您正在使用IE低版浏览器,为了您的雷峰网账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
此为临时链接,仅用于文章预览,将在时失效
新鲜 正文
发私信给柏蓉
发送

1

关于苹果USB–C你不知道的安全问题

本文作者:柏蓉 2015-03-17 13:45
导语:USB–C有它强大之处才会征服苹果Google,比如体积小、不分正反、传输性能高、功率高可作电源接口以及集成更多功能性接口。不过这些细节问题远不及该接口安全问题来得严重。

关于苹果USB–C你不知道的安全问题

在3月9日的发布会上,苹果推出了new MacBook,顺便带来了多合一的USB–C接口。紧接着Google就发布新款Chromebook Pixel,也配备了USB–C。这种节奏,似乎告诉我们在不久的将来,USB –C将会成为标配。

当然,USB–C有它强大之处才会征服苹果Google,比如体积小、不分正反、传输性能高、功率高可作电源接口以及集成更多功能性接口。但是它也又不好的地方,比如通用性差,只能进行一项工作即你在充电的时候,就别想用这个接口做点别的事情。不过这些细节问题远不及该接口的安全问题来得严重。

USB–C潜在风险

USB–C是基于USB标准的接口之一,它容易受到恶意固件的攻击和入侵。此外,研究人员还担心该接口通过直接内存访问DMA进行入侵。以上这些bug都不是新事物,但是这些潜在的危险在一个万能的接口中,不可不说是一件恐怖的事情。以前,如果有用户担心USB病毒入侵,就会进行接口检查或者直接扔掉买新的,如今只有一个接口,而且还是作为电源接口,因此,不能像以前那么自由,尤其在这个接口上搭载一些恶意程序,这是一个很严重的后果。

BadUSB攻击方法

关于苹果USB–C你不知道的安全问题

在2014黑帽大会上,出现一种叫BadUSB的攻击方法,让恶意软件通过USB设备渗透到网络中,即使扔掉感染的USB设备,还会通过受害者电脑的USB端口来传播病毒,这种攻击方法让USB安全以及USB相关的设备(包括具有USB端口的电脑)都陷入风险中。尽管我们知道如何保护外设设备免受攻击,比如在UBS中内置保护功能,但是电脑就很难避免了。因为电脑普适接受USB接口,即使这个USB内置了保护功能,那个可能就没有了。

根据最近的报道,苹果允许第三方充电器支持 USB–C接口。这将意味着,将会有更多受感染的USB接口和相关设备。试想一下,使用BadUSB的攻击方法,加上多合一的USB–C接口,每插拔一次就进行一次病毒传播,这种场景让人毛骨悚然。

USB–C不能破解BadUSB

尽管USB–C的优势多多,安全专家表示,它还不能破解BadUSB的攻击。BadUSB的研究者Karsten Nohl表示,USB–C接口多功能性以及额外的开放性,让它面临更多的攻击界面(attack surface)。即使这是新的接口,也没能应对BadUSB的攻击。从某种程度说,USB的开放标准是必要的,它不仅能向后兼容,也向第三方开放标准。比如,你用USB–C的适配器来兼容老的USB设备,老的软件仍然支持USB–C。即使是像苹果Google那样的巨头也需要遵守USB的协议标准,只有这样才能维持整个USB生态的稳定,但是,这种稳定的代价就是用户需要面临的安全漏洞的风险。

具体来说,就是new MacBook和Chromebook Pixel的用户需要面临一种称之为“借充电器”的攻击风险。虽然新的接口USB–C没有BadUSB病毒的固件,但是不怀好意的黑客会自己安装,然后通过在咖啡厅找目标,用新接口帮你充电或者传输数据什么,总会找到理由的。

保护好你的充电器

关于苹果USB–C你不知道的安全问题

从整个生态系统的水平上去修补这种安全漏洞,似乎不太可能。也不会出现凭借一个公司的力量可以改变庞大的USB联盟。最实际的方式应该是离开USB的标准。早前,苹果在连接器比如Lightning接口中内置了一些身份验证的芯片,虽然主要是为了保护苹果有利可图的授权业务,同时也提供了强大的硬件安全。这种硬件安全对于开放的USB来说,不可能发生的。值得注意的是,虽然苹果要求所有的充电器需要把身份验证芯片与防篡改固件绑定,但是当这样的接口面对旧设备的时候,它又变得很脆弱了,因为黑客可以把USB设备伪造成老一代的USB,然后进行病毒感染。

总结来说,要避免USB–C带来的风险或者BadUSB的攻击很简单,拒绝使用一切不属于你的USB接口。当然,用这种简单粗暴低级的安全手段,简直是侮辱了科技的进步。换句话来说,虽然新接口带来了便捷,但是代价是需要时刻担忧哪些充电器是否值得信任。这是不是一种进步呢?不管怎么说,要好好保护你的充电器。

via:theverge

雷峰网原创文章,未经授权禁止转载。详情见转载须知

分享:
相关文章

编辑

相信未来是VR和AI的结合。
当月热门文章
最新文章
请填写申请人资料
姓名
电话
邮箱
微信号
作品链接
个人简介
为了您的账户安全,请验证邮箱
您的邮箱还未验证,完成可获20积分哟!
请验证您的邮箱
立即验证
完善账号信息
您的账号已经绑定,现在您可以设置密码以方便用邮箱登录
立即设置 以后再说