Ngày nay, sân bay, nhà hàng thức ăn nhanh và thậm chí cả xe buýt đều có trạm sạc USB. Nhưng những cổng công cộng này có an toàn không? Nếu bạn sử dụng, điện thoại hoặc máy tính bảng của bạn có thể bị tấn công không? Chúng tôi đã kiểm tra nó ra!
Một số chuyên gia đã báo động
Một số chuyên gia cho rằng bạn nên lo lắng nếu đã sử dụng trạm sạc USB công cộng. Đầu năm nay, các nhà nghiên cứu từ nhóm thử nghiệm thâm nhập ưu tú của IBM, X-Force Red, đưa ra cảnh báo thảm khốc về những rủi ro liên quan đến các trạm thu phí công cộng.
Caleb Barlow, phó chủ tịch tình báo về mối đe dọa tại X-Force Red, cho biết: “Cắm vào một cổng USB công cộng giống như tìm bàn chải đánh răng bên đường và quyết định nhét nó vào miệng của bạn. "Bạn không biết thứ đó đã ở đâu."
Barlow chỉ ra rằng cổng USB không chỉ truyền tải điện năng mà còn truyền dữ liệu giữa các thiết bị.
Các thiết bị hiện đại giúp bạn kiểm soát. Họ không được chấp nhận dữ liệu từ cổng USB mà không có sự cho phép của bạn — đó là lý do tại sao "Tin tưởng máy tính này?" lời nhắc tồn tại trên iPhone. Tuy nhiên, một lỗ hổng bảo mật cung cấp một cách để bảo vệ này. Điều đó không đúng nếu bạn chỉ cắm một cục gạch nguồn đáng tin cậy vào một cổng điện tiêu chuẩn. Tuy nhiên, với cổng USB công cộng, bạn dựa vào kết nối có thể mang dữ liệu.
Với một chút tinh vi về công nghệ, có thể vũ khí hóa cổng USB và đẩy phần mềm độc hại sang điện thoại được kết nối. Điều này đặc biệt đúng nếu thiết bị chạy Android hoặc phiên bản iOS cũ hơn và do đó, bị chậm các bản cập nhật bảo mật.
Tất cả nghe có vẻ đáng sợ, nhưng những cảnh báo này có dựa trên những lo ngại trong cuộc sống thực không? Tôi đào sâu hơn để tìm hiểu.
Từ lý thuyết đến thực hành
Vì vậy, các cuộc tấn công dựa trên USB chống lại các thiết bị di động có phải chỉ là lý thuyết? Câu trả lời là không rõ ràng.
Các nhà nghiên cứu bảo mật từ lâu đã coi các trạm sạc như một vectơ tấn công tiềm tàng. Năm 2011, nhà báo kỳ cựu trên infosec, Brian Krebs, thậm chí đặt ra thuật ngữ "ép nước trái cây" để mô tả các khai thác tận dụng nó. Khi các thiết bị di động tiến dần đến việc áp dụng hàng loạt, nhiều nhà nghiên cứu đã tập trung vào khía cạnh này.
Vào năm 2011, Wall of Sheep, một sự kiện ngoài lề tại hội nghị bảo mật Defcon, đã triển khai các bốt sạc mà khi được sử dụng, nó đã tạo ra một cửa sổ bật lên trên thiết bị để cảnh báo về sự nguy hiểm khi cắm vào các thiết bị không đáng tin cậy.
Hai năm sau, tại sự kiện Blackhat USA, các nhà nghiên cứu từ Georgia Tech đã trình diễn một công cụ có thể giả dạng trạm sạc và cài đặt phần mềm độc hại trên thiết bị chạy phiên bản iOS mới nhất.
Tôi có thể tiếp tục, nhưng bạn hiểu rồi đấy. Câu hỏi thích hợp nhất là liệu việc khám phá ra “ Juice Jacking ” đã chuyển thành các cuộc tấn công trong thế giới thực. Đây là nơi mọi thứ trở nên hơi âm u.
Hiểu rủi ro
Mặc dù “tấn công bằng nước trái cây” là một lĩnh vực trọng tâm phổ biến đối với các nhà nghiên cứu bảo mật, nhưng hiếm có bất kỳ ví dụ nào được ghi nhận về những kẻ tấn công vũ khí hóa phương pháp này. Hầu hết các phương tiện truyền thông đưa tin tập trung vào các bằng chứng về khái niệm từ các nhà nghiên cứu làm việc cho các tổ chức, như các trường đại học và các công ty bảo mật thông tin. Rất có thể, điều này là do việc vũ khí hóa một trạm thu phí công cộng vốn đã khó.
Để hack một trạm thu phí công cộng, kẻ tấn công sẽ phải lấy phần cứng cụ thể (chẳng hạn như một máy tính thu nhỏ để triển khai phần mềm độc hại) và cài đặt nó mà không bị bắt. Hãy thử làm điều đó trong một sân bay quốc tế đông đúc, nơi hành khách bị giám sát gắt gao và an ninh tịch thu các công cụ, như tua vít, khi làm thủ tục. Chi phí và rủi ro khiến cho việc kích nước trái cây về cơ bản là không phù hợp với các cuộc tấn công nhằm vào công chúng.
Cũng có lập luận rằng những cuộc tấn công này tương đối kém hiệu quả. Chúng chỉ có thể lây nhiễm sang các thiết bị được cắm vào ổ sạc. Hơn nữa, họ thường dựa vào các lỗ hổng bảo mật mà các nhà sản xuất hệ điều hành di động như Apple và Google thường xuyên vá.
Trên thực tế, nếu một tin tặc giả mạo một trạm sạc công cộng, đó có thể là một phần của cuộc tấn công có chủ đích nhằm vào một cá nhân có giá trị cao, chứ không phải một người đi làm, những người cần kiếm một vài điểm phần trăm pin trên đường đi làm.
An toàn là trên hết
Mục đích của bài viết này không phải là giảm thiểu các rủi ro bảo mật do thiết bị di động gây ra. Điện thoại thông minh Chúng tôi đôi khi được sử dụng để phát tán phần mềm độc hại. Cũng có trường hợp điện thoại bị nhiễm virus khi kết nối với máy tính chứa phần mềm độc hại.
Trong một bài báo của Reuters năm 2016, Mikko Hypponen, người thực sự là gương mặt đại diện cho F-Secure, đã mô tả một loạt phần mềm độc hại Android đặc biệt nguy hiểm đã ảnh hưởng đến một nhà sản xuất máy bay châu Âu.
“Hypponen cho biết gần đây anh ấy đã nói chuyện với một nhà sản xuất máy bay châu Âu cho biết họ sẽ quét sạch phần mềm độc hại được thiết kế cho điện thoại Android hàng tuần. Phần mềm độc hại lây lan đến các máy bay chỉ vì nhân viên nhà máy đang sạc điện thoại của họ bằng cổng USB trong buồng lái, ”bài báo nêu.
“Bởi vì máy bay chạy một hệ điều hành khác, sẽ không có gì xảy ra với nó. Nhưng nó sẽ truyền vi-rút sang các thiết bị khác được cắm vào bộ sạc ”.
Bạn mua bảo hiểm nhà không phải vì bạn mong muốn ngôi nhà của mình bị cháy mà vì bạn phải dự trù cho tình huống xấu nhất. Tương tự, bạn nên thực hiện các biện pháp phòng ngừa hợp lý khi bạn sử dụng các trạm sạc máy tính . Bất cứ khi nào có thể, hãy sử dụng ổ cắm tường tiêu chuẩn thay vì cổng USB. Nếu không, hãy cân nhắc việc sạc pin di động thay vì thiết bị của bạn. Bạn cũng có thể kết nối pin di động và sạc điện thoại của mình khi sạc. Nói cách khác, bất cứ khi nào có thể, hãy tránh kết nối điện thoại của bạn trực tiếp với bất kỳ cổng USB công cộng nào.
Mặc dù có rất ít rủi ro được ghi nhận nhưng vẫn tốt hơn là an toàn. Theo nguyên tắc chung, tránh cắm nội dung của bạn vào cổng USB mà bạn không tin tưởng.
LIÊN QUAN: Cách bảo vệ bản thân khỏi các cổng sạc USB công cộng
