Χυμός Jacking
Οι δημόσιες θύρες USB — σε αεροδρόμια, ξενοδοχεία, συνεδριακά κέντρα — αποτελούν αντικείμενο προειδοποιήσεων από το FBI και την FCC εδώ και χρόνια. Το σενάριο επίθεσης είναι πραγματικό: μια κακόβουλη θύρα μπορεί να παραδώσει κακόβουλο λογισμικό ή να εξάγει δεδομένα από το τηλέφωνό σας. Η απειλή στην πράξη ήταν λιγότερο δραματική από ό,τι υποδηλώνουν οι τίτλοι, αλλά η άμυνα είναι τόσο εύκολη που αξίζει να τη γνωρίζεις.
Το πλήρες κείμενο του άρθρου παρέχεται στα Αγγλικά παρακάτω.
Juice jacking είναι μια επίθεση όπου μια κακόβουλη θύρα USB (ή καλώδιο) θέτει σε κίνδυνο μια συνδεδεμένη συσκευή, είτε εισάγοντας κακόβουλο λογισμικό είτε εξάγοντας δεδομένα. Ο όρος επινοήθηκε το 2011. το FBI εξέδωσε μια δημόσια προειδοποίηση το 2023 σχετικά με τους σταθμούς φόρτισης αεροδρομίων και ξενοδοχείων.
Πώς λειτουργεί η επίθεση
USB μεταφέρει τόσο ρεύμα όσο και δεδομένα στην ίδια υποδοχή. Όταν συνδέετε ένα τηλέφωνο σε μια θύρα, και οι δύο γραμμές συνδέονται φυσικά από προεπιλογή. Το άλλο άκρο της θύρας μπορεί:
- Read data — ανάλογα με τις ρυθμίσεις του τηλεφώνου και τις προτροπές, ο εισβολέας μπορεί να έχει πρόσβαση σε φωτογραφίες, αρχεία, επαφές
- Push files — να εγκαταστήσει τη συσκευή επιβλαβείς εφαρμογές sideloading
- Αποστολή εντολών HID — η θύρα μιμείται ένα πληκτρολόγιο ή ποντίκι και πληκτρολογεί εντολές
- Exploit ευπάθειες στοίβας USB — ιστορικά, συνδέοντας ορισμένα σφάλματα σε επίπεδο USB στο iOS και στο Android με δυνατότητα χειροκίνητου πυρήνα Only
Τα σύγχρονα λειτουργικά συστήματα ζητούν προειδοποίηση πριν από τη χορήγηση πρόσβασης δεδομένων USB. Το iOS και το Android και οι δύο προεπιλογή για "φόρτιση μόνο" όταν συνδέεται ένας άγνωστος υπολογιστής. ο χρήστης πρέπει να πατήσει ρητά "Να επιτρέπεται η πρόσβαση" ή "Εμπιστοσύνη αυτού του υπολογιστή". Αυτή είναι η κύρια προστασία.
Ο πραγματικός κίνδυνος του πραγματικού κόσμου
Παρά τις προειδοποιήσεις, οι τεκμηριωμένες επιθέσεις με τζόγους εναντίον απλών ταξιδιωτών είναι σπάνιες: ήταν μια προληπτική συμβουλή.
Η κακόβουλη γωνία καλωδίου
Η πιο ανησυχητική παραλλαγή: Καλώδια O.MG και παρόμοια — Καλώδια USB που φαίνονται πανομοιότυπα με τα κανονικά καλώδια USB που φαίνονται πανομοιότυπα με τα κανονικά, μπορούν να περιέχουν μικρό κλειδί φόρτισης της Apple/Android. δεδομένα μέσω Wi-Fi και να εκτελέσετε αυθαίρετα ωφέλιμα φορτία. Πωλούνται ανοιχτά ως εργαλεία έρευνας ασφάλειας, δεν διακρίνονται από τα πραγματικά καλώδια χωρίς αποσυναρμολόγηση. Εάν ένας εισβολέας αφήσει ένα καλώδιο O.MG σε ένα συνέδριο ή ξενοδοχείο, οποιοσδήποτε το δανειστεί τίθεται σε κίνδυνο. Περίπου $10. Μόνιμη λύση για τους περισσότερους ταξιδιώτες.
USB-C complications
USB-C με PD (Power Delivery) Η διαπραγμάτευση περιλαμβάνει μια μικρή αμφίδρομη επικοινωνία ακόμα και όταν γίνεται μόνο φόρτιση. Κατ' αρχήν, οι κακόβουλοι φορτιστές θα μπορούσαν να εκμεταλλευτούν σφάλματα πρωτοκόλλου PD. Στην πράξη, δεν έχουν παρατηρηθεί πραγματικές επιθέσεις μέσω αυτής της διαδρομής στη φύση. Η επιφάνεια του πρωτοκόλλου είναι μικρή και καλά δοκιμασμένη.
Πέρα από την προσωπική χρήση
Για οργανισμούς:
- Μην συνδέετε ποτέ περίεργες συσκευές USB σε εταιρικά μηχανήματα. Η επίθεση Stuxnet του 2010 στις πυρηνικές εγκαταστάσεις του Ιράν χρησιμοποίησε μονάδες USB που έπεσαν ως αρχικό διάνυσμα.
- Χρησιμοποιήστε πολιτική τελικού σημείου για να απενεργοποιήσετε τη μαζική αποθήκευση USB σε μηχανήματα που δεν το χρειάζονται. transfer.
USB επιθέσεις εναντίον οργανισμών τεκμηριώνονται συχνότερα παρά εναντίον ατόμων, ακριβώς επειδή η τιμή στόχος είναι υψηλότερη.
Η υπερβολική προειδοποίηση του FBI
Το tweet του FBI του 2023 που έγινε viral δεν πρόσθεσε νέες πληροφορίες για τις απειλές. απλώς επαναδιατύπωσε μακροχρόνιες συμβουλές. Αρκετοί ερευνητές ασφαλείας επεσήμαναν ότι δεν είχαν τεκμηριωθεί σημαντικές επιθέσεις. Η προειδοποίηση είναι λογική ως γενική υγιεινή. Η αντιμετώπισή της ως συνεχής απειλή είναι υπερβολική διόρθωση.
Για τους περισσότερους ταξιδιώτες, οι ρεαλιστικοί κίνδυνοι σε ένα αεροδρόμιο είναι η κλοπή, η παρατήρηση και οι επιθέσεις Wi-Fi — όχι το jacking. Η δαπάνη ενέργειας για την ορατή απειλή με κόστος πιο σημαντικών άμυνες είναι ένα κοινό μοτίβο.
Συχνές ερωτήσεις
- Είναι συνηθισμένο το jacking χυμού;
- Όχι στα τεκμηριωμένα δεδομένα απειλών. Η συμβουλή του FBI για το 2023 προκάλεσε ευρεία κάλυψη, αλλά δεν ανέφερε συγκεκριμένα περιστατικά. Η απειλή είναι τεχνικά πραγματική, αλλά οι επιτυχημένες επιθέσεις εναντίον απλών ταξιδιωτών είναι σπάνιες. Οι στόχοι υψηλής αξίας που ταξιδεύουν διεθνώς θα πρέπει να λαμβάνουν προφυλάξεις.
- Θα με προστατεύσει πραγματικά ένα πρόγραμμα αποκλεισμού δεδομένων USB;
- Ναι για το παραδοσιακό USB-A. Οι ακίδες δεδομένων έχουν αποσυνδεθεί φυσικά. η θύρα μπορεί να παρέχει ενέργεια αλλά δεν μπορεί να ανταλλάξει δεδομένα. Για USB-C με PD, υπάρχει κάποια επικοινωνία σε επίπεδο PD που ένας πραγματικός αποκλειστής δεδομένων δεν μπορεί να εξαλείψει πλήρως, αλλά δεν υπάρχουν γνωστές πρακτικές επιθέσεις μέσω αυτού του καναλιού.
- Είναι η ασύρματη φόρτιση ασφαλέστερη από το USB;
- Ναι από την άποψη της εξαγωγής δεδομένων — Η ασύρματη φόρτιση Qi μεταδίδει μόνο ισχύ και ελάχιστη χειραψία. Οι χαμηλότερες ταχύτητες φόρτισης και η λιγότερη καθολική διαθεσιμότητα είναι τα πρακτικά μειονεκτήματα.
- Μπορεί το τηλέφωνό μου να χακαριστεί μόνο από τη σύνδεση ενός καλωδίου φόρτισης;
- Με κανονικό καλώδιο από αξιόπιστο κατασκευαστή, ουσιαστικά όχι. Με ένα κακόβουλο καλώδιο (O.MG, ισοδύναμο BadUSB), ναι — το ίδιο το καλώδιο περιέχει υλικό επίθεσης. Χρησιμοποιείτε πάντα καλώδια που εμπιστεύεστε, ειδικά σε περιβάλλοντα όπου κάποιος θα μπορούσε να τα ανταλλάξει.
- Δεν πρέπει ποτέ να χρησιμοποιώ θύρες USB αεροδρομίου;
- Για συνηθισμένα ταξίδια, ο κίνδυνος είναι χαμηλός. Για επαγγελματικά ταξίδια υψηλού κινδύνου (στέλεχος, διπλωμάτης, πηγές συνεδριάσεων δημοσιογράφων), η μεταφορά ενός φορτιστή τοίχου και του αποκλεισμού δεδομένων USB εξαλείφει τον μικρό κίνδυνο που απομένει για μερικά δολάρια. Οι μεγαλύτερες απειλές στα αεροδρόμια είναι η παρακολούθηση Wi-Fi, το σέρφινγκ στους ώμους και η κλοπή συσκευών.