwania plików cookie / ustawień tej osoby / czegokolwiek. Zwróć uwagę na wszystkie pobrane załączniki, aby je również usunąć. Nie otwieraj tylko załączonych plików, chyba że chcesz wcielić się w detektywa w ustalaniu, która z możliwych „tymczasowych” lokalizacji została użyta do ich przechowywania. I unikaj manipulowania wrażliwymi danymi, które nie są związane z celem zmuszenia Cię do korzystania z cudzego komputera.

Jeśli nie ufasz tej osobie, nie używaj jej komputera . Nie ma sposobu, aby zabezpieczyć nieznany komputer w 100%, a tym bardziej bez robienia rzeczy, które sprawią, że druga osoba będzie podejrzewać, że próbujesz ją zhakować. Wtedy prawdopodobnie i tak nie będziesz mógł korzystać z ich komputera.

Ufam mojej babci.Nie ufam, że jej komputer jest czysty.

CularBytes

2018-12-04 15:01:00 UTC

view on stackexchange narkive permalink

Chociaż istnieje wiele dobrych i niesamowitych odpowiedzi, uważam, że brakuje tej radykalnej „odpowiedzi”:

Jeśli martwisz się o bezpieczeństwo, prawdopodobnie używasz również menedżera haseł. Zawsze generuję losowe i bardzo trudne hasło. Na innych komputerach prawdopodobnie nie mam oprogramowania ani pliku, w którym są przechowywane moje hasła (używam Keepass) Mam ten plik przechowywany w chmurze, ale po zalogowaniu wymaga on również oddzielnego pliku, który mam tylko lokalnie na moich zaufanych urządzeniach.

Więc możesz zrozumieć, przez jakie kłopoty muszę przejść, zanim faktycznie zaloguję się na innym niezaufanym urządzeniu. Co właściwie powstrzymuje mnie przed zrobieniem tego w pierwszej kolejności.

Więc jeśli jestem zmuszony się zalogować: „Nie znam swojego hasła”.

Możesz mieć swojego menedżera haseł na telefonie i wpisać to hasło na komputerze.Wymaga więcej kroków, ale nie jest to niemożliwe.

To jest anty-odpowiedź.Założenie jest takie, że użytkownik musi się zalogować.

user192527

2018-11-30 13:03:29 UTC

view on stackexchange narkive permalink

Gdy podejrzewasz, że system jest zapisywany w logach, musisz mieć możliwość przerwania tego procesu, aby zrobić to, o co prosisz.

Może to być jednak widoczny proces - więc jeśli jest to krytyczne dla misji, spróbuj go znaleźć przetwarzać lub tworzyć inne konto użytkownika z zaszyfrowanym terminalem w piaskownicy, aby sprawdzić, czy można uniknąć logowania w ten sposób - na przykład Linux z zaszyfrowanym folderem domowym & swap.

W jaki sposób proces w piaskownicy lub zaszyfrowany katalog domowy mógłby pokonać keyloggera?

Zasugerowałem przerwanie procesu keyloggera - jeśli proces monitorował jedno konto użytkownika, a inne konto było zaszyfrowane - może przynieść pożądany rezultat polegający na niezalogowaniu się.Próba tego w środowisku piaskownicy, a nie tylko robienie tego, zmniejsza ryzyko, jeśli tak się nie stanie.

Jeśli korzystasz z innego użytkownika, nie musisz niczego szyfrować ani używać piaskownic.W przypadku Linuksa (skoro wspomniałeś o Linuksie), poszczególni użytkownicy są od siebie odizolowani, a keyloggery oparte na X11 nie będą działać.Jeśli jednak sprzęt jest kontrolowany przez kogoś złośliwego, nawet szyfrowanie i terminal z piaskownicą nie pomogą.

Zaproponowałem przetestowanie pomysłu w piaskownicy.Głównym celem jest przerwanie keyloggera, jeśli to możliwe, a jeśli nie, próba zaciemnienia za pomocą innych kont itp.

Niestety, piaskownica nie izoluje protokołu X11.

Co ciekawe, zaszyfrowane foldery domowe mogą mieć wpływ na klucze ssh - co odkryłem dopiero niedawno.

Istnieją keyloggery sprzętowe.Ta odpowiedź zakłada, że istnieje jakiś „proces” do „przerwania”, co jest całkowicie błędne.Może złagodzić jedno bardzo specyficzne ryzyko, ale całkowicie ignoruje inne poważne zagrożenia.