经过多年的发展，C型USB正在进行一次非常大的首次亮相。上周，苹果宣布其新款MacBook将只配备一个C型电源和数据插头，这一举措使得MacBook成为史上最薄的MacBook。几天后，谷歌推出了其旗舰产品Chromebook Pixel的新版本，其C型端口与之相同。在硬件组件可以有一个时刻的程度上，USB Type-C就是有一个。

电源是你必须使用的一个插头

不过，虽然新港口功能强大，但也带来了严重的安全问题。尽管Type-C具有多种功能，但它仍然基于USB标准，这使得它很容易受到恶劣的固件攻击，研究人员还担心其他借助插头直接访问内存的攻击。这些漏洞都不是新的，但将它们与电源线捆绑在一个通用插头中会使它们更可怕，更难避免。在标准的机器上，担心USB攻击的用户只需在端口上贴上胶带，但电源是你必须使用的一个插头。将这个插件转换成攻击向量可能会带来严重的安全后果。

最令人担忧的是去年首次发布的badubs漏洞。这种攻击存在于USB设备的固件中，并在连接的早期阶段感染计算机，而在用户有机会看到设备上的内容或决定是否打开设备之前，就已经很久了。我们知道如何保护外设免受攻击——某些U盘已经内置了防止固件感染的保护措施——但计算机的安全性要困难得多。USB是为了兼容性而建立的，所以即使外设最终传播恶意软件，计算机也很少会不接受外设。据报道，苹果公司允许第三方充电器和电池组在其C型实施，开放了更多的载体感染(苹果没有回复记者的置评请求。）就BadUSB而言，这意味着一个坏演员很容易组装一个USB设备，每次插上电源都会传播病毒。

“即使有了这个新标准，badubs的解决方案也看不到。”

与以前的型号相比，Type-C有很多优点，但安全专家表示，它对解决BadUSB的核心问题几乎没有什么作用。”最早发现badubs的研究人员之一karstennohl说：“C型USB额外的开放性和灵活性带来了更多的攻击面。”即使有了这个新标准，badubs的解决方案也无从谈起。USB是一种开放标准，建立在向后兼容性和方便的第三方访问的基础上。您需要一个适配器来将旧的USB设备**Type-C端口，但是旧的软件协议仍然有效，留下了相同的漏洞。即使是像苹果和谷歌这样的巨头也需要遵守USB标准的规则，这就排除了为确保USB标准的安全而必须做出的一些艰难牺牲。用户的结果是一个重大的安全缺陷，没有简单的修复。

实际上，这意味着MacBook和Chromebook的像素用户现在面临着你可能称之为“借用充电器”的攻击。新的充电器没有携带badubs病毒所需的固件，但攻击者很容易自己安装，然后在咖啡店等一天，等待一些毫无防备的目标**。从那以后，这个bug会扩散到目标**的每一个兼容设备上。几乎每个有笔记本电脑的人都曾在某个时候共用过一根电源线——相比之下，插上陌生人U盘的人要少得多——所以这次攻击可能会波及到很多其他受保护的电脑。

最好的保护是避免任何充电器或设备，你没有买自己

在生态系统层面上修复脆弱性是非常困难的。没有一家公司能够改变USB的工作方式，因此唯一真正的解决办法是从通用标准中脱离出来。在过去，苹果公司已经在像Lightning这样的连接器中安装了认证芯片——主要是为了保护苹果利润丰厚的授权业务，但更强大的硬件安全性是一个很好的副作用。这在USB这样的开放标准上是不可能的。即使苹果以某种方式要求所有的电源线都有一个与防篡改固件绑定的认证芯片，该端口仍然容易受到旧设备的攻击。一个糟糕的演员可以简单地伪装成上一代的USB设备，比如无线键盘，持续足够长的时间来传播病毒。

最好的保护措施很简单：避免使用任何你自己没有购买的充电器或设备。但这是设备安全性的严重降级，与电源传输和数据速度的重大升级背道而驰。将数据端口和充电器端口结合在一起，使得新款MacBook和Pixel的速度更快、功能更强大，但价格一直是一个令人担忧的问题，那就是你信任什么样的设备才能插上电源。简而言之，我们可能需要对电源线进行更多的保护。

Verge视频：未来的通用插头