川金會小插曲，資安專家警告莫插不明 USB 裝置
日前川金會盛大舉行也順利落幕了，然而雙贏的背後卻發生了一段小插曲──記者收到大會提供的新聞資料袋的禮物，是金正恩大頭紙扇與來源不明的 USB 迷你電扇，這引起資安專家警告，絕對不要把它插到筆電上！
13/ Handig. In de persmap voor de #KimTrumpSummit zit een mini usb fan. Handig om koel te blijven tijdens het schrijven. Het is hier in Singapore idd vrij heet. 33°C of zo. Maar haalt het niet bij Dubai, koning van de oven. pic.twitter.com/6tQd5d7gCW
— Harald Doornbos (@HaraldDoornbos) 2018年6月10日
這個故事始於荷蘭記者哈拉爾‧當布斯（Harald Doornbos）在 Twitter 推文與照片引發的疑慮。新加坡是個很熱的地方，室外動不動就 33 度，送個紙扇跟 USB 小電風扇看來也很合理，小小的 USB 風扇會有危害，是不是太杞人憂天了？其實這被懷疑有沒有可能暗藏「物理攻擊」。長年來資安問題的研究焦點主要落在網路攻擊，然而近幾年，非常早期的實體物理攻擊可說重新「熱門」起來，比方筆者曾分享的 Intel CPU 的 AMT 漏洞，蘋果電腦（Apple）的 MacOS 系統也被發現數項低級實體漏洞，例如任何人都可輕易取得最高 root 權限控制電腦生殺大權，只要讓攻擊者小組支開被害人後，就能直接操作被害人的電腦得逞，就跟電影演的一樣。
北韓過去人權紀錄惡名昭彰，去年國際人權基金會發起一個「用隨身碟插金正恩嘴」的活動。USB 隨身碟是北韓境內私下流傳資訊的重要媒介，許多脫北者組織努力用 USB 隨身碟存放外界的資訊偷運進北韓，因此他們需要大量隨身碟，這個活動就是要募集大家不用的隨身碟來幫助各脫北者組織，而今天這個 USB 迷你風扇難道是金正恩的反擊嗎？
▲ Flash Drives for Freedom 向大眾募集不要的 USB 隨身碟，再改造 USB 隨身碟變成滲透入北韓的資訊武器。(Source：Flash Drives for Freedom)
▲ 異議份子用不同方法將資訊偷渡進北韓，圖為倡議團體在 MozFest 2016 擺攤介紹如何突破北韓資訊封鎖。(Source：科技新報)
英國薩里大學（Surrey University）資訊安全專家艾倫‧伍德沃德（Alan Woodward）教授對這個疑似北韓致贈的「小禮物」表示：「資訊安全領域有一句格言：如果你給某人得以物理操作你電腦的機會，那它將不再是你的電腦；使用一個不明來源的 USB 時，你其實也犯了一樣的錯誤。」是的，這個來路不明的 USB 裝置裡會不會藏了一個小小隨身碟，插上電腦以後就自動執行了惡意程式呢？你也可能會說，沒關係，我電腦有設定關閉隨身碟自動執行功能，這種惡意程式就拿我沒輒了吧？事情當然沒那麼簡單，有一種叫 USB 殺手的裝置會鑽 USB 標準缺乏電路保護機制的漏洞，使得 USB 一插上去，瞬間就造成電腦、手機電路板實體破壞。
說回來，究竟這個神祕小禮物是誰提供的呢？這個贈品包其實是新加坡通訊及新聞部（縮寫 MCI）提供的，而 USB 迷你風扇則是聖淘沙發展局（縮寫 SDC，隸屬新加坡貿易與工業部，是推動知名景點聖淘沙觀光活動的法人機構）提供，邏輯是認為贈送迷你風扇很好，因為可以幫助記者在新加坡炎炎夏日也能好好工作，而 MCI 和 SDC 也雙雙證實，USB 迷你風扇只是簡單的裝置，沒有儲存或運算能力。
雖是虛驚一場，平常還是要小心來源可疑的 USB 裝置，保護好自己的電腦喔（想破壞自己的手機或電腦嗎？這有販售 USB 殺手棒還有護盾喔（護盾可讓你安全檢測一支 USB 碟是不是 USB 殺手）。
（首圖來源：達志影像）