今天小編分享的科技經驗：五一出行，我勸你别用機場火車站的免費充電線，歡迎閱讀。
五一小長假，準備去哪裡玩？
打卡出片一整天，手機電量很快就撐不住了。這時候，機場、車站或者商場裡的公共充電站，也許能解燃眉之急——把 USB 線往手機上一插，人和手機仿佛都充上電了。
但這些公共充電站，可能背後有詐！
這是一種名為「Juice Jacking」（果汁挾持）的陷阱，在智能手機剛興起時就已經存在，國内 315 晚會也曾經曝光過——簡單來說，就是将破解手機的硬體，偽裝成充電器，在手機接上電的片刻，可能手機裡的數據、照片就被偷走了。
十幾年前，Juice Jacking 陷阱剛剛興起的時候，Google 和蘋果等手機系統廠商就已經發現了這個問題，并且通過添加了 USB 連接認證等措施來進行防護——當有外部設備想訪問手機的檔案時，就會彈出一個提醒，你肯定也見過：
這時候，只要選擇「不允許」，這些惡意程式就無法繞過手機的安全系統——但沒想到，時隔十年之後，Juice Jacking 的更新版本卷土重來，據 Ars Technica 報道，這種新的騙局，名為 Choice Jacking（選擇挾持）。
顧名思義，就是要繞過前面提到的這個安全選項。
為了阻攔 Juice Jacking，廠商給手機的 USB 連接設定了一個确認機制：
一個設備，不能同時擔任主機（比如電腦）和外設（比如手機或鍵盤），USB 的另一頭要麼作為手機的外設（鍵盤、U 盤），要麼是主機（電腦），不能一邊當主機一邊當外設。
當 USB 設備連接到手機上時，只能通過手機上的「允許」按鈕來進行連接認證。
而 Choice Jacking 突破安全措施的方法非常「機智」：先把惡意主機偽裝成「外設」，再讓這個「外設」變成「主機」——具體是這麼操作的：
當用戶連接到偽裝成充電器的惡意主機時，它首先會偽裝成一個「USB 鍵盤」，向手機發送按鍵指令，比如打開藍牙連接
接着，這個「USB 鍵盤」會操控手機去配對一個「藍牙鍵盤」——這個「藍牙鍵盤」其實也是這個惡意主機偽裝出來的
接下來，這個惡意主機又偽裝成「主機」，向手機發起數據請求，此時手機變成了「外設」，手機上就會出現授權數據訪問的提示
最後，通過「藍牙鍵盤」點擊手機上的「同意」按鈕進行授權，這樣一來惡意主機就連上了手機，并獲得了整台手機的數據訪問權限
這是手機 USB 連接機制的一個結構性缺陷，并非代碼漏洞。正因如此，這種騙局極具普适性，不管是 iOS 還是 Android，都能成為這種攻擊方式的目标。
包括蘋果、Google、三星、小米在内的多個等品牌十多款手機，都能被 Choice Jacking 攻破，除了蘋果設備需要 23 秒的時間，其他 Android 設備都在幾秒不到的時間被攻破——有趣的是，部分手機并不支持完整的 PD 協定，反而起到了一定的防護作用，降低了被 Choice Jacking 技術黑入的風險。
将一根神秘的 USB 線連接到自己的手機，不少人都能看到背後的風險，但如果将它包裝成免費提供的充電端口，包括我在内的不少人，或許都會在手機電量告急時，毫不猶豫使用。
并且不少普通用戶，可能不會完全理解手機上忽然彈出的「USB 權限」彈窗背後的意義，以為同意的只是和充電線的連接，就這樣主動地将防線關閉。
廠商方面其實已經作出了及時反應，去年 11 月份推送的 Android 15 更新和上個月更新的 iOS/iPadOS 18.4 版本都更新了相關的機制，經測試都能夠發揮作用。
但由于 Android 生态系統的碎片化現狀，不少老設備都未必能及時得到相關的更新，并且第三方的 Android UI，比如三星的 One UI 7，即使用上了 Android 15 也沒有采用新的 USB 驗證機制，依舊容易受到 Choice Jacking 的攻擊。
漏洞的發現者 Florian Draschbacher 也表示稱，即使一年前就警告了設備制造商，他們也承認了這個問題的存在，但對相關機制的完善和修復進度卻出奇的慢，可能的原因在于，如果要進一步加強 USB 訪問手機的安全性，就要添加大量的驗證措施，對用戶體驗的影響不小，因此制造商猶豫不決。
更開放的 Android 生态，通過 USB 進行的攻擊方式，危害可能會更大。因為 Android 設備如果打開了「USB 調試」模式，Choice Jacking 可以獲得手機更深層的權限，執行一些惡意的底層檔案。不過這個功能的入口較深，一般設備都是默認關閉。
▲ YouTube@Websplaining
對于 Choice Jacking 這種「舊瓶裝新酒」的安全問題，大眾的态度，卻已經不像十年前剛用上智能手機一樣「草木皆兵」了。
不少人甚至對其嗤之以鼻，覺得不過是「狼來了」的故事：Juice Jacking 和公共 Wi-Fi 的危險在當年也被大肆炒作，但實際上卻并沒有造成太多危害。
還有一種「投降主義」，明知山有虎，偏向虎山行，縱使知道公共充電樁可能有風險，還是覺得當下的手機沒電的問題更要緊，更有甚者覺得，平時個人信息的洩露已經很多了，也不差這一次。
雖然作為一種很新的攻擊方式，目前還沒有 Choice Jacking 造成大量實際損失的報告，但不代表背後的風險和威脅不存在。
最保險的做法，就是在出遊的時候，盡量使用自己的充電寶，或者大品牌的共享充電寶；就算有公共電源，也最好用自己的充電插頭，不使用那些看着就很可疑的 USB 充電線。
除此之外，還有其他一些防止手機被 USB 控制的小技巧：
分别給手機和電子錢包設定不同的密碼，能夠有效擋住一些别有用心之人。至于淘寶、拼多多等網購平台，最好關閉「免密支付」，反正現在的面容或指紋驗證方式都很方便。
如果你是 iPhone 用戶，強烈建議你更新到 iOS 18.4 版本，這個版本加強了用戶對 USB 配件連接的驗證機制，能有效防止一部分 Choice Jacking 的滲透。
現在的智能手機基本上都需要經過驗證才能使用 USB 進行數據傳輸，如果使用手機時提醒你進行驗證，或者相關的驗證視窗一閃而過，那或許就需要小心 USB 線的另一頭，是不是在搞些什麼小動作了。
不少 Android 設備連接 USB 充電時，都會提示「USB 模式」，一般都可以設為「僅充電」，不要點選「傳輸檔案」「傳輸照片」或「USB 調試模式」。
當然，我們也沒有必要對此過度恐慌，平時保持手機系統的正常更新，避免使用可疑的 USB 線，不随便同意莫名的 USB 權限，就能很好規避這些安全陷阱。
最後，祝你五一快樂，給自己好好放個假吧！
