隨著智能手機(jī)的普及，一旦手機(jī)出現(xiàn)了問題，拿去送修、更換零件已變得非常普遍。不過根據(jù)以色列安全研究人員現(xiàn)在發(fā)現(xiàn)，當(dāng)前的手機(jī)系統(tǒng)對(duì)于各種零部件有著很高的信任度。使用者在維修手機(jī)時(shí)，駭客可以輕松更換上惡意零件，導(dǎo)致密碼被竊或手機(jī)鏡頭被操控等入侵事件發(fā)生。
修手機(jī)、換零件 惡意入侵分分鐘實(shí)現(xiàn)
研究人員表示，現(xiàn)在有不少手機(jī)零部件制造商在生產(chǎn)手機(jī)的觸控屏幕、方向感應(yīng)器、無線充電控制器、NFC傳感器等等，而各種零件的驅(qū)動(dòng)程序被預(yù)設(shè)為可被信任的，因此這些零部件和手機(jī)處理器之間的通訊很少被檢測(cè)，顯然讓駭客有了可乘之機(jī)。
警惕惡意零部件
以最常維修的手機(jī)零件——屏幕為例，研究人員發(fā)現(xiàn)花費(fèi)大約10美元就可制作觸控屏幕控制器并實(shí)施惡意功能。在實(shí)驗(yàn)中，研究人員進(jìn)行了兩種攻擊行為。一是觸控注入攻擊，讓觸控屏幕模仿使用者的輸入并收集敏感信息。二是緩沖區(qū)溢出攻擊，可讓駭客拓展權(quán)限。
而聯(lián)合實(shí)施兩種攻擊后，甚至能在標(biāo)準(zhǔn)的Android固件上發(fā)起各種端到端的攻擊行動(dòng)，包括竊取使用者所輸入的密碼或金融信息，拍攝照片或影片后通過電子郵件傳送給駭客，還能自動(dòng)下載未經(jīng)使用者授權(quán)的程序等等，危害極大。
由于駭客能利用攻擊將手機(jī)屏幕熄滅，導(dǎo)致手機(jī)使用者完全不知道自己的設(shè)備已遭受了攻擊。而且通過惡意零部件展開的各種攻擊，手機(jī)上的安全防護(hù)程序往往無法察覺，即使恢復(fù)手機(jī)的出廠設(shè)置、遠(yuǎn)程刪除或是固件更新，都無法有效防范，因?yàn)樵搻阂饬悴考琅f存在于設(shè)備上。
因此，如何實(shí)現(xiàn)對(duì)硬件級(jí)別零部件的安全監(jiān)管與內(nèi)部通信檢測(cè)，顯然已成為一個(gè)新的安全課題。據(jù)悉，研究人員已將相關(guān)研究提交給了Google。
京公網(wǎng)安備 11010502049343號(hào)