36 votos

Cómo utilizar de forma segura los sitios web protegidos con contraseña en los cibercafés

¿Cómo puedo, si es posible, utilizar de forma segura sitios web protegidos por contraseña (por ejemplo, GMail) en los ordenadores de los cibercafés?

He oído decir que no es realmente seguro utilizar sitios web protegidos por contraseña en los ordenadores de los cibercafés, porque pueden tener instalado un malware que puede robar las contraseñas que se introducen.

Una opción sería hacer que su sitio web utilizara la autenticación de dos factores, pero eso no me parece práctico, ya que como estoy fuera de mi país no necesariamente pueden enviarme un SMS, y no quiero llevar una lista de códigos de seguridad conmigo.

9 votos

Voto por cerrar esta pregunta como off-topic porque es un duplicado de webapps.stackexchange.com/questions/30721/ y security.stackexchange.com/questions/30149/

22 votos

@chx No se puede cerrar como un duplicado ya que es un duplicado cruzado . Estos duplicados sólo pueden cerrarse como tales si la pregunta se traslada a uno de estos sitios. La pregunta debe ser cerrada como off-topic.

4 votos

Sé que no se puede cerrar como duplicado, lo he marcado como off topic perdón si la redacción no es perfecta. Quizás debería haber dicho "ya está contestado en X e Y".

59voto

jgauffin Puntos 54

Si la seguridad es sólo con contraseña, la respuesta es que no puedes si están registrando tus pulsaciones, tu contraseña estará comprometida, y punto.

Sin embargo, el mejor sistema de autenticación de dos factores durante los desplazamientos no es el SMS, sino autenticación basada en la aplicación como Google Authenticator. Todo lo que necesitas es tu teléfono móvil para generar los códigos, y ni siquiera tiene que estar en la red/wifi.

Por supuesto, la mejor opción es llevar tu propio portátil, así lo único de lo que tienes que preocuparte es del wifi comprometido.

3 votos

Si puedes usar google authenticator, ¿por qué no ibas a usar gmail en tu teléfono?

19 votos

@Berwyn Puede que no sea posible conseguir el teléfono en línea. O la limitada interfaz de usuario del teléfono podría no ser suficiente para lo que necesitas hacer en línea.

3 votos

@kasperd Se me olvidaba que google auth se basa en el tiempo. Estaba pensando en Duo Mobile que había estado usando recientemente. Buen punto

10voto

Peter Burns Puntos 17420

El comportamiento correcto es NO confiar en el ordenador.

Cuando me conecto a uno, si no puedo insertar una memoria USB con mi propia copia de Firefox para navegar, cargaré la suya, pero me aseguraré de que esté actualizada primero a la última versión, por seguridad (o cualquier otro navegador que puedan usar).

Entonces comprobaré las tareas que se están ejecutando en la máquina y veré si algo parece sospechoso. Esto es más difícil de hacer para alguien no técnico, ya que puede no saber qué procesos son parte de Windows, etc, pero es un paso.

Para tu contraseña real, si te preocupa el keylogging, siempre puedes escribir una letra, luego en un bloc de notas abierto escribir un montón de basura, luego la siguiente letra, y repetir. A menos que su keylogger sea lo suficientemente sofisticado como para ser específico de la aplicación, por supuesto.

En ese momento, querrá considerar la autenticación de dos factores. Obtén un SMS o un mensaje dentro de la aplicación con un código que escribes (Gmail y otros se pueden configurar para esto), o un código QR que tu teléfono escanea en la pantalla (Whatsapp web lo hace).

Si te pones muy elegante, puedes meter un sistema operativo en una memoria USB, precompilada con el navegador de tu elección, etc. y luego arrancar la máquina con eso, pero depende de que puedas entrar en la BIOS, o de qué otras restricciones administrativas hayan puesto en el ordenador (o de si puedes llegar al puerto USB).

Después, borra la caché, las cookies, etc. del navegador, y también suelo reiniciar el ordenador cuando me voy, ya que algunos cibercafés están configurados para reinstalar todo desde cero al reiniciar, borrando cualquier rastro de que he estado allí (una vez trabajé en un cibercafé donde hacíamos esto).

8 votos

entonces en un bloc de notas abierto escriba un montón de basura Eso es inútil hoy en día. Muchos keyloggers tienen capacidades de captura de pantalla.

0 votos

@JanDoggen Sí, pero será un esfuerzo extra si tienen que escarbar - obviamente el campo de la contraseña real sigue siendo invisible. Irán a por la persona que vaya detrás de ti y que no se haya molestado en ocultar cosas en su lugar :/

13 votos

@MarkMayo Una aplicación que se ejecuta en el mismo contexto de usuario en una máquina Windows puede agarrar el contenido de un campo de contraseña, se muestre o no en la pantalla. Estoy seguro de que hay aplicaciones tipo key logger que lo hacen de forma automática, ya que peinar las pulsaciones del teclado para encontrar una contraseña ya es aburrido. El hecho es que puedes hacer las cosas un poco más difíciles para el atacante, pero si él controla la máquina tus esfuerzos son en gran medida inútiles.

6voto

Calchas Puntos 4150

¿Cómo puedo, si es posible, utilizar de forma segura sitios web protegidos por contraseña (por ejemplo, GMail) en los ordenadores de los cibercafés?

No puedes, al menos sin usar la autenticación de dos factores (o algún otro tipo de token que sea independiente de la máquina local). Debes considerar que cualquier cosa que se escriba o vea en una máquina pública es información pública.

A menos que haya ejercido una supervisión total sobre la máquina y el software que contiene desde que se construyó, no puede confiar en que la máquina no intercepte su contraseña y todas las demás pulsaciones de teclas. Sin un segundo factor de autenticación, esto será suficiente para acceder a todos tus datos, ya sea en tiempo real o posteriormente.

Esta interceptación puede producirse a nivel de software (que en la mayoría de los casos puede evitarse llevando una memoria USB que contenga su propio sistema operativo) o a nivel de hardware.

0 votos

Si los operadores tienen alguna competencia, el arranque desde USB se desactivará. Y si tienen una competencia media, la ejecución de aplicaciones desde USB o la instalación de máquinas virtuales estarán desactivadas. E incluso si usas dos factores, no hay garantía de que no estén guardando capturas de pantalla o usando un navegador modificado para capturar el texto de las páginas que obtienes y el resto del texto (sin contraseña) que escribes.

0 votos

@WGroleau ¿pero por qué asumes que los operadores son competentes? :)

0 votos

Si te preocupan los espías, ¿por qué supones que no lo son? He estado en lugares donde se instalaron estas sencillas protecciones cuando otras cosas indicaban incompetencia informática.

6voto

linuxmaniax Puntos 11

Todo el mundo dice que la autenticación de dos factores. En su mayoría se equivocan, en el sentido de que dos factores son en la mayoría de los casos una contraseña y algo más, y esto definitivamente arriesga la contraseña y puede comprometer el algo más. Dos factores pueden ser útiles, pero la mejor solución son las credenciales de uso único. Si tienes un dispositivo de confianza, como un teléfono móvil, que puedes usar para cambiar tu contraseña, puedes cambiar la contraseña, usar el ordenador que no es de confianza y luego volver a cambiar la contraseña. Esto presenta una ventana limitada en la que la contraseña es vulnerable, pero puede ser demasiado larga. Las contraseñas de una sola vez son una mejor solución para este caso de uso. Hay varias implementaciones de contraseñas de un solo uso que varían desde libros hasta TOTP (autenticador de Google). El único problema es que todas ellas requieren un soporte del lado del servidor que, en el mejor de los casos, es irregular. Por el momento, el consejo de mejor práctica para los usuarios es no hacerlo.

1 votos

Entonces, ¿dices que 1FA es mejor que 2FA? ;)

0 votos

Sí, en cierto sentido el 1F es mejor que el 2F, porque el problema abrumador es el factor humano. Si estás a punto de ser MITM de camino a tu banco de luxemburgo para los usuarios ingenuos (es decir, el 99,99999999999999999999999999999999999999999999999999999999999999999999 de los humanos vivos) el 2F es una ilusión. Para decirlo de forma más sencilla, la 2F está convenciendo a la gente de que está bien utilizar dispositivos físicos realmente inseguros. Todo lo que se dice aquí sobre la captura de contraseñas por parte de los no expertos es un buen ejemplo: hay un montón de cosas malas que te pueden pasar si te conectas a tu banco (o incluso sólo al correo electrónico) y NO consiguen tus contraseñas; es todo un poco tonto.

0 votos

@Berwyn, la ventaja que tiene 2fa es que al tener múltiples credenciales comprometer una no es un compromiso total, sin embargo para este caso de uso específico cada método de autenticación es vulnerable al compromiso. Por lo tanto para este caso se quiere usar solo credenciales que sean desechables para que el compromiso de las credenciales no importe. Es por eso que recomiendo OTP sólo para este caso de uso. Una segunda credencial de un tipo diferente sería de valor si pudiéramos encontrar otra que no fuera vulnerable a un compromiso instantáneo. el único otro candidato que conozco es una respuesta de desafío (cont)

5voto

Richeh Puntos 189

Una alternativa a la 2FA es utilizar un Armería USB dispositivo. Se conecta al puerto USB y ejecuta un sistema operativo independiente. Puedes interactuar con el dispositivo de cualquier manera que desees, como usarlo como un servidor web, un cliente ssh o un servidor VNC/RDP para que el propio dispositivo invoque la sesión segura con el servidor de destino. Las claves/contraseñas podrían permanecer en el dispositivo y no ser accesibles al ordenador anfitrión.

6 votos

Todas las soluciones basadas en software no son lo suficientemente buenas... ¿y si el teclado tiene fallos? ¿Recuerdas cuando Andy Davis metió una RasPi dentro de un dock de Dell y pinchó la VGA y el teclado y envió el flujo de datos por un módem HSDPA? Eso fue divertido...

2 votos

@chx No importa que el teclado esté pinchado, porque no se introduce la contraseña en él

1 votos

Dado el número de upvotes del comentario de @chx, no estoy seguro de que la gente entienda lo que es este aparato. Puedes pensar en él como un HSM que realiza la autenticación en tu nombre. No lo usarías para escribir una contraseña, ya que no tendría sentido.

ViajeroSabio.com

ViajeroSabio es una comunidad de viajeros en la que puedes resolver tus problemas y dudas.
Puedes consultar las preguntas de otros viajeros, hacer tus propias preguntas o resolver las de los demás.

Powered by:

X