C'est une question intéressante!

La règle de base est que si quelqu'un d'autre a le contrôle de l'appareil (et qu'il est suffisamment déterminé), il sera toujours en mesure de surveiller et de modifier tous les vos actions sur l'appareil.

Nous pouvons (dans une certaine mesure) contourner ce problème! L'authentification à deux facteurs peut être utilisée pour garantir que même si quelqu'un possède votre mot de passe, il ne peut pas accéder à votre compte sans avoir également accès à un appareil distinct (que vous possédez et que vous contrôlez).

Gardez à l'esprit que une fois que vous vous connectez, l'ordinateur a en fin de compte le contrôle de votre interaction avec le site Web et, par conséquent, il pourrait voir de manière triviale tout ce que vous faites sur le site et même modifier vos demandes sur le site (y compris ne pas vous déconnecter correctement lorsque vous êtes fait, et éventuellement modifier vos informations de connexion pour vous exclure de votre propre compte).

Tout dépend de votre inquiétude à l'idée d'être attaqué - si vous vous connectez simplement à Facebook sur l'ordinateur d'un ami, vous pouvez probablement être sûr que lorsque vous cliquez sur "Déconnexion", cela vous déconnecte. Si vous vous connectez à quelque chose de vraiment important, cependant, vous voudrez peut-être vous en tenir aux appareils que vous contrôlez.

De plus, tenez compte de ce qui suit, via l'utilisateur TemporalWolf

Certains sites Web permettent la génération de mots de passe à usage unique à usage unique qui évite toute sorte de journalisation de mot de passe ... comme vous l'avez mentionné, cela ne les empêche pas de se faufiler avec le maintenant session authentifiée.

Dans ma pratique, lorsque j'ai besoin d'une sécurité supplémentaire, je change généralement le mot de passe de mon téléphone (ou d'un autre appareil de confiance), puis je me connecte sur l'ordinateur non approuvé et une fois que tout est fait, je modifie mon mot de passe (si possible).

Cela repose sur le fait que le changement de mot de passe vous déconnecte partout, pour la plupart des sites Web. C'est plutôt pratique.

Alternativement, certains sites Web proposent un "contrôle de session" où vous pouvez forcer le détachement / la fin des sessions si vous le souhaitez.

Outre ce que j'ai dit ci-dessus, je J'ai également un SSD portable de 128 Go avec moi, formaté en GPT et dispose de 3 partitions: la partition système EFI, un Ubuntu et un Windows To Go.

Bien que la sécurité logicielle ne soit pas ma préoccupation lors de la création de ce SSD portable, c'est sans aucun doute un bon gadget à avoir pour cela. Théoriquement et pratiquement, l'exécution de systèmes d'exploitation sur de tels éléments de stockage fabriqués par vos soins fournit un environnement logiciel entièrement fiable et peut éliminer à 100% tout thread logiciel sur la machine étrangère.

Comme d'autres l'ont répondu, ces gadgets sont généralement ne sont pas efficaces contre les intrusions matérielles, par exemple un enregistreur de frappe (à moins que certains stupides nécessitent des pilotes pour fonctionner, alors vous pouvez LOL). Pour ces choses, il vaut mieux les vérifier en regardant les ports matériels. S'il y a quelque chose de malveillant dans la caisse, c'est que vous n'avez pas de chance.

Mais encore une fois, c'est une question interpersonnelle. Si vous vous connectez sur l'ordinateur de votre ami de confiance et que l'ami n'est pas un technicien, vous n'avez probablement pas besoin de plus d'actions que de lancer le navigateur en mode incognito ou InPrivate (Internet Explorer).

Si vous rencontrez régulièrement cette situation, essayez ce qui suit:

1. Créez une clé USB active Tails. Tails est un système d'exploitation Linux conçu pour fonctionner sur une clé USB, qui peut être démarrée sur la plupart des ordinateurs. L'utilisation de Tails signifie que vous n'avez pas à vous soucier des logiciels installés par l'ordinateur hostile. Parce que vous le contournez complètement du démarrage.

2. Utilisez le clavier à l'écran. Vous devriez le couvrir avec votre main pendant que vous tapez, pour empêcher quiconque d'observer. Cela se défend contre les enregistreurs de frappe basés sur le matériel. Notez que vous n'avez pas à vous soucier des logiciels d'enregistrement d'écran, parce que vous exécutez Tails , ce qui signifie que vous avez un contrôle total sur tous les logiciels exécutés sur le système.

Edit:

Comme @ Xen2050 mentionné dans les commentaires, vous pouvez également y parvenir avec d'autres systèmes d'exploitation qui peuvent être plus conviviaux. Par exemple, voici les instructions pour créer une clé USB Ubuntu Linux sous Windows, Mac ou Ubuntu. Et voici les instructions pour accéder au clavier à l'écran sur Ubuntu.

Faiblesses potentielles de cette méthode:

Cette méthode est vulnérable aux éléments suivants:

• Enregistrement d'écran basé sur le matériel. Il est possible d'insérer un appareil entre l'ordinateur et l'écran qui enregistrera tout ce qui est envoyé à l'écran. Par exemple, celui-ci. Pour vous protéger contre cela, inspectez le câble et assurez-vous qu'il n'y a aucun périphérique entre l'ordinateur et l'écran. Notez cependant qu'il est possible d'installer des dispositifs d'enregistrement d'écran internes qui seraient beaucoup plus difficiles à détecter. Si vous soupçonnez cela, vous pourrez peut-être les contourner en débranchant l'écran de l'arrière de l'ordinateur et en le reconnectant à un autre port.
• Micrologiciel, BIOS, rootkit malveillants, etc. Il s'agit probablement de la vulnérabilité la plus difficile à combattre. Si vous pensez que l'ordinateur que vous utilisez possède un micrologiciel malveillant, ne l'utilisez pas! Trouvez un autre moyen de vous connecter au site Web ou ne vous y connectez pas.

Utiliser SQRL

Si un site Web prend en charge SQRL ( https://www.grc.com/sqrl/sqrl.htm), vous avez la possibilité de l’afficher un code QR dans le navigateur de l'ordinateur que vous laissez lire l'application SQRL de votre téléphone portable, et ainsi négocier l'authentification hors bande.

SQRL n'est pas encore largement adopté, mais ce cas d'utilisation précis a été conçu en Depuis le début. (L'autre cas d'utilisation principal est une application SQRL sur votre ordinateur fonctionnant de concert avec le navigateur). Dans aucun des cas, un mot de passe n'est transmis; SQRL utilise la technologie de clé publique / privée Elliptic Curve pour signer un nonce présenté par le serveur pour prouver que l'utilisateur possède la clé privée associée à la clé publique stockée sur le serveur dans les informations de compte de l'utilisateur.

EDIT: Parce que si peu de sites prennent en charge SQRL, ce n'est probablement pas une bonne réponse à partir de novembre / décembre 2018, mais cela pourrait être une bonne réponse à l'avenir. Je ne pense pas qu'il existe un moyen sécurisé de se connecter à un site Web sur un ordinateur sous le contrôle de quelqu'un d'autre (sur lequel un enregistreur de clés / clics peut être installé), ce qui était l'une des raisons pour lesquelles SQRL était créé en premier lieu. L'approche de connexion hors bande, qui ne repose pas sur l'ordinateur éventuellement compromis pour préserver un secret comme un mot de passe, qu'il s'agisse de la forme spécifique prise par le protocole SQRL ou d'un schéma concurrent utilisant la même idée générale, est un élément essentiel de toute bonne réponse.

Il s'agit d'un PIA majeur, mais relativement sûr en ce qui concerne la protection de votre mot de passe. Surtout parce qu'il s'agit d'un PIA tel que personne n'est susceptible de rassembler ce qui est nécessaire pour le capturer. Ce qui signifie que la mise en garde concernant la sécurité par l'obscurité s'applique probablement ici ...

1. Ouvrir l'éditeur de texte de votre choix.
2. Tapez l'alphabet complet en majuscules et en minuscules.
3. saisissez la gamme complète de nombres et de symboles disponibles.
4. Copiez et collez lettre par lettre pour saisir votre mot de passe sur le formulaire Web.
5. En tant que couche supplémentaire d'obfuscation, ne saisissez pas les lettres dans le même ordre que le mot de passe final

Je peux penser à quelques techniques où je pourrais être en mesure de capturer le mot de passe de quelqu'un en utilisant cette technique, mais aucune d'entre elles n'est ce que je considérerais comme facile ou simple.

Il convient également de noter que cette technique a été initialement suggérée comme contre-mesure par mon instructeur CEH. Ce n'est pas parfait, mais c'est une option semi-décente qui ne nécessite pas beaucoup de préparation préalable.

Il y a une chose que vous pouvez faire sur les sites qui l'autorisent (Google étant l'un d'entre eux): utilisez un facteur d'authentification "avoir", tel que TOTP ou une application mobile pour approuver les connexions. Vous n'êtes pas obligé d'utiliser 2FA - cela peut être votre seul facteur. Certains de mes serveurs non critiques sont configurés pour autoriser le mot de passe OU le totp, afin que je puisse me connecter avec l'un ou l'autre, sans avoir besoin des deux. Bien que, comme d'autres l'ont souligné, cela ne vous sécurise pas complètement (une fois que vous vous êtes connecté, l'attaquant peut désactiver l'entrée et faire ce qu'il veut maintenant que vous êtes connecté), cela empêche de divulguer des mots de passe.

La meilleure façon de vous protéger est de dire à la personne que vous n'êtes pas à l'aise de saisir votre mot de passe sur son ordinateur.

Si vous avez une cause probable ou une paranoïa générale, n'effectuez aucune action dangereuse.

Il est ridicule de s'attendre à détecter et / ou à atténuer complètement tous les modèles de menace en quelques secondes.

Quel est le modèle de menace de toute façon?

• Ne faites-vous pas confiance à la personne?
• Ne faites-vous pas confiance à l'ordinateur?
• Essayez-vous d'empêcher son accès à partir du site Web auquel vous vous connectez?
• Essayez-vous d'empêcher la découverte de votre mot de passe parce que vous le réutilisez pour une centaine d'autres services tels que les services bancaires personnels?
• Essayez-vous simplement de trouver un moyen universel de ne pas être compromis malgré tout de quel ordinateur étranger que vous rencontrerez à l'avenir?
• Essayez-vous d'empêcher l'enregistrement des détails de l'écran de post-connexion? Vous souhaiterez peut-être balayer la zone à la recherche d'appareils d'enregistrement vidéo cachés dans le plafond.

Si vous devez vous connecter en utilisant l'ordinateur de quelqu'un d'autre, il n'y a pas de moyen sûr de savoir avec certitude s'il existe une forme quelconque de logiciel d'espionnage. Même s'il s'agit d'une personne en qui vous avez confiance, elle pourrait être infectée par un virus ou un appareil malveillant similaire, et il peut être difficile voire impossible de savoir s'il est infecté. Supposons toujours qu'une entité néfaste pourra toujours voir / accéder à tout ce qui se passe sur l'ordinateur. Voici quelques moyens d'essayer d'atténuer les risques.

Il n'y a aucun moyen de garantir que le système d'exploitation de la personne n'est pas compromis. Vous pouvez regarder les processus en cours, examiner les piles d'appels, les requêtes réseau ou quoi que ce soit, mais les logiciels espions peuvent être extrêmement bien déguisés. La meilleure solution possible est de démarrer à partir d'une clé USB en direct en utilisant une distribution Linux telle qu'Ubuntu, Puppy Linux ou Kali Linux. Cela signifie que vous devez avoir le contrôle total du logiciel exécuté sur l'ordinateur, bien qu'un pirate informatique déterminé puisse insérer un code malveillant dans le BIOS ou le chargeur de démarrage de l'ordinateur, modifiant le code réel du système d'exploitation.

Atténuation des vulnérabilités matérielles

• Vérifiez le câble entre l'ordinateur et l'écran. Un appareil peut être inséré entre eux pour permettre à un pirate de voir la sortie d'affichage.
• Évitez d'utiliser un clavier ou une souris sans fil. Le signal peut être intercepté entre l'émetteur et le récepteur, exposant les frappes et les mouvements de la souris, même via un périphérique séparé.
• Branchez tous les périphériques USB directement sur la carte mère. N'utilisez pas de slot PCIe, car le périphérique pourrait stocker / transmettre des frappes / commandes. Il en va de même pour les connecteurs du panneau avant.
• Utilisez un autre clavier, si possible. Les appareils peuvent prendre les sons des touches individuelles pressées pour déchiffrer de quelle touche il s'agissait. Débranchez tous les microphones connectés à l'ordinateur, au cas où.
• Vérifiez si des périphériques PCIe ou port série supplémentaires sont connectés. Assurez-vous que seuls les périphériques requis sont branchés, juste au cas où.

Méthodes logicielles pour réduire le risque

• Assurez-vous de vous connecter à un réseau WiFi sécurisé, ou Ethernet, si vous savez qu'il est sûr. Il est probablement préférable d'utiliser les données mobiles et un point d'accès mobile, si possible, afin de ne pas avoir à compter sur leur connexion Internet. Utilisez également un câble USB, si possible, afin de ne pas courir le risque qu'une connexion WiFi alternative intercepte le signal à la place.
• Utilisez SSL. C'est évident, mais vous devez vous assurer que l'autorité de certification est celle que vous vous attendez à voir, car il est possible pour une entité d'insérer un certificat auto-signé dans la chaîne.

La dernière chose est que vous devriez, si possible, changer temporairement votre mot de passe (peut-être en utilisant votre téléphone) pendant que vous vous connectez à l'aide de cet ordinateur, puis le modifier à nouveau par la suite, donc si le mot de passe est compromis, il ne sera pas utilisable après sa modification. retour.

Vous ne spécifiez pas si vous devez vous connecter via l'ordinateur de quelqu'un car vous:

1. Vous avez besoin de son système d'exploitation / logiciel, par exemple vous configurez / réparez l'ordinateur de quelqu'un et vous devez récupérer des données sur votre serveur privé.
2. Besoin de son matériel (par exemple, vous êtes autorisé à accéder au réseau en fonction de son adresse MAC ou d'autres facteurs qui n'existent que sur le machine que vous souhaitez utiliser.
3. Besoin de son réseau (par exemple, vous devez être à l'intérieur de son LAN, mais avec votre propre appareil)
4. Vous n'avez pas du tout besoin de son réseau ou de son appareil, il est simplement pratique pour vous d'utiliser leur ordinateur.

La manière optimale de répondre à ces préoccupations est, dans l'ordre inverse:

Cas 4. Apportez votre ordinateur portable / téléphone / tablette et utilisez la connexion 3G / 4G pour accéder à Internet. Terminé.

Cas 3. Apportez votre ordinateur portable, sécurisez-le correctement (antivirus, pare-feu, etc.), branchez-le à leur réseau. Terminé.

Cas 2. Inspectez leur matériel pour tout enregistreur matériel, démarrez votre propre système d'exploitation (une sorte de distribution en direct). Si vous avez manqué l'enregistreur matériel, vous avez le problème.

Cas 1. Aide également avec le cas 2.

• a) Nécessite un accès administrateur / root.

• b) Activez le pare-feu, réglez-le en mode paranoïaque strict, autorisez uniquement les connexions à votre serveur cible.

• c) Changez votre mot de passe d'accès via votre téléphone 3G / 4G en quelque chose de temporaire,

• d) Accédez au serveur, utiliser 2FA

• e) supprimer les traces (cookies, tout fichier temporaire pouvant masquer les identifiants, identifiants uniques, tc)

• f) Rétablissez le mot de passe via votre téléphone 3G / 4G

• g) Remettez le pare-feu à l'état normal.

Maintenant, le pare-feu peut être compromis également par un rootkit, donc pour plus de paranoïa, ou dans le cas où vous n'obtiendrez pas l'accès Admin / root :

• a) Construisez votre routeur personnalisé en utilisant Raspberry Pi ou un appareil similaire, ajoutez un port Ethernet supplémentaire à l'aide de l'adaptateur Ethernet2USB. (bien sûr, les professionnels vraiment soucieux de la sécurité auraient de toute façon Linux sur leur ordinateur portable, alors ajoutez simplement le port Ethernet2USB et continuez sans Raspberry.

• b) Branchez leur ordinateur sur votre Raspberry, obtenez l'adresse MAC, clonez-la de l'autre côté (sortant).

• c) Configurez un routage strict et un pare-feu sous Linux, autorisez uniquement l'accès à votre serveur et en acheminez un NIC vers un autre.

• d) Configurez le reniflage MITM et installez votre certificat sur votre serveur sur leur machine. Votre certificat est le certificat MITM, le faux que vous avez généré!

• e) Procédez comme décrit précédemment dans 1c) et sur.

• f) Enregistrez tous les octets sanglants qui traversent votre mini-routeur afin de pouvoir les confronter s'ils essaient quelque chose de méchant.

Le raisonnement derrière cette suggestion est que l'ordinateur hôte ne dispose probablement pas de la suite complète d'outils pour attaquer votre compte. Keylogger enregistrera les clés de votre mot de passe temporaire, mais ne pourra pas transmettre les données au méchant assis dans l'autre pièce. Si c'est le cas et tente de pirater votre serveur, toute tentative de piratage sera consignée en texte brut, vous pouvez soit les confronter , soit annuler les dommages (ils ont changé le texte en clair, mais vous avez enregistré le changement! ). Notez que seul votre serveur sera disponible pour leur ordinateur dans le temps critique, donc soit leur ordinateur essaie de pirater en solo, soit rien ne se passera.

J'apprécierais des commentaires sur cette route, si j'ai peut-être manqué quelque chose.

En théorie, si le site ne vous propose pas de meilleur moyen de le faire, il existe toujours un moyen: connectez-vous sur un appareil qui est sous votre contrôle, et transférez le cookie de session que vous recevez de cet appareil vers le non approuvé ordinateur. Cela permettra à l'ordinateur non approuvé d'effectuer toute opération que vous pouvez effectuer sur le site une fois connecté, mais à moins que le site n'ait une conception de sécurité fatalement mauvaise, cela ne permettra pas à l'ordinateur non approuvé de changer votre mot de passe, changer l'adresse e-mail associée au compte , ou effectuez d'autres opérations de reprise de compte.

Une fois que vous avez terminé, vous pouvez utiliser l'appareil de confiance que vous contrôlez pour déconnecter son cookie de session (que vous avez copié à partir de celui-ci) en y effectuant l'opération de déconnexion, ou effectuez une opération de "déconnexion de tous les appareils" si le site propose une telle fonctionnalité.

Notez que sous ce schéma, votre mot de passe n'est jamais entré sur l'ordinateur non fiable, et par conséquent il n'a aucun moyen d'enregistrement / capture il. Au mieux, il peut capturer le cookie de session, que vous invaliderez en vous déconnectant à l'aide de l'appareil de confiance une fois que vous aurez terminé.

Si vous faites confiance à cette personne, allez-y et utilisez son ordinateur. Pensez à créer un profil de navigateur distinct que vous pouvez nettoyer après avoir terminé sans effacer les cookies / paramètres / quoi que ce soit de cette personne. Prenez note de toutes les pièces jointes que vous téléchargez afin de pouvoir les supprimer également. Ne vous contentez pas d'ouvrir les fichiers joints, sauf si vous voulez jouer au détective pour savoir lequel des emplacements "temporaires" possibles a été utilisé pour les stocker. Et évitez de manipuler des données sensibles qui ne sont pas liées à l'objectif de vous forcer à utiliser l'ordinateur de quelqu'un d'autre.

Si vous ne faites pas confiance à la personne, n'utilisez pas son ordinateur . Il n'y a aucun moyen de sécuriser à 100% un ordinateur inconnu, et encore moins sans faire des choses qui feront suspecter l'autre personne que vous essayez de le pirater. À ce stade, vous serez probablement refusé d'utiliser leur ordinateur de toute façon.

Bien qu'il y ait un certain nombre de bonnes et impressionnantes réponses, je pense que cette "réponse" radicale passe à côté:

Si vous êtes préoccupé par la sécurité, vous utilisez probablement aussi un gestionnaire de mots de passe. Je génère toujours un mot de passe aléatoire et très difficile. Sur d'autres ordinateurs, je n'ai probablement pas le logiciel ni le fichier dans lequel mes mots de passe sont stockés (j'utilise keepass) .J'ai ce fichier stocké dans une solution cloud, mais lors de la connexion, il nécessite également un fichier séparé que je n'ai que localement sur mes appareils de confiance.

Vous comprendrez peut-être les tracas que je dois endurer avant de me connecter sur l'autre appareil non approuvé. Ce qui m'empêche en fait de le faire en premier lieu.

Donc, si je suis obligé de me connecter: "Je ne connais pas mon mot de passe".

Lorsque vous soupçonnez que le système est enregistré au clavier, vous devez être en mesure d'interrompre ce processus pour faire ce que vous demandez.

Cela peut être un processus visible - donc si c'est essentiel à la mission, essayez de le trouver traiter ou créer un autre compte utilisateur avec un terminal chiffré dans un bac à sable pour voir si vous pouvez éviter de vous connecter de cette façon - par exemple, Linux avec le dossier de départ chiffré & swap comme exemple.