Fazer login no computador de outra pessoa

O que os dispositivos partilhados captam na realidade

Toques no teclado. Num dispositivo comprometido, basta um pequeno keylogger para apanhar todas as palavras-passe que escreves. Os keyloggers de hardware entre teclado e porta USB são apenas uma variante; os de software disfarçam-se de serviço do sistema e ficam invisíveis para quem não tem privilégios de administrador.

Palavras-passe guardadas e autofill. Quando o browser te pergunta se queres guardar a palavra-passe e carregas em «sim» por engano, ela vai parar ao cofre local e fica acessível a qualquer utilizador a seguir. A protegê-la, na maior parte das vezes, está só a palavra-passe do sistema operativo, que tu conheces, mas que o dono da máquina e a família dele também conhecem.

Histórico do browser e cookies. Mesmo depois de um logout cuidado, URLs e cookies de sessão costumam ficar a um clique de «Histórico». O modo incógnito ajuda, mas só se te lembrares de o ligar, e só contra rastos locais, não contra keyloggers nem gravação de ecrã.

Área de transferência. Copias uma palavra-passe a partir de um gestor e ela fica na área de transferência do sistema até que outra coisa a substitua. Muitos clipboard managers registam em silêncio tudo o que por lá passa.

Três cenários, três riscos

O quiosque do hotel ou da biblioteca. O PC é público, é gerido por alguém sem perfil técnico, corre muitas vezes software desatualizado e quase nunca é limpo entre utilizadores. O risco de base é um keylogger que alguém instalou antes de ti. A probabilidade não é altíssima, mas no pior dos casos é uma conta inteira que perdes.

O computador de um amigo. É um dispositivo pessoal e provavelmente não é malicioso, mas não sabes em que estado está. Um amigo bem intencionado pode ter instalado uma extensão que regista todos os campos de palavra-passe. Pior ainda: se carregares em «Guardar» sem pensar, a tua palavra-passe vai parar ao cofre do browser dele.

O portátil de trabalho de um colega. Aqui entra também o departamento de IT. Os portáteis de empresa costumam ter endpoint monitoring que regista as teclas e o tráfego do browser. Não há má intenção, mas a tua palavra-passe pessoal acaba nos logs de uma entidade patronal que nem sequer te contratou.

As precauções clássicas, avaliadas com honestidade

O incógnito e o logout resolvem o problema dos cookies, não o dos keyloggers. Uma chave de hardware protege o momento do login em si, mas não a sessão que vem a seguir. Se o atacante tiver um infostealer na máquina, fica com a sessão assim que te autenticares. Mais sobre este ataque em Session Hijacking.

A única medida verdadeiramente eficaz contra todos os ataques que importam em dispositivos partilhados é não deixar o login acontecer no próprio dispositivo.

Porque um cloud browser dissolve o problema

Um cloud browser é um browser a correr em infraestrutura externa que só te envia a imagem dele em streaming. Vês-lo numa aba do browser local, mas o processamento real acontece numa VM descartável dentro de um datacenter. Quando escreves a tua palavra-passe, passa-se o seguinte: os caracteres viajam como pacote cifrado até à sessão remota, que os usa dentro do seu próprio formulário e depois envia o resultado cifrado para o serviço que te autentica. Nada disto toca a máquina local a um nível em que um keylogger possa chegar, porque a palavra-passe nunca existiu como tal na máquina local, apenas como stream cifrado.

Ao mesmo tempo, não fica nenhum cookie de sessão no dispositivo partilhado, porque o cookie vive dentro do contentor cloud, que é deitado fora no final. O autofill e o cofre de palavras-passe nem sequer correm localmente. No histórico do browser fica apenas o URL do cloud browser, não os sites que visitaste lá dentro.

Em resumo: a máquina local deixa de fazer parte do caminho do login. É só um ecrã e um proxy de teclado a passar eventos cifrados.

Um fluxo de trabalho prático

Para aquelas raras vezes em que tens mesmo de trabalhar no dispositivo de outra pessoa, este fluxo chega.

1. 1

   Não abras o browser local, abre um cloud browser

   A instalação local do Chrome ou do Edge fica intocada. Arrancas uma sessão cloud numa aba nova.
2. 2

   Faz login uma única vez no cofre do password manager

   E fá-lo dentro do cloud browser. A partir daí, o autofill trata dos restantes logins. O único segredo que chegas mesmo a escrever no teclado do PC emprestado é a master password.
3. 3

   Usa 2FA descartável para as contas mais sensíveis

   Se trazes uma chave de hardware contigo, liga-a só durante o login. Para TOTP, um código do telemóvel resolve.
4. 4

   Termina a sessão cloud em consciência

   Não chega fechar a aba, tens de fechar a sessão. Um clique em «Terminar sessão» desmonta o contentor cloud. No dispositivo local fica apenas um histórico de aba com o URL do serviço cloud, mais nada.