Belgische politie waarschuwt vakantiegangers voor juice jacking
De Belgische politie heeft vakantiegangers vandaag gewaarschuwd voor juice jacking, maar volgens de Amerikaanse burgerrechtenbeweging EFF wordt er via dit soort waarschuwingen onnodig paniek gezaaid. Bij juice jacking worden apparaten via malafide opladers besmet met malware. "Je toestellen opladen op een openbare plaats houdt risico's in", zegt commissaris Christophe Axen van de Federale Gerechtelijke Politie van Luik.
"Het beste advies is om altijd je eigen oplader te gebruiken, gekocht bij een betrouwbare leverancier, rechtstreeks op een standaard stopcontact", aldus Axen. Een andere oplossing die de commissaris aanraadt is het gebruik van een externe batterij. "Ze zijn betaalbaar en je kunt ze overal meenemen. Let wel op met de capaciteit (niet meer dan 27 000 milliampère/batterij) opdat ze kunnen worden meegenomen in het vliegtuig."
Wie besluit om toch een usb-poort voor het opladen te gebruiken krijgt het advies om de optie 'Alleen opladen' te kiezen en niet 'Gegevens delen' of 'Dit toestel vertrouwen'. "Je kunt ook een 'data blocker'-adapter kopen om gegevensoverdracht in de usb-kabel te blokkeren, of kiezen voor de draadloze oplaadpunten Qi of MagSafe. Er is dan geen enkele gegevensoverdracht mogelijk", aldus de commissaris.
De afgelopen jaren zijn er verschillende van dergelijke waarschuwingen verschenen, zonder dat er echt concrete details of voorbeelden van daadwerkelijke infecties of aanvallen worden gegeven. Vorig jaar haalde de EFF nog uit naar een soortgelijke waarschuwing van de FBI. De Amerikaanse opsporingsdienst waarschuwde voor openbare ubs-laadstations die spyware en malware verspreiden.
"Wanneer je berichten hoort over openbare laadstations die mensen malware geven, moet je je afvragen welke kwetsbaarheid is gebruikt en wanneer het wordt verholpen, alsmede hoe wijdverbreid het probleem is en hoeveel mensen hierdoor worden geraakt", aldus de EFF. Volgens de burgerrechtenbeweging ontbreekt deze informatie in de berichten over juice jacking die om de zoveel tijd verschijnen, omdat die vaak gebaseerd zijn op oudere berichten waarin deze informatie ook ontbreekt.
https://en.wikipedia.org/wiki/Juice_jacking#Mitigation_by_hardware
https://en.wikipedia.org/wiki/Juice_jacking
Het is simpel weg zover we weten nog niet gebruikt in deze vorm buiten mogelijk staatsgesteunde toepassingen waar we niets van weten of heel weinig. Maar het is praktisch niet moeiliijk toe te passen als in eerste stap van de aanval. De tweede stap is lastiger omdat het om het omzeilen van een notificatie gaat. Zou je dus een exploit hebben waarmee je daar omheen kan en beide combineert dan zit je op goud als aanvaller. Dat zal alleen behouden zijn aan een selecte groep APT's als het op kennis aankomt want dat willen ze hush hush houden voor zo lang mogelijk.
Maar gezien het voorkomen van de eerste aanval stap nog geen 10 euro kost zou ik als bedrijf er niet op vertrouwen dat het nog nooit in the wild is gebeurd en je dus niet kan overkomen. Er zijn genoeg aanvallen die pas jaren later naar voren komen dus er op vertrouwen dat het simpel weg nog niet is gebeurd is gewoon niet een verstandige houding.
Maar wel dus met nuance. Als simpele consument zou ik er geen seconde aan denken *nog*. Als IT manager echter is het wel op mijn netvlies of als zakenreiziger. Het idee van beveiligen is niet alleen brandjes blussen maar ook vooruitkijken en de techniek als aanvallers staan niet stil.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
