2017043023

手机换屏维修所更换的组件存在窃取信息风险

  • 浏览次数 4523
  • 喜欢 0
  • 评分 12345

据美国科技媒体网站 Ars Technica 报道,手机换屏维修所更换的组件存在窃取信息风险。在最新的一次对安卓手机换屏调查中发现,存在非法键入信息和程序的情况。这种隐患屏幕会利用操作系统漏洞,绕过手机中的主安全保护系统,其手机会被安装恶意程序并将偷拍照片以邮件方式传给黑客。最可怕的是,这些隐患更具隐蔽性,很多维修技术员难以发现,除非是有组件安装背景的专家将维修手机拆开并进行检查。

该调查出现在本周 2017 USENIX 黑客技术研讨会的一份文件中,旨在强调通常被忽视的智能手机维修安全风险。无论是安卓还是 iOS 系统的手机制造商都在被调查研究之列,而被更换的组件是在设备 “ 信任边界 ” 以内。尽管制造商提供了安全保护,但换屏期间仍存在的恶意组件对驱动程序的入侵并被认定为可信。手机一旦被送入第三方维修点,其安全模型则面临被攻破的风险,毕竟没有可靠方式保证维修程序未被篡改。

1

来自以色列内盖夫本 · 古里安大学(Ben-Gurion University of the Negev)的研究者写道 :“ 消费性电子产品潜在的外部恶意攻击风险值得重视。正如报告显示,电子产品被窃听存在可能性、扩展性和隐蔽性。很容易被不法分子加以大规模利用或针对性攻击。系统设计者应考虑将更换组件设立在手机信任边界以外,并针对性地设计防御程序”。报道称,研究人员在一块正常手机屏幕嵌入入侵芯片,篡改通信主线,模拟两个终端间的恶意集成电路,监视或修改终端通信。

而入侵芯片中的代码可以在用户不授权的情况下私自进行多项入侵。例如,用于实验的芯片可以解锁安全模式和键盘的输入信息、私自照相并将数据传给黑客、替换用户常用网址为钓鱼网址并肆意安装手机软件。进阶版的攻击包括利用操作系统内核漏洞。为了能保证隐蔽性,恶意程序还会使手机关机黑屏。

wechatimg790

为了能将恶意指令传达到驱动程序和触摸屏,研究人员借助了 ATmega328 Arduino 和 STM32L432 开源微处理器,并表示其它微处理器同样能达到效果。虽然研究人员是用安卓系统做的研究,但不保证 iOS 系统不会存在此类问题。这类攻击是低成本的、不易察觉并有大规模现身的可能。而维修技术人员自身无法检测出恶意组件则是尤其值得关注的部分。目前,国外网友们纷纷表示有过类似体验,并发出 “ 这正是完善相关维修法律时刻 ” 的呼吁。

稿源:cnBeta、网易科技;封面源自网络;

hackernews_foot