USB Type-C: un solo cavo, ma poca sicurezza

Apple e Google hanno adottato lo standard USB Type-C nei loro ultimi prodotti. L’azienda di Cupertino, in particolare, ha eliminato tutte le porte, in quanto un solo cavo può trasportare sia i dati che l’alimentazione. La nuova porta offre diversi vantaggi, ma porta con sé anche un grave problema di sicurezza.

L’anno scorso, due ricercatori hanno scoperto una grave vulnerabilità nello standard USB che può essere sfruttato per eseguire varie tipologie di attacchi informatici. Il problema non può essere risolto con una semplice patch, in quanto il bug risiede nel firmware del controller. Il malware BadUSB (una versione modificata del firmware originale), sviluppato da Karsten Nohl e Jakob Lell, non può essere rilevato da un antivirus e quindi non può essere eliminato. L’utente potrebbe evitare l’uso di pen drive o altre periferiche esterne, ma il cavo di alimentazione USB Type-C è obbligatorio sul nuovo MacBook.

Il numero di vettori per l’infezione sembra destinato a crescere con l’arrivo sul mercato di alimentatori e caricabatterie di terze parti. Per garantire la retrocompatibilità, USB Type-C deve consentire l’uso di periferiche e accessori basati sulle precedenti versioni dello standard. Quindi i vecchi protocolli funzionano ancora e con essi anche la vulnerabilità.

Gli utenti che usano MacBook e Chromebook Pixel sono ora esposti ad un attacco “borrowed charger”. Un malintenzionato potrebbe posizionare un caricatore infetto nei luoghi pubblici e aspettare che qualcuno colleghi il suo notebook. Mentre molti sono diffidenti verso una pen drive USB “straniera”, nessuno rifiuta un alimentatore.

Apple e Google non possono inserire nei loro prodotti un chip che verifica l’autenticità del cavo, in quanto lo standard è open e deve essere rispettato da tutti. In futuro, gli utenti dovranno prestare molta attenzione ai cavi “pubblici” USB Type-C. L’alternativa è usare esclusivamente la batteria integrata nei dispositivi.