Jūsų išmanusis telefonas turi būti įkrautasvis dar vėl ir jūs esate mylios nuo įkroviklio namuose; kad viešasis įkrovimo kioskas atrodys gana perspektyvus - tiesiog įjunkite savo telefoną ir gaukite saldus, saldus, energiją, kurią trokštate. Ką galėjo kilti, ar ne? Dėl bendrų telefono aparatinės įrangos ir programinės įrangos bruožų, daugybės dalykų skaitykite toliau, kad sužinotumėte daugiau apie sulčių pakėlimą ir kaip to išvengti.
Kas yra sultys?
Nepriklausomai nuo to, kokį šiuolaikinį išmanųjį telefoną turėsite - būk tai "Android" įrenginys, "iPhone" ar "BlackBerry" - visuose telefonuose yra viena bendra funkcija: maitinimo šaltinis ir duomenų srautas perduodamas per tą patį kabelį. Nesvarbu, ar naudojate dabar standartinį "USB miniB" ryšį, ar "Apple" patentuotus kabelius, ta pati situacija yra tokia pati: kabeliu, naudojamu įkrauti bateriją jūsų telefone, tas pats kabelis, kurį naudojate perduoti ir sinchronizuoti duomenis.
Ši sąranka, duomenys ir (arba) maitinimas tame pačiame kabelyje siūlo kenksmingo vartotojo artėjimo vektorių, kad įkrovimo metu būtų įmanoma pasiekti telefoną; USB duomenų ar maitinimo kabelio svertas naudojant neteisėtai prieigą prie telefono duomenų ir / arba įterpiant kenkėjišką kodą į prietaisą yra žinomas kaip "Sultys".
Ataka gali būti taip paprasta, kaip privatumo įsibrovimas, kai jūsų telefonas susieja su kompiuteriu, esančiu įkrovimo kioskuose, o informacija, pvz., Privačios nuotraukos ir kontaktinė informacija, yra perkelta į kenkėjišką prietaisą. Ši ataka taip pat gali būti tokia invazinė kaip kenkėjiško kodo įpurškimas tiesiai į jūsų įrenginį. Šių metų "BlackHat" saugumo konferencijoje saugumo žurnalistai Billy Lau, YeongJin Jang ir Chengyu Song pristatė "MACTANS: kenkėjiškų programų įkėlimas į" iOS "įrenginius kenkėjiškuose įkrovikliuose", ir čia pateikiama ištrauka iš jų pristatymo santraukos:
In this presentation, we demonstrate how an iOS device can be compromised within one minute of being plugged into a malicious charger. We first examine Apple’s existing security mechanisms to protect against arbitrary software installation, then describe how USB capabilities can be leveraged to bypass these defense mechanisms. To ensure persistence of the resulting infection, we show how an attacker can hide their software in the same way Apple hides its own built-in applications.
To demonstrate practical application of these vulnerabilities, we built a proof of concept malicious charger, called Mactans, using a BeagleBoard. This hardware was selected to demonstrate the ease with which innocent-looking, malicious USB chargers can be constructed. While Mactans was built with limited amount of time and a small budget, we also briefly consider what more motivated, well-funded adversaries could accomplish.
Naudodamiesi pigia technine įranga ir akivaizdu saugumo pažeidžiamumu, jie galėjo gauti mažiau nei per minutę prieigą prie dabartinės kartos "iOS" įrenginių, nepaisant daugybės saugumo priemonių, kurias "Apple" įdiegė tam tikslui išvengti.
Dar daugiau nerimą kelia tai, kad kenksmingos kiosko poveikis gali sukelti ilgalaikę saugumo problemą net ir nedelsiant įvedant kenksmingą kodą. Nesename straipsnyje apie šį klausimą saugumo tyrinėtojas Jonathanas Zdziarskis atkreipia dėmesį į tai, kaip "iOS" susijungimo pažeidžiamumas išlieka ir gali parodyti kenkėjiškiems vartotojams langą į jūsų įrenginį net ir tada, kai nebendrajate su kiosku.
If you’re not familiar with how pairing works on your iPhone or iPad, this is the mechanism by which your desktop establishes a trusted relationship with your device so that iTunes, Xcode, or other tools can talk to it. Once a desktop machine has been paired, it can access a host of personal information on the device, including your address book, notes, photos, music collection, sms database, typing cache, and can even initiate a full backup of the phone. Once a device is paired, all of this and more can be accessed wirelessly at any time, regardless of whether you have WiFi sync turned on. A pairing lasts for the life of the file system: that is, once your iPhone or iPad is paired with another machine, that pairing relationship lasts until you restore the phone to a factory state.
Šis mechanizmas, kuriuo siekiama, kad jūsų "iOS" įrenginys taptų neskausmingas ir malonus, iš tikrųjų gali sukelti gana skausmingą būseną: kioskas, kurį tiesiog įkraunate savo "iPhone" su "can", teoriškai palaiko "Wi-Fi" nugarą savo "iOS" įrenginiui, kad ir toliau galėtų naudotis net Jūs išjungėte telefoną ir nuvedėte į netoliese esantį oro uosto poilsio kėdę, kad galėtumėte žaisti apvalus (ar keturiasdešimt) "Angry Birds".
Kaip nerimauju turėčiau būti?
Mes nieko neskauliuojame čia "How-To Geek", ir mes visada jums tai duodame tiesiai: šiuo metu sulčių pakėlimas yra iš esmės teorinė grėsmė, ir tikimybė, kad jūsų vietiniame oro uoste esančio kiosko USB įkrovimo uostai iš tikrųjų yra paslaptis Duomenų sifonavimas ir kenkėjiškų programų įšvirkštimo kompiuteris yra labai žemas. Tačiau tai nereiškia, kad turėtumėte tiesiog nulenkti pečius ir nedelsdami pamiršti apie labai tikrą pavojų saugumui, kad jūsų smartfon ar planšetinis kompiuteris yra nežinomas prietaisas.
Prieš keletą metų, kai "Firefox" plėtinys "Firesheep" buvo kalbėjimas apie miestą saugumo ratuose, būtent teorinė, tačiau vis dar labai tikroji paprasto naršyklės išplėtimo grėsmė, leidžianti naudotojams užgrobti kitų vartotojų interneto paslaugų naudotojų sesijas vietinis "Wi-Fi" mazgas, kuris sukėlė didelių pokyčių. Galutiniai vartotojai pradėjo rimtai tikrinti savo naršymo seansą (naudojant tokius būdus, kaip tuneliavimas per namų interneto ryšį arba prisijungiant prie VPN), o pagrindinės interneto kompanijos padarė didelių saugumo pakeitimų (pvz., Užšifruoja visą naršyklės sesiją, o ne tik prisijungimą).
Būtent tokiu būdu, informuojant vartotojus apie sulčių pakėlimo grėsmę, sumažėja tikimybė, kad žmonės bus priversti sultis ir padidins įmonių spaudimą geriau valdyti savo saugumo praktiką (tai puikus, pavyzdžiui, kad jūsų "iOS" įrenginiai poros taip lengvai ir kad jūsų vartotojo patirtis būtų sklandi, tačiau gyvenimo poros pasekmės su 100% pasitikėjimu suporuotu įrenginiu yra gana rimtos).
Kaip aš galėčiau išvengti sultys?
Nors sulčių pakėlimas nėra tokia plačiai paplitęs kaip grėsmė, nes telefonų vagystė ar kenksmingų virusų aptikimas naudojant pažeistus atsisiuntimus, vis tiek turėtumėte imtis atsargumo priemonių, kad išvengtumėte sistemų, galinčių piktavališkai pasiekti jūsų asmeninius įrenginius.Viršelio leidimas iš "Exogear".
Labiausiai akivaizdžios atsargumo priemonės yra susijusios su paprastu nereikalingu telefono įkraunymu naudojant trečiosios šalies sistemą:
Išlaikykite įrenginius: Labiausiai akivaizdu, kad jūsų mobilusis prietaisas bus apmokestintas. Padarykite įprotį įkrauti telefoną į savo namus ir biurą, kai aktyviai nenaudojate ar nesėdite prie savo darbo stalo. Kuo kelis kartus atsidursite raudonoje 3% akumuliatoriaus juostoje, kai keliaujate arba toli nuo namų, tuo geriau.
Nešioti asmeninį įkroviklį: Įkrovikliai tapo tokie maži ir lengvi, kad jie beveik nesvarsto daugiau nei tikrasis USB laidas. Mesti į maišą įkroviklį, kad galėtumėte įkrauti savo telefoną ir išlaikyti duomenų prievado valdymą.
Nešiokite atsarginę bateriją: Nesvarbu, ar pasirinksite nešioti visą atsarginę bateriją (prietaisams, kurie leidžia fiziškai keisti akumuliatorių) arba išorinės atsarginės akumuliatoriaus (pvz., Šios mažos 2600 mAh) baterijos, galite ilgiau neištraukti telefono į kišenę ar sieninį lizdą.
Be to, kad jūsų telefonas palaikytų visą bateriją, yra papildomų programinės įrangos technikos, kurias galite naudoti (nors, kaip jūs galite įsivaizduoti, jie yra mažiau nei idealūs ir nėra užtikrinta, kad jie dirbs, nuolat besikeičiančioms ginkluotės varžyboms naudojant saugumo priemones). Todėl negalime iš tikrųjų patvirtinti, kad bet kuris iš šių metodų yra tikrai veiksmingas, tačiau jie tikrai yra veiksmingesni už nieko nedaryti.
Užrakinti savo telefoną: Kai jūsų telefonas yra užrakintas, jis yra užrakintas ir neprieinamas be PIN kodo arba lygiaverčio slaptažodžio įvedimo, telefonas neturėtų būti susijęs su įrenginiu, prie kurio jis prijungtas. "iOS" įrenginiai tik susiejami, kai atrakinta, bet vėl, kaip parodyta anksčiau, susiejimas vyksta per kelias sekundes, todėl geriau įsitikinkite, kad telefonas tikrai užrakintas.
Maitinimo telefonas žemyn: Ši technologija veikia tik telefono modeliu pagal telefono modelį, nes kai kurie telefonai, nepaisant to, kad jie išjungiami, vis dar įjungia visą USB jungtį ir suteikia prieigą prie įrenginyje esančios "flash" atmintinės.
Išjungti poravimą (tik "Jailbroken" "iOS" įrenginiai): Jonathanas Zdziarskis, paminėtas anksčiau šiame straipsnyje, išleido nedidelę paraišką "jailbroken" "iOS" įrenginiams, kurie leidžia galutiniam vartotojui valdyti įrenginio poros elgesį. Jo paraiška "PairLock" galite rasti Cydia parduotuvėje ir čia.
Vienas galutinis būdas, kuris yra veiksmingas, tačiau nepatogu, - tai naudoti USB kabelį su duomenų laidais, kurie nuimami arba sutrumpinami. Parduodami kaip "maitinimo" kabeliai, šiuose kabeliuose trūksta dviejų laidų, reikalingų duomenims perduoti, ir liko tik du maitinimo laidai. Tačiau vienas iš tokių kabelių naudojimo trūkumų yra tas, kad jūsų įtaisas dažniausiai imamas lėčiau, nes šiuolaikiniai įkrovikliai naudoja duomenų perdavimo kanalus bendrauti su įrenginiu ir nustato atitinkamą didžiausią perdavimo slenkstį (nėra šio ryšio, įkroviklis pagal nutylėjimą bus mažiausia saugi riba).
Galiausiai geriausia apsauga nuo pažeistų mobiliųjų įrenginių yra sąmoningumas. Laikykitės įtaiso įkrovimo, įjunkite operacinės sistemos pateiktas apsaugos funkcijas (žinodama, kad jie nėra saugūs ir kiekviena apsaugos sistema gali būti išnaudota), taip pat neleiskite savo telefono į nežinomas įkrovimo stotis ir kompiuterius jungti taip pat, kaip jūs protingai nenorite atidaryti priedų iš nežinomų siuntėjų.
