他の人のコンピューター上のWebサイトにログインする安全な方法
他の誰かのコンピュータを使用して自分のアカウントにログインすることを強いられている状況にいるとします。ログインの詳細（つまり、パスワード）が何らかの手段（たとえば、キーストロークロギング）で記録されないようにするための安全な方法はありますか？またはそれが不可能な場合、少なくともリスクを軽減する方法は何ですか？
関連していますが、これは この質問 とは少し異なることに注意してください。私は自分のコンピュータを使用してしないので、ログインします。
これは興味深い質問です。
経験則では、他の誰かがデバイスを制御している場合（そして十分に決定されている場合）、デバイス上のすべてのアクションを常に監視および変更できます。
（ある程度限定されますが）これを回避できます！二要素認証を使用すると、誰かがあなたのパスワードを持っている場合でも、別のデバイス（あなたが所有および管理している）にアクセスすることなくアカウントにアクセスすることはできません。
ログインすると、最終的にはコンピューターがWebサイトとのやり取りを制御できるようになるため、サイトで行ったすべてのことを簡単に確認でき、サイトへの要求を変更することもできます（適切にログアウトしないことを含む）完了したら、ログインの詳細を変更して、自分のアカウントからロックアウトすることができます）。
これはすべて、攻撃に対する心配の度合いに依存します。友達のコンピューターでFacebookにログインしているだけの場合、「ログアウト」をクリックすると、実際にログアウトすることを確信できます。ただし、本当に重要なものにログインしている場合は、自分が制御するデバイスを使用することをお勧めします。
さらに、次の点を考慮してください ユーザーTemporalWolf経由
一部のWebサイトでは、使い捨て ワンタイムパスワード を生成できます。これにより、あらゆる種類のパスワードのログ記録が回避されます...既に述べたように、これにより、現在認証されているセッションでの不正操作を防ぐことはできません。
私の実践では、追加のセキュリティが必要な場合、通常は電話（または別の信頼できるデバイス）でパスワードを変更し、信頼できないコンピューターにログインし、すべてが完了したら、パスワードを変更します（可能な場合）。
これは、ほとんどのWebサイトで、パスワードを変更するとどこからでもログアウトできるという事実に依存しています。それはかなり実用的です。
または、一部のWebサイトは、必要に応じてセッションを強制的に切り離したり終了したりできる「セッション制御」を提供しています。
上記で述べたことに加えて、128 GBのポータブルSSDを持ち、GPTにフォーマットされており、EFIシステムパーティション、Ubuntu、Windows To Goの3つのパーティションがあります。
このポータブルSSDを作成している間、ソフトウェアのセキュリティは私の関心事ではありませんでしたが、この目的のために持っていることは間違いなく良いガジェットです。理論的および実用的には、このような自作のストレージでオペレーティングシステムを実行すると、完全に信頼できるソフトウェア環境が提供され、外部マシン上のソフトウェアスレッドを100％排除できます。
他の人が答えたように、そのようなガジェットは通常、キーロガーなどのハードウェアベースの侵入に対して効果的ではありません（いくつかの愚かなものがドライバーの動作を必要としない限り、LOLできます）。それらについては、ハードウェアポートを確認して確認することをお勧めします。クレート内に悪意のあるものがあれば、運が悪かったことになります。
しかし、再び、それは対人関係の質問です。信頼できる友達のコンピューターにログインしていて、その友達が技術者でない場合は、シークレットモードまたはInPrivate（Internet Explorer）モードでブラウザーを起動する以外に何もする必要はないでしょう。
この状況が定期的に発生する場合は、以下を試してください。
Tails ライブUSBスティックを作成します。 Tailsは、ほとんどのコンピューターで起動できるUSBから実行するように設計されたLinuxオペレーティングシステムです。 Tailsを使用すると、悪意のあるコンピューターがインストールした可能性のあるソフトウェアについて心配する必要がなくなります。ブートから完全にバイパスしているためです。
画面キーボード を使用します。入力するときは、手でこれを覆い、誰にも観察されないようにしてください。これは、ハードウェアベースのキーロガーを防御します。画面記録ソフトウェアについて心配する必要はありません。Tailsを実行しているため、実行中のすべてのソフトウェアを完全に制御できます。システム上。
編集：
@ Xen2050がコメントで述べたように、よりユーザーフレンドリーな他のオペレーティングシステムでもこれを実現できます。たとえば、ライブのUbuntu Linux USBを Windows 、 Mac または bunt で作成する手順を次に示します。そして、Ubuntuの スクリーンキーボードにアクセスするための手順 を次に示します。
この方法の潜在的な弱点：
このメソッドは、以下に対して脆弱です。
- ハードウェアベースの画面記録。画面に送られたすべてを記録するデバイスをコンピュータと画面の間に挿入することが可能です。たとえば、 これ です。これを防ぐには、ケーブルを検査し、コンピュータと画面の間にデバイスがないことを確認します。ただし、検出が非常に難しい内部画面記録デバイスをインストールすることは可能です。これが疑われる場合は、コンピュータの背面から画面のプラグを抜き、別のポートに再接続することで回避できる場合があります。
- 悪意のあるファームウェア、BIOS、 ルートキット など。これはおそらく防御するのが最も難しい脆弱性です。使用しているコンピューターに悪意のあるファームウェアがあると思われる場合は、使用しないでください。 Webサイトにログインする別の方法を見つけるか、ログインしないでください。
SQRLを使用する
WebサイトがSQRLをサポートしている場合（ https://www.grc.com/sqrl/sqrl.htm ）、コンピューターのブラウザーにQRコードを表示させ、SQRLを許可するオプションがあります。携帯電話のアプリが読み取り、それによって帯域外の認証をネゴシエートします。
SQRLはまだ広く採用されていませんが、この正確なユースケースは最初から設計されました。 （もう1つの主な使用例は、ブラウザーと連携して動作するコンピューター上のSQRLアプリです）。どちらの場合もパスワードは送信されません。 SQRLは、楕円曲線の公開/秘密キーテクノロジーを使用して、サーバーから提示されたナンスに署名し、ユーザーの秘密キーがサーバーに保存されている公開キーに関連付けられていることをユーザーのアカウント情報で証明します。
EDIT：SQRLをサポートしているサイトは非常に少ないため、これはおそらくnot 2018年11月/ 12月の時点で良い回答ですが、将来的には良い答えになるかもしれません。私はそこにいるとは思いませんis他の誰かの制御下にあるコンピューター（キー/クリックロガーがインストールされている可能性があります）のWebサイトに安全にログインする方法です。これがSQRLの理由の1つでした最初に作成されました。帯域外ログインアプローチは、SQRLプロトコルが採用する特定の形式であろうと、同じ一般的な考え方を使用する競合方式であろうと、パスワードのような秘密を保持するために危害を受ける可能性のあるコンピューターに依存しません。良い答えの本質的な要素です。
これは主要なPIAですが、パスワードの保護に関しては比較的安全です。ほとんどの場合、それがPIAであるため、それをキャプチャするために必要なものをまとめる人はいないでしょう。つまり、あいまいさによるセキュリティに関する警告がここで当てはまる可能性があります...
- 選択したテキストエディタを開きます。
- アルファベット全体を大文字と小文字の両方で入力します。
- 利用可能なすべての数値と記号を入力します。
- 1文字ずつコピーして貼り付け、Webフォームにパスワードを入力します。
- 難読化の追加レイヤーとして、最終的なパスワードと同じ順序で文字を取得しないでください
この手法を使用して誰かのパスワードを取得できるいくつかの手法を考えることができますが、それらのどれも、私が簡単または直接的に考えるものではありません。
このテクニックは、もともと私のCEHインストラクターによる対策として提案されていたことにも注目してください。完璧ではありませんが、事前の準備をそれほど必要としない、まともなオプションです。
それを許可するサイト（Googleが1つ）でできることは1つあります。TOTPやモバイルアプリなどの認証の「所有」要素を使用して、ログインを承認します。 2FAを使用する必要はありません。それが唯一の要因です。重要でないサーバーの一部をパスワードOR totpを許可するように設定しているので、両方を必要とせずに、どちらか一方でログインできます。他の人が指摘したように、 t完全に安全にします（ログイン後、攻撃者は入力を無効にし、ログインしているユーザーが望むことを何でもできるようになります）。これにより、パスワードが開示されるのを防ぎます。
自分を保護する最善の方法は、自分のコンピュータでパスワードを入力するのが苦手であることを相手に伝えることです。
考えられる原因または一般的な妄想症がある場合は、危険な行動を行わないでください。
数秒ですべての脅威モデルを完全に検出および/または軽減することを期待するのは馬鹿げています。
とにかく脅威モデルは何ですか？
- 本人を信用しませんか？
- あなたはコンピュータを信用しませんか？
- ログインしている特定のWebサイトからのアクセスを阻止しようとしていますか？
- パーソナルバンキングなどの他の100のサービスでパスワードを再利用するため、パスワードの発見を防止しようとしていますか？
- 将来どのような外部コンピュータに遭遇しても、危険にさらされないようにする普遍的な方法を見つけようとしているだけですか？
- ログイン後の画面の詳細が記録されないようにしようとしていますか？天井の隠されたビデオ録画デバイスのエリアをスイープしたい場合があります。
他人のコンピュータを使用してログインする必要がある場合、何らかの形のスパイソフトウェアがあるかどうかを確実に知る方法はありません。信頼できる人物であっても、ウイルスや同様の悪意のあるデバイスに感染している可能性があり、感染しているかどうかを確認するのは困難です。悪意のあるエンティティがコンピュータ上で発生したあらゆることを引き続き表示/アクセスできると常に想定してください。リスクを軽減するためのいくつかの方法を次に示します。
ユーザーのOSが危険にさらされていないことを確認する方法はありません。実行中のプロセスを確認し、コールスタック、ネットワーク要求などを調べることができますが、スパイウェアプログラムは非常によく偽装される可能性があります。最善の解決策は、Ubuntu、Puppy Linux、Kali linuxなどのLinuxディストリビューションを使用して、ライブUSBスティックから起動することです。つまり、コンピュータで実行されているソフトウェアを完全に制御できる必要があります。ただし、ハッカーが悪意のあるコードをコンピュータのBIOSまたはブートローダーに挿入する可能性があります。 、オペレーティングシステムの実際のコードを変更します。
ハードウェアベースの脆弱性の軽減
- コンピュータとディスプレイ間のケーブルを確認します。その間にデバイスを挿入して、ハッカーがディスプレイ出力を見ることができるようにすることができます。
- ワイヤレスキーボードやマウスの使用は避けてください。信号はトランスミッターとレシーバーの間でインターセプトされる可能性があり、別のデバイスを介してさえ、キーストロークとマウスの動きを公開します。
- USBデバイスをマザーボードに直接接続します。デバイスがキーストローク/コマンドを保存/送信している可能性があるため、PCIeスロットを使用しないでください。同じことがフロントパネルコネクタにも当てはまります。
- 可能であれば、別のキーボードを使用してください。デバイスは、押された個々のキーの音を聞いて、どのキーであったかを解読できます。念のため、コンピューターに接続されているマイクをすべて取り外します。
- 追加のPCIeまたはシリアルポートデバイスが接続されているかどうかを確認します。念のため、必要なものだけが接続されていることを確認してください。
リスクを軽減するソフトウェアの方法
- 安全であることがわかっている場合は、安全なWiFiネットワークまたはイーサネットに接続してください。モバイルデータと可能であればモバイルホットスポットを使用することをお勧めします。そのため、インターネット接続に依存する必要はありません。可能であればUSBケーブルも使用してください。代わりに、代わりのWiFi接続が信号を傍受する危険を冒さないでください。
- SSLを使用します。これは明白ですが、エンティティが自己署名証明書をチェーンに挿入する可能性があるため、認証局が想定どおりのものであることを確認する必要があります。
最後に、可能であれば、そのコンピューターを使用してログインしている間、可能であれば一時的にパスワードを変更し（おそらく電話を使用して）、後で変更する必要があります。そのため、パスワードが侵害された場合、変更後は使用できなくなります。バック。
次の理由により、誰かのコンピュータを介してログインする必要があるかどうかを指定しません。
- OS /ソフトウェアが必要です。あなたは誰かのコンピュータをセットアップ/修正していて、プライベートサーバーからデータをフェッチする必要があります。
- それらのハードウェアが必要です（たとえば、使用するマシンにのみ存在するMACアドレスまたはその他の要因に基づいてネットワークアクセスが許可されます）。
- ネットワークが必要（例：LAN内にいる必要がありますが、自分のデバイスが必要です）
- 彼らのネットワークやデバイスはまったく必要ありません。あなたが彼らのコンピュータを使うのは単に便利です。
これらの懸念に対処する最適な方法は、逆の順序です。
ケース4。ノートパソコン/電話/タブレットを持参し、3G/4G接続を使用してインターネットにアクセスします。できました。
ケース3。ラップトップを持参し、適切に保護し（ウイルス対策、ファイアウォールなど）、ネットワークに接続します。できました。
ケース2。ハードウェアロガーについてハードウェアを検査し、独自のOSを起動します（ある種のライブ配布）。ハードウェアロガーを見逃した場合は、問題があります。
ケース1。ケース2にも役立ちます。
a）管理者/ルートアクセスが必要です。
b）ファイアウォールを有効にし、偏執的に厳格なモードに設定し、ターゲットサーバーへの接続のみを許可します。
c）3G/4G電話を介してアクセスパスワードを一時的なものに変更します。
d）サーバーにアクセスし、2FAを使用します
e）トレース（Cookie、資格情報を隠す可能性のある一時ファイル、一意のID、tc）を削除します。
f）3G/4G電話でパスワードを元に戻す
g）ファイアウォールを通常に戻します。
今ファイアウォールが危険にさらされている可能性がありますルートキットによっても同様に、より偏執狂のために、または管理者/ルートを取得できない場合アクセス：
a）Raspberry Piまたは同様のデバイスを使用してカスタムルーターを構築し、Ethernet2USBアダプターを使用してイーサネットポートを追加します。 （もちろん、本当にセキュリティ意識の高いプロなら、とにかくラップトップにLinuxをインストールすることになるので、Ethernet2USBポートを追加するだけで、Raspberryなしで続行できます。
b）コンピュータをRaspberryに接続し、MACアドレスを取得して、反対側（送信）に複製します。
c）Linuxで厳密なルーティングとファイアウォールを設定し、サーバーへのアクセスのみを許可して、1つのNIC=を別のサーバーにルーティングします。
d）MITMスニッフィングをセットアップし、証明書をマシンのサーバーにインストールします。証明書はMITM証明書であり、生成した偽の証明書です！
e）1c）で前述したように続行します。
f）ミニルーターを通過する流血のバイトをログに記録して、悪意のある操作を試みた場合に直面できるようにします。
推論この提案の背後にあるのは、ホストコンピュータにアカウントを攻撃するためのツールの完全なスイートがおそらくないということです。キーロガーは一時的なパスワードにキーを記録しますが、他の部屋に座っている悪者にデータを転送することはできません。サーバーをハッキングしようとした場合、ハッキングの試みはプレーンテキストでログに記録されます（直面する）またはダメージを取り消すことができます（プレーンテキストが変更されましたが、変更はログに記録されています！ ）。重要な時間にサーバーがサーバーで使用できるようになるので、サーバーが単独でハッキングしようとするか、何も起こりません。
もし私が何かを逃した場合、私はそのルートについてのフィードバックをいただければ幸いです。
理論的には、サイトがこれを行うためのより良い方法を提供していない場合でも、方法はあります。自分の制御下にあるデバイスにログインし、そのデバイスから受け取ったセッションCookieを信頼できないコンピューターに転送します。これにより、信頼されていないコンピューターは、ログイン後にサイトで実行できるすべての操作を実行できますが、サイトのセキュリティ設計が致命的に悪い場合を除き、信頼されていないコンピューターがパスワードを変更したり、アカウントに関連付けられているメールアドレスを変更したりすることはできません、または他のアカウント乗っ取り操作を実行します。
完了したら、制御している信頼できるデバイスを使用して、そこからログアウト操作を実行することにより、セッションCookie（そこからコピーしたもの）をログアウトするか、サイトにそのような機能がある場合は「すべてのデバイスをログアウト」操作を実行します。 。
このスキームでは、信頼できないコンピュータにパスワードが入力されることはないため、パスワードを記録またはキャプチャする手段はありません。せいぜい、セッションCookieをキャプチャできます。完了したら、信頼できるデバイスを使用してログアウトすることで無効にします。
その人を信頼するなら、先に進んで彼らのコンピュータを使ってください。別のブラウザプロファイルを作成して、その人のCookie、設定、その他を消去せずに、完了後に完全に消去できるようにすることを検討してください。ダウンロードした添付ファイルをメモして、それらも削除できるようにします。添付ファイルを保存するために使用された可能性のある「一時的な」場所を探る探偵を再生したい場合を除き、添付ファイルを単に開いてはいけません。また、目的に関係のない機密データの操作は避けてください強制他人のコンピュータを使用すること。
その人を信用していない場合は、その人のコンピュータを使用しないでください。未知のコンピューターを100％保護する方法はありません。ハッキングしようとしていると他人に疑われるようなことをしないと、それは不可能です。その時点で、おそらくあなたはとにかく彼らのコンピュータを使うことを拒否されるでしょう。