413
2019 即將結(jié)束，與非網(wǎng)感謝大家的陪伴，在總結(jié) 2019 關(guān)鍵詞的時(shí)候，我們想到了“安全”這個(gè)詞，因?yàn)槲覀兩钪磥硎切畔⒈ǖ哪甏?，而這樣的大數(shù)據(jù)時(shí)代，安全將會(huì)成為最大的阻力，一旦處理不好，就會(huì)導(dǎo)致人類世界的又一“滅頂之災(zāi)”。
在未來的日子里，我們還會(huì)聚焦科技安全，今天我們通過篩選和小組投票，選出了 2019 年科技行業(yè)發(fā)生的十大安全事件，和大家分享，同時(shí)也希望各位踴躍補(bǔ)充，與非網(wǎng)在此謝過。
話不多說，進(jìn)入盤點(diǎn)區(qū)域：
2019 安全事件年度盤點(diǎn)
事件一：Marvell 無線芯片曝安全漏洞，全球數(shù)十億設(shè)備受波及
2019 年 1 月 20 日，據(jù) Embedi 安全研究專家 Denis Selianin 披露的報(bào)告， Marvell Avastar 88W8897 無線芯片組固件存在安全漏洞，導(dǎo)致全球數(shù)十億臺(tái)使用該芯片的筆記本、智能手機(jī)、游戲設(shè)備、路由器和物聯(lián)網(wǎng)設(shè)備存在安全隱患。
在報(bào)告中，Selianin 描述了如何在不需要用戶任何交互的情況下，利用 Avastar 88W8897 無線芯片組上安裝的 ThreadX 固件來執(zhí)行惡意代碼。ThreadX 是一種實(shí)時(shí)操作系統(tǒng)（RTOS），已經(jīng)作為數(shù)十億臺(tái)設(shè)備的固件。除了 Marvell 的 Avastar Wi-Fi 芯片，研究者還發(fā)現(xiàn) ThreadX 系統(tǒng)中的通用漏洞，影響設(shè)備的數(shù)量更是多達(dá) 62 億臺(tái)。
事件二：臺(tái)積電再爆生產(chǎn)事故，上萬片晶圓或被污染 16/12nm 產(chǎn)能受損
2019 年 1 月 28 日，臺(tái)積電又被爆出一起安全事故，這次是晶圓被不合格原料污染，預(yù)估損失上萬片晶圓。這是自去年 8 月，臺(tái)積電三大生產(chǎn)基地因病毒入侵而導(dǎo)致停擺，損失 26 億臺(tái)幣之后，臺(tái)積電的又一次生產(chǎn)事故。
發(fā)生事故的是臺(tái)積電臺(tái)南科學(xué)園區(qū) Fab14 晶圓廠的 16/12nm 工藝產(chǎn)線，事故的主要原因是“進(jìn)口的化學(xué)原料沒有達(dá)到要求”，從而直接導(dǎo)致了生產(chǎn)的晶圓被污染。有傳聞稱受污染的晶圓有上萬片，損失可能至少要上千萬美元。
事件三：高通芯片曝出泄密漏洞，數(shù)十億部手機(jī)或?qū)⒃庋?/strong>
2019 年 4 月，英國(guó)安全業(yè)者 NCC Group 公布了藏匿在逾 40 款高通芯片的旁路漏洞，可用來竊取芯片內(nèi)所儲(chǔ)存的機(jī)密資訊，并波及采用相關(guān)芯片的 Android 裝置，高通已于本月初修補(bǔ)了這一在去年就得知的漏洞。
該漏洞涉及高通芯片安全執(zhí)行環(huán)境的橢圓曲線數(shù)碼簽章算法，將允許黑客推測(cè)出存放在 QSEE 中、以 ECDSA 加密的 224 位與 256 位的金鑰。因此，它被高通列為重大漏洞，而且影響超過 40 款的高通芯片，可能波及多達(dá)數(shù)十億臺(tái)的 Android 手機(jī)及設(shè)備。
事件四：GPS 現(xiàn)漏洞，特斯拉 Model 3 或被遠(yuǎn)程操控
2019 年 6 月，以色列一家網(wǎng)絡(luò)安全公司 Regulus Cyberr 經(jīng)測(cè)試發(fā)現(xiàn)，利用“無線和遠(yuǎn)程方式”可攻擊特斯拉 Model 3 的 GPS 系統(tǒng)，使車輛駕駛輔助功能、空氣懸架工作異常，出現(xiàn)突然降速或轉(zhuǎn)向偏離主干道情況。當(dāng)兩輛車激活 Autopilot 駕駛輔助功能后，利用關(guān)鍵任務(wù)遠(yuǎn)程信息處理、傳感器融合和導(dǎo)航功能中的漏洞，可輕易通過無線和遠(yuǎn)程方式對(duì)特斯拉的 GPS 接收器進(jìn)行欺騙攻擊，導(dǎo)致該車突然開始減速，并在主干道上急轉(zhuǎn)彎。
此次測(cè)試還有一個(gè)意想不到的發(fā)現(xiàn)，因?yàn)樘厮估膶?dǎo)航系統(tǒng)與空氣懸架系統(tǒng)之間存在聯(lián)系，受到入侵時(shí)車輛會(huì)誤認(rèn)為車在各種地形形式，并突然改變其空氣懸架高度。盡管 Regulus Cyber 研究人員只測(cè)試了 Model S 和 Model 3 車型，但是他們得出結(jié)論表示，特斯拉 GPS 系統(tǒng)易受攻擊的漏洞可能是公司所有車型所具備的漏洞，因?yàn)樘厮估囮?duì)都采用了同樣的芯片組。
事件五：波音 737 Max 飛行控制芯片又爆問題，飛控軟件由 9 美元時(shí)薪外包撰寫
2019 年 7 月 26 日，美國(guó)聯(lián)邦航空管理局(FAA)表示，已確認(rèn) 737 MAX 的一處新隱患，必須先解決之后才能復(fù)飛。知情人士指出，美國(guó)聯(lián)邦航空總署 (FAA) 進(jìn)行模擬測(cè)試時(shí)發(fā)現(xiàn)這個(gè)芯片故障問題，恐導(dǎo)致機(jī)上自動(dòng)飛行系統(tǒng)將機(jī)鼻壓低時(shí)，機(jī)師要花更多時(shí)間才能拿回對(duì)飛機(jī)的控制權(quán)。但這個(gè)問題與波音的 MCAS 自動(dòng)飛控系統(tǒng)無關(guān)，而是新出現(xiàn)的問題，波音能以軟件方式進(jìn)行修正，據(jù)波音官員表示，預(yù)計(jì)今年秋季就可以提交所有修正軟件給 FAA。
去年 10 月以來，已經(jīng)發(fā)生過兩起波音 737-MAX 墜機(jī)事件，總共造成 346 人死亡。此外，今日有報(bào)道稱美國(guó)司法部已經(jīng)傳喚波音并調(diào)取了關(guān)于 787 Dreamliner 的生產(chǎn)記錄，表明本輪針對(duì) 737 MAX 的調(diào)查已經(jīng)擴(kuò)展至其他機(jī)型。西雅圖時(shí)報(bào)本周五援引兩位消息人士稱，在南卡羅來納州的 Dreamliner 生產(chǎn)線上出現(xiàn)了“偷工減料”情況以及存在投機(jī)取巧行為。
事件六：智能門鎖更安全的“驚世騙局”，36 款指紋識(shí)別智能門鎖全部被破解
圖片來源：青松沃德產(chǎn)品宣傳圖
2019 年 8 月，央視《第一時(shí)間》欄目曝光，將市面上的 38 款智能門鎖進(jìn)行試驗(yàn)比較，結(jié)果顯示，其中 36 款帶有指紋模塊的智能門鎖全部被破解。
調(diào)查過程中發(fā)現(xiàn)，在智能門鎖銷售頁面上，很多智能門鎖宣稱是檢測(cè)活體指紋，對(duì)假指紋可以進(jìn)行防護(hù)。然而，事情讓人大跌眼鏡，涉及標(biāo)稱“固特”“金點(diǎn)原子”“凱迪仕”“頂固”“海爾”“360 智能門鎖”“卡貝”“TCL”“顧樂”“箭牌”“鹿客”等多個(gè)品牌的樣品就可以被假指紋破解。
事件七：蘋果系統(tǒng)現(xiàn)史詩級(jí)硬件漏洞“checkm8”， 可隨意降級(jí)
2019 年 9 月，蘋果被曝出一個(gè)硬件層面的漏洞，可以使從 iPhone 4S 到 iPhone 8、iPhone X 的所有蘋果手機(jī)永久越獄，且漏洞無法修復(fù)。其影響范圍之大，或影響到數(shù)以百萬計(jì)的 iPhone 設(shè)備，被認(rèn)為“史詩級(jí)越獄”。
美國(guó)科學(xué)網(wǎng)站“The Verge”27 日?qǐng)?bào)道稱，據(jù)發(fā)現(xiàn)漏洞的研究員 axi0mX 稱，新發(fā)布的 iOS 漏洞可能導(dǎo)致成千上萬部 iPhone 永久性越獄。該漏洞被稱為“checkm8”，也就是國(guó)際象棋術(shù)語中的 “將死”。這一漏洞可以讓黑客深度訪問 iOS 設(shè)備，而蘋果無法通過未來的軟件更新來阻止或修補(bǔ)。
報(bào)道稱，這個(gè)漏洞也是“bootrom”漏洞，它利用了 iOS 設(shè)備在啟動(dòng)時(shí)加載的初始代碼中的一個(gè)安全漏洞。而且由于它是 ROM(只讀存儲(chǔ)器)，蘋果不能通過軟件更新來覆蓋或修補(bǔ)它，所以漏洞會(huì)一直存在。這是自 10 年前發(fā)布的 iPhone 4 之后，針對(duì) iOS 設(shè)備首次公開發(fā)布的第一個(gè) bootrom 級(jí)別的漏洞。
事件八：三星超聲波指紋識(shí)別漏洞，一個(gè) 3D 打印指紋就騙過了
2019 年 10 月，Imgur 用戶 darkshark 發(fā)帖稱，他用指紋 3D 打印的方式，騙過了 Galaxy S10 的屏下超聲波傳感指紋識(shí)別器。darkshark 概述了他的做法：在葡萄酒杯上拍攝了他的指紋圖片，在 Photoshop 中進(jìn)行了處理，并使用 3ds Max 制作了一個(gè)指紋的 3D 模型。經(jīng)過 13 分鐘的打?。ㄒ约?3 次在調(diào)整中進(jìn)行的嘗試），他最終打印出一個(gè)可以成功解鎖手機(jī)的 3D 打印版指紋。
事件九：中國(guó)研究團(tuán)隊(duì)：ARM 和 INTEL 處理器存硬件漏洞“騎士”，支付密碼隨時(shí)外泄
2019 年 9 月，清華大學(xué)計(jì)算機(jī)系教授汪東升團(tuán)隊(duì)發(fā)現(xiàn)了 ARM 和 Intel 等處理器電源管理機(jī)制存在嚴(yán)重安全漏洞——“騎士”。這意味著普通人的支付密碼等隨時(shí)存在被泄露的風(fēng)險(xiǎn)。
汪東升表示，2018 年引起轟動(dòng)的“熔斷”和“幽靈”漏洞出現(xiàn)在處理器高性能處理模塊，而此次發(fā)現(xiàn)的“騎士”漏洞則隱藏在普遍使用的低功耗動(dòng)態(tài)電源管理單元。黑客可以突破原有安全區(qū)限制，獲取智能設(shè)備核心秘鑰，直接運(yùn)行非法程序。與其他漏洞需要借助外部鏈接或者其他軟件，才能夠?qū)?a class="article-link" target="_blank" href="/tag/%E7%94%B5%E5%AD%90%E8%AE%BE%E5%A4%87/">電子設(shè)備進(jìn)行攻擊不同，此次發(fā)現(xiàn)的漏洞，從本質(zhì)上講，黑客不需要借助任何外部程序或者鏈接，就可以直接獲取用戶的安全密鑰。
事件十：Facebook 再曝?cái)?shù)據(jù)泄露事故，波及全球 2.67 億用戶
2019 年 12 月 14 日，安全研究人員鮑勃·迪亞琴科（Bob Diachenko）發(fā)現(xiàn) Facebook 數(shù)據(jù)庫泄露，之后數(shù)據(jù)庫撤下。迪亞琴科發(fā)現(xiàn)時(shí)數(shù)據(jù)庫沒有受到密碼或者其它措施的保護(hù)。雖然 Facebook 及時(shí)處理，關(guān)閉訪問通道，但是當(dāng)時(shí)信息已經(jīng)開放近 2 周。在黑客論壇上甚至可以下載到數(shù)據(jù)。
因?yàn)閿?shù)據(jù)大規(guī)模泄露，F(xiàn)acebook 用戶可能會(huì)遭到垃圾郵件、網(wǎng)絡(luò)釣魚的侵?jǐn)_。在 Facebook 用戶 ID 中包含特殊數(shù)據(jù)，通過數(shù)字可以確定用戶名及其它個(gè)人信息。
寫在最后
信息安全是全球一直高度關(guān)注的一個(gè)領(lǐng)域，直逼科技發(fā)展的木桶效應(yīng)，而半導(dǎo)體行業(yè)的企業(yè)也深知其要害性，愿意花大力氣去補(bǔ)齊短板。比如，2019 年 8 月，蘋果安全工程主管在黑帽大會(huì)上宣布，蘋果將升級(jí)漏洞懸賞計(jì)劃，除了 iOS 設(shè)備外，還會(huì)覆蓋 macOS、tvOS、watchOS 和 iCloud，賞金最高 100 萬美元；無獨(dú)有偶，2019 年 11 月，華為發(fā)出了“漏洞懸賞計(jì)劃”，希望能夠通過重金找到鴻蒙 OS 漏洞。
根據(jù) IDC 預(yù)測(cè)，2019 年全球 IT 安全相關(guān)硬件、軟件和服務(wù)支出將達(dá)到 1031 億美元，相比 2018 年增長(zhǎng) 9.4%。隨著全球各行業(yè)在安全解決方案上持續(xù)投入巨資以應(yīng)對(duì)各種紛繁復(fù)雜的惡意威脅，滿足各類安全需求，這種快速增長(zhǎng)趨勢(shì)將在未來幾年仍將持續(xù)。IDC 預(yù)測(cè)，在 2018-2022 年預(yù)測(cè)期內(nèi)，全球安全解決方案支出將實(shí)現(xiàn) 9.2%的年復(fù)合增長(zhǎng)率（CAGR），預(yù)計(jì) 2022 年將達(dá)到 1338 億美元。
信息來源：IDC
不過，道高一尺魔高一丈，黑客的實(shí)力不容小覷，有人在謀取私利，也有人雖是黑客，卻也是正義的守護(hù)者，致敬這些“白帽工程”，為安全城墻又多加一瓦。
?
