Qualpwn qualcomm snapdragon cipsleri için yeni bir özelliktir, işte bilmeniz gerekenler

İçindekiler:

QualPwn Nedir?
WLAN nedir?
QualPWN düzeltildi mi?
Hangi cihazlar etkilenir?
QualPwn gerçek dünyada kullanıldı mı?
Yamayı alana kadar ne yapmalıyım?
Daha fazla bilgi geliyor
Daha Fazla Piksel 3 Alın
Google Piksel 3

Telefonunuz sayısız çeşitli parçadan üretilmiştir ve çoğu "akıllıdır" ve kendi yerleşik işlemcileri ve donanım yazılımı vardır. Bu, kötü bir aktörün yapmaması gereken şeylere erişmesine izin verecek hataların veya zayıf noktaların bulunabileceği çok fazla yer olduğu anlamına gelir. Bu parçaları yapan şirketler her zaman önleyecek şeyleri iyileştirmeye ve sertleştirmeye çalışıyorlar, ancak bir bileşen laboratuarı terk etmeden ve montaj hattına gelmeden önce her şeyi bulmaları imkansız.

Çoğu istismar, kimse var olduğunu bilmeden yamalı, ancak bazıları başarabiliyor.

Bu, bu hataları ve kırılganlıkları bulmayı kendi başına bir endüstri haline getirir. DEFCON 27 ve Black Hat 2019'da, sömürülerin kamuya açık hale getirildiği ve gösterildiği (ve umarım yamalı) büyük yerler, bir Saldırganın çekirdeğe ve potansiyel olarak erişmesine izin verecek olan Qualcomm çiplerinde bir güvenlik açığı olduğunu açıkladı telefonunuza girin ve zarar verin. İyi haber şu ki, sorumlu bir şekilde ilan edilmiş ve Qualcomm, Ağustos 2019 Android Güvenlik Bülteni ile ilgili sorunu çözmek için Google ile birlikte çalıştı.

İşte QualPwn hakkında bilmeniz gereken her şey.

QualPwn Nedir?

Komik bir ad olmasının yanı sıra QualPwn, Qualcomm yongalarında, bir saldırganın WLAN (Kablosuz Yerel Alan Ağı) ve hücre Modem'i kullanarak bir telefonu tehlikeye atabilecek bir güvenlik açığını açıklar. Qualcomm platformu, Güvenli Önyükleme tarafından korunur, ancak QualPwn, Güvenli Önyükleme'yi mağlup eder ve hata ayıklama araçlarının yüklenebilmesi ve temel bandın kontrol edilebilmesi için modeme saldırgana erişim sağlar.

Bu gerçekleştiğinde, bir saldırganın Android'in çalıştığı çekirdeği kullanması ve yüksek ayrıcalıklar kazanması mümkündür - kişisel verilerinize erişebilirler.

Bunun nasıl olacağı ya da ne kadar kolay olacağı ile ilgili tüm ayrıntılara sahip değiliz, ancak bunlar Tencent Blade'in Black Hat 2019 ve DEFCON 27 sunumlarında geliyor.

WLAN nedir?

WLAN, Kablosuz Yerel Alan Ağı anlamına gelir ve cep telefonları da dahil olmak üzere, birbirleriyle kablosuz olarak iletişim kuran herhangi bir cihaz grubu için her şeyi içeren addır. WLAN, iletişim kurmak için Wi-Fi, hücresel, geniş bant, Bluetooth veya başka herhangi bir kablosuz türü kullanabilir ve istismar arayan insanlar için her zaman bir bal küpü olmuştur.

Pek çok farklı cihaz tipi bir WLAN'ın parçası olabileceğinden, bir bağlantının nasıl sürdürüldüğü konusunda çok özel standartlar vardır. Qualcomm'un çipleri gibi bileşenler de dahil olmak üzere, telefonunuzun bu standartları içermesi ve bunlara uyması gerekir. Standartlar geliştikçe ve yeni donanımlar oluşturuldukça, bağlantıların kurulmasında hatalar ve zayıflıklar olabilir.

QualPWN düzeltildi mi?

Evet. Ağustos 2019 tarihli Android Güvenlik Bülteni, Qualcomm'dan etkilenen aygıtları yamalamak için gereken tüm koda sahiptir. Telefonunuz Ağustos 2019 yamasını aldıktan sonra güvendesiniz.

Hangi cihazlar etkilenir?

Tencent Blade Ekibi her telefonu Qualcomm yongası, yalnızca Pixel 2 ve Pixel 3 kullanarak test etmedi. Her ikisi de savunmasızdı, bu yüzden Snapdragon 835 ve 845 platformlarında çalışan tüm telefonlar muhtemelen en az etkilenir. QualPwn'e yama yapmak için kullanılan kod, bir Qualcomm işlemci ve Android 7.0 veya daha üst sürüm kullanan tüm telefonlara uygulanabilir.

Tüm detaylar yayınlanıncaya kadar, tüm modern Snapdragon yonga setlerinin yamalı olana kadar risk altında olması gerektiğini varsaymak güvenlidir.

QualPwn gerçek dünyada kullanıldı mı?

Bu istismar, 2019 yılının Mart ayında Google’a sorumlu bir şekilde açıklandı ve bir kez doğrulandığında Qualcomm’a iletildi. Qualcomm ortaklarına haber verdi ve kodu 2019 Haziran’ında düzeltme eki gönderdi ve zincirin her parçası Ağustos 2019 Android Güvenlik Bülteni’nde kullanılan kodla kapatıldı.

Vahşi doğada hiçbir QualPwn istisnası örneği rapor edilmemiştir. Qualcomm ayrıca konuyla ilgili şu ifadeyi yayınladı:

Sağlam güvenliği ve gizliliği destekleyen teknolojiler sunmak, Qualcomm için bir önceliktir. Güvenlik Araştırmacılarını Güvenlik Açığı Ödül Programımız aracılığıyla endüstri standardı koordineli açıklama uygulamalarını kullandıkları için teşekkür ediyoruz. Qualcomm Technologies, OEM'lere zaten düzeltmeler yaptı ve yamaları OEM'lerden alınabilecek şekilde son kullanıcıları cihazlarını güncelleme konusunda teşvik ediyoruz.

Yamayı alana kadar ne yapmalıyım?

Şu anda yapabileceğin bir şey yok. Sorunlar Google ve Qualcomm tarafından Kritik olarak işaretlendi ve derhal düzeltildi, bu nedenle şu anda telefonunuzu size bildiren şirketin size ulaşmasını beklemelisiniz. Pixel 2 ve 3 gibi Pixel telefonlar, Essential ve OnePlus'tan bazıları ile birlikte, zaten yama mevcut. Samsung, Motorola, LG ve diğerlerinden diğerleri, telefonlara basılması birkaç gün ila birkaç hafta sürebilir.

Bu arada, her zaman kullanmanız gereken en iyi uygulamaları izleyin:

Her zaman güçlü bir kilit ekranı kullanın
Asla tanımadığınız ve güvenmediğiniz bir kişiden gelen bağlantıyı takip etmeyin
Asla güvenmediğiniz web sitelerine veya uygulamalara kişisel bilgilerinizi göndermeyin
Google şifrenizi asla Google’dan başka kimseye vermeyin
Şifreleri asla tekrar kullanma
Her zaman iyi bir şifre yöneticisi kullan
Mümkün olduğunda iki faktörlü kimlik doğrulaması kullanın

Daha: 2019'da Android için En İyi Şifre Yöneticileri

Bu uygulamalar, bu nitelikten yararlanılmasını engellemeyebilir, ancak eğer biri kişisel bilgilerinizden birkaçını alırsa, hasarı azaltabilir. Kötü adamlar için kolaylaştırma.

Daha fazla bilgi geliyor

Bahsedildiği gibi, Tencent Blade Ekibi Black Hat 2019 ve DEFCON 27'de yapılacak sunumlar sırasında QualPwn ile ilgili tüm detayları yayınlayacak. Bu konferanslar elektronik cihaz güvenliğine odaklanmış ve çoğu zaman bu gibi istismarları detaylandırmak için kullanılıyor.

Tencent Blade daha fazla ayrıntı verdiğinde, kendi telefonlarımızla riskleri azaltmak için neler yapabileceğimizi daha fazla bileceğiz.