HTG legt uit: wat is sap jacking en hoe bezorgd moet je zijn?

De smartphone heeft een opladen nog maar eens en je mijl uit de oplader voor thuis, dat openbare oplaadpunten kiosk is op zoek naar mooie veelbelovende gewoon aansluiten uw telefoon in en ontvang de zoete, zoete, energie je hunkert. Wat is er mogelijk fout gaan, toch? Dankzij de gemeenschappelijke kenmerken in mobiele hardware en software design, nogal wat dingen, lees dan verder om meer te leren over sap jacking en hoe ze te vermijden.

Ongeacht de aard van de moderne smartphone u-of het nu een Android-apparaat, iPhone of BlackBerry-is er een gemeenschappelijk kenmerk in alle telefoons: de voeding en de datastroom pas over dezelfde kabel. Of u nu met behulp van de nu standaard USB miniB verbinding of proprietary kabels van Apple, het is dezelfde situatie: de kabel gebruikt om de batterij in de telefoon op te laden is dezelfde kabel die u gebruikt om te dragen en te synchroniseren van uw gegevens.

Deze opzet, data / power op dezelfde kabel, biedt een aanpak vector voor een kwaadwillende gebruiker toegang tot uw telefoon tijdens het laadproces te krijgen; gebruik te maken van de USB-data / voedingskabel om onrechtmatig toegang te krijgen tot de gegevens van de telefoon en / of injecteren kwaadaardige code op het apparaat is bekend als Juice Jacking.

De aanval kan zo simpel zijn als een inbreuk op de privacy, waarbij uw telefoon paren met een computer verborgen binnen het opladen kiosk en informatie zoals een eigen foto’s en contactgegevens worden overgedragen aan de kwaadaardige apparaat. De aanval zou ook zo invasief als een injectie van kwaadaardige code rechtstreeks in uw apparaat. Bij BlackHat security conferentie van dit jaar, security onderzoekers Billy Lau, YeongJin Jang en Chengyu Song presenteren “mactans: Het inspuiten Malware Into iOS-apparaten Via Schadelijke Chargers”, en hier is een fragment uit de presentatie abstract

In deze presentatie, laten we zien hoe een iOS-apparaat kan worden aangetast binnen één minuut te worden aangesloten op een kwaadaardige lader. We onderzoeken de eerste Apple’s bestaande beveiligingsmechanismen te beschermen tegen willekeurige software-installatie, dan beschrijven hoe USB-mogelijkheden kunnen worden benut om deze afweermechanismen te omzeilen. Persistentie van de resulterende infectie garanderen, tonen we hoe een aanvaller de software op dezelfde manier Apple verbergt eigen ingebouwde applicaties kunnen verstoppen.

Om praktische toepassing van deze kwetsbaarheden te demonstreren, bouwden we een proof of concept kwaadaardige lader, genaamd mactans, met behulp van een BeagleBoard. Deze hardware is geselecteerd om het gemak waarmee onschuldig ogende, kwaadaardige USB laders kunnen worden geconstrueerd aantonen. Terwijl mactans werd gebouwd met een beperkte hoeveelheid tijd en een klein budget, we ook kort overwegen wat meer gemotiveerd, goed gefinancierde tegenstanders zou kunnen bereiken.

Met behulp van goedkope off-the-shelf hardware en een flagrante beveiligingsprobleem, waren ze in staat om de toegang tot de huidige generatie iOS-apparaten te krijgen in minder dan een minuut, ondanks de vele veiligheidsmaatregelen Apple heeft op zijn plaats te zetten om specifiek te voorkomen dat dit soort dingen.

Dit soort exploit is nauwelijks een nieuwe blip op de beveiliging radar, echter. Twee jaar geleden op de 2011 DEF CON conferentie over veiligheid, onderzoekers uit Aires Veiligheid, Brian Markus, Joseph Mlodzianowski en Robert Rowley, bouwde een opladen kiosk om specifiek tonen de gevaren van sap jacking en waarschuwen het publiek om te zien hoe kwetsbaar hun telefoons waren toen aangesloten op een kiosk-de afbeelding hierboven werd getoond aan gebruikers nadat ze in de kwaadaardige kiosk opgevijzeld. Zelfs apparaten die de opdracht had gekregen niet om te koppelen of delen van gegevens werden nog vaak gecompromitteerd via de Aires Veiligheid kiosk.

Nog meer verontrustend is dat blootstelling aan een kwaadaardige kiosk een slepende veiligheidsprobleem zelfs zonder onmiddellijke injectie van kwaadaardige code zou kunnen leiden. In een recent artikel over het onderwerp, security-onderzoeker Jonathan Zdziarski benadrukt hoe het iOS-pairing kwetsbaarheid aanhoudt en kunnen kwaadwillende gebruikers een venster te bieden aan uw apparaat, zelfs nadat u niet meer bent in contact met de kiosk

Als je niet bekend bent met de manier waarop pairing werkt op je iPhone of iPad, dit is het mechanisme waarmee uw bureaublad wordt een vertrouwde relatie met uw apparaat, zodat iTunes, Xcode, of andere hulpmiddelen kunnen om te praten. Zodra een desktop machine is gekoppeld, kan het toegang krijgen tot een groot aantal persoonlijke gegevens op het apparaat, met inbegrip van uw adresboek, notities, foto’s, muziek collectie, sms-database, het typen cache, en kan zelfs een volledige back-up van de telefoon te starten. Zodra een apparaat is gekoppeld, kan dit alles en nog veel meer draadloos worden geraadpleegd op elk moment, ongeacht of u hebben WiFi sync ingeschakeld. Een koppel duurt voor het leven van het bestandssysteem: dat is, zodra uw iPhone of iPad is gekoppeld aan een andere machine, dat de koppeling relatie duurt tot u de telefoon te herstellen naar een fabriek staat.

Dit mechanisme, bedoeld om het gebruik van uw iOS-apparaat pijnloos en plezierig, kan eigenlijk creëren een nogal pijnlijke toestand: de kiosk je gewoon je iPhone opgeladen met kan, in theorie, onderhouden van een Wi-Fi navelstreng om je iOS-apparaat aan onafgebroken toegang zelfs na je hebt je telefoon unplugged en zakte in een nabijgelegen vliegveld lounge stoel om een ​​ronde (of veertig) van Angry Birds spelen.

We zijn allesbehalve alarmerend hier op How-To Geek, en wij geven het altijd om u te straight: momenteel sap jacking is een grotendeels theoretische dreiging, en de kans dat de USB-oplaadkabel havens in de kiosk bij uw plaatselijke luchthaven zijn eigenlijk een geheim voor een data overhevelen en malware injecterende computer zeer laag. Dit wil echter niet zeggen, dat je gewoon moet uw schouders en snel vergeten over de zeer reële veiligheidsrisico dat het aansluiten van uw smartphone of tablet in een onbekend apparaat vormt.

Enkele jaren geleden, toen de Firefox-extensie Firesheep was het gesprek van de dag in de beveiliging kringen, was het juist de grotendeels theoretische, maar nog steeds zeer reële dreiging van een eenvoudige browser extensie zodat de gebruikers de web-dienst gebruikerssessies van andere gebruikers op het kapen lokale Wi-Fi-knooppunt dat geleid tot significante veranderingen. Eindgebruikers begonnen met het nemen van hun sessie veiligheid serieuzer (met behulp van technieken zoals tunneling via hun home internet aansluitingen of het verbinden met VPN’s) en de grote internetbedrijven maakte grote veranderingen veiligheid (zoals het versleutelen van de gehele browsersessie en niet alleen de login).

In juist deze manier, waardoor gebruikers zich bewust van de dreiging van het sap opvijzelen zowel vermindert de kans dat mensen zullen sap opgevijzeld en verhoogt de druk op bedrijven om hun veiligheid praktijken (het is geweldig, bijvoorbeeld dat je iOS-apparaat paren zo gemakkelijk en beter te beheren maakt uw gebruikerservaring glad, maar de implicaties van de levensduur van de koppeling met 100% vertrouwen in de gekoppelde apparaat zijn zeer ernstig).

Hoewel sap jacking is niet zo wijdverbreid bedreiging als rechtstreekse telefoon diefstal of blootstelling aan schadelijke virussen via gecompromitteerde downloads, moet u nog wel gezond verstand voorzorgsmaatregelen om de blootstelling aan systemen die kunnen kwaadwillende toegang tot uw persoonlijke apparaten te voorkomen. Exogear.

De meest voor de hand liggende voorzorgsmaatregelen centrum rond gewoon waardoor het niet nodig om je telefoon op te laden met behulp van een extern systeem

Houd uw apparaten bekroond: De meest voor de hand liggende voorzorgsmaatregel is om je mobiele apparaat opgeladen. Maak er een gewoonte van om je telefoon op te laden in uw huis en op kantoor als je niet actief gebruikt of zittend op uw bureau doet het werk. Hoe minder tijd je merkt dat je staren naar een rode 3% batterij bar als je op reis bent of weg van huis, hoe beter.

Draag een Personal Charger: Chargers zijn zo klein en licht dat ze nauwelijks meer dan de werkelijke USB-kabel dat zij hechten aan wegen worden. Gooi een oplader in je tas, zodat u uw eigen telefoon op te laden en de controle over de data port te handhaven.

Draag een back-up batterij: Of u nu kiest om een ​​volledige reserve batterij (voor apparaten die u in staat om de batterij fysiek swap) of een externe reserve batterij te voeren (zoals deze kleine 2600mAh één), kunt u langer gaan zonder dat je telefoon tetheren een kiosk of een stopcontact.

In aanvulling op het waarborgen van de telefoon zorgt voor een volle batterij, zijn er extra software technieken die je kunt gebruiken (hoewel, zoals u zich kunt voorstellen, deze zijn minder dan ideaal en niet gegarandeerd te werken, gezien de voortdurend veranderende wapenwedloop van veiligheid exploits). Als zodanig kunnen we niet echt onderschrijven elk van deze technieken echt effectief, maar ze zijn zeker effectiever dan niets doen.

De telefoon blokkeren: Als uw telefoon is vergrendeld, echt op slot en ontoegankelijk zonder de inbreng van een pincode of een gelijkwaardige code, moet uw telefoon niet koppelen aan het apparaat is aangesloten op. iOS-apparaten zal alleen koppelen als ontgrendeld, maar nogmaals, zoals we al eerder benadrukt, pairing vindt plaats binnen enkele seconden zodat je beter had ervoor te zorgen dat de telefoon echt is vergrendeld.

De macht van de telefoon neer: Deze techniek werkt alleen op een model telefoon via de telefoon model basis als sommige telefoons zal, ondanks het feit dat uitgeschakeld, nog steeds de macht over het hele USB-circuit en geven toegang tot de flash-opslag in het apparaat.

Uitschakelen Koppeling (Jailbroken iOS-apparaten): Jonathan Zdziarski, eerder vermeld in het artikel, bracht een kleine applicatie voor jailbroken iOS-apparaten die het mogelijk maakt de eindgebruiker om de koppeling gedrag van het apparaat te bedienen. U kunt de aanvraag, PairLock vinden, in de Cydia Store en hier.

Een laatste techniek die u kunt gebruiken, dat is effectief, maar lastig is om een ​​USB-kabel gebruiken met de data draden ofwel verwijderd of kortgesloten. Verkocht als “power only” kabels, deze kabels ontbreken de twee draden die nodig is voor gegevensoverdracht en hebben alleen de twee draden voor de voeding resterende transmissie. Eén van de nadelen van het gebruik van een dergelijke kabel is echter dat uw toestel meestal opladen langzamer als moderne laders gebruik maken van de gegevens kanalen om te communiceren met het apparaat en stel een geschikte maximale overdrachtsnelheid drempelwaarde (bij afwezigheid van deze mededeling, zal de lader standaard de laagste veilige drempel).

Uiteindelijk is de beste verdediging tegen een gecompromitteerd mobiele apparaat is bewustzijn. Houd uw apparaat opgeladen, schakelt u de beveiligingsvoorzieningen die worden geboden door het besturingssysteem (wetende dat ze zijn niet onfeilbaar en elk beveiligingssysteem kan worden benut), en te voorkomen dat de stekker van uw telefoon in onbekende laadstations en computers op dezelfde manier waarop je wijselijk vermijden openen van bijlagen van onbekende afzenders.

Ik vrij veel lees het hele artikel woord voor woord, maar ik ben nog steeds in de war. Wat ik van het als ik het nodig heb om mijn telefoon op te laden, en ik ga naar een van deze laadstations, sluit u het ene uiteinde van de USB-stick in mijn telefoon, en de andere in de lader en steek de lader in de uitlaat aan het laadstation, kan mijn telefoon in het gedrang komen? De betere ding om te doen is gewoon aansluiten op een gewone stopcontact?

Ik heb nooit en nooit zal een laadstation te gebruiken. Ik heb altijd een reserve-oplaadkabel met mij en hebben altijd de autolader kabel in mijn auto. In de wereld van vandaag zou alleen een dwaas die oplaadpunten gebruiken vanwege de aard van de lading / data toegang functie op dezelfde kabel.

Ik heb een usb-kabel die slechts het laden connectoren, heeft het niet de gegevens connectors.That doet de truc, gewoon aansluiten met een vrouwelijke micro aan vrouwelijke usb-kabel

Ha, ha! Heel grappig. Dat is alles wat je lijkt te doen deze dagen. Wat is er gebeurd met de nuttige artikelen? Het is al lang geleden dat ik een te lezen.

Goede vraag. Het probleem met IP overal is de “transformatoren”. Mijn gok is de slechteriken kan jou niet hacken. Als ze konden het internet zou draaien op de AC hoogspanningsleidingen die een geheel nieuw probleem zou zijn, zou elke uitlaat een bedreiging. Mijn vraag is die kwam met de term JJ en wat is deze persoon te doen in hun vrije tijd? Genoeg gezegd.

Er is veel haat reacties hier, maar ik was geïntrigeerd dat deze dreiging bestaat. In de meeste landen oplaadpunten bestaan ​​niet.

Dit type aanval was niet bij me opgekomen, maar ik vond het artikel informatief. Hoewel er een kleine kans op dit soort aanvallen kunnen zijn, het is nog steeds aardig goed geïnformeerd over hoe deze aanvallen kon gebeuren te zijn. Zoals meestal het geval is bij HTG, goed onderzocht en goed geschreven. Bedankt!

Ik zou gewoon gebruik maken van een van de aldaar XMultiple-iPad-USB opladen-adapter Het is goedkoop, klein, stappen tot de laadcapaciteit, kan op het einde van uw oplaadkabel worden bewaard en verwijderd wanneer u gegevens wilt synchroniseren met een pc. Hoewel het in gebruik is, blokkeert het apparaat communiceren over de gegevens draden, zonder in te boeten enige macht. Ik heb het nooit geprobeerd met iets anders dan een Apple-apparaat, maar het moet niet uit, denk ik.

Dit was het eerste dat in me opkwam. Ik weet niet genoeg van weten, dus ik zal moeten wat onderzoek te doen, maar het lijkt me dat je moet in staat zijn om gewoon te kopen / maken van een “data blocker” kabel / adapter, maar het zagen of anderszins verwijderen van de data pinnen op USB terwijl de stroom kunnen intact. Niet zeker of / hoe dit zou kunnen werken op de bliksem connectors, maar ik denk dat het zou moeten werken op USB.

Hallo, hoop dat je wil. Smartphone nu beschikbaar voor alle mensen. Wanneer u het nodig om op te laden kunt u gebruik maken kabel.

Voorschriftflessen zijn, meestal, oranje van kleur om ultraviolet licht verhinderen het bereiken van de inhoud en afbrekende lichtgevoelige verbindingen in geneesmiddelen.