4月28日消息,近日英國(guó)安全機(jī)構(gòu)NCC Group公布了一則重磅消息:超過(guò)40款高通芯片存在“旁路漏洞”,該漏洞可被用來(lái)竊取芯片內(nèi)所儲(chǔ)存的機(jī)密信息,并波及采用相關(guān)芯片的Android手機(jī)等相關(guān)裝置。不過(guò),在本月初,高通已經(jīng)修補(bǔ)了去年就得知的這一漏洞。
根據(jù)高通安全公告,這一編號(hào)為CVE-2018-11976的漏洞,涉及高通芯片安全執(zhí)行環(huán)境(Qualcomm Secure Execution Environment,QSEE)的橢圓曲線數(shù)碼簽章算法(Elliptic Curve Digital Signature Algorithm,ECDSA),將允許黑客推測(cè)出存放在QSEE中、以ECDSA加密的224位與256位的金鑰。
它被高通列為重大漏洞,而且影響超過(guò)40款的高通芯片,可能波及多達(dá)數(shù)十億臺(tái)的Android手機(jī)及設(shè)備。
QSEE源自于Arm的TrustZone設(shè)計(jì),TrustZone為系統(tǒng)單晶片的安全核心,它建立了一個(gè)隔離的安全世界來(lái)供可靠軟件與機(jī)密資料使用,而其它軟件則只能在一般的世界中執(zhí)行,QSEE即是高通根據(jù)TrustZone所打造的安全執(zhí)行環(huán)境。
雖然,NCC Group早在去年就發(fā)現(xiàn)了此一漏洞,并于去年3月通知了高通,但是高通卻一直到今年4月才正式修補(bǔ),并于近日被正式曝光。
值得注意的是,去年英特爾、AMD、Arm Cortrex系列芯片被接連爆出存在多項(xiàng)安全漏洞,雖然此后各家都推出了修補(bǔ)的補(bǔ)丁,但這并不代表之后就不會(huì)有類(lèi)似的事件發(fā)生。當(dāng)時(shí),ARM負(fù)責(zé)人也對(duì)外表示,沒(méi)有絕對(duì)也安全,芯片漏洞可能再次發(fā)生。