text: 充電陷阱或充電偷竊是一種針對同時用作資料鏈接的充電口的網路攻擊，通常經USB介面工作。實施的攻擊行為一般為在智慧手機、平板電腦或者膝上型電腦等移動裝置上安裝惡意軟體或者竊取敏感資料等。公開調研.在DEF CON網路安全會議發起設立的綿羊牆活動上，安置了一些會自動向裝置傳送資訊的充電介面。每個充電介面都裝有隱藏CPU，當有裝置在上充電時，其會自動向使用者傳送一條提示資訊——提示使用者不應在公共充電口上充電。具體來說，當用戶充電時，手機螢幕上會顯示“免費充電站”，接著警告使用者“不要相信任何公共充電站”。這是一種無害的充電陷阱，旨在提高大眾對這種攻擊行為的防範意識。 綿羊牆充電站的設計者還演示了可以透過充電站實行的其他惡意行為，比如資料竊取、裝置跟蹤，並指出現有公共充電站並不值得信任。2012年，資訊保安研究員凱爾·奧斯本釋出了一種名為P2P-ADB攻擊框架，該框架使用USB On-The-Go介面連線攻擊者手機與受害者靶機完成攻擊行為。隨這種框架一同釋出的還有證明其可行的證據和例項，同時表明該框架不僅可以解鎖手機，還能竊取包括靶機上谷歌帳號登陸金鑰在內的各種隱私資訊。2013年的美國黑帽大會上，來自佐治亞理工學院的研究員和學生髮布了一種透過USB介面工作的惡意工具，名為Mactans。它造價低廉，可以在iPhone充電時向當時的IOS系統上安裝惡意軟體。同時，這種惡意軟體可以繞過iOS內建的所有安全措施，並以蘋果隱藏iOS中後臺程序的方式隱藏自身。2014年的黑帽大會，來自SRLabs的安全研究員卡斯騰·諾爾釋出了其對BadUSB漏洞的研究成果。他們指出在受感染的電腦上為手機或其他移動裝置充電是傳播該漏洞最簡單的方法之一。他們同時釋出了一段可以透過該漏洞感染安卓裝置的惡意韌體程式碼。白羊安全和綿羊牆的研究員2016年再次聚焦充電陷阱問題。他們設定了一種“螢幕竊取”充電站，當手機連線這種惡意充電站時，其可以錄製手機螢幕活動。當時，所有支援基於USB的SlimPort協議或MHL協議的安卓手機均受影響。甚至使用Lightning充電介面的iPhone也沒能倖免。2018年的RSA大會上，Symantec的研究員公開了Trustjacking漏洞。 他們發現當用戶允許計算機透過USB訪問iOS裝置時，該可信訪問級別同時也信任了計算機上的iTunes API，而iTunes API可透過無限區域網訪問該裝置。透過該漏洞，攻擊者可以在iOS裝置斷開USB連線後繼續對侵入該裝置。名為_MG_的研究員釋出了“O.MG 線纜”，這是一種USB線材植入物。該線纜本身嵌入了一種微控制器，肉眼難以直觀地發現其與普通線纜之間的差異。該微控制器接受攻擊者或滲透測試人員透過無限區域網發出的命令，並在其插入的主機上執行。公共警告與流行文化.首次報道充電陷阱並發明該詞彙的，是以報道網路經濟犯罪著稱的著名美國記者。2011年8月，他在Defcon19綿羊牆活動上的特殊充電亭上收到了警告資訊後，便在他的新聞網站上刊登了首篇報道。綿羊牆的研究員認為其充電站能使公眾注意到這類潛在威脅。他們同時表示，他們已經討論出了一種針對正在充電執行惡意操作的工具，這種工具還未被髮布。2012年9月，Hak5上的一篇文章展示了許多透過P2P-ADB框架完成的攻擊。該攻擊框架的作者是就職於矽谷的網路安全工程師凱爾·奧斯本，這種框架可以透過手機之間USB OTG連線完成攻擊。 年末，美國國家安全域性釋出檔案警告差旅中的政府職員關注充電陷阱所帶來的安全風險。檔案要求政府職員在海外差旅活動中只應使用個人攜帶的充電器，避免使用公共充電亭和他人的電腦充電。2014年3月釋出的Android駭客手冊以專門的章節討論充電陷阱與ADB-P2P攻擊框架。2015年4月的美國警匪影集CSI犯罪現場：網路犯罪第一季第九集聚焦於充電陷阱。2019年11月，洛杉磯地方副檢察官釋出公共服務公告，警告民眾在即將到來的旅遊旺季注意防範遭遇充電陷阱風險。 後來，由於當地並沒有發現因惡意公共充電亭引發的公共案件，且當地檢察院亦未起訴任何與此有關的刑事案件，這份公共服務公告遭到審查。應對措施.蘋果公司旗下的iOS系統已經採取了一系列的措施防禦來自USB的攻擊。例如當連線USB時，不再自動將裝置掛載為儲存器，以及釋出了針對Mactans漏洞的安全補丁。安卓裝置在連結USB時，會詢問使用者是否將裝置掛載為儲存器。從4.2.2版本起，安卓引入了驗證白名單的步驟，以防止攻擊這未經授權即使用安卓除錯橋。使用廠商隨機附送的交流電源介面卡，或者使用僅充電USB線纜可以大大降低遭受攻擊的風險。2012年，有廠商生產出一種USB安全轉接頭可以禁用USB線纜的資料傳輸功能。此外，也有很多零售商銷售移除資料傳輸功能的USB充電線纜。
metadata: erhwenkuo/wikipedia-zhtw
metadata: 充電陷阱
metadata: https://zh.wikipedia.org/wiki?curid=7683849