在他人计算机上登录网站的安全方法

#1 楼

这是一个有趣的问题！

经验法则是，如果其他人控制了该设备（并且已经确定），他们将始终能够监视和修改您的所有操作在设备上。

我们可以（在一定程度上限制）解决这个问题！两因素身份验证可用于确保即使有人拥有您的密码，他们也无法进入您的帐户，而又无法访问由您拥有和控制的单独设备。

请记住登录后，计算机最终就可以控制您与网站的交互，因此，它可以平凡地看到您在网站上所做的一切，甚至可以修改对网站的请求（包括在您访问网站时未正确注销）重新完成，并可能更改您的登录详细信息以将您锁定在自己的帐户之外。）

这取决于您是否担心受到攻击-如果您只是通过朋友登录Facebook计算机，您可能可以相信，当您单击“注销”时，它实际上会将您注销。但是，如果要登录真正重要的内容，则可能要坚持使用自己控制的设备。

另外，通过TemporalWolf用户考虑以下内容>有些网站允许生成一次性使用的密码，从而避免了任何形式的密码记录...正如您所提到的，这并不能阻止它们被现在已认证的会话所破坏。

#2 楼

在我的实践中，当我需要更高的安全性时，通常会更改手机（或其他受信任的设备）上的密码，然后登录不受信任的计算机，并在完成所有操作后，再次更改密码（如果可能）。 >
这取决于事实，对于大多数网站，更改密码会将您注销。这非常实用。

或者，某些网站提供“会话控制”，您可以根据需要强制分离/终止会话。


除了我所说的上面，我还有一个128 GB的便携式SSD，格式化为GPT，并具有3个分区：EFI系统分区，Ubuntu和Windows To Go。在创建此便携式固态硬盘时，它无疑是一个不错的工具。从理论上和实践上，在这样的自制存储设备上运行操作系统可以提供完全受信任的软件环境，并且可以100％消除外部计算机上的任何软件线程。通常对于基于硬件的入侵（例如按键记录器）无效（除非某些愚蠢的程序需要驱动程序才能工作，然后您才能大声笑）。对于那些事情，您最好通过查看硬件端口来检查它们。如果箱子内有任何恶意物品，那您就不走运了。如果您登录的是受信任的朋友的计算机，并且该朋友不是技术人员，则除了以隐身或InPrivate（Internet Explorer）模式启动浏览器外，您可能不需要执行其他操作。

#3 楼

如果您经常遇到这种情况，请尝试以下操作：


创建Tails活动USB记忆棒。 Tails是一种旨在运行USB的Linux操作系统，可以在大多数计算机上启动USB。使用Tails意味着您不必担心敌对计算机可能已安装的任何软件。因为您从引导中完全绕开了它。
使用屏幕键盘。键入时，请用手遮盖住它，以防止任何人观察。这可以防御基于硬件的按键记录器。请注意，您不必担心屏幕录制软件，因为您正在运行Tails，这意味着您可以完全控制系统上运行的所有软件。

编辑：

正如评论中提到的@ Xen2050一样，您也可以使用其他更用户友好的操作系统来实现此目的。例如，以下是在Windows，Mac或Ubuntu上创建实时Ubuntu Linux USB的说明。以下是在Ubuntu上访问屏幕键盘的说明。

该方法的潜在弱点：

该方法容易受到以下攻击：


基于硬件的屏幕录制。可以在计算机和屏幕之间插入一个设备，该设备将记录发送到屏幕的所有内容。例如这个。为防止这种情况，请检查电缆，并确保计算机和屏幕之间没有设备。但是请注意，可以安装内部屏幕记录设备，这将更加难以检测。如果您怀疑这种情况，则可以通过从计算机背面拔下屏幕，然后将其重新连接到其他端口来规避它们。
恶意固件，BIOS，rootkit等。这可能是最难防御的漏洞。如果您怀疑所使用的计算机具有恶意固件，请不要使用它！查找其他登录网站的方法，或者不登录。

#4 楼

使用SQRL

如果网站支持SQRL（https://www.grc.com/sqrl/sqrl.htm），则可以选择使其在计算机浏览器中显示QR码，让您手机中的SQRL应用程序读取信息，从而进行带外认证。 （另一个主要用例是计算机上的SQRL应用程序与浏览器协同工作）。在任何情况下都不会发送密码； SQRL使用椭圆曲线公钥/私钥技术对服务器显示的随机数进行签名，以证明用户具有与存储在用户帐户信息中的服务器上的公钥关联的私钥。由于很少有网站支持SQRL，因此截至2018年11月/十二月，这可能不是一个好答案，但将来可能是一个好答案。我认为没有安全的方法可以在其他人的控制下（可能安装了键/单击记录器）登录计算机上的网站，这是首先创建SQRL的原因之一。带外登录方法是不依赖可能受损的计算机来保存密码之类的秘密，无论它是SQRL协议采用的特定形式还是采用相同总体思路的某些竞争方案，任何良好答案的重要组成部分。

#5 楼

它是主要的PIA，但在保护密码方面相对安全。主要是因为它是如此的PIA，所以没人会把捕获它所需的东西放在一起。这意味着关于模糊性的安全性警告可能适用于此处...


选择开放的文本编辑器。
输入大写和小写字母。
输入所有可用的数字和符号。
逐字母复制并粘贴字母以在Web表单上输入密码。
作为一种附加的混淆处理，请勿以与最终密码相同的顺序抓取字母/>我可以想到一些技巧，使我可以使用该技巧捕获某人的密码，但是我认为这些技巧都不容易或简单。

同样值得一提的是，我的CEH老师最初建议将此技术作为对策。它不是完美的，但它是一个半体面的选择，不需要太多的事前准备。

#6 楼

您可以在允许它的网站上做一件事（谷歌是其中之一）：使用“具有”身份验证因素，例如TOTP或移动应用程序来批准登录。您不必使用2FA-这可能是您唯一的因素。我将一些非关键服务器设置为允许密码或totp，因此我可以使用一个或另一个登录，而无需两者。但是，正如其他人所指出的那样，这并不能使您完全安全（登录后，攻击者可以禁用输入，并在您登录后立即执行他们想要的任何事情），但它可以防止泄露任何密码。

#7 楼

如果您需要使用他人的计算机登录，则无法肯定地确定是否存在任何形式的间谍软件。即使是您信任的人，他们也可能感染了病毒或类似的恶意设备，因此很难不知道它是否被感染。始终假设一个邪恶的实体仍然能够查看/访问计算机上发生的任何事情。您可以通过以下几种方法来减轻风险。

没有任何方法可以确保该用户的操作系统不受损害。您可以查看正在运行的进程，检查调用堆栈，网络请求或其他任何内容，但间谍软件程序可能会非常伪装。最好的解决方案是使用Linux发行版（例如Ubuntu，puppy linux或Kali linux）从实时USB闪存盘引导。这意味着您应该完全控制计算机上运行的软件，尽管坚定的黑客可以将恶意代码插入计算机的BIOS或引导加载程序中，从而更改操作系统的实际代码。

缓解基于硬件的漏洞


检查计算机和显示器之间的电缆。可以在它们之间插入设备，以使黑客能够看到显示的输出。
避免使用无线键盘或鼠标。即使在单独的设备上，信号也可以在发送器和接收器之间截获，从而暴露按键和鼠标移动。
将任何USB设备直接插入主板。不要使用PCIe插槽，因为设备可能正在存储/传输击键/命令。前面板连接器也是如此。
请尽可能使用其他键盘。设备可以听到按下各个键的声音，以破译它是哪个键。拔下连接到计算机的所有麦克风，以防万一。
查看是否插入了额外的PCIe或串行端口设备。确保以防万一。仅插入所需的麦克风。
降低风险的软件方法


如果您知道安全的话，请确保连接到安全的WiFi网络或以太网。如果可能的话，最好使用移动数据和移动热点，因此您不必依赖他们的Internet连接。如果可能的话，也要使用USB电缆，这样就不会有替代的WiFi连接拦截信号的风险。
使用SSL。这很明显，但是您必须确保证书颁发机构是您希望看到的证书颁发机构，因为实体可以在链中插入自签名证书。

最后一件事是，如果可能，您应该在使用该计算机登录时临时更改密码（例如使用手机），然后再进行更改，因此，如果密码被盗用，则更改后密码将不再可用。 br />

#8 楼

最好的保护自己的方法是告诉对方您不愿意在其计算机上输入密码。

如果您有可能的原因或普遍的妄想症，请不要执行不安全的操作。
期望在几秒钟内彻底检测和/或缓解所有威胁模型简直是荒唐可笑。
您不信任该人吗？
您是否不信任该计算机？
是否要阻止他们从您登录的特定网站访问？
是试图防止您的密码被发现，因为您将其重用于个人银行等其他一百种服务？
您是否只是想找出一种通用的方式，以便将来无论遇到哪种国外计算机，都不会受到泄露？
是否要阻止记录登录后屏幕的详细信息？您可能希望扫除天花板上任何隐藏的视频记录设备的区域。

#9 楼

您不需要指定是否需要通过某人的计算机登录，因为您：


需要他们的OS /软件，例如您正在设置/修复某人的计算机，则需要从您的私人服务器中获取一些数据。
需要他们的硬件（例如，允许基于他们的MAC地址或仅存在于您想要的计算机上的其他因素进行网络访问即可使用。
需要他们的网络（例如，您需要位于他们的LAN内，但需要使用自己的设备）
根本不需要他们的网络或设备，这对于您使用他们的网络很方便计算机。

解决这些问题的最佳方法是按相反的顺序进行：

案例4。带上笔记本电脑/电话/平板电脑并使用3G / 4G连接访问完成。

情况3.携带笔记本电脑，妥善保护它（防病毒，防火墙等），将其插入其网络。完成。

情况2。检查他们的硬件是否有硬件记录器，启动自己的OS（某种实时分发）。如果您错过了硬件记录器，则说明问题所在。 br />

a）要求re管理员/ root用户访问权限。
b）启用防火墙，将其设置为严格的严格模式，仅允许连接到目标服务器。
c）通过3G / 4G电话将访问密码更改为临时密码，
e）删除痕迹（cookies，任何可能隐藏的临时文件）凭据，唯一ID，tc）
f）通过3G / 4G电话更改密码
g）将防火墙恢复为正常状态。

现在防火墙也可能受到威胁通过rootkit，以防更多的偏执狂，或者万一您没有管理员/根访问权限：使用Ethernet2USB适配器的端口。 （当然，真正具有安全意识的专业人士还是会在笔记本电脑上安装Linux，因此只需添加Ethernet2USB端口即可继续使用，而无需使用Raspberry。
b）将他们的计算机插入Raspberry，获取MAC地址，将其克隆到另一端（出站）。<​​br /> c）在Linux上设置严格的路由和防火墙，仅允许访问您的服务器，然后路由一个NIC到另一个。

该建议背后的原因是主机可能没有全套攻击您帐户的工具。键盘记录器会将密钥记录为您的临时密码，但无法将数据转发给坐在另一个房间的坏人。如果这样做并尝试破解您的服务器，则将以明文形式记录任何黑客尝试，您可以对抗它们或撤消损害（它们更改了明文，但您已记录了更改！）。请注意，在关键时刻只有您的服务器可用于他们的计算机，因此他们的计算机会尝试单独黑客入侵，否则什么也不会发生。 。

#10 楼

从理论上讲，如果该站点没有为您提供更好的方法，您仍然可以采用以下方法：在您控制的设备上登录，然后将收到的会话cookie从该设备传输到不受信任的计算机。这将使不受信任的计算机在登录后可以执行您可以在该站点上执行的任何操作，但是除非该站点的安全设计严重到极致，否则它将不允许该不受信任的计算机更改您的密码，更改与该帐户关联的电子邮件地址，或执行其他帐户接管操作。

完成后，您可以通过在该设备上执行注销操作，使用自己控制的受信任设备注销其会话Cookie（从中复制） ，或者如果站点提供了这样的功能，则执行“注销所有设备”操作。 /捕获它。充其量只能捕获会话cookie，一旦完成，您将通过使用受信任的设备注销来使会话cookie失效。

#11 楼

如果您信任该人，请继续使用他们的计算机。考虑创建一个单独的浏览器配置文件，您可以在完成该配置文件后将其清除，而不会删除该人的Cookie /设置/任何内容。记下您下载的所有附件，以便也可以将其删除。不要只是打开附件，除非您想扮演侦探一探究竟是使用哪个“临时”位置来存储它们。并避免处理与强迫您使用他人计算机的目的无关的任何敏感数据。

如果您不信任该人，请不要使用他们的计算机。无法确保100％的未知计算机的安全，而如果不采取措施会使他人怀疑您正在试图入侵它们，则更是如此。此时，您可能仍然会拒绝使用他们的计算机。

#12 楼

尽管有许多很好的答案，但我相信缺少这种根本的“答案”：

如果您担心安全性，则可能也使用密码管理器。我总是生成一个随机且非常困难的密码。在其他计算机上，我可能没有软件，也没有存储密码的文件（我使用keepass）。
我确实将此文件存储在云解决方案中，但登录时还需要一个单独的文件我只能在本地受信任的设备上使用。

因此，您可能会了解在实际登录其他不受信任的设备之前必须经历的麻烦。

因此，如果我被迫登录：“我不知道我的密码”。

#13 楼

当您怀疑系统已被键盘记录时，您将需要能够中断该过程以执行您要执行的操作。在沙箱中使用加密的终端创建另一个用户帐户，以查看是否可以避免以这种方式登录-例如，带有加密主文件夹并进行交换的Linux。