亚游集团-資訊信息門戶網站 歡迎您! 登錄 | 注冊
您所在位置:首頁 > 聚焦名企 正文

NCC Group發現並知會高通,高通近40款芯片被曝出泄密漏洞!

2019-04-29 來源:互聯網 作者: 亚游集团 我要評論 閱讀量:

文章摘要:NCC Group早在去年就發現了此一漏洞,並於去年3月知會高通,高通則一直到今年4月才正式修補

     亚游集团28日報道,英國安全業者NCC Group公布了藏匿在逾40款高通芯片的旁路漏洞,可用來竊取芯片內所儲存的機密資訊,並波及采用相關芯片的androids裝置,高通已於本月初修補了這一在去年就得知的漏洞。

NCC Group發現高通漏洞
    一編號為CVE-2018-11976的漏洞,涉及高通芯片安全執行環境(Qualcomm Secure Execution Environment,QSEE)的橢圓曲線數碼簽章算法(Elliptic Curve Digital Signature Algorithm,ECDSA),將允許黑客推測出存放在QSEE中、以ECDSA加密的224位與256位的金鑰。
 
    QSEE源自於ARM的TrustZone設計,TrustZone為係統單晶片的安全核心,它建立了一個隔離的安全世界來供可靠軟件與機密資料使用,而其它軟件則隻能在一般的世界中執行,QSEE即是高通根據TrustZone所打造的安全執行環境。
 
    NCC Group資深安全顧問Keegan Ryan指出,諸如TrustZone或QSEE等安全執行環境設計,受到許多行動裝置與嵌入式裝置的廣泛采用,隻是就算安全世界與一般世界使用的是不同的硬件資源、軟件或資料,但它們依然奠基在同樣的微架構上,於是他們打造了一些工具來監控QSEE的資料流與程序流,並找出高通導入ECDSA的安全漏洞,成功地從高通芯片上恢複256位的加密私鑰。
 
    Ryan解釋,大多數的ECDSA簽章是在處理隨機數值的乘法回圈,假設黑客能夠恢複這個隨機數值的少數位,就能利用既有的技術來恢複完整的私鑰,他們發現有兩個區域可外泄該隨機數值的資訊,盡管這兩個區域都含有對抗旁路攻擊的機製,不過他們繞過了這些限製,找出了該數值的部份位,而且成功恢複了Nexus 5X手機上所存放的256位私鑰。
 
    NCC Group早在去年就發現了此一漏洞,並於去年3月知會高通,高通則一直到今年4月才正式修補。
 
    根據高通所張貼的安全公告,CVE-2018-11976屬於ECDSA簽章代碼的加密問題,將會讓存放在安全世界的私鑰外泄至一般世界。它被高通列為重大漏洞,而且影響超過40款的高通芯片,可能波及多達數十億台的androids手機及設備。
 
 部分網友留言:
部分網友留言

Tags:

發表評論 共有條評論
昵稱: