Qu’est-ce que le «juice jacking» et dois-je éviter les chargeurs de téléphones publics?

Juice Jacking est un exploit basé sur USB qui exploite les ports de charge publics pour lancer une attaque. Vous pouvez éviter la menace en gardant vos appareils chargés, en utilisant des câbles spéciaux de blocage des données et d’autres mesures.

La batterie de votre téléphone est à nouveau faible et vous êtes à des kilomètres de votre chargeur à la maison. Il y a une borne de recharge publique ou peut-être un port de recharge USB directement au comptoir du terminal de l’aéroport où vous êtes assis. Mais est-il sûr de recharger votre téléphone avec un port public ?

Qu’est-ce que le Juice Jacking exactement ?

Le juice jacking apparaît dans les nouvelles toutes les quelques années, comme il l’a fait à nouveau récemment lorsque le FBI a averti les gens du risque– et vous vous demandez peut-être exactement de quoi il s’agit et si vous devriez vous en inquiéter.

Que vous ayez un iPhone ou un téléphone Android, les deux appareils ont quelque chose en commun. L’alimentation et le flux de données transitent par le même câble. Cela ne semble pas être un gros problème à première vue, mais cela crée un vecteur d’attaque unique permettant à un utilisateur malveillant d’accéder à votre téléphone pendant le processus de charge en utilisant des exploits matériels ou logiciels.

Cette méthode d’attaque est connue sous le nom de « juice jacking », un terme inventé par le journaliste de sécurité Brian Krebs alors qu’il écrivait sur le concept en 2011 après avoir vu une démonstration de l’exploit dans un kiosque de chargement compromis lors de la conférence sur la sécurité Defcon.

Depuis 2011, les chercheurs en sécurité ont mis en place un nouveau kiosque compromis lors de chaque conférence de sécurité Defcon ultérieure pour démontrer les vulnérabilités connues et sensibiliser le public au juice jacking.

Au fil des ans, plusieurs exploits ont été identifiés ciblant le chargement par USB et tombant sous l’égide des attaques de juice-jacking. En 2012, le chercheur en sécurité Kyle Osborn a démontré une attaque de juice jacking qui pourrait attaquer un téléphone déverrouillé et connecté, en volant des données, y compris des clés d’authentification Google.

Un an plus tard, en 2013, les étudiants diplômés de Georgia Tech ont démontré une attaque de preuve de concept qui pouvait détourner un appareil iOS via un câble de chargement USB. L’attaque était indétectable pour iOS et donnait aux attaquants un accès complet à l’appareil.

En 2014, les chercheurs qui ont démontré l’attaque BadUSB ont souligné comment infecter un téléphone Android pour servir de charge utile BadUSB pour accéder plus tard à l’ordinateur personnel ou au réseau d’entreprise de l’utilisateur était un vecteur d’attaque plausible.

En 2016, une autre attaque de preuve de concept a été présentée à Defcon qui a permis à la personne contrôlant le chargeur compromis de surveiller l’écran des appareils iOS et Android via un exploit de miroir d’écran. Ainsi, tant que vous chargez votre téléphone à la station compromise, l’attaquant peut regarder tout ce que vous faites comme s’il regardait par-dessus votre épaule.

Un exploit encore plus inquiétant a été présenté en 2018 par les chercheurs de Symantec. L’exploit qu’ils ont découvert a commencé avec le juice jacking, mais a persisté même après que vous vous soyez déconnecté du chargeur compromis. Ils ont appelé le vecteur d’attaque « TrustJacking » car il exploitait la poignée de main entre un appareil iOS et iTunes, permettant à l’acteur malveillant de maintenir une connexion à l’appareil iOS via Wi-Fi même après que l’appareil a été débranché.

Faut-il s’inquiéter du Juice Jacking ?

Chez How-To Geek, nous ne sommes certainement pas des alarmistes, et nous vous le disons toujours directement. Actuellement, le juice jacking est une menace théorique, aucune attaque connue dans la nature n’a été signalée. Les chercheurs en sécurité découvrent un exploit, et les fabricants le corrigent, le rincent et le répètent.

Les chances que les ports de chargement USB du kiosque de votre aéroport local soient en fait une façade secrète pour un ordinateur qui siphonne des données et injectent des logiciels malveillants sont très faibles. Cependant, cela ne signifie pas que vous devez simplement hausser les épaules et oublier rapidement le risque de sécurité très réel que représente le fait de brancher votre smartphone ou votre tablette sur un appareil inconnu.

Il y a des années, lorsque l’extension Firefox Firesheep faisait parler de lui dans les cercles de sécurité, c’était précisément la menace largement théorique mais toujours très réelle d’une simple extension de navigateur permettant aux utilisateurs de détourner les sessions d’utilisateurs de services Web d’autres utilisateurs sur le réseau local. Nœud Wi-Fi qui a entraîné des changements importants.

Les utilisateurs finaux ont commencé à prendre plus au sérieux la sécurité de leur session de navigation (en utilisant des techniques telles que le tunneling via leurs connexions Internet domestiques ou la connexion à des VPN distants), et les principales sociétés Internet ont apporté des modifications majeures à la sécurité (comme le cryptage de l’intégralité de la session de navigation et pas seulement la connexion).

C’est précisément de cette manière que le fait de sensibiliser les utilisateurs à la menace de juice jacking réduit à la fois le risque que des personnes soient victimes de juice jacking et augmente la pression sur les entreprises pour qu’elles améliorent leurs pratiques de sécurité.

Alors notre avis sur la question ? Le pire moment pour découvrir un exploit est après avoir été ciblé par l’exploit. Et la meilleure façon d’éviter d’être ciblé par un exploit est de s’engager dans les meilleures pratiques qui minimisent vos risques. Le juice jacking n’est peut-être pas un problème répandu (et facile à déployer) comme les escroqueries bancaires par SMS, mais cela ne signifie pas que vous devez simplement écarter complètement le risque potentiel.

Comment éviter les attaques de Juice Jacking

La meilleure façon d’éviter de se retrouver du côté des perdants d’une tentative de juice jacking est d’utiliser quelques pratiques simples pour s’assurer que votre téléphone n’a jamais d’interaction « nue » avec une borne de recharge publique.

Examinons d’abord quelques bonnes pratiques qui évitent l’exposition à des ports non sécurisés, puis quelques conseils pour éviter les problèmes lors de l’utilisation d’une station de charge ou d’un port.

Gardez votre téléphone à jour

Avant de partager d’autres conseils, le meilleur conseil de sécurité téléphonique en ce qui concerne le juice jacking (et à peu près tous les autres problèmes de sécurité des smartphones) est de garder votre téléphone à jour.

Comme nous l’avons mentionné ci-dessus, les exploits de juice jacking sont une réalité, mais il n’y a aucun rapport indiquant qu’ils ont été déployés avec succès dans la nature. Lorsque les chercheurs en sécurité montrent l’exploit, il est corrigé. Vous n’obtenez pas les correctifs d’exploitation si vous ne mettez pas à jour votre téléphone.

Gardez la batterie de votre appareil au top

La précaution la plus simple consiste à garder votre appareil mobile chargé. Prenez l’habitude de recharger votre téléphone à la maison et au bureau lorsque vous ne l’utilisez pas activement ou que vous n’êtes pas assis à votre bureau pour travailler.

Moins vous vous retrouvez à regarder une barre de batterie rouge de 3 % lorsque vous voyagez ou loin de chez vous, mieux c’est. Utilisez les conseils de gestion de la batterie pour votre iPhone ou appareil Android pour prolonger votre temps entre les charges.

Apportez un chargeur avec vous

Les chargeurs de téléphone sont si petits et légers qu’ils pèsent à peine plus que le câble USB auquel ils se connectent, et les progrès de la technologie des chargeurs signifient que vous ne sacrifiez pas la vitesse de charge et la puissance si vous êtes petit. Les chargeurs en nitrure de gallium (GaN) sont petits mais puissants, vous pouvez ajouter un chargeur de 30 W à votre sac de travail ou de voyage sans même le sentir.

Alors jetez un chargeur là-dedans pour recharger votre propre téléphone et garder le contrôle sur le port de données. (Et si vous utilisez toujours un ancien chargeur USB d’un téléphone que vous avez remplacé depuis longtemps, il est définitivement temps de mettre à niveau.)

Emportez un chargeur portable

Peu d’appareils ont des batteries remplaçables par l’utilisateur de nos jours, donc si vous voulez continuer à utiliser votre appareil sans compter sur les ports de charge à l’aéroport (ou si vous ne trouvez pas un bon endroit pour brancher votre chargeur personnel), vous aurez besoin un chargeur portatif.

Quelque chose de peu coûteux et compact comme la banque d’alimentation Anker 313 devrait faire l’affaire. Avec une autonomie de 10 000 mAh, il chargera complètement votre smartphone moyen 2 à 3 fois avant de s’épuiser. C’est plus qu’assez de jus pour réussir à jouer sur votre téléphone à l’aéroport et au vol lui-même.

Utiliser un câble ou un adaptateur d’alimentation uniquement

Idéalement, vous n’attachez jamais physiquement votre téléphone à un appareil sur lequel vous n’avez pas un contrôle total. Mais si vous utilisez un port de charge sur un appareil que vous ne contrôlez pas, une bonne mesure provisoire consiste à utiliser un câble ou un adaptateur USB qui interrompt les connexions de données, ne laissant que les connexions de charge disponibles.

Les adaptateurs USB bloquant les données, également appelés de manière informelle « préservatifs USB », sont le moyen le plus pratique de le faire car vous pouvez utiliser n’importe lequel de vos câbles existants avec eux, et ils arrêteront toute connexion de données entre le téléphone et le port de charge compromis. .

L’une des entreprises les plus connues sur le marché de niche est PortaPow. Ils ont un adaptateur USB-A vers USB-A, un adaptateur USB-A vers USB-C et un adaptateur USB-C vers USB-C. Étant donné que la plupart des ports de charge publics sont toujours USB-A, vous voudrez acheter un adaptateur USB-A vers USB-A ou C en fonction de vos besoins.

Il convient de noter qu’il existe un gros inconvénient à utiliser un câble ou un adaptateur d’alimentation uniquement. Les normes de charge rapide USB utilisent la connexion de données pour identifier l’appareil et négocier un taux de charge. Pas de données? Aucune négociation et le taux de charge par défaut est la vitesse USB de base. C’est mieux que rien, mais ce sera probablement plus lent que ce à quoi vous êtes habitué si vous utilisez normalement un chargeur rapide à la maison.

Verrouiller ou éteindre votre téléphone

N’utilisez pas votre téléphone pendant la charge si vous voulez jouer en toute sécurité avec un port de charge public. Gardez le téléphone verrouillé ou, mieux encore, éteignez-le.

Il est de loin préférable d’éviter complètement d’utiliser un port inconnu, mais si vous le faites, garder le téléphone verrouillé ou éteint permet d’éviter les exploits simples qui répondent lorsque vous acceptez une connexion (ou un exploit logiciel qui n’est disponible que si le téléphone est déverrouillé ou alimenté sur).

Utiliser la charge sans fil

Si votre téléphone prend en charge la charge sans fil et que vous vous trouvez dans un endroit avec des bornes de charge sans fil soigneusement intégrées dans le comptoir ou les accoudoirs, vous avez de la chance.

La recharge sans fil est par nature sans données, et il n’y a aucun risque à laisser tomber votre téléphone sur un logo de recharge sans fil sur une table Starbucks à l’aéroport.

En fin de compte, la meilleure défense contre un appareil mobile compromis est la sensibilisation. Gardez votre appareil chargé, activez les fonctionnalités de sécurité fournies par le système d’exploitation (sachant qu’elles ne sont pas infaillibles et que chaque système de sécurité peut être exploité), et évitez de brancher votre téléphone sur des bornes de recharge et des ordinateurs inconnus de la même manière que vous évitez judicieusement d’ouvrir les pièces jointes provenant d’expéditeurs inconnus.