6Jul
Váš smartphone potřebuje znovu nabít ještě a vy jste míle od nabíječky doma;že veřejný nabíjecí kiosk vypadá docela slibně - prostě připojte telefon a získáte sladkou, sladkou energii, kterou toužíte. Co se může zdát špatně, že? Díky běžným vlastnostem v hardware a softwaru pro mobilní telefony je docela málo věcí - čtěte dále, abyste se dozvěděli více o zdvojení šťávy a jak se tomu vyhnout.
Co je to přesně to, že se džus saka?
Bez ohledu na typ moderního smartphonu, který máte - je to zařízení Android, iPhone nebo BlackBerry - existuje jedna společná vlastnost napříč všemi telefony: napájecí zdroj a datový proud procházejí stejným kabelem. Ať už používáte standardní připojení USB miniB nebo vlastní kabely společnosti Apple, je to stejná situace: kabel používaný k nabití baterie v telefonu je stejný kabel, který používáte k přenosu a synchronizaci dat.
Toto nastavení, data / napájení na stejném kabelu, nabízí přístupový vektor pro zlomyslného uživatele, který má přístup k vašemu telefonu během procesu nabíjení;využívání USB datového / napájecího kabelu k neoprávněnému přístupu k datům telefonu a / nebo ke vniknutí škodlivého kódu do zařízení je známo jako "Juice Jacking".
Útok může být stejně jednoduchý jako invaze soukromí, kdy se telefon spojí s počítačem ukrytým v nabíjecím kiosku a informace jako soukromé fotografie a kontaktní informace jsou přeneseny do škodlivého zařízení.Útok může být stejně invazivní jako injekce škodlivého kódu přímo do vašeho zařízení.Na letošní bezpečnostní konferenci BlackHat představují bezpečnostní vědci Billy Lau, YeongJin Jang a Chengyu Song "MACTANS: Injekce malware do zařízení iOS prostřednictvím škodlivých nabíječek", a zde je výňatek z jejich prezentace:
V této prezentaci demonstrujemejak může být zařízení iOS ohroženo do jedné minuty po připojení do škodlivé nabíječky. Nejdříve zkoumáme stávající bezpečnostní mechanismy společnosti Apple, abychom ochránili libovolnou instalaci softwaru, a popsat, jak mohou být využívány možnosti USB, aby se tyto obranné mechanismy vyhnuly. Abychom zajistili vytrvalost výsledné infekce, ukážeme, jak útočník může skrýt svůj software stejným způsobem, jak Apple skrývá vlastní vestavěné aplikace.
Chcete-li demonstrovat praktickou aplikaci těchto zranitelných míst, vytvořili jsme důkaz o koncepci škodlivé nabíječky nazvané Mactans pomocí programu BeagleBoard. Tento hardware byl vybrán tak, aby demonstroval snadnost, s jakou mohou být vyrobeny nevinně vypadající, škodlivé USB nabíječky. Zatímco Mactans byl postaven s omezeným časem a malým rozpočtem, také stručně zvážíme, co by mohli dosáhnout více motivovaní a dobře financovaní protivníci.
Použitím levných off-the-shelf hardwaru a zřetelné bezpečnostní zranitelnosti, oni byli schopni získat přístup k současným generacím zařízení iOS za méně než minutu, a to navzdory četným bezpečnostním opatřením, které společnost Apple zavedla, aby se této věci vyhnula.
Tento druh exploitu je sotva novým signálem na bezpečnostním radaru. Před dvěma lety na bezpečnostní konferenci DEF CON se výzkumníci z Aires Security, Brian Markus, Joseph Mlodzianowski a Robert Rowley postavili nabíjecí kiosk, který konkrétně demonstruje nebezpečí zvedání šťávy a upozorní veřejnost na to, jak jsou zranitelné své telefonypřipojen k kiosku - obrázek výše byl zobrazen uživatelům poté, co se zapojili do škodlivého kiosku. Dokonce i zařízení, která byla poučena, aby nedokázala spárovat nebo sdílet data, byla stále ještě často ohrožována kioskem Aires Security.
Ještě znepokojující je to, že vystavení škodlivému kiosku může přinést přetrvávající bezpečnostní problém i bez okamžité injekce škodlivého kódu. V nedávném článku k tématu bezpečnostní výzkumník Jonathan Zdziarski zdůrazňuje, jak zranitelnost párování iOS přetrvává, a může nabídnout škodlivým uživatelům okno do vašeho zařízení i poté, co už není v kontaktu s kioskem:
Pokud nejste obeznámeni s tím, jak párování pracuje na vašem iPhonu nebo iPadu, je to mechanismus, pomocí kterého váš počítač vytvoří důvěryhodný vztah s vaším zařízením, aby s ním mohly hovořit iTunes, Xcode nebo jiné nástroje. Jakmile je stolní počítač spárován, může získat přístup k řadě osobních informací o zařízení, včetně adresáře, poznámek, fotografií, sbírky hudebních souborů, sms databáze, psaní mezipaměti a může dokonce iniciovat úplnou zálohu telefonu. Jakmile je zařízení spárováno, můžete k němu kdykoli přistupovat bez ohledu na to, zda máte zapnutou synchronizaci WiFi. Párování trvá po dobu životnosti souborového systému: to znamená, že jakmile je váš iPhone nebo iPad spárován s jiným zařízením, tento vztah párování trvá, dokud telefon nebude obnoven do stavu ve výrobním závodě.
Tento mechanismus, který je určen pro bezbolestné a příjemné používání zařízení iOS, může skutečně vytvořit spíše bolestivý stav: kiosk, který jste právě načteli iPhone, může teoreticky udržovat kabel Wi-Fi do zařízení iOS pro další přístup ipo odpojení telefonu a propadnutí do nedaleké letištní křesla, aby si zahrál kolo( nebo čtyřicet) Angry Birds.
Jak bych se měl obávat?
V programu How-To Geek jsme jen trochu alarmisté a vždy vám to dáváme přímo: v současné době je zdokonalování šťávy z velké části teoretickou hrozbou a šance, že nabíjecí porty USB v kiosku na vašem místním letišti jsou skutečnětajná fronta pro sifonování dat a počítač s podáváním malware je velmi nízká.To ovšem neznamená, že byste měli jen pokrčit rameny a okamžitě zapomenout na velmi skutečné bezpečnostní riziko, které představuje připojení vašeho smartphonu nebo tabletu k neznámému zařízení.
Před několika lety, kdy bylo rozšířením o Firefox o rozhovor o městě v bezpečnostních kruzích, byla to převážně teoretická, ale stále velmi reálná hrozba jednoduchého rozšíření prohlížeče, který uživatelům umožňuje ovládat uživatelské relace uživatelů webových služeb ostatních uživatelůmístní uzel Wi-Fi, který vedl k významným změnám. Koncoví uživatelé začali brát vážněji své bezpečnostní zásahy při prohlížení( pomocí technik, jako je tunelování prostřednictvím domácího připojení k internetu nebo připojením k VPN) a velké internetové společnosti učinily zásadní bezpečnostní změny( například šifrování celé relace prohlížeče a nejen přihlašování).
Přesně tak, že uživatelé si uvědomují hrozbu zdvojení šťávy, snižují šance, že lidé budou připojeni do džusu a zvýší tlak na firmy, aby lépe spravovali své bezpečnostní postupy( je to skvělé například to, že se vaše zařízení iOS páruje tak snadnoa vaše uživatelská zkušenost je hladká, ale důsledky párování po celou dobu života se 100% důvěrou ve spárované zařízení jsou poměrně vážné).
Jak mohu zabránit zdvojení šťávy?
Ačkoli zdobení šťávy není tak rozšířenou hrozbou jako přímá krádež telefonu nebo vystavení škodlivým virům prostřednictvím kompromitovaných stahování, měli byste stále brát rozumná opatření, abyste se vyhnuli vystavení systémům, které mohou mít škodlivý přístup k vašim osobním přístrojům. Obrázek s laskavým svolením Exogear .
Nejobvyklejší bezpečnostní opatření se soustředí na jednoduše zbytečné nabíjení telefonu pomocí systému třetí strany:
Udržujte své zařízení špičkové: Nejzřejmějším opatřením je udržovat vaše mobilní zařízení nabité.Nastavte si zvyk nabíjet telefon v domácnosti a kanceláři, když ji nepoužíváte, nebo sedíte u svého stolu a pracujete.Čím méně času zjistíte, že se díváte na červenou 3% akumulátorovou lištu, když cestujete nebo jste doma, tím lépe.
Nabízí osobní nabíječku: Nabíječky jsou tak malé a lehké, že sotva váží více než skutečný kabel USB, na který jsou připojeny. Vložte do nabíječky nabíječku, abyste mohli nabíjet vlastní telefon a udržovat kontrolu nad datovým portem.
Nainstalujte záložní baterii: Ať už se rozhodnete nosit úplnou náhradní baterii( pro zařízení, která vám umožní fyzicky vyměnit baterii) nebo externí rezervní baterii( jako tento malý 2600mAh), můžete jít déle, aniž byste si museli připoutattelefon do kiosku nebo do zásuvky ve zdi.
Kromě toho, že váš telefon udržuje plnou baterii, existují další softwarové techniky, které můžete použít( i když, jak si dokážete představit, tyto jsou méně než ideální a nejsou zaručené, že budou pracovat vzhledem k neustále se vyvíjejícímu zbrojení bezpečnostních útoků).Jako taková, nemůžeme skutečně podpořit žádnou z těchto technik jako skutečně účinnou, ale jsou určitě účinnější než nic.
Uzamkněte telefon: Pokud je telefon zamknutý, skutečně zamknutý a nepřístupný bez zadání kódu PIN nebo ekvivalentního hesla, telefon se nesmí spárovat se zařízením, ke kterému je připojen. Zařízení iOS se při odemknutí spojí, ale znovu, jak jsme již zdůraznili dříve, spárování probíhá během několika sekund, takže se ujistěte, že telefon je skutečně zamčený.
Napájení telefonu dolů: Tato technika funguje pouze na telefonním modelu podle modelu telefonu, neboť některé telefony přestože jsou vypnuté, stále napájení celého okruhu USB a umožňují přístup k paměti flash v zařízení.
Zablokování párování( pouze zařízení Jailbroken iOS): Jonathan Zdziarski, zmíněný dříve v článku, vydal malou aplikaci pro jailbroken iOS zařízení, která umožňuje koncovému uživateli řídit chování párování zařízení.Jeho aplikace, PairLock, najdete v obchodě Cydia a zde.
Jednou z finálních postupů, které můžete použít, což je účinné, ale nepohodlné, je použití kabelu USB s datovými kabely, které jsou buď odstraněny, nebo zkratovány. Prodává se jako kabely "pouze pro napájení", u těchto kabelů chybí dva vodiče potřebné pro přenos dat a zbývají pouze dva vodiče pro přenos energie. Jednou z nevýhod těchto kabelů je však to, že vaše zařízení zpravidla bude nabíjet pomaleji, protože moderní nabíječky používají datové kanály pro komunikaci se zařízením a nastaví odpovídající maximální hranici přenosu( při této komunikaci chybí,nejnižší bezpečný prah).
V konečném důsledku je nejlepší obrana proti ohroženým mobilním zařízením vědomí.Udržujte zařízení nabité, povolte bezpečnostní funkce poskytované operačním systémem( s vědomím, že nejsou spolehlivé a může být zneužito všech bezpečnostních systémů) a vyvarujte se připojení telefonu do neznámých nabíjecích stanic a počítačů stejně, jak se moudře vyhnete otevření přílohod neznámých odesílatelů.
