相比Android系統(tǒng)漏洞，芯片漏洞危害更嚴(yán)重

　　作為移動(dòng)芯片廠商中的老大哥高通，旗下的驍龍系列芯片可以算是占據(jù)了Android手機(jī)陣營(yíng)的大半壁江山，這為高通賺來(lái)可觀利潤(rùn)的同時(shí)，也成為了不少黑客“照顧”的對(duì)象。

　　高通芯片出現(xiàn)漏洞這事兒已經(jīng)不止一次兩次了。

　　援引以色列信息安全研究公司Check Point的披露稱，最近又有四個(gè)存在于Android上新型漏洞與高通手機(jī)處理器的圖形處理芯片和內(nèi)核模塊有關(guān)。同時(shí)，因?yàn)檫@些漏洞和高通推出的處理器新品有關(guān)，所以據(jù)Check Point公司估計(jì)，全球?qū)?huì)有超過(guò)9億臺(tái)的Android設(shè)備可能存在安全風(fēng)險(xiǎn)。

　　在今年的5月份，美國(guó)網(wǎng)絡(luò)安全公司FireEye也向外界披露了高通芯片帶進(jìn)Android設(shè)備的另一個(gè)漏洞。更為可怕的是，這一芯片級(jí)的漏洞竟然已經(jīng)存在了長(zhǎng)達(dá)五年之久。而今年3月份谷歌發(fā)布的Android安全補(bǔ)丁中，高通所暴露出來(lái)的芯片漏洞可以讓黑客輕松對(duì)手機(jī)實(shí)施Root。Root對(duì)于Android手機(jī)來(lái)說(shuō)，大致相當(dāng)于一個(gè)人的免疫系統(tǒng)被徹底破壞。

　　為何“躺槍”的總是高通芯片？

　　作為移動(dòng)芯片廠商中的老大哥高通，旗下的驍龍系列芯片可以算是占據(jù)了Android手機(jī)陣營(yíng)的大半壁江山，這為高通賺來(lái)可觀利潤(rùn)的同時(shí)，也成為了不少黑客“照顧”的對(duì)象。

　　就像文章開(kāi)頭所說(shuō)的芯片漏洞，幾乎所有知名品牌的Android設(shè)備都受到其威脅，比如三星Galaxy S7/Edge，Google Nexus 5X、Nexus 6P，HTC One、M9、10以及LG G4、G5、V10等等。黑莓最近發(fā)布的，號(hào)稱最安全的Android手機(jī)DETK50也同樣未能幸免。

　　一旦黑客們找到高通芯片上的漏洞，即便是出現(xiàn)一個(gè)很小的漏洞，它也足矣讓高通公司、手機(jī)設(shè)備商們以及用戶們緊張。沒(méi)辦法，基數(shù)大，“躺槍”的概率也自然少不了，動(dòng)不動(dòng)便波及數(shù)以億計(jì)的Android手機(jī)設(shè)備也不是啥新鮮事兒。

　　除去“目標(biāo)”最明顯的高通外，聯(lián)發(fā)科家的芯片同樣也曾被曝光出有安全漏洞。

　　今年一月份就曾有媒體報(bào)道稱，部分使用MTK芯片的Android智能手機(jī)和平板電腦被發(fā)現(xiàn)存在漏洞，可致使設(shè)備受到安全攻擊。通過(guò)利用該漏洞，攻擊者將可獲取到設(shè)備中的隱私數(shù)據(jù)，甚至是遠(yuǎn)程監(jiān)控所有網(wǎng)絡(luò)活動(dòng)。

　　相比系統(tǒng)漏洞，芯片漏洞危害更嚴(yán)重

　　相比更為常見(jiàn)的系統(tǒng)（軟件）上的漏洞，手機(jī)芯片暴露出的漏洞問(wèn)題在嚴(yán)重性上要遠(yuǎn)超過(guò)前者。芯片漏洞會(huì)“潛伏”在一些軟件中，趁機(jī)獲取手機(jī)的Root權(quán)限，將用戶的隱私資料進(jìn)行泄露。在某些嚴(yán)重的情況下，甚至還有機(jī)會(huì)直接接管用戶手機(jī)的所有功能，不管是GPS、攝像頭還是麥克風(fēng)。

　　而且與系統(tǒng)（軟件）的漏洞不同，芯片漏洞更具廣泛性和普遍性。比如說(shuō)，某款軟件被黑客植入了漏洞，但用戶沒(méi)有在自己的手機(jī)上沒(méi)有進(jìn)行安裝，就可以避免受到該漏洞的攻擊。但對(duì)于芯片漏洞來(lái)說(shuō)，基本是百分之百“中招”。要是高通驍龍820處理器出現(xiàn)了芯片級(jí)漏洞，那所有搭載這一處理器的Android手機(jī)都可能會(huì)受影響，它才不管你是三星還是LG。

　　像高通、聯(lián)發(fā)科這樣的移動(dòng)芯片出廠大戶，芯片漏洞危害不僅對(duì)自己的企業(yè)形象有影響，還會(huì)讓手機(jī)生產(chǎn)商處于尷尬境地，用戶也極有可能會(huì)因?yàn)檫@樣的芯片漏洞遭受財(cái)產(chǎn)上的損失等。

　　修復(fù)漏洞容易，但用戶不一定能及時(shí)更新

　　發(fā)現(xiàn)漏洞后進(jìn)行相應(yīng)的修復(fù)，其實(shí)對(duì)于芯片廠商來(lái)說(shuō)并不是困難事兒。主要是難在如何將修復(fù)漏洞的補(bǔ)丁及時(shí)送達(dá)至用戶的設(shè)備上。

　　要想將芯片廠商提供補(bǔ)丁安裝到用戶的設(shè)備上，其實(shí)還需要一個(gè)比較冗長(zhǎng)的程序：

　　芯片廠商----》谷歌（Android）----》你的設(shè)備生產(chǎn)商----》你的通信運(yùn)營(yíng)商----》遠(yuǎn)程為你的設(shè)備安裝補(bǔ)丁

　　又由于Android生態(tài)的碎片化，各家設(shè)備生產(chǎn)商所使用的芯片和集成硬件不同，所以修復(fù)芯片漏洞補(bǔ)丁不能以通用的方式下發(fā)給用戶。這些補(bǔ)丁先是由谷歌分發(fā)給合作的手機(jī)廠商（手機(jī)廠商也可向谷歌索?。儆墒謾C(jī)廠商進(jìn)行測(cè)試，最后通過(guò)自家 ROM 進(jìn)行升級(jí)推送，這也就導(dǎo)致大部分手機(jī)都做不到及時(shí)更新最新補(bǔ)丁。

　　即便是高通、聯(lián)發(fā)科們馬不停蹄地發(fā)布漏洞補(bǔ)丁，但無(wú)奈最終安裝到用戶設(shè)備上的整個(gè)流程需要花費(fèi)不少的時(shí)間。

　　堵漏洞需要多方努力

　　芯片廠商應(yīng)重視產(chǎn)品所出現(xiàn)的安全漏洞并進(jìn)行積極修復(fù)，及時(shí)推出修復(fù)補(bǔ)丁并說(shuō)明該（這些）漏洞出現(xiàn)的原因以及解決辦法。

　　手機(jī)生產(chǎn)商方面需要發(fā)揮積極配合的作用，如有發(fā)現(xiàn)芯片級(jí)安全漏洞要及時(shí)向芯片廠商發(fā)出預(yù)警，并對(duì)用戶進(jìn)行相關(guān)安全漏洞提醒；在芯片廠商放出修復(fù)補(bǔ)丁后，需要積極進(jìn)行具體的產(chǎn)品適配及測(cè)試，之后通過(guò)OTA等方式向用戶推送修復(fù)更新。

　　而對(duì)于普通用戶來(lái)講，首先應(yīng)在購(gòu)買Android時(shí)優(yōu)先選擇一些國(guó)內(nèi)外知名廠商推出的新品，即便在今后的使用過(guò)程中出現(xiàn)了一些安全漏洞，至少可以在系統(tǒng)補(bǔ)丁方面能獲得一個(gè)較快的更新。其次，在手機(jī)使用過(guò)程中，盡量避免下載、安裝一些來(lái)路不明的應(yīng)用程序，最大程度地降低安全風(fēng)險(xiǎn)；如果手機(jī)中出現(xiàn)有系統(tǒng)方面的更新，盡早進(jìn)行升級(jí)，同樣也可以起到防范芯片漏洞的作用。