Logotyp: Qualcomm // Sammansättning: ZDNet
×
qualcomm.png
Enheter med Qualcomm-kretsar, och särskilt smartphones och tabletter, är utsatta för en ny säkerhet bugg som kan låta angripare hämta privata data och krypteringsnycklar som lagras i ett säkert område av chipset känd som Qualcomm Säker Execution Environment (QSEE).
Qualcomm har använt patchar för detta fel (CVE-2018-11976) tidigare denna månad, men att veta den sorgliga tillstånd av Android OS-uppdateringar, detta kommer sannolikt att lämna många smartphones och surfplattor utsatta för många år framöver.
Vad är QSEE?
Sårbarheten påverkar hur Qualcomm chips (används i hundratals miljoner Android-enheter) hanterar data bearbetas inom QSEE.
Den QSEE är en Trusted Execution Environment (TEE), som liknar Intels SGX.
Det är en maskin-isolerat område på Qualcomm marker där Android OS och app-utvecklare kan skicka data ska bearbetas i en säker och trygg miljö, där Android OS och ingen annan app kan nå och få tillgång till känsliga data, förutom de program som placeras de uppgifter som det, i första hand.
Data bearbetas inom QSEE innehåller oftast privata krypteringsnycklar och lösenord, men QSEE kan hantera vad en app vill gömma från nyfikna ögon.
CVE-2018-11976
I Mars förra året, Keegan Ryan, en säkerhetsforskare med NCC-Koncernen, upptäckte att Qualcomms genomförandet av ECDSA kryptografiskt signera algoritm som är tillåtet för hämtning av data bearbetas inom QSEE säkert område av Qualcomm-processorer.
För att kunna utnyttja detta säkerhetsproblem måste angriparen behöver root-access på en enhet, men det är faktiskt inte så stora hinder som det låter, eftersom skadlig kod som kan få root-åtkomst på Android-enheter är ganska vanligt i dessa dagar, att upptäckas på många ställen och även på Play Store.
Ytterligare, Ryan påpekar också att QSEE var avsedd att förhindra situationer där angriparna hade full kontroll över enheten, vilket innebär att QSEE var inte på det primära funktion den var avsedd för.
Relaterade Ämnen:
Hårdvara
Säkerhet-TV
Hantering Av Data
CXO
Datacenter