banner.jpg)
相關(guān)專題：
（原標題：Secret chips in replacement parts can completely hijack your phone’s security）
網(wǎng)易科技訊 8月19日消息 據(jù)美國科技媒體網(wǎng)站Ars Technica報道，最新調(diào)查發(fā)現(xiàn)，手機換屏維修所更換的組件存在竊取信息的風險。
在最新的一次對安卓手機換屏調(diào)查中發(fā)現(xiàn)，存在非法鍵入信息和程序的情況。這種隱患屏幕會利用操作系統(tǒng)漏洞，繞過手機中的主安全保護系統(tǒng)。手機會被安裝惡意程序，并將偷拍照片以郵件的方式傳給黑客。最可怕的是，這些隱患更具隱蔽性，很多維修技術(shù)員難以發(fā)現(xiàn)，除非是有組件安裝背景的人將維修手機拆開并檢查。
該調(diào)查出現(xiàn)在本周2017 USENIX黑客技術(shù)研討會的一份文件中，旨在強調(diào)通常被忽視的智能手機維修安全風險。無論是安卓還是iOS系統(tǒng)的手機制造商都在被調(diào)查研究之列，而被更換的組件是在設(shè)備“信任邊界”以內(nèi)。即使制造商提供了安全保護，但換屏期間仍存在的惡意組件對驅(qū)動程序的入侵，并被認定為可信。手機一旦被送入第三方維修點，其安全模型則面臨被攻破的風險，畢竟沒有可靠方式保證維修程序未被篡改。
來自以色列內(nèi)蓋夫本?古里安大學（Ben-Gurion University of the Negev）的研究者寫道，“消費性電子產(chǎn)品潛在的外部惡意攻擊風險值得重視。正如報告顯示，電子產(chǎn)品被竊聽存在可能性、擴展性和隱蔽性。很容易被不法分子加以大規(guī)模利用或針對性攻擊。系統(tǒng)設(shè)計者應考慮將更換組件設(shè)立在手機信任邊界以外，并針對性地設(shè)計防御程序”。
報道稱，實驗中，研究者在一塊兒正常手機屏幕上嵌入入侵芯片，篡改通信主線，模擬兩個終端間的惡意集成電路，監(jiān)視或修改終端通信。
而入侵芯片中的代碼可以在用戶不授權(quán)的情況下私自進行多項入侵。例如，用于實驗的芯片可以解鎖安全模式和鍵盤的輸入信息、私自照相并將數(shù)據(jù)傳給黑客、替換用戶常用網(wǎng)址為釣魚網(wǎng)址并肆意安裝手機軟件。進階版的攻擊包括利用操作系統(tǒng)內(nèi)核漏洞。為了能保證隱蔽性，惡意程序還會使手機關(guān)機黑屏。
為了能將惡意指令傳達到驅(qū)動程序和觸摸屏，研究人員借助了ATmega328 Arduino和STM32L432開源微處理器，并表示其它微處理器同樣能達到效果。
報道稱，雖然研究人員是用安卓系統(tǒng)做的研究，但不保證iOS系統(tǒng)不會存在此類問題。這類攻擊是低成本的、不易察覺并有大規(guī)模現(xiàn)身的可能。而維修技術(shù)人員自身無法檢測出惡意組件則是尤其值得關(guān)注的部分。
國外網(wǎng)友們紛紛表示有過類似體驗，并發(fā)出“這正是完善相關(guān)維修法律時刻”的呼吁。（編譯：Alyssa）
