Ευάλωτες για χρόνια, οι άμυνες των iOS, Android, σε επιθέσεις Juice Jacking με "πειραγμένους φορτιστές"

[nnn]

Πριν από περίπου μια δεκαετία, η Apple και η Google άρχισαν να ενημερώνουν το iOS και το Android, αντίστοιχα, για να τα καταστήσουν λιγότερο ευάλωτα στο «juice jacking», μια μορφή επίθεσης που θα μπορούσε να υποκλέψει κρυφά δεδομένα ή να εκτελέσει κακόβουλο κώδικα όταν οι χρήστες συνδέουν τα τηλέφωνά τους σε υλικό φόρτισης ειδικού σκοπού. Τώρα, οι ερευνητές αποκαλύπτουν ότι, εδώ και χρόνια, τα μετριαστικά μέτρα υπέφεραν από ένα θεμελιώδες ελάττωμα που τα καθιστούσε εύκολο να παρακαμφθούν.

Το «Juice jacking» καθιερώθηκε σε ένα άρθρο του 2011 στο KrebsOnSecurity, το οποίο περιγράφει λεπτομερώς μια επίθεση που παρουσιάστηκε τότε σε ένα συνέδριο ασφαλείας Defcon. Το Juice jacking λειτουργεί εξοπλίζοντας έναν φορτιστή με κρυφό υλικό που μπορεί να έχει πρόσβαση σε αρχεία και άλλους εσωτερικούς πόρους των τηλεφώνων, με τον ίδιο τρόπο που μπορεί να το κάνει ένας υπολογιστής όταν ο χρήστης τον συνδέει στο τηλέφωνο.

Από το 2012, τόσο η Apple όσο και η Google προσπάθησαν να μετριάσουν την απειλή απαιτώντας από τους χρήστες να κάνουν κλικ σε ένα κουμπί επιβεβαίωσης στο τηλέφωνό τους πριν ένας υπολογιστής -ή ένας υπολογιστής που μεταμφιέζεται σε φορτιστή- αποκτήσει πρόσβαση σε αρχεία ή εκτελέσει κώδικα στο τηλέφωνο.

Η λογική πίσω από τον μετριασμό είχε τις ρίζες της σε ένα βασικό τμήμα του πρωτοκόλλου USB, το οποίο, σύμφωνα με την ορολογία των προδιαγραφών, υπαγορεύει ότι μια θύρα USB μπορεί να διευκολύνει μια συσκευή «υποδοχής» ή μια συσκευή «περιφερειακού» ανά πάσα στιγμή, αλλά όχι και τα δύο. Στο πλαίσιο των τηλεφώνων, αυτό σήμαινε ότι μπορούσαν είτε:

• Φιλοξενήστε τη συσκευή στην άλλη άκρη του καλωδίου USB - για παράδειγμα, αν ένας χρήστης συνδέσει ένα στικάκι ή ένα πληκτρολόγιο. Σε αυτό το σενάριο, το τηλέφωνο είναι ο ξενιστής που έχει πρόσβαση στα εσωτερικά της μονάδας δίσκου, του πληκτρολογίου ή άλλης περιφερειακής συσκευής.
• Ενεργεί ως περιφερειακή συσκευή που φιλοξενείται από έναν υπολογιστή ή έναν κακόβουλο φορτιστή, ο οποίος σύμφωνα με το παράδειγμα USB είναι ένας ξενιστής που έχει πρόσβαση στο σύστημα του τηλεφώνου.

Οι ερευνητές του Πανεπιστημίου Τεχνολογίας του Γκρατς στην Αυστρία έκαναν πρόσφατα μια ανακάλυψη που υπονομεύει πλήρως την προϋπόθεση πίσω από το αντίμετρο: Έχουν ως βάση την υπόθεση ότι οι USB hosts δεν μπορούν να εισάγουν εισροές που εγκρίνουν αυτόνομα την προτροπή επιβεβαίωσης. Δεδομένου του περιορισμού κατά της ταυτόχρονης λειτουργίας μιας συσκευής USB ως κεντρικού και περιφερειακού υπολογιστή, η υπόθεση φαινόταν σωστή. Τα μοντέλα εμπιστοσύνης που είναι ενσωματωμένα τόσο στο iOS όσο και στο Android, ωστόσο, παρουσιάζουν κενά που μπορούν να αξιοποιηθούν για να εξουδετερωθούν οι προστασίες. Οι ερευνητές συνέχισαν να επινοούν το ChoiceJacking, την πρώτη γνωστή επίθεση που νικά τα μέτρα μετριασμού της juice-jacking.

«Παρατηρούμε ότι αυτά τα μετριαστικά μέτρα προϋποθέτουν ότι ένας επιτιθέμενος δεν μπορεί να εισάγει συμβάντα εισόδου κατά τη δημιουργία μιας σύνδεσης δεδομένων», έγραψαν οι ερευνητές σε ένα έγγραφο που έχει προγραμματιστεί να παρουσιαστεί τον Αύγουστο στο Συμπόσιο Ασφάλειας Usenix στο Σιάτλ. «Ωστόσο, δείχνουμε ότι αυτή η υπόθεση δεν ισχύει στην πράξη».

Ως απάντηση στα ευρήματα, η Apple ενημέρωσε τους διαλόγους επιβεβαίωσης στην έκδοση iOS/iPadOS 18.4 του περασμένου μήνα, ώστε να απαιτείται έλεγχος ταυτότητας του χρήστη με τη μορφή PIN ή κωδικού πρόσβασης. Ενώ οι ερευνητές διερευνούσαν τις επιθέσεις ChoiceJacking πέρυσι, η Google ενημέρωσε ανεξάρτητα την επιβεβαίωσή της με την έκδοση 15 τον Νοέμβριο. Οι ερευνητές λένε ότι ο νέος μετριασμός λειτουργεί όπως αναμενόταν σε πλήρως ενημερωμένες συσκευές Apple και Android. Δεδομένου του κατακερματισμού του οικοσυστήματος Android, ωστόσο, πολλές συσκευές Android παραμένουν ευάλωτες.

Και οι τρεις τεχνικές ChoiceJacking νικούν τα μετριαστκά μέτρα για το Android juice-jacking. Μία από αυτές λειτουργεί επίσης ενάντια σε αυτές τις άμυνες σε συσκευές της Apple. Και στις τρεις, ο φορτιστής ενεργεί ως υποδοχέας USB για να ενεργοποιήσει την προτροπή επιβεβαίωσης στο στοχευόμενο τηλέφωνο.

Οι ευπάθειες εντοπίζονται ως εξής:

CVE-2025-24193 (Apple)
CVE-2024-43085 (Google)
CVE-2024-20900 (Samsung)
CVE-2024-54096 (Huawei)

Ένας εκπρόσωπος της Google επιβεβαίωσε ότι οι αδυναμίες διορθώθηκαν στο Android 15, αλλά δεν μίλησε για τη βάση των συσκευών Android άλλων κατασκευαστών, οι οποίοι είτε δεν υποστηρίζουν το νέο λειτουργικό σύστημα είτε τη νέα απαίτηση ελέγχου ταυτότητας που καθιστά δυνατή. Η Apple αρνήθηκε να σχολιάσει για την παρούσα δημοσίευση.

Αναλυτικά : ArsTechnica

[papako]

τι είναι το "υλικό φόρτισης ειδικού σκοπού" ή "special-purpose charging hardware";

[Qanon]