什么是“榨汁”，我应该避免公共电话充电器吗？
什么是“榨汁”，我应该避免公共电话充电器吗？
你的智能手机需要充电尚未再一次，你离充电器在家里已经很远了；那个公共充电亭看起来很有希望--只要把你的手机插上，就能得到你渴望的甜蜜、甜蜜、充满活力的东西。有什么可能会出错，对吗？由于手机硬件和软件设计上的共同特点，很多东西--继续阅读，了解更多关于榨汁和如何避免抢劫的知识。
榨汁到底是什么？
不管你拥有什么样的现代智能手机--无论是Android设备、iPhone还是黑莓--所有手机都有一个共同的特点：电源和数据流通过同一条电缆。无论您使用的是现在标准的USB微型B连接还是苹果公司的专有电缆，情况都是一样的：用于给手机中的电池充电的电缆与用于传输和同步数据的电缆相同。
此设置，即同一电缆上的数据/电源，为恶意用户在充电过程中访问您的电话提供了一个方法向量；利用USB数据/电力电缆非法访问电话数据和/或向设备注入恶意代码称为果汁劫持。
这种攻击可能很简单，就像侵犯隐私一样，你的手机对着隐藏在充电亭内的电脑，私人照片和联系信息等信息被转移到恶意设备上。这种攻击也可能是侵入性的，就像将恶意代码直接注入到您的设备中一样。在今年的黑帽安全会议上，安全研究人员刘伟强、杨锦江和宋承宇将推出“Mactans：通过恶意充电器向iOS设备注入恶意软件”，以下是他们的演示摘要摘录：
在本演示中，我们将演示如何在插入恶意充电器后一分钟内破坏IOS设备。我们首先研究苹果现有的安全机制，以防止任意软件安装，然后描述如何利用USB功能绕过这些防御机制。为了确保所产生的感染持续存在，我们向攻击者展示了攻击者如何以苹果隐藏其内置应用程序的方式隐藏他们的软件。
为了演示这些漏洞的实际应用，我们使用BeagleBoard构建了一个概念证明恶意充电器，名为Mactans。选择此硬件是为了演示如何轻松地构造看起来无辜、恶意的usb充电器。虽然Mactans是在有限的时间和预算的情况下建造的，但我们也简要地考虑了更有动力、资金充足的对手能够完成什么任务。
使用廉价的现成硬件和一个明显的安全漏洞，他们能够在不到一分钟的时间内访问到当前一代的iOS设备，尽管苹果已经采取了大量的安全防范措施来具体避免这类事情。
然而，这种利用绝非安全雷达上的新亮点。两年前，在2011年的DEF Con安全会议上，来自艾莉丝·马库斯(Brian Markus)、约瑟夫·莫洛齐亚诺夫斯基(Joseph Mlorzianowski)和罗伯特·罗利(Robert Rowley)的研究人员建立了一个充电亭，专门展示抢果汁的危险，并提醒公众，当他们将手机连接到报亭时，他们的手机是多么脆弱--上面的图片是在用户闯入恶意售货亭后显示的。即使是那些被告知不对对数据或共享数据的设备，也经常通过艾莉丝安检亭受到损害。
更令人不安的是，即使没有立即注入恶意代码，恶意信息亭的暴露也可能造成挥之不去的安全问题。在最近一篇关于这一主题的文章中，安全研究员乔纳森·兹齐亚斯基(Jonathan Zdziarski)强调了iOS配对漏洞是如何持续存在的，甚至在你不再与该信息亭保持联系之后，它也可以为恶意用户提供设备窗口：
如果您不熟悉iphone或ipad上的配对工作方式，这就是桌面与设备建立信任关系的机制，以便iTunes、Xcode或其他工具可以与其对话。一旦一台台式计算机成对，它就可以访问设备上的大量个人信息，包括您的通讯簿、笔记、照片、音乐收藏、SMS数据库、输入缓存，甚至可以启动电话的完全备份。一旦一个设备成对，所有这些和更多都可以在任何时候被无线访问，不管你是否打开了WiFi同步。配对将持续到文件系统的生命周期：也就是说，一旦您的iPhone或iPad与另一台机器配对，这种配对关系将持续到您将手机恢复到工厂状态为止。
这个机制的目的是让你的iOS设备变得无痛和令人愉快，实际上它会造成一种相当痛苦的状态：理论上，你刚刚用CAN为iPhone充电时，会在iOS设备上保持一条Wi-Fi脐带，即使你已经拔掉手机插头，然后跌落到附近的机场躺椅上，玩一轮(或四十)愤怒的小鸟游戏。
我该有多担心？
我们在“如何-to Geek”上绝不是危言耸听，我们总是直截了当地告诉你：目前，抢果汁基本上是一种理论上的威胁，而在当地机场的信息亭中，USB充电端口实际上是数据虹吸和恶意软件的秘密前沿--注入计算机的可能性很低。然而，这并不意味着你应该耸耸肩，立即忘记将智能手机或平板电脑插入未知设备所带来的非常真实的安全风险。
几年前，当火狐的扩展在安全圈里成为小镇上的话题时，正是一个简单的浏览器扩展允许用户在本地Wi-Fi节点上劫持其他用户的网络服务用户会话而带来的重大变化，这在很大程度上是理论上的，但仍然是非常现实的威胁。最终用户开始更加重视浏览会话安全(使用通过家庭互联网连接的隧道技术或连接到VPN)，主要互联网公司进行了重大的安全更改(例如加密整个浏览器会话，而不仅仅是登录)。
正是以这种方式，让用户意识到榨汁的威胁，既降低了人们被榨汁的机会，也增加了公司更好地管理安全实践的压力(例如，你的iOS设备对对非常容易，并使用户体验平滑，但终身配对与100%信任配对设备的影响相当严重)。
我怎样才能避免榨汁？
虽然劫汁并不像直接窃取手机或通过受到破坏的下载接触恶意病毒那样普遍，但您仍然应该采取常识预防措施，以避免暴露在可能恶意访问您的个人设备的系统中。图片由ExoGear提供.
最明显的预防措施就是让你的手机不需要使用第三方系统充电：
保持设备顶部关闭：最明显的预防措施是让你的移动设备充电。当你不积极使用手机或坐在办公桌前工作时，要养成在家里和办公室充电的习惯。当你旅行或离开家的时候，你发现自己盯着一个红色的3%电池棒的次数越少，越好。
携带个人充电器：充电器已经变得如此的小和轻量级，他们的重量几乎没有超过实际的USB电缆连接。把一个充电器扔进你的包，这样你就可以给自己的手机充电，并保持对数据端口的控制。
携带备用电池：无论你选择携带一个完整的备用电池(对于允许你物理交换电池的设备)还是外部备用电池(比如这个小小的2600 mAh)，你都可以使用更长的时间，而不需要把手机拴在售货亭或墙上的插座上。
除了确保您的手机保持完整的电池外，您还可以使用更多的软件技术(不过，正如您可以想象的那样，鉴于不断发展的安全功绩的军备竞赛，这些技术不太理想，也不能保证工作正常)。因此，我们不能真正认可这些技术中的任何一个是真正有效的，但它们肯定比什么都不做更有效。
锁上你的手机：当您的手机被锁定，真正锁定和无法访问没有输入一个PIN或等效的密码，您的手机不应对其连接的设备。IOS设备只有在解锁时才会对对--但是，正如我们前面强调的，配对发生在几秒钟内，所以你最好确保手机真的被锁定了。
关掉电话：这项技术只适用于手机模型的基础上，因为一些手机将，尽管被关闭，仍然为整个USB电路供电，并允许访问闪存的设备。
禁用配对(仅限越狱iOS设备)：在本文前面提到的JonathanZdziarski发布了一个用于越狱iOS设备的小型应用程序，该应用程序允许最终用户控制设备的配对行为。你可以在Cydia商店和这里找到他的申请，PairLock。
最后一个你可以使用的技术，它是有效的，但不方便，是使用USB电缆与数据线或拆除或短路。这些电缆作为“只供电”电缆出售，缺少了数据传输所需的两根电线，只有两根用于电力传输的电线还剩下。然而，使用这种电缆的缺点之一是，由于现代充电器使用数据通道与设备通信并设置适当的最大传输阈值(如果没有这种通信，充电器将默认到最低的安全阈值)，您的设备通常会充电得更慢。
最终，对抗受到损害的移动设备的最佳防御措施是意识。让设备充电，启用操作系统提供的安全功能(知道它们不是万无一失的，每个安全系统都可以被利用)，并避免将手机插入未知的充电站和计算机，就像您明智地避免打开未知发件人的附件一样。
以上是 什么是“榨汁”，我应该避免公共电话充电器吗？ 的全部内容， 来源链接： utcz.com/wiki/670182.html
