“ Juice Jacking” คืออะไรและฉันควรหลีกเลี่ยงที่ชาร์จโทรศัพท์สาธารณะ?

สมาร์ทโฟนของคุณต้องการการชาร์จ ยัง อีกครั้งและคุณอยู่ห่างจากเครื่องชาร์จที่บ้าน ตู้ชาร์จสาธารณะที่มีแนวโน้มที่สวยงามเพียงเสียบโทรศัพท์ของคุณและรับพลังงานที่หอมหวานและน่าหลงใหล สิ่งที่ผิดไปได้ใช่ไหม ด้วยคุณสมบัติทั่วไปในการออกแบบฮาร์ดแวร์และซอฟต์แวร์ของโทรศัพท์มือถืออ่านได้สองสามอย่างเพื่อเรียนรู้เพิ่มเติมเกี่ยวกับการสกัดน้ำผลไม้และวิธีการหลีกเลี่ยง.

Jacking Juice คืออะไรกันแน่?

ไม่ว่าคุณจะใช้สมาร์ทโฟนรุ่นใดก็ตามไม่ว่าจะเป็นอุปกรณ์ Android, iPhone หรือ BlackBerry มีคุณสมบัติทั่วไปอย่างหนึ่งในโทรศัพท์ทุกรุ่น: พาวเวอร์ซัพพลายและสตรีมข้อมูลผ่านสายเคเบิลเดียวกัน ไม่ว่าคุณจะใช้การเชื่อมต่อ USB miniB มาตรฐานหรือสายเคเบิลที่เป็นกรรมสิทธิ์ของ Apple ก็เป็นสถานการณ์เดียวกัน: สายเคเบิลที่ใช้ในการชาร์จแบตเตอรี่ในโทรศัพท์ของคุณเป็นสายเดียวกับที่คุณใช้ในการถ่ายโอนและซิงค์ข้อมูลของคุณ.

การตั้งค่าข้อมูล / พลังงานบนสายเคเบิลเดียวกันนี้นำเสนอแนวทางเวกเตอร์สำหรับผู้ใช้ที่เป็นอันตรายเพื่อเข้าถึงโทรศัพท์ของคุณในระหว่างกระบวนการชาร์จ การใช้ประโยชน์จากข้อมูล USB / สายไฟเพื่อเข้าถึงข้อมูลของโทรศัพท์และ / หรือการฉีดรหัสที่เป็นอันตรายลงบนอุปกรณ์นั้นเรียกว่า Juice Jacking.

การโจมตีนั้นง่ายพอ ๆ กับการบุกรุกความเป็นส่วนตัวซึ่งโทรศัพท์ของคุณจับคู่กับคอมพิวเตอร์ที่ซ่อนอยู่ภายในตู้ชาร์จและข้อมูลเช่นภาพถ่ายส่วนตัวและข้อมูลติดต่อจะถูกถ่ายโอนไปยังอุปกรณ์ที่เป็นอันตราย การโจมตีดังกล่าวอาจเป็นการรุกรานเช่นเดียวกับการฉีดรหัสอันตรายลงในอุปกรณ์ของคุณโดยตรง ในการประชุมด้านความปลอดภัยของ BlackHat ปีนี้นักวิจัยด้านความปลอดภัย Billy Lau, YeongJin Jang และ Chengyu Song กำลังนำเสนอ“ MACTANS: การฉีดมัลแวร์เข้าสู่อุปกรณ์ iOS ผ่านทาง Malicious Chargers” และนี่เป็นเนื้อหาที่ตัดตอนมาจากบทคัดย่อการนำเสนอ:

ในงานนำเสนอนี้เราสาธิตวิธีที่อุปกรณ์ iOS สามารถประนีประนอมได้ภายในหนึ่งนาทีหลังจากเสียบเข้ากับอุปกรณ์ชาร์จที่เป็นอันตราย ก่อนอื่นเราตรวจสอบกลไกความปลอดภัยที่มีอยู่ของ Apple เพื่อป้องกันการติดตั้งซอฟต์แวร์โดยพลการแล้วอธิบายว่าจะสามารถยกระดับความสามารถของ USB เพื่อข้ามกลไกการป้องกันเหล่านี้ได้อย่างไร เพื่อให้แน่ใจว่ามีการติดเชื้อที่เกิดขึ้นอย่างต่อเนื่องเราจะแสดงให้เห็นว่าผู้โจมตีสามารถซ่อนซอฟต์แวร์ของตนได้ในลักษณะเดียวกับที่ Apple ซ่อนแอปพลิเคชั่นในตัวของมันเอง.

เพื่อแสดงให้เห็นถึงการใช้งานจริงของช่องโหว่เหล่านี้เราได้สร้างเครื่องชาร์จที่เป็นอันตรายที่เรียกว่า Mactans โดยใช้ BeagleBoard ฮาร์ดแวร์นี้ได้รับการคัดเลือกเพื่อแสดงให้เห็นถึงความสะดวกในการสร้างเครื่องชาร์จ USB ที่ดูเป็นอันตรายและไร้เดียงสา ในขณะที่ Mactans ถูกสร้างขึ้นด้วยระยะเวลาที่ จำกัด และงบประมาณเพียงเล็กน้อยเรายังพิจารณาคร่าวๆว่าฝ่ายตรงข้ามที่ได้รับการสนับสนุนและมีแรงบันดาลใจมากเท่าไรจะประสบความสำเร็จได้.

ด้วยการใช้ฮาร์ดแวร์ราคาถูกและความเสี่ยงด้านความปลอดภัยที่เห็นได้ชัดพวกเขาสามารถเข้าถึงอุปกรณ์ iOS รุ่นปัจจุบันได้ในเวลาไม่ถึงนาทีแม้จะมีข้อควรระวังด้านความปลอดภัยจำนวนมากที่ Apple ได้เตรียมไว้เพื่อหลีกเลี่ยงสิ่งนี้โดยเฉพาะ.

การเอารัดเอาเปรียบแบบนี้แทบจะเป็นสิ่งใหม่ในเรดาร์ความปลอดภัยไม่ได้ สองปีที่ผ่านมาในการประชุมความปลอดภัย DEF CON 2011 นักวิจัยจาก Aires Security, Brian Markus, Joseph Mlodzianowski และ Robert Rowley ได้สร้างตู้ชาร์จไฟเพื่อแสดงให้เห็นถึงอันตรายของน้ำผลไม้และเตือนประชาชนว่ามีความเสี่ยงต่อโทรศัพท์ของพวกเขาอย่างไร เชื่อมต่อกับคีออสก์ - ภาพด้านบนถูกแสดงต่อผู้ใช้หลังจากที่พวกเขาเสียบเข้ากับคีออสก์ที่เป็นอันตราย แม้กระทั่งอุปกรณ์ที่ได้รับคำสั่งไม่ให้จับคู่หรือแบ่งปันข้อมูลก็ยังคงถูกโจมตีอยู่บ่อยครั้งผ่านทางตู้ความปลอดภัยของ Aires.

ปัญหาที่หนักใจยิ่งกว่าคือการสัมผัสกับป้อมที่เป็นอันตรายสามารถสร้างปัญหาด้านความปลอดภัยที่เอ้อระเหยแม้จะไม่มีการฉีดโค้ดอันตรายทันที ในบทความล่าสุดเกี่ยวกับเรื่องนี้นักวิจัยด้านความปลอดภัย Jonathan Zdziarski เน้นว่าช่องโหว่การจับคู่ iOS ยังคงอยู่อย่างไรและสามารถเสนอหน้าต่างผู้ใช้ที่เป็นอันตรายต่ออุปกรณ์ของคุณแม้หลังจากที่คุณไม่ได้ติดต่อกับ kiosk แล้ว:

หากคุณไม่คุ้นเคยกับวิธีการจับคู่ทำงานบน iPhone หรือ iPad ของคุณนี่เป็นกลไกที่เดสก์ท็อปของคุณสร้างความสัมพันธ์ที่เชื่อถือได้กับอุปกรณ์ของคุณเพื่อให้ iTunes, Xcode หรือเครื่องมืออื่น ๆ สามารถพูดคุยกับมันได้ เมื่อจับคู่เครื่องเดสก์ท็อปแล้วเครื่องจะสามารถเข้าถึงโฮสต์ของข้อมูลส่วนบุคคลบนอุปกรณ์รวมถึงสมุดที่อยู่บันทึกภาพถ่ายภาพถ่ายคอลเลคชันเพลงฐานข้อมูล sms การพิมพ์แคชและยังสามารถสำรองข้อมูลเต็มรูปแบบของโทรศัพท์ได้ เมื่อจับคู่อุปกรณ์แล้วสิ่งนี้และอีกมากมายสามารถเข้าถึงแบบไร้สายได้ทุกเมื่อไม่ว่าคุณจะเปิดการซิงค์ WiFi หรือไม่ การจับคู่จะคงอยู่ตลอดชีวิตของระบบไฟล์: นั่นคือเมื่อ iPhone หรือ iPad ของคุณจับคู่กับเครื่องอื่นความสัมพันธ์ในการจับคู่นั้นจะคงอยู่จนกว่าคุณจะกู้คืนโทรศัพท์กลับสู่สถานะโรงงาน.

กลไกนี้มีจุดประสงค์เพื่อให้การใช้อุปกรณ์ iOS ของคุณไม่เจ็บปวดและสนุกสนานสามารถสร้างสถานะที่ค่อนข้างเจ็บปวดได้: ตู้ที่คุณเพิ่งชาร์จ iPhone ของคุณด้วยความสามารถในทางทฤษฎีรักษาสายสะดือ Wi-Fi ไปยังอุปกรณ์ iOS ของคุณเพื่อการเข้าถึงอย่างต่อเนื่อง คุณได้ถอดปลั๊กโทรศัพท์ของคุณแล้วกระแทกเข้ากับเก้าอี้เลานจ์ในสนามบินใกล้เคียงเพื่อเล่น Angry Birds รอบ (หรือสี่สิบ).

 ฉันควรกังวลแค่ไหน?

เราไม่มีอะไรนอกจากผู้ตื่นตกใจที่นี่ที่ How-To Geek และเรามอบสิ่งที่ตรงกับคุณเสมอ: ปัจจุบันการคั้นน้ำผลไม้เป็นภัยคุกคามทางทฤษฎีส่วนใหญ่และโอกาสที่พอร์ต USB ชาร์จในตู้ที่สนามบินท้องถิ่นของคุณเป็นความลับ ด้านหน้าสำหรับการดูดข้อมูลและคอมพิวเตอร์ที่ฉีดมัลแวร์อยู่ในระดับต่ำมาก สิ่งนี้ไม่ได้หมายความว่าคุณควรยักไหล่และลืมความเสี่ยงด้านความปลอดภัยที่แท้จริงที่เสียบสมาร์ทโฟนหรือแท็บเล็ตของคุณเข้ากับอุปกรณ์ที่ไม่รู้จักทันที.

หลายปีที่ผ่านมาเมื่อ Firesheep ส่วนขยายของ Firefox เป็นที่กล่าวขวัญของเมืองในแวดวงความปลอดภัยมันเป็นภัยคุกคามทางทฤษฎีอย่างใหญ่หลวง แต่ก็ยังคงเป็นภัยคุกคามที่แท้จริงของการขยายเบราว์เซอร์อย่างง่าย ๆ ที่อนุญาตให้ผู้ใช้ โหนด Wi-Fi ท้องถิ่นที่นำไปสู่การเปลี่ยนแปลงที่สำคัญ ผู้ใช้เริ่มต้นใช้การรักษาความปลอดภัยเซสชันการเรียกดูของพวกเขาอย่างจริงจังมากขึ้น (โดยใช้เทคนิคเช่นการเจาะผ่านการเชื่อมต่ออินเทอร์เน็ตในบ้านหรือการเชื่อมต่อกับ VPN) และ บริษัท อินเทอร์เน็ตรายใหญ่ทำการเปลี่ยนแปลงด้านความปลอดภัยที่สำคัญ (เช่นการเข้ารหัสเซสชันเบราว์เซอร์ทั้งหมด.

ในแบบนี้ทำให้ผู้ใช้ตระหนักถึงภัยคุกคามของการคั้นน้ำทั้งสองลดโอกาสที่ผู้คนจะคั้นน้ำผลไม้และเพิ่มแรงกดดันให้ บริษัท เพื่อจัดการการปฏิบัติด้านความปลอดภัยของพวกเขาดีขึ้น (ตัวอย่างเช่นยอดเยี่ยมที่อุปกรณ์ iOS ของคุณจับคู่ได้ง่าย ทำให้ประสบการณ์ผู้ใช้ของคุณราบรื่น แต่ความหมายของการจับคู่ตลอดชีวิตด้วยความไว้วางใจ 100% ในอุปกรณ์ที่จับคู่นั้นค่อนข้างร้ายแรง).

ฉันจะหลีกเลี่ยงการดื่มน้ำผลไม้ได้อย่างไร?

แม้ว่าการคั้นน้ำผลไม้จะไม่เป็นภัยคุกคามอย่างแพร่หลายเช่นการขโมยโทรศัพท์ทันทีหรือการสัมผัสกับไวรัสที่เป็นอันตรายผ่านการดาวน์โหลดที่ถูกบุกรุกคุณควรใช้ความระมัดระวังสามัญสำนึกเพื่อหลีกเลี่ยงการสัมผัสกับระบบที่อาจเป็นอันตรายต่ออุปกรณ์ส่วนบุคคลของคุณ. รูปภาพมารยาทของ Exogear.

ข้อควรระวังที่ชัดเจนที่สุดอยู่ตรงกลางทำให้ไม่จำเป็นต้องชาร์จโทรศัพท์โดยใช้ระบบของบุคคลที่สาม:

ให้อุปกรณ์ของคุณมีวงเงิน: ข้อควรระวังที่ชัดเจนที่สุดคือการชาร์จอุปกรณ์มือถือของคุณ ทำให้เป็นนิสัยในการชาร์จโทรศัพท์ของคุณที่บ้านและที่ทำงานเมื่อคุณไม่ได้ใช้งานหรือนั่งอยู่ที่โต๊ะทำงาน เวลาที่คุณพบว่าตัวเองมองแถบแบตเตอรี่สีแดง 3% น้อยลงเมื่อคุณเดินทางหรือออกจากบ้าน.

พกพาอุปกรณ์ชาร์จส่วนตัว: เครื่องชาร์จมีขนาดเล็กและน้ำหนักเบาจนแทบจะมีน้ำหนักมากกว่าสาย USB จริงที่ติดมา โยนอุปกรณ์ชาร์จลงในกระเป๋าของคุณเพื่อให้คุณสามารถชาร์จโทรศัพท์ของคุณและควบคุมพอร์ตข้อมูลได้.

พกพาแบตเตอรี่สำรอง: ไม่ว่าคุณจะเลือกที่จะพกแบตเตอรี่สำรองไว้เต็มรูปแบบ (สำหรับอุปกรณ์ที่อนุญาตให้คุณสลับแบตเตอรี่) หรือแบตเตอรี่สำรองภายนอก (เช่นแบตเตอรี่ขนาดเล็ก 2600mAh นี้) คุณสามารถใช้งานได้นานขึ้นโดยไม่จำเป็นต้องผูกมือถือไว้กับตู้หรือเต้าเสียบ.

นอกเหนือจากการตรวจสอบให้แน่ใจว่าโทรศัพท์ของคุณมีแบตเตอรีเต็มแล้วยังมีเทคนิคซอฟต์แวร์เพิ่มเติมที่คุณสามารถใช้ได้ (แม้ว่าคุณจะจินตนาการได้ว่าสิ่งเหล่านี้มีน้อยกว่าอุดมคติและไม่รับประกันว่าจะทำงานได้ ดังนั้นเราจึงไม่สามารถรับรองเทคนิคใด ๆ ที่มีประสิทธิภาพอย่างแท้จริง แต่พวกเขามีประสิทธิภาพมากกว่าการไม่ทำอะไรเลย.

ล็อคโทรศัพท์ของคุณ: เมื่อโทรศัพท์ของคุณถูกล็อคล็อคอย่างแท้จริงและไม่สามารถเข้าถึงได้โดยไม่ต้องใส่ PIN หรือรหัสผ่านที่เทียบเท่าโทรศัพท์ของคุณไม่ควรจับคู่กับอุปกรณ์ที่เชื่อมต่ออยู่ อุปกรณ์ iOS จะจับคู่เมื่อปลดล็อค - แต่เมื่อเราไฮไลต์ก่อนหน้านี้การจับคู่จะเกิดขึ้นภายในไม่กี่วินาทีคุณจึงควรตรวจสอบให้แน่ใจว่าโทรศัพท์ถูกล็อคจริงๆ.

จ่ายไฟให้โทรศัพท์: เทคนิคนี้ใช้งานได้เฉพาะรุ่นโทรศัพท์ตามรุ่นโทรศัพท์ตามที่โทรศัพท์บางรุ่นจะใช้งานได้แม้จะปิดตัวลงแล้วยังคงเปิดวงจร USB ทั้งหมดและอนุญาตให้เข้าถึงที่เก็บแฟลชในอุปกรณ์.

ปิดการจับคู่ (อุปกรณ์ Jailbroken iOS เท่านั้น): Jonathan Zdziarski กล่าวถึงในบทความก่อนหน้านี้ว่าได้เปิดตัวแอปพลิเคชั่นขนาดเล็กสำหรับอุปกรณ์ jailbroken ที่ให้ผู้ใช้สามารถควบคุมพฤติกรรมการจับคู่ของอุปกรณ์ได้ คุณสามารถหาใบสมัคร PairLock ของเขาได้ที่ Cydia Store และที่นี่.

หนึ่งเทคนิคสุดท้ายที่คุณสามารถใช้ได้ซึ่งมีประสิทธิภาพ แต่ไม่สะดวกคือการใช้สายเคเบิล USB ที่มีสายข้อมูลเอาออกหรือตัดให้สั้นลง ขายเป็นสายเคเบิล“ กำลังไฟเท่านั้น” สายเคเบิลเหล่านี้ขาดสายสองเส้นที่จำเป็นสำหรับการรับส่งข้อมูลและมีสายเหลือเพียงสองเส้นสำหรับการส่งกำลัง ข้อเสียอย่างหนึ่งของการใช้สายเคเบิลเช่นนี้คืออุปกรณ์ของคุณจะชาร์จช้ากว่าเดิมเนื่องจากอุปกรณ์ชาร์จที่ทันสมัยใช้ช่องทางข้อมูลเพื่อสื่อสารกับอุปกรณ์และตั้งค่าเกณฑ์การถ่ายโอนสูงสุดที่เหมาะสม (ขาดการสื่อสารนี้เครื่องชาร์จจะเริ่มต้น เกณฑ์ขั้นต่ำที่ปลอดภัย).

.