极棒现场直击:黑客能远程引爆手机吗?私人短信如何被伪造?
手机,一个如同空气般重要的存在。但你是否想过,一部手机在身边可能突然爆炸?
10月24日,在上海的GEEKCON现场,有技术专家尝试现场拆解——目前,远程攻击导致电池爆炸的情况很难实现。
与此同时,私人短信也可能被伪造:一条来自熟悉号码的短信,可能是诈骗分子的精心伪装,一旦相信,可能会造成不可估计的损失。
现场拆解:目前智能手机很难被黑客远程控制而爆炸
当地时间9月17日,黎巴嫩数千名真主党的寻呼机(BP机)在多地同时爆炸,造成了至少12人死亡、4000多人受伤;当地时间9月18日,以对讲机和无线电通信设备为主的第二波爆炸事件又造成至少20人死亡、450人受伤。
当时有人认为此次爆炸可能有两种原因:其一是通过黑客手段,对数千台BP机进行大规模网络攻击,导致BP机内的锂电池短路或过载,从而引发爆炸;其二是在BP机内部预先安置微量爆炸物,这些爆炸物可能在BP机生产或运输过程中被植入。
具体原因暂不得而知,但此次爆炸事件造成的伤亡惨重,引起了社会对通讯设备的恐慌。上个世纪的通讯设备会爆炸,那现在随身携带的手机是否有爆炸的可能呢?这场专业的技术挑战赛,或许有答案。
10月24日,GEEKCON 2024在上海举办,今年的GEEKCON设置了特别挑战赛--黑客真的能远程爆掉手机吗?
现场专家指出,物理层面的供应链劫持可能导致爆炸事件,如上述黎巴嫩BP机爆炸事件;但目前的智能手机并不会被黑客远程控制而爆炸,一般来说,智能手机只有在电池使用不当的情况下会存在爆炸风险。
具体而言,GEEKCON研究团队对不同品牌手机的原装电池进行了拆解研究,发现由于锂元素本身较为活跃,容易引发事故,但为了提升性能,手机厂商采取了外围保护措施--电池管理系统(BMS)。
什么是BMS系统?BMS系统是一种用于监控和管理电池组的电子控制系统,能实时监控电池的电压、电流和温度,并自动调节输出状态,有效防止电池失控,譬如当BMS检测到任何可能导致危险情况发生时,BMS会主动切断电池与系统的连接,防止事故的发生。
那么,黑客可以通过应用软件远程控制电池,从而导致爆炸吗?专家指出,尽管存在应用软件导致手机CPU负载增加、引发电池过热的可能性,但实际突破BMS系统的保护难度较大,因此目前远程攻击导致电池爆炸的情况很难实现,用户无需过分恐慌。
为了让结论更具说服性,专家在GEEKCON现场拆解了一部苹果手机,通过让手机CPU满载运行增加热量,使手机达到较高温度,以此尝试引发电池热失控。实验前期,手机电池温度快速升高,短短几秒,就达到了50度,但随后升温速度变缓,达到62度左右就开始下降了,最后保持在25度左右,远低于热失控温度。由此可以证明,仅通过CPU加热难以导致电池热失控,更不会爆炸。
你收到的短信可能是“披着羊皮的狼”
另外一组挑战是无需外置硬件,通过远程伪造和劫持短信会话,即参与该挑战的两组挑战者会伪装成任意号码,给现场任何一部手机发送随机短信。
听起来似乎难度并不高,危害却很大。挑战者杨雅儒向南都·隐私护卫队记者介绍称,一般来说,此类短信会含有非法链接,当手机主人不小心点了该链接,损失不可估计。
南都·隐私护卫队记者向另一位挑战者汪琦询问该挑战的技术难点时,他以在水果店购买水果为例:如同把凤梨的标签贴在了菠萝上,以此混淆顾客。该操作的难点在于,操作者需要知道如何替换标签,如何在不被发现的情况下进行替换,以及如何确定哪些特征是标签,哪些是价格或内容,从而建立其正确的连接。“整个过程复杂且困难,我们需要深入理解项目的复杂性,以及如何在众多字段中准确识别和定位标签。”汪琦说。
此外,汪琦还提到,目前不仅可以伪造短信并广泛发送,还不受手机类型、手机卡服务商限制,三大运营商皆可伪造;在活动现场,汪琦和杨雅儒甚至还伪装成了12381,并成功发送了信息。
重重伪装下,用户又该如何辨别呢?参与挑战的第三位挑战者常杰建议,收到特殊号码的短信时,不要点击链接;对于模拟亲人号码的短信,需直接打电话确认,以防被伪造的电话号码欺骗。
采写:南都记者王子黎 发自上海
扫描二维码推送至手机访问。
版权声明:本文由0538资讯网整理发布,内容均来自互联网,如有侵权联系8641340@qq.com删除。