手机换屏维修所更换的组件存在窃取信息风险

据美国科技媒体网站 Ars Technica 报道，手机换屏维修所更换的组件存在窃取信息风险。在最新的一次对安卓手机换屏调查中发现，存在非法键入信息和程序的情况。这种隐患屏幕会利用操作系统漏洞，绕过手机中的主安全保护系统，其手机会被安装恶意程序并将偷拍照片以邮件方式传给黑客。最可怕的是，这些隐患更具隐蔽性，很多维修技术员难以发现，除非是有组件安装背景的专家将维修手机拆开并进行检查。

该调查出现在本周 2017 USENIX 黑客技术研讨会的一份文件中，旨在强调通常被忽视的智能手机维修安全风险。无论是安卓还是 iOS 系统的手机制造商都在被调查研究之列，而被更换的组件是在设备 “ 信任边界 ” 以内。尽管制造商提供了安全保护，但换屏期间仍存在的恶意组件对驱动程序的入侵并被认定为可信。手机一旦被送入第三方维修点，其安全模型则面临被攻破的风险，毕竟没有可靠方式保证维修程序未被篡改。

来自以色列内盖夫本 · 古里安大学（Ben-Gurion University of the Negev）的研究者写道 :“ 消费性电子产品潜在的外部恶意攻击风险值得重视。正如报告显示，电子产品被窃听存在可能性、扩展性和隐蔽性。很容易被不法分子加以大规模利用或针对性攻击。系统设计者应考虑将更换组件设立在手机信任边界以外，并针对性地设计防御程序”。报道称，研究人员在一块正常手机屏幕嵌入入侵芯片，篡改通信主线，模拟两个终端间的恶意集成电路，监视或修改终端通信。

而入侵芯片中的代码可以在用户不授权的情况下私自进行多项入侵。例如，用于实验的芯片可以解锁安全模式和键盘的输入信息、私自照相并将数据传给黑客、替换用户常用网址为钓鱼网址并肆意安装手机软件。进阶版的攻击包括利用操作系统内核漏洞。为了能保证隐蔽性，恶意程序还会使手机关机黑屏。

为了能将恶意指令传达到驱动程序和触摸屏，研究人员借助了 ATmega328 Arduino 和 STM32L432 开源微处理器，并表示其它微处理器同样能达到效果。虽然研究人员是用安卓系统做的研究，但不保证 iOS 系统不会存在此类问题。这类攻击是低成本的、不易察觉并有大规模现身的可能。而维修技术人员自身无法检测出恶意组件则是尤其值得关注的部分。目前，国外网友们纷纷表示有过类似体验，并发出 “ 这正是完善相关维修法律时刻 ” 的呼吁。

稿源：cnBeta、网易科技；封面源自网络；