Hoe gevaarlijk is het opladen van smartphones bij openbare stations?

Databeveiliging Professionele diensten voor gegevensbeveiliging

De FBI en de FCC hebben onlangs gewaarschuwd dat criminelen openbare USB-poorten gebruiken om malware en bewakingsapparatuur op apparaten te planten. Sophos-expert Paul Ducklin heeft verschillende smartphones getest en geeft tips om veilig te blijven.

Als u nog nooit van het cyberbeveiligingsbegrip "juicejacking" hebt gehoord, geen paniek. De term sloeg aan in de vroege jaren 2010, maar het speelt nog steeds een rol in het dagelijkse smartphone-leven - en de constante waarschuwingen hebben onlangs verrassende nieuwe aandacht gekregen, waaronder van de FBI. Laten we beginnen met een korte uitleg van het concept: mensen onderweg, vooral op luchthavens waar hun telefoonladers diep in hun handbagage zijn weggestopt of al vastzitten in het ruim van een vliegtuig, maken zich vaak zorgen over het opladen van de batterij. Het spook van de lege batterij, dat ons al achtervolgt sinds de komst van mobiele telefoons, waart nog steeds rond in de wereld van de smartphones, en ondanks voedingsadapters en dergelijke, grijpen mensen elke gelegenheid aan om hun batterijen op te laden, vooral op reis - voor het geval er in de nabije toekomst geen kans meer is.

Wat er achter je rug gebeurt

Dit is waar juicehacking criminelen om de hoek komen kijken. Smartphones worden meestal opgeladen via een USB-kabel die speciaal is ontworpen voor stroom- en gegevensoverdracht. Wat als er aan de andere kant van het laadstation een computer staat die niet alleen 5 volt gelijkstroom levert, maar ook probeert achter je rug om met de telefoon te communiceren? Simpel antwoord: je weet het niet zeker. Daarom hebben zowel Apple als Google al lang standaardinstellingen geïmplementeerd die het verrassingselement elimineren door een beveiligingsprompt te tonen wanneer je verbinding maakt met een onbekend apparaat en vraagt of je het moet vertrouwen. Afgezien van het feit dat een gebruiker nog steeds kan worden misleid om een nieuw apparaat te vertrouwen, is het theoretisch onmogelijk om achter de rug van de eigenaar om aan gegevens te komen, tenzij de eigenaar zelf actie onderneemt.

Gezien de recente waarschuwingen van de FBI en de FCC is het daarom enigszins verrassend dat criminelen openbare USB-poorten gebruiken om malware en bewakingssoftware in apparaten te infiltreren. Voor alle duidelijkheid: gebruik indien mogelijk uw eigen oplader en vertrouw niet op onbekende USB-kabels of -poorten. Al was het maar omdat niemand kan weten hoe veilig en betrouwbaar de spanningsomzetter in het laadcircuit is.

Hoe veilig zijn de gegevens?

Maar hoe zit het met het risico dat privégegevens stiekem worden opgezogen door een oplader die als hostcomputer fungeert en zonder toestemming een aangesloten apparaat probeert te besturen? Gelden de beveiligingsverbeteringen die in de nasleep van de juicejacking tool van Mactans in 2011 zijn ingevoerd nog steeds?

Sophos-expert Paul Ducklin heeft dit getest en concludeert, op basis van het aansluiten van een iPhone (iOS 16) en een Google Pixel (Android 13) op een Mac (macOS 13 Ventura) en een Windows 11-laptop (2022H2 build), dat ja, de vragen nog steeds hun doel dienen. Ten eerste maakt geen enkele telefoon automatisch verbinding met macOS of Windows de eerste keer dat deze verbinding maakt, ongeacht of deze is vergrendeld of ontgrendeld. Bovendien geeft een bevestigingspop-up duidelijk aan dat een apparaat van derden toegang wil, wat actief moet worden bevestigd.

Maar omdat de duivel in de details zit, kunnen smartphonebezitters het veilig spelen ondanks deze fijne beveiligingsbarrières.

Hier is waar je op moet letten:

• Vermijd indien mogelijk het aansluiten van onbekende stekkers of laadkabels. Zelfs een goed geconfigureerd laadstation biedt mogelijk niet de gewenste stroomkwaliteit en spanningsregeling. Vermijd ook goedkope muurladers of het opladen van uw eigen laptop.
  
  
• Vergrendel of schakel uw telefoon uit voordat u hem in een openbare oplader of in de computer van iemand anders steekt. Dit minimaliseert het risico van het per ongeluk blootstellen van kwaadwillig actieve bestanden. Dit zorgt er ook voor dat het apparaat wordt vergrendeld als het wordt gestolen uit een multi-user laadstation.
  
  
• Als u een iPhone bezit, vertrouwt u misschien niet alle apparaten. Dit zorgt ervoor dat eerder vertrouwde apparaten, die u misschien per ongeluk tijdens een vorige reis hebt ingesteld, niet worden vergeten.
  
  
• Overweeg om een USB kabel of adapterplug te kopen voor alleen stroom. Data-loze USB-A stekkers zijn gemakkelijk te herkennen omdat ze slechts twee metalen elektrische connectoren in de behuizing hebben aan de buitenranden van de aansluiting, in plaats van vier over de hele breedte. Merk op dat de interne connectoren niet altijd onmiddellijk zichtbaar zijn, omdat ze niet doorlopen tot de rand van de aansluiting, zodat de voedingsconnectoren eerst contact maken.