Check Point:小芯片,大风险
高通芯片存在 400 多个漏洞,严重威胁全球手机的可用性。
随着全球手机数量持有数量达到30亿 ,手机已经成为每个人日常生活中不可或缺的重要部分。
面对日益增长的手机市场,相关厂商竞相推出新机型、新功能以及新创新技术。为了支持大规模创新,他们通常依靠第三方来提供所需的移动基础架构、硬件甚至软件,其中最常见的一种第三方解决方案是数字信号传感器(通常称为 DSP)。
在被Check Point命名为“阿喀琉斯”研究项目中,安全专家对最大的 DSP 芯片制造商之一高通科技进行了广泛的安全评估。高通主营芯片业务,占有超过 40% 的手机芯片市场份额,客户包括 Google、三星、LG、小米和 OnePlus 等高端手机厂商。
经过一系列缜密测试,Check Point研究人员在 DSP 芯片中发现了超过 400 个代码漏洞,这些漏洞可能对手机用户产生以下影响:
攻击者无需任何用户交互,便可将手机变成完美的间谍工具,从而泄露手机中的照片、视频、通话记录、实时麦克风数据、GPS 和位置数据等信息。
攻击者可让手机持续不响应,导致手机上存储的照片、视频和联系方式等信息变得永久不可用。
恶意软件和其他恶意代码可完全隐藏其活动,并且无法删除。
Check Point已向高通公司披露了这些研究结果(高通方面业已确认),同时通知相关厂商并为其提供了相应的 CVE,包括:CVE-2020-11201、CVE-2020-11202、CVE-2020-11206、CVE-2020-11207、CVE-2020-11208 和 CVE-2020-11209。
重要说明
在手机厂商针对上述潜在风险开发出全面的解决方案之前,Check Point Research 暂不发布这些漏洞的完整技术细节。除了上报相关政府机构外,Check Point还及时通知了共同合作开展此研究的手机厂商,以协助他们提高手机的安全性。完整研究细节已披露给这些利益相关者。
Check Point Research 致力于提高全球技术和产品的安全性,并与任何有合作意向的安全厂商开展合作。为了防患未然,Check Point公司为可能受这些风险影响的组织提供了 20 个 SandBlast Mobile 移动管理设备免费许可,以免他们在发表本研究报告后的 6 个月内受到任何潜在的损害。
什么是 DSP?
DSP(数字信号处理器)是一个由硬件和软件组成的片上系统,旨在优化和支持设备的各项使用功能,包括:
充电功能(比如“快充”)
多媒体体验,比如视频、高清捕获、高级增强现实功能
各种音频功能
简而言之,您可以将其视为一个单芯片计算机,几乎任何现代手机都包含至少一个这样的芯片。
一个 SoC(片上软件)可能具有支持日常手机使用的各个功能,例如图像处理、计算机视觉、与神经网络相关的计算、摄像头流传输、音频和语音数据。此外,手机厂商可以选择性地使用这些“微型计算机”来插入自己的功能,并将这些功能作为专用应用运行在现有框架之上。
新型攻击媒介
虽然 DSP 芯片提供了一种相对经济的解决方案,支持为手机用户提供更多功能和创新特性,但也要求付出的一定的代价。这些芯片为移动设备带来了新的攻击面和漏洞。DSP 芯片之所以更容易遭到攻击,是因为对除了制造商之外的任何其他人来说,检查 DSP 芯片设计、功能或代码都是一件极为复杂的事,因此他们通常将其作为“黑匣子”来管理。
我们的应对之计
Check Point Research 认为,这种生态系统可能对重大漏洞毫无招架之力,一旦遭到攻击,全球数百万用户都会遭殃。而修复这些漏洞需要协调厂商、制造商和经销商进行多次沟通。鉴于此,我们决定对当今最常用的芯片之一高通骁龙进行详细的评估和深入的安全调查。
由于 DSP 芯片具有“黑匣子”性质,手机厂商很难修复漏洞,这些问题需要先由芯片制造商来解决。我们利用有效的研究方法和先进的模糊测试技术克服了这些问题,获得了有关 DSP 芯片内部情况的罕见洞察,进而有效评估了芯片的安全控制,并确定了其薄弱之处。
威胁情报社区的先锋
Check Point Research 能够为 Check Point Software 客户以及整个情报界提供领先的网络威胁情报。
Check Point安全专家希望这项研究能够帮助 DSP 芯片生态系统建立更优越、更安全的环境,并为安全社区提供定期检查芯片安全状态的必要知识和工具,从而增强移动设备的安全性。
Check Point Research 具有市场上最高的威胁捕获率,可帮助组织抵御恶意软件、网络钓鱼、中间人攻击和操作系统漏洞利用程序等威胁。同时,我们强烈建议组织使用移动安全解决方案保护移动设备上的公司数据。SandBlast Mobile 可提供实时威胁情报和移动威胁可视性,以防它们对业务造成影响,同时也可针对本文提到的高通漏洞提供全面的保护。

最新活动更多
-
3月27日立即报名>> 【工程师系列】汽车电子技术在线大会
-
即日-4.22立即报名>> 【在线会议】汽车腐蚀及防护的多物理场仿真
-
精彩回顾立即查看>> 【在线会议】汽车检测的最佳选择看这里
-
精彩回顾立即查看>> 2024工程师系列—工业电子技术在线会议
-
精彩回顾立即查看>> 【线下论坛】华邦电子与莱迪思联合技术论坛
-
精彩回顾立即查看>> 【线下论坛】华邦电子与恩智浦联合技术论坛
推荐专题
- 1 HD4850神迹重现!RX 9070 XT首发评测
- 2 RTX 5070海外评测:有史以来最糟糕70显卡、NVIDIA说谎
- 3 650亿美元,Meta开始押注下一个硬件
- 4 RTX 5070首发评测:DLSS 4提升超4倍!4K游戏不再是高端玩家专属
- 5 游戏和生产力第一次同时最强!锐龙9 9950X3D首发评测
- 6 DeepSeek掀起的端侧AI革命将带动智能硬件大爆发?
- 7 技嘉RTX 5070超级雕评测:DLSS 4让中端显卡也有顶级游戏体验
- 8 iGame RTX 5070 Ultra W OC 12GB首发评测
- 9 影驰RTX 5070 Ti金属大师白金版OC评测:全新设计 颜值也追上性能和做工
- 10 CPU超越14900HX、核显强于4060!ROG幻X 2025评测
发表评论
请输入评论内容...
请输入评论/评论长度6~500个字
暂无评论
暂无评论