Onödig oro för Badpower

Idag rapporterar media om sårbarheten Badpower som har hittats av säkerhetsforskare hos den kinesiska IT-jätten Tencent (via ZDnet). Säkerhetsforskarna har upptäckt hur det på mjukvarumässig väg går att ändra beteendet i vissa snabbladdare, vilket kan leda till att USB-anslutna prylar tar fysisk skada. I en demonstrationsfilm visar säkerhetsforskarna hur en modifierad laddare överhettar USB-anslutna prylar med rökutveckling som följd.

Bakgrund

En gång i tiden laddades alla USB-prylar via 5 V. I takt med att våra mobiler, surfplattor och datorer fick batterier med allt högre kapacitet uppstod behovet av snabbladdning. Den vanligaste lösningen för detta kallas USB-PD och höjer spänningen upp till 20 V. Det gör att högre effekt kan överföras utan att kablar behöver bytas ut mot modeller med kraftigare ledare.

Så länge som ingen har mixtrat med mjukvaran i laddaren eller den anslutna enheten föreligger ingen risk för att spänningen blir för hög. Det är på så vis riskfritt att ansluta en snabbladdningskompatibel enhet (t.ex. Iphone 11) till en klassisk USB-laddare och tvärtom. Om inte både laddaren och den anslutna enheten stödjer snabbladdning används traditionell 5 V-laddning (USB-BC).

Badpower

Tencents säkerhetsforskare analyserade 35 olika snabbladdare. Av dessa visade sig 18 modeller vara öppna för Badpower-sårbarheten. Via den sårbarheten kunde säkerhetsforskarna ändra laddarnas mjukvaror så att laddarna gav ut 20 V till enheter som antingen enbart var gjorda för 5 V-laddning eller inte var redo för 20 V-laddning.  

Badpower-rapporten är tyvärr synnerligen sparsmakad på detaljer. Säkerhetsforskarna skriver inte vilka laddarmodeller som de testade eller vilka USB-enheter som de konstaterade att saknar skyddsmekanismer mot överspänning.  

De konstaterade däremot att Badpower-sårbarheten kan utnyttjas på två olika sätt. Det kan antingen göras genom att angripare i förväg programmerar om en laddare eller genom att angripare infekterar en användares mobil och får den att programmera om laddaren. Ett skadeprogram (populärt kallat ”virus”) skulle således kunna ställa till fysisk skada och i värsta fall orsaka brand.

Onödig oro

Risken för att bli infekterad av ett skadeprogram som programmerar om en sårbar mobilladdare bedömer undertecknad (Karl Emil Nikka) som högst teoretisk. Det är självfallet bra att Tencent uppmärksammar laddartillverkarna om detta problem, men det är än så länge inget som vanliga användare behöver oroa sig över.

Risken för att skadas av en i förväg omprogrammerad laddare ger inte heller något skäl till oro. En angripare skulle lika gärna kunna öppna laddaren och koppla 230 V-stiften direkt till USB-stiften. Det hade dessutom gett garanterat förstörande effekt oavsett vilka skyddsmekanismer som finns i en mobil som kopplas till laddaren.

Relevant oro

En relaterad risk som tvärtemot är värd att ha i åtanke är risken för felkonstruerade laddare. 2017 köpte Elsäkerhetsverket in 60 olika laddare. Av dessa visade sig nästan var fjärde laddare (14 av 60) vara rent av livsfarlig.

I det här projektets breda översyn av USB-laddare har 23 procent, 14 av 60 laddare, visat sig ha så pass allvarliga tekniska brister att det föreligger direkt livsfara vid vanlig användning. Nästan hälften av de livsfarliga laddarna saknade i princip helt isolationsavstånd mellan nätspänning och USB-utgången, vilket innebär en överhängande risk för elchock.

Ur Elsäkerhetsverkets rapport 17EV378.

Ännu värre var det när Elsäkerhetsverket 2018 testade att importera laddare från Wish. Då köpte Elsäkerhetsverket in tio laddare och inte en enda var godkänd.

”De 10 laddarna klarade inte ens baskraven för säkerhet. Sex av laddarna uppfyller inte kravet på brandbeständighet, utan brinner upp i sin helhet. Ingen laddare klarar kravet på isolationsavstånd. Sex av laddarna har inget isolationsavstånd alls mer än lacken på ledarna och resterande ligger alla kring eller under en halv millimeter, kravet är minst 4 millimeter.”

Mikael Carlson, teknisk expert vid Elsäkerhetsverket.

Normalanvändare bör alltså snarare oroa sig för felkonstruerade laddare än för än skadeprogram som förstör laddare.

Rekommendationer

Använd enbart laddare från etablerade märken som är inköpta hos seriösa återförsäljare med tydliga kontaktuppgifter. Undvik framförallt att köpa laddare på privatimportsajter eller hos återförsäljare som säljer piratladdare och/eller laddare utan känd tillverkare.

Kontrollera också att dina befintliga laddare är CE-märkta. Kom samtidigt ihåg att det förekommer laddare som bär CE-märket trots att de inte uppfyller kraven (på samma sätt som det finns falska Apple-laddare som bär Apples logotyp trots att de inte har tillverkats av Apple).