高通确认多款芯片组存在QSEE安全漏洞 影响数以亿计的安卓设备

      高通日前已经确认该公司生产的多款芯片组存在安全漏洞，这些芯片组已应用在全球数以亿计的安卓设备上。研究人员透露该漏洞主要可以让攻击者检索存储在高通安全执行环境中安全区域的私人数据以及加密密钥等。这个被称为高通安全执行环境(QSEE)与英特尔处理器的软件防护扩展(SGX)类似 ,  主要用于保护软件的数据。

高通已发布安全更新但需要安卓厂商更新固件：

高通确认漏洞的同时也表示已经在本月初发布安全更新封堵漏洞，接下来需要安卓设备制造商们推送新固件。然而大家都知道绝大多数安卓设备制造商们固件更新都比较缓慢，尤其是很多稍微老点的机型直接不再更新。这意味着未来几年许多安卓智能手机和平板电脑都面临威胁，直到慢慢这些旧设备退役才能抹平漏洞的风波。

这个安全漏洞会带来什么样的危害：

高通安全执行环境实际就是芯片组上的硬件隔离区域，安卓系统和应用可以在这个环境里安全的处理数据等。这些安全数据相互隔离并且不会被其他应用程序读取，利用这种方式可以保护应用处理机密数据的安全性能。例如当用户登录时相关密钥会被放在安全执行环境的隔离区域存储，除被登陆应用外其他应用不能读取密码。

而出现漏洞的主要是高通实施的椭圆曲线数码签章算法存在问题，让攻击者可以检索隔离区存储的加密密钥。有加密密钥后理论上攻击者可以读取任意应用的安全数据，攻击者甚至可以利用漏洞读取安卓系统机密数据。

尽管需要Root权限但毕竟这个不难：

研究人员表示利用此漏洞攻击者必须先获得系统级权限，但实际上系统权限对于安卓来说其实想获取并不难。很多旧版安卓系统由于更新速度慢本身就存在各类已知漏洞，攻击者可以直接利用这些漏洞获得系统级权限。攻击者唯一要做的就是想办法在用户设备上安插恶意软件，比如可以利用某些特殊应用诱导用户主动去安装。

高通所有主流处理器都受影响：