كوالكوم: فجوة أمنية في معالجاتها ، مما يجعل حسابات المستخدمين عرضة لهجمات القراصنة

بحسب محللين أمنيين واحد القراصنة يمكن أن يخدع أحد التطبيقات للوصول إلى حساب الضحية عن طريق سرقة المفاتيح المشفرة في ذاكرة الجهاز.

Έفجوة أمنية في العشرات من رقائقها كوالكوم مما سمح للبرامج الضارة بالوصول إلى حسابات المستخدمين. نشأت المشكلة من وظيفة تسمى بيئة تنفيذ كوالكوم الآمنة (QSEE)، والتي تخزن مفاتيح التشفير في ذاكرة الجهاز ، لكنها كانت مستقلة عن المعالج الرئيسي.

وفق كوالكوم، كانت هذه الوظيفة غير قابلة للاختراق حتى عندما تم الكشف عن نظام التشغيل. ال كيجان ريان، محلل الأمن مجموعة NCCونفى البيان الذي جاء فيه أنه من الممكن الوصول إلى الجزء المعزول من ذاكرته QSEE.

لقد استخدمت متنبئًا بالفرع وقنوات جانبية للذاكرة عالية الطاقة لاستخراج المفاتيح الخاصة من مخزن مفاتيح TrustZone الخاص بشركة Qualcomm. تحقق من ذلك: https://t.co/PKzsNcQE7S

- كيجان ريان (@ inf_0_) 23 نيسان

الثلاثاء الماضي ، نشر واحدة مقالة - سلعة للفجوة الأمنية جنبًا إلى جنب مع جميع التفاصيل حول كيفية تمكنه من الوصول إلى ذاكرة التخزين المؤقت وتحليلها من جهاز Nexus 5X ، وحتى استخراج مفتاح 256 بت بعد عملية مدتها 14 ساعة.

وفق ريان، يمكن للمخترق استغلال هذه الثغرة الأمنية عن طريق خداع أحد التطبيقات للاتصال عبر الجهاز. بمجرد وضع كلمة مرور في أحد التطبيقات ، يتم إنشاء مفتاح مشفر يسمح للتطبيق بالاحتفاظ بالبيانات للاستخدام المستقبلي على نفس الجهاز.

"ومع ذلك ، إذا تمكن شخص ما من الوصول إلى هذا المفتاح ، فقد يخدع أحد التطبيقات ليعتقد أنه يعمل على جهاز المالك ، مما يمنح المتسلل إمكانية الوصول إلى أي مكان ، ولا يمكن للمستخدم الدفاع عن نفسه بأي شكل من الأشكال.قال ريان في PCMag.

لا يحتاج المهاجم حتى إلى الاتصال بالجهاز ، يمكنه استخراج المفاتيح من خلال الحصول على امتيازات المسؤول من خلال بعض البرامج الضارة ، والتي على الرغم من أنها تمثل بداية العديد من المشكلات في هذه الحالة إلا أنها تزيد من سوء الوضع.

النبأ السار هو أن كوالكوم بالفعل صيح هذا خطأ (CVE-2018-11976)، والتي أثرت على مجموعة متنوعة من المعالجات بما في ذلك أنف العجل 845 και 855، موجود في معظم الهواتف الذكية المتطورة. ال مجموعة NCC أخطرها كوالكوم من مارس 2018.

"نثني على مجموعة NCC لإخفاء الفجوة الأمنية عن عامة الناس. لقد أصلحنا الخطأ بالفعل ونود حث جميع المستخدمين على ترقية أجهزتهم في أسرع وقت ممكن.قال كوالكوم. سيتم تضمين التصحيح في أمان Android April تحديث.

مصدر