译自：2016年8月8日【美国】www.computerweekly.com
编译：工业和信息化部国际经济技术合作中心 李肖

　　2016年8月8日，2016年黑客大会在拉斯维加斯举办，会上，信息安全研究公司Check Point的研究人员称，高通处理器存在4个明显漏洞，利用这四个新漏洞，黑客可以控制用户手机。据悉，目前，存威胁设备可能高达9亿部。 该漏洞是Check Point公司在进行抽点检查时发现，被称为QuadRooter，黑客利用该漏洞时，需诱导用户安装恶意软件，且该恶意软件不需任何特殊权限，以此放松用户警惕并逃过部分手机的安全检查功能。恶意软件成功安装后，黑客可远程获得设备Root权限，进而随意访问手机数据、摄像头、麦克风等硬件。

　　Check Point公司高级安全专员Adam Donenfeld透露，研究过程中，我们发现高通公司引入的芯片中存在多个高危权限升级漏洞，且这些漏洞存在于Android设备多个不同子系统中。

　　Donenfeld还指出，黑客利用该漏洞可完全获得搭载高通处理器的Android手机和平板Root权限，通过该Root访问，攻击者可完全控制该设备，甚至可进行改变或删除系统级文件，删除或添加应用程序并访问设备等行为。 Check Point强调，该漏洞会影响所有搭载高通芯片的Android设备。据悉，八成以上Android系统运载高通芯片。

　　据悉，受影响设备包括：三星Galaxy S7及S7 Edge、索尼Xperia Z Ultra、谷歌自主品牌Nexus 5X、Nexus 6和Nexus 6P、HTC旗下One M9和HTC 10、摩托罗拉Moto X，就连号称“最安全的Android智能手机”——黑莓DTEK50也未能幸免。

　　安全公司CensorNet首席执行官Ed Macnair表示，目前，“自带设备”已司空见惯，高通处理器一直是全球很多智能手机厂商首选品牌，如今，如此规模的移动硬件漏洞可能为企业带来巨大风险。并坦言，于安全团队而言，通常情况，针对自带设备风险的规模和严重性，我们秉承“无知是福”。不过，我们仍不得不建议用户和企业提高安全警惕，实时监测网络运行风险，明确试图访问和共享内容是否具备足够的安全性，只有这样，风险才能被有效控制。 由于易受攻击的驱动程序在制造环节就已预装，目前，仅可通过经销商和运营商安装安全补丁控制风险。但需指出的是，经销商和运营商也仅在安装高通公司固定驱动程序报后才可发布相应补丁。

　　对此，高通发言人表示已开始着手处理漏洞，目前已向许多与高通有合作的手机制造商公开了芯片级的底层代码，并发布相关漏洞补丁。只要用户及时下载谷歌发布的最新安卓系统，设备便不会受影响。此外，谷歌方面也透露，Check Point发布的4个漏洞中，3个已在最新安卓系统月度安全更新中修复，而最后一个漏洞补丁也将在9月初全面发布。

　　媒体表示，由于高通方面已公开源码和解决方案，厂商完全可自行发布漏洞修复补丁。另一方面，使用Android 5.0或以上版本的智能手机均使用了全磁盘加密技术，该项技术与最近FBI调查的苹果设备拥有相同的安全核心特性。而全磁盘加密可让所有数据在关键密匙保护下伪装起来。不过，安全研究机构Gal Beniamini提醒，攻击者可利用内核缺陷和高通漏洞破解加密密匙。

　　为保障Android设备免受攻击，Check Point为用户和企业提供以下几点建议：

　　第一，尽快下载并安装安卓系统最新的可用更新。

　　第二，尽快了解设备可能存在的风险，不论是自带风险还是可能遭遇的黑客攻击。

　　第三，避免侧载或从第三方来源下载未经官方认证的Android应用程序（官方软件后缀一般为.APK）。

　　第四，安装任何应用程序时，均需认真阅读权限请求。警惕不必要和不寻常的权限请求。需要指出的是，使用大量数据或影响电池寿命的权限请求也应慎重考虑。

　　第五，使用已知的、可信赖的或可供验证来源的Wi-Fi网络。

　　第六，安装软件过程中，警惕一切包括模糊处理及恶意软件在内的可疑行为，定期对设备进行安全检测，并制定相应移动安全解决方案。

单位动态

工作动态

会展相关

展会动态

展会服务

行业资讯

IT国际快讯

市场动态

政策信息

重要课题

专家观点

两学一做专题动态

做合格党员

能源所

十九大精神

十九大精神置顶

工业设计展

党史学习教育中央精神