Jak niebezpieczne jest ładowanie smartfonów na publicznych stacjach?

Profesjonalne usługi w zakresie bezpieczeństwa danych

FBI i FCC niedawno ostrzegły, że przestępcy wykorzystują publiczne porty USB, aby podłożyć na urządzeniach złośliwe oprogramowanie i urządzenia do inwigilacji. Ekspert Sophos Paul Ducklin przetestował kilka smartfonów i oferuje wskazówki, jak zachować bezpieczeństwo.

Jeśli nigdy nie słyszałeś cybersecurity buzzword "juicejacking", nie wpadaj w panikę. Termin ten załapał się na początku lat 2010, jednak nadal odgrywa rolę w codziennym życiu smartfonów - a jego ciągłe ostrzeżenia przyciągnęły ostatnio zaskakującą nową uwagę, w tym ze strony FBI. Najpierw zacznijmy od krótkiego wyjaśnienia koncepcji: ludzie w podróży, zwłaszcza na lotniskach, gdzie ich ładowarki do telefonów są schowane głęboko w bagażu podręcznym lub już utknęły w luku bagażowym samolotu, często martwią się o ładowanie baterii. Widmo pustej baterii, które prześladowało nas od czasu pojawienia się telefonów komórkowych, nadal nawiedza świat smartfonów i pomimo zasilaczy i tym podobnych, ludzie wykorzystują każdą okazję, aby naładować swoje baterie, zwłaszcza w podróży - na wszelki wypadek, gdyby nie było na to szans w najbliższej przyszłości.

Co się dzieje za twoimi plecami

Tu z pomocą przychodzą przestępcy zajmujący się juicehackingiem. Smartfony są zwykle ładowane przez kabel USB specjalnie zaprojektowany do zasilania i przesyłania danych. Co jeśli po drugiej stronie stacji ładowania znajduje się komputer, który nie tylko dostarcza 5 V prądu stałego, ale także próbuje wejść w interakcję z telefonem za twoimi plecami? Prosta odpowiedź: nie możesz być pewien. Z tego powodu zarówno Apple, jak i Google od dawna wprowadziły domyślne ustawienia, które eliminują element zaskoczenia, wyświetlając podczas łączenia się z nieznanym urządzeniem monit bezpieczeństwa i pytając, czy należy mu zaufać. Pomijając fakt, że użytkownik wciąż może zostać oszukany, by zaufać nowemu urządzeniu, to teoretycznie niemożliwe jest wejście w posiadanie danych za plecami właściciela, chyba że ten sam podejmie działania.

Biorąc pod uwagę ostatnie ostrzeżenia FBI i FCC, jest to zatem nieco zaskakujące, że przestępcy używają publicznych portów USB do infiltracji złośliwego oprogramowania i nadzoru do urządzeń. Aby uniknąć wątpliwości, należy w miarę możliwości korzystać z własnej ładowarki i nie polegać na nieznanych kablach lub portach USB. Choćby dlatego, że nikt nie może wiedzieć, jak bezpieczny i niezawodny jest konwerter napięcia w obwodzie ładowania.

Jak bezpieczne są dane?

Ale co z ryzykiem, że prywatne informacje zostaną ukradkiem zassane przez ładowarkę, która podwaja się jako komputer hosta i próbuje kontrolować podłączone urządzenie bez pozwolenia? Czy ulepszenia zabezpieczeń wprowadzone w następstwie narzędzia juicejackingowego Mactans w 2011 roku nadal trzymają się kupy?

Ekspert Sophos Paul Ducklin sprawdził to i na podstawie podłączenia iPhone'a (iOS 16) i Google Pixel (Android 13) do Maca (macOS 13 Ventura) i laptopa z Windows 11 (build 2022H2), stwierdza, że tak, zapytania wciąż spełniają swoją rolę. Po pierwsze, żaden telefon nie łączy się automatycznie z macOS lub Windows przy pierwszym połączeniu, niezależnie od tego, czy jest zablokowany czy odblokowany. Ponadto wyskakujące okienko potwierdzenia wyraźnie wskazuje, że urządzenie innej firmy chce uzyskać dostęp, który musi być aktywnie potwierdzony.

Ponieważ jednak diabeł tkwi w szczegółach, właściciele smartfonów mogą grać bezpiecznie pomimo tych drobnych barier bezpieczeństwa.

Oto, na co powinieneś uważać:

• Jeśli to możliwe, unikaj podłączania nieznanych wtyczek lub kabli do ładowania. Nawet dobrze skonfigurowana stacja ładowania może nie zapewnić pożądanej jakości zasilania i regulacji napięcia. Unikaj również tanich ładowarek ściennych lub ładowania z własnego laptopa.
  
  
• Zablokuj lub wyłącz swój telefon przed podłączeniem go do publicznej ładowarki lub cudzego komputera. Minimalizuje to ryzyko przypadkowego odsłonięcia złośliwie aktywnych plików. Zapewni to również zablokowanie urządzenia w przypadku kradzieży z ładowarki dla wielu użytkowników.
  
  
• Jeśli jesteś właścicielem iPhone'a, możesz nie ufać wszystkim urządzeniom. Dzięki temu wcześniej zaufane urządzenia, które mogły zostać przypadkowo ustawione podczas poprzedniej podróży, nie zostaną zapomniane.
  
  
• Rozważ zakup kabla USB lub wtyczki adaptera tylko do zasilania. Wtyczki USB-A bez danych są łatwe do zauważenia, ponieważ mają tylko dwa metalowe złącza elektryczne wewnątrz obudowy na zewnętrznych krawędziach gniazda, zamiast czterech na całej szerokości. Zauważ, że wewnętrzne złącza nie zawsze są natychmiast widoczne, ponieważ nie rozciągają się do krawędzi gniazda, więc złącza zasilania stykają się najpierw.