Quanto sei sicuro su una macchina non affidabile?

Innanzitutto, vorrei sottolineare che la password monouso non sostituisce la tua password, è una funzione di sicurezza supplementare, oltre alla tua password.

Secondo, ma più importante. Hai dimenticato che stai usando un computer non affidabile. Prendi il seguente scenario, vai su Wikipedia e accedi con la tua password e password monouso. L'attaccante ruba i tuoi cookie dal computer mentre stai navigando (ricorda che ha il controllo totale sul computer che stai utilizzando). Quindi usa il cookie per accedere al tuo account sul suo computer.

Per evitare di disconnettersi da wiki, aggiunge uno script al browser, quindi quando si preme il logout, in realtà non si disconnette, ma sembra proprio come.

Wikipedia è un buon esempio sinceramente utilizza la crittografia TLS end-to-end, ci sono molti altri e pessimi esempi, specialmente nei casi in cui i dati sono trasmessi in chiaro. In questi casi, l'utente malintenzionato ha anche la possibilità di controllare il traffico di rete.

Facciamo un esempio: accedi a esempio.com con la tua password e password monouso. L'attaccante (che si trova nel mezzo) arresta il pacchetto di dati che contiene password monouso e lo utilizza per accedere sul suo computer. Ma invia anche una password casuale unica al server, in modo da ottenere un errore e chiedere una nuova password monouso.

Ci sono alcuni buchi ovvi. 1) È necessario prevenire lo spamming dei messaggi SMS da uno script ostile che colpisce più volte quella pagina.

2) In che modo l'accesso una tantum, una volta autenticato e rimosso dal controllo, impedisce l'accesso ai dati finanziari? Ricorda, l'attaccante può fare almeno tutto ciò che puoi fare una volta effettuato l'accesso, se non di più tramite exploit.

3) Come accennato, una volta che sei partito, anche la macchina non affidabile (ostile) si è attivata, e può quindi bloccare l'accesso dalla tastiera / dal mouse che stai mantenendo l'accesso da quella stessa macchina o da un'altra macchina con le credenziali rubate, modifica in modo malevolo tutti i documenti che riescono a trovare, prova l'iniezione SQL e altri attacchi ovunque riescano a trovare, prova a cambiare la tua password, numero di telefono su file, indirizzo email, ecc. ecc., ecc. per tutto il tempo presentando il proprio browser sul proprio computer o un messaggio di errore generico o cosa ci si aspetta di vedere.

Penso che ciò che in realtà vuole sia portare con sé un dispositivo che garantisca che la porta 2 sia esclusivamente connessa tramite VPN al tuo concentratore / firewall VPN di casa, e quindi usi semplicemente il loro accesso internet (ostile) .

In alternativa, la stessa cosa, ma la porta 2 va solo alla tua VPN via Tor, per nascondere l'IP del tuo server di casa da loro (vedono solo il traffico Tor).

Puoi migliorarlo leggermente, se tu

• invia parametro di richiesta che indica, cosa vuoi accedere al link (ora puoi andare solo alle pagine con chiave = LAS, non FIN )
• server ti invia una sola password sul tuo telefono (123AGN) - ora sai che al server è stata richiesta una pagina di lasagna, non finanziaria
• inserisci la password specificata per pagina come 456ALA che ti consente di modificare una pagina su lasagALAsagna

Ora lascia che non usi passwrd in testo semplice (LASAGNALASAGNA qui, ma qualcos'altro MOUNTEVEREST ad esempio, o meglio 12 $% @ 2fsw4! @ $%, che hai scritto in modo sicuro in tasca. anche quella risposta a 123 è 456 (di nuovo piuttosto qualcosa di più casuale)

Se l'attaccante si mette in mezzo, il meglio che può fare è rubare l'ultimo risultato e leggere / modificare questa pagina con le lasagne.

Ancora di più se stai modificando, ripeti la procedura con Submit (dove il server ti chiede alcune trasformazioni del testo modificato come parte del modulo) (forse mostrerebbe FINGERS e tu avevi riempimento come risposta 5. 5. mondo modificato trasformato da qualcosa) se la coppia non corrisponde per il server, quindi inviare non si verifica e si viene avvisati telefonicamente che l'account è sotto attacco e verrà bloccato (forse dopo 3. provare per 3 ore o giù di lì)

Quindi l'attaccante non sarebbe nemmeno in grado di salvare le sue modifiche, anche se finge di avere una pagina di modifica valida, poiché la sua 5. parola modificata sarebbe diversa. (dipende dalle modifiche apportate, quindi differisce per la modifica dell'utente e degli attaccanti)

Ancora una volta ogni richiesta / risposta di sicurezza è codificata da alcuni dei suoi elenchi di carta tascabili.

Ora hai solo bisogno di avere la carta tascabile abbastanza a caso e nascosta all'attaccante e lui sarebbe in grado di leggere le tue spalle, cancellare le tue modifiche, ma niente di più. Soprattutto non accedere alle pagine FINANZIARIE, poiché non apri il tuo libro tascabile sulla pagina per scopi finanziari, che è diverso.

La maggior parte dei siti ti chiederà di inserire nuovamente la password se stai modificando le impostazioni precisamente perché i siti sanno se i tuoi cookie sono stati rubati, quindi le attività di basso livello possono essere intercalate. D'altra parte, cambiando le password si avrebbe un cookie crtitico usato. Pensa a quando questo cambiamento è avvenuto nello sviluppo web. 2004-5?