קספרסקי: טעינה של מכשירים ניידים בעמדות הטענה ציבוריות מסכנת אותם

ID-100370143מכשירים ניידים נמצאים בסכנה כאשר הם נטענים באמצעות חיבור USB, כך גילו מומחי מעבדת קספרסקי בבדיקת היתכנות שביצעו. האם אי פעם שאלתם את עצמכם עד כמה בטוחים הסמארטפון והנתונים שלכם כאשר אתם מחברים את המכשיר לנקודות טעינה חופשיות בשדות תעופה, בתי קפה, פארקים ציבוריים ותחבורה ציבורית. האם נתונים על גבי המכשיר שלכם מועברים אל נקודות אלה במהלך הטעינה? מומחי מעבדת קספרסקי היו סקרניים לגלות וערכו מחקר כדי לגלות את התשובה לשאלות אלה.

כחלק מהמחקר, בחנו מומחי החברה מספר סמארטפונים המפעילים גרסאות שונות של מערכות ההפעלה אנדרואיד ו- iOS, במטרה להבין אלו נתונים משדר המכשיר החוצה בעת שהוא מחובר ל- PC או מק בעת טעינה. בדיקות המבחן מצביעות על כך שניידים "משדרים" מגוון של נתונים אל המחשב במהלך ה- Handshake (תהליך החיבור בין המכשיר והמחשב אליו הוא מחובר). הנתונים המשודרים כוללים: שם המכשיר, יצרן המכשיר, סוג המכשיר, מספר סידורי, נתוני קושחה, נתוני מערכת הפעלה, מערכת קבצים/ רשימת קבצים, מספר זיהוי של שבב אלקטרוני. כמות הנתונים המועברת בתהליך משתנה על פי המכשיר ונקודת החיבור, אבל כל סמארטפון מעביר את אותו מידע בסיסי, כגון שם המכשיר, היצרן, מספר סידורי וכו'.

האם מדובר בבעיית אבטחה? כן, באופן לא ישיר. עבור גופים חיצוניים המעוניינים באיסוף נתונים שכאלה, משמש הסמארטפון כמזהה ייחודי של בעליו. אבל זו לא הייתה בעיה אמיתית אם איסוף של נתונים מזהים ייחודיים היה כל מה שהתוקף מסוגל לעשות עם המכשיר הנטען, אבל תוקפים רבים מעניינים בפרטי הסליקה של בעל המכשיר כדי לבצע פעולת אשראי זדוניות.

עוד ב- 2014, הוצגו ב- Black Hat הוכחות לכך שמכשיר נייד יכול להיפגע מקוד זדוני פשוט על ידי חיבורו לעמדת טעינה מזויפת. כעת, שנתיים לאחר ההכרזה הראשונה, מומחי קספרסקי הצליחו לשחזר את התוצאה. באמצעות שימוש במחשב PC רגיל וכבל מיקרו USB סטנדרטי אשר חומש במערך של פקודות מיוחדות (המכונות AT-commands), הם הצליחו להתקין אפליקציה בליבת המכשיר. הדבר שווה ערך לחשיפה מלאה של הסמארטפון, אפילו שלא נעשה שימוש בקוד זדוני.

כדי להגן על עצמך מפני הסיכון של התקפה דרך נקודות טעינה בלתי מוכרות ומחשבים שאינם אמינים, מעבדת קספרסקי ממליצה על הדרכים הבאות:
• השתמשו בנקודות טעינה ומחשבים אמינים בלבד.
• הגנו על המכשיר הנייד באמצעות סיסמא או באמצעות שיטה אחרת כגון זיהוי טביעת אצבע, ואל תפתחו אותו במהלך הטעינה.
• עשו שימוש בהצפנה כדי לאבטח קונטיינרים (אזורים מוגנים במכשיר הנייד המשמשים כדי לבודד מידע רגיש) להגנה על הנתונים.
• הגנו על המכשיר הנייד והמחשב האישי מפני קוד זדוני באמצעות פתרון אבטחה מוכח. הדבר יסייע לזהות קוד זדוני אפילו בעת שימוש בפירצת "טעינה".

מידע נוסף ניתן לקרוא בבלוג Securelist.com

כתיבת תגובה

האימייל לא יוצג באתר. שדות החובה מסומנים *