¿Cuáles son los riesgos de usar computadoras en cibercafés?

Hay un montón de problemas asociados con el uso de WiFi gratuito, ya sea en un cibercafé o en otro lugar, muchos de los cuales tocan la respuesta de Jonathan Rosca. En general, no es una idea terriblemente buena sin usar también una VPN.

Sin embargo, el uso de computadoras reales en cibercafés (computadoras que no son de su propiedad, no tienen control operativo, solo paga por usar), esa es una categoría de riesgo completamente diferente.

Como mínimo, considere esto: está caminando hacia una computadora que no conoce y se sienta para usarla.

Algo como extraer una reseña de un restaurante, obtener direcciones, imprimir un mapa, probablemente no es gran cosa. No ha ingresado ninguna información personal ni contraseñas, no es gran cosa.

¿Accediendo a su correo electrónico? Ese es otro riesgo. Es bastante trivial agregar un keylogger a un sistema informático que registra cada pulsación de tecla, lo que hace que sea muy fácil para alguien que lo haya hecho también tener sus credenciales de correo electrónico: su nombre de usuario, su contraseña. Eso no es genial.

¿Accediendo a su banco? Creo que eso está fuera de la mesa.

PUEDE evitar eso (tal vez, más sobre eso en un momento) haciendo algo como crear una memoria USB de arranque que contenga Tails, una versión LINUX personalizada para ejecutarse en una memoria USB, dejando un espacio cero. Está diseñado para este tipo de cosas: dirígete a una computadora que no conoces, coloca la memoria USB, reinicia desde la memoria USB y, sin cambiar nada en la computadora, estarás funcionando con algo que sabes y entiendes .

Hay otras soluciones, pero me gusta esto en particular porque si pierde la memoria USB, no hay nada en su uso que sea de valor para cualquiera. Sin historia, sin registros, nada que les permita saber nada sobre ti.

Entonces, volviendo a ese “tal vez”. He visto teclados pirateados que contenían keyloggers incorporados. El “propietario” del teclado entraba de vez en cuando y cosechaba los registros, e invariablemente había acumulado una serie de combinaciones de nombre de usuario / contraseña. De miedo. Realmente, realmente aterrador.

Eso no es común, pero ya sabes, si fuera a implementar uno de esos, seguramente, sería en un cibercafé o en una computadora por hora utilizada por viajeros de negocios, como hoteles u oficinas de FedEx . Sólo digo’.

Ellos podrian. Hay varias posibles debilidades.

En primer lugar, el “wifi gratuito” a veces se implementa como una red no segura. Esto significa que un atacante físico puede espiar su tráfico de Internet cerca de su computadora. Se puede hacer de forma totalmente pasiva y el propietario del cibercafé no tiene que hacerlo. Cualquier otro cliente dentro o cerca puede hacerlo.

El cifrado WEP es un poco más seguro, pero se puede descifrar fácilmente (incluso con la escucha pasiva con suficientes datos). WPA y los métodos posteriores son mucho más difíciles de descifrar y esto a menudo cae en el dominio de las agencias de seguridad respaldadas por el gobierno, si es posible.

A continuación, tenemos ataques que dependen de la participación del propietario del cibercafé. Una vez que sus paquetes van al punto de acceso WiFi, generalmente se envían a través de una LAN Ethernet a un enrutador. El propietario del enrutador puede escuchar el tráfico.

Sin embargo, los dos puntos anteriores no son un problema si su banco utiliza la Capa de sockets seguros para su sitio web. Esta es una forma de encriptación de extremo a extremo y debe garantizar que el tráfico de su computadora al servidor web del banco no se pueda descifrar, incluso si se intercepta. Muchas matemáticas inteligentes entran en esto. Cuando abra la página, busque un ícono de candado verde al lado de la barra de direcciones y / o la dirección del sitio web que comience con “https: //” (por ejemplo, https://web.bank.com ).

El craqueo captura el tráfico cifrado SSL es, lo mejor que puedo decir, aún no es posible incluso para las agencias de seguridad del gobierno, a menos que logren obtener la clave privada del servidor. En este caso, incluso si el tráfico fue capturado hace años, aún pueden descifrarlo (aunque en el caso de los detalles bancarios, estarán muy obsoletos para entonces).

Esta es la razón por la cual la NSA y agencias similares mantienen el tráfico durante mucho tiempo, en caso de que algún día obtengan la clave. También es muy probable que los avances de la computación cuántica hagan que el cifrado convencional sea fácilmente superable (pero no creo que este sea el caso todavía).

Además, incluso si el cifrado es irrompible, el atacante puede confiar en los ataques de phishing para obtener su información. Esto no tiene que suceder en un cibercafé (pero puede ser posible falsificar el enrutador wifi). Si recibe un correo electrónico convincente que parece ser de su banco, que incluye un enlace que le insta a iniciar sesión, puede llevarlo a una réplica perfecta del sitio web del banco, pero que en realidad es atendido por el atacante (puede tener un nombre de dominio como https://web.bank.xyz y un certificado SSL válido para que su navegador no se queje). Cuando ingresa los detalles de su cuenta, pueden reenviarlos al sitio web bancario real y obtener acceso completo a su cuenta. Hay variaciones en esto que involucran ingeniería social, e incluso las personas de la industria pueden verse afectadas.

Finalmente, debo mencionar VPN y TOR. Una VPN o red privada virtual es un tipo de proxy inverso, reenvía todo el tráfico de Internet a un servidor en algún lugar de confianza, a través del cifrado de extremo a extremo. Por lo general, cuestan, o puede configurar uno usted mismo si tiene un servidor. TOR es una red de anonimato gratuita similar a VPN, que tiene objetivos ligeramente diferentes, pero también sirve para cifrar su tráfico. Sus arquitecturas hacen que no necesite confiar en ningún nodo involucrado (espere quizás el nodo de salida). Cuando use cualquiera de estas soluciones, su sesión SSL de horneado irá encima de la VPN o TOR, por lo que se cifrará dos veces, hasta que llegue a la puerta de enlace, que se comunica directamente con su servidor bancario. TOR es, en cierto sentido, mejor porque también anonimizará su tráfico, mientras que una VPN se rastreará fácilmente.

Ciertos gobiernos prohíben el uso de TOR y VPN. Verifique la ley en su país.

Ahora, para algunas pautas realistas:

  • Asegúrese de que su banco utilice SSL, como se describe anteriormente.
  • Tome nota del nombre de dominio real de su banco.
  • Tenga mucho cuidado con los correos electrónicos de su banco. No haga clic en los enlaces directamente. Desplácese sobre ellos y vea a dónde conducen.
  • Si eres paranoico, invierte en una conexión VPN
  • Si eres muy paranoico, usa TOR, pero asegúrate de que no te ponga en problemas donde vives.

La única vez que he usado cibercafés es en Europa. Incluso los mejores hoteles tienen Wi-Fi lento y errático, cobran extra, solo trabajan en el lobby y requieren contraseñas elaboradas.

En Italia toman su identificación y hay cámaras de video que cubren su computadora y personal que se cierne sobre los usuarios.

En España, el café es propiedad de un expatriado británico de mediana edad que no sabe nada de tecnología.

En Francia hay más computadoras, más usuarios, Internet más rápido y el gerente es una persona de tecnología.

En Brasil, el Wi-Fi y el centro de negocios del hotel no funcionan y hay que usar un cibercafé.

Mi impresión es que los cibercafés son más importantes fuera de los EE. UU., Donde es más difícil obtener Internet rápido en casa (a un precio razonable).