Qualpwn adalah eksploitasi baru untuk cip snapdragon qualcomm, inilah yang perlu anda ketahui

Isi kandungan:

Apakah itu QualPwn?
Apakah WLAN itu?
Adakah QualPWN telah ditetapkan?
Apakah peranti terjejas?
Adakah QualPwn telah digunakan di dunia nyata?
Apa yang perlu saya lakukan sehingga saya mendapat patch?
Maklumat lanjut akan datang
Dapatkan Lebih Piksel 3
Google Pixel 3

Telefon anda dibina dari segudang pelbagai jenis, dan kebanyakannya "pintar" dan mempunyai pemproses terbina dalam dan firmware mereka sendiri. Ini bermakna terdapat banyak tempat untuk mendapatkan pepijat atau kelemahan yang dapat membenarkan pelaku jahat mempunyai akses kepada perkara yang tidak sepatutnya. Syarikat-syarikat yang membuat bahagian-bahagian ini sentiasa berusaha untuk memperbaiki dan mengeraskan sesuatu untuk menghalangnya, tetapi mustahil bagi mereka untuk mencari segala-galanya sebelum komponen meninggalkan makmal dan berakhir di talian pemasangan.

Kebanyakan eksploit ditentusahkan sebelum sesiapa mengetahui bahawa mereka wujud, tetapi ada yang membuatnya melalui.

Ini menjadikan mencari pepijat dan kelemahan industri ini sendiri. Di DEFCON 27 dan Black Hat 2019, tempat-tempat besar di mana eksploitasi dibuat awam dan ditunjukkan (dan diharapkan, ditambal), kelemahan dalam cip Qualcomm telah diumumkan oleh Tencent Blade Team yang akan membolehkan penyerang mendapatkan akses melalui kernel dan berpotensi masuk ke dalam telefon anda dan menyebabkan kemudaratan. Berita baiknya adalah bahawa ia secara bertanggungjawab diumumkan dan Qualcomm bekerja dengan Google untuk membetulkan isu dengan Buletin Keselamatan Android Ogos 2019.

Berikut adalah semua yang anda perlu ketahui mengenai QualPwn.

Apakah itu QualPwn?

Selain menjadi nama yang lucu, QualPwn menggambarkan kerentanan dalam cip Qualcomm yang membolehkan penyerang menjejaskan telefon melalui WLAN (Wireless Area Local Network) dan Modem sel dari jarak jauh. Platform Qualcomm dilindungi oleh Secure Boot, namun QualPwn mengalahkan Boot Secure dan memberikan akses penyerang ke modem sehingga alat debugging dapat dimuat dan baseband dapat dikendalikan.

Setelah itu berlaku, kemungkinan penyerang dapat mengeksploitasi kernel yang Android berjalan di atas dan mendapatkan keistimewaan yang lebih tinggi - mereka dapat mengakses data peribadi anda.

Kami tidak mempunyai semua butiran mengenai bagaimana ini akan berlaku atau betapa mudahnya, tetapi mereka akan datang semasa Tencent Blade's Black Hat 2019 dan DEFCON 27 persembahan.

Apakah WLAN itu?

WLAN bermaksud Rangkaian Kawasan Wayarles Nirkabel dan ia adalah nama tangkapan untuk semua kumpulan peranti - termasuk telefon mudah alih - yang berkomunikasi antara satu sama lain secara wayarles. WLAN boleh menggunakan Wi-Fi, selular, jalur lebar, Bluetooth atau sebarang jenis wayarles lain untuk berkomunikasi dan ia sentiasa menjadi honeypot bagi orang yang mencari eksploitasi.

Kerana begitu banyak jenis peranti yang berlainan boleh menjadi sebahagian daripada WLAN, terdapat standard yang sangat spesifik tentang bagaimana sambungan dibuat yang dikekalkan. Telefon anda, termasuk komponen seperti cip Qualcomm, perlu menggabungkan dan mematuhi piawaian ini. Sebagai pendahuluan standard dan perkakasan baru dicipta, pepijat dan kelemahan dalam bagaimana sambungan dibuat boleh berlaku.

Adakah QualPWN telah ditetapkan?

Ya. Buletin Keselamatan Android untuk Ogos 2019 mempunyai semua kod yang diperlukan untuk memasang peranti yang terjejas dari Qualcomm. Sekali telefon anda mendapat patch Ogos 2019 anda selamat.

Apakah peranti terjejas?

Pasukan Tencent Blade tidak menguji setiap telefon menggunakan cip Qualcomm, hanya Pixel 2 dan Pixel 3. Kedua-duanya terdedah, jadi semua telefon yang berjalan pada platform Snapdragon 835 dan 845 mungkin terkena sekurang-kurangnya. Kod yang digunakan untuk menambal QualPwn boleh digunakan untuk mana-mana telefon yang menjalankan pemproses Qualcomm dan Android 7.0 atau lebih tinggi.

Sehingga semua butiran dikeluarkan, selamat untuk mengandaikan bahawa semua chipset Snapdragon moden harus dipertimbangkan berisiko sehingga ditambal.

Adakah QualPwn telah digunakan di dunia nyata?

Eksploitasi ini secara bertanggungjawab didedahkan kepada Google pada bulan Mac 2019, dan sebaiknya disahkan dikemukakan kepada Qualcomm. Qualcomm memaklumkan rakan-rakannya dan menghantar kod itu untuk memasangnya pada bulan Jun 2019, dan setiap sekeping rantaian itu ditampal dengan kod yang digunakan dalam Buletin Keselamatan Android Ogos 2019.

Tiada contoh QualPwn yang dieksploitasi di alam liar telah dilaporkan. Qualcomm juga mengeluarkan kenyataan berikut mengenai isu tersebut:

Menyediakan teknologi yang menyokong keselamatan dan privasi yang mantap adalah keutamaan bagi Qualcomm. Kami mengalu-alukan penyelidik keselamatan dari Tencent untuk menggunakan amalan pendedahan yang diselaraskan mengikut piawaian industri menerusi Program Ganjaran Kemuliaan kami. Qualcomm Technologies telah mengeluarkan pembetulan kepada OEM, dan kami menggalakkan pengguna akhir mengemas kini peranti mereka sebagai patch menjadi tersedia dari OEM.

Apa yang perlu saya lakukan sehingga saya mendapat patch?

Tidak semestinya apa yang boleh anda lakukan sekarang. Isu-isu yang telah ditandakan sebagai Kritikal oleh Google dan Qualcomm dan segera ditambal, jadi sekarang anda perlu menunggu syarikat yang membuat telefon anda untuk membawanya kepada anda. Telefon Pixel, seperti Pixel 2 dan 3, bersama beberapa orang lain dari Essential dan OnePlus, sudah mempunyai patch yang tersedia. Lain-lain dari Samsung, Motorola, LG dan lain-lain kemungkinan akan mengambil masa beberapa hari untuk beberapa minggu untuk didorong ke telefon.

Sementara itu, ikuti amalan-amalan terbaik yang sebaiknya anda gunakan:

Sentiasa gunakan skrin kunci yang kuat
Jangan sekali-kali ikut pautan dari seseorang yang anda tidak kenali dan percaya
Jangan sekali-kali menghantar butiran peribadi ke laman web atau aplikasi yang tidak anda percayai
Jangan berikan kata laluan Google anda kepada sesiapa pun selain Google
Jangan gunakan semula kata laluan
Sentiasa gunakan pengurus kata laluan yang baik
Gunakan pengesahan dua faktor apabila anda boleh

Lagi: Pengurus Kata Sandi Terbaik untuk Android pada 2019

Amalan-amalan ini mungkin tidak menghalang eksploitasi sifat ini, tetapi mereka boleh mengurangkan kerosakan jika seseorang mendapat beberapa maklumat peribadi anda. Jangan buat mudah bagi orang jahat.

Maklumat lanjut akan datang

Seperti yang disebutkan, Pasukan Tencent Blade akan melepaskan semua butiran mengenai QualPwn semasa persembahan yang akan datang di Black Hat 2019 dan DEFCON 27. Konferensi ini berpusat pada keselamatan peranti elektronik dan sering digunakan untuk eksploit terperinci seperti ini.

Apabila Tencent Blade memberikan butiran lebih lanjut, kami akan mengetahui lebih lanjut mengenai apa yang boleh kami lakukan untuk mengurangkan risiko dengan telefon kami sendiri.