研究：数百万台Android装置加密不牢靠，恐曝资安风险
报价宝综合消息研究：数百万台Android装置加密不牢靠，恐曝资安风险
安全研究人员Gal Beniamini近日揭露，采用Qualcomm处理器的Android装置因含有两个安全漏洞，将允许骇客取得全磁盘加密（Full Disk Encryption，FDE）中的装置加密金钥（Device Encryption Key，DEK），估计有数百万台的Android装置蒙受风险。
FDE是Android 5.0（Lollipop）以上才有的功能，它以加密金钥（DEK）来加密装置上的所有资料，再辅以使用者所设定的PIN码、密码或操作手势来解密。
DEK原本是储存在Android中TrustZone区域的KeyMaster模组内，在TrustZone是Android核心中的一个特别区域，它隔离了其他的Android核心，且专门用来处理重要且机密的程序。然而，在采用Qualcomm Snapdragon处理器的Android装置中，KeyMaster模组却是被置放在Qualcomm芯片组的安全执行环境（QSEE）中，而非Android核心里。
Beniamini设计了一款攻击程式，可利用已知的CVE-2015-6639与CVE-2016-2431等两个安全漏洞存取位于QSEE中的DEK金钥，且已于GitHub公布该程式。
在取得DEK金钥之后，意谓著骇客只要再破解使用者的PIN码、密码或操作手势，就能存取装置上的加密资讯。
虽然被Beniamini用来开采的两个漏洞皆已修补，Beniamini也因此获得了Google所提供的抓漏奖励，但由于KeyMaster属于硬件抽象层，Beniamini认为修补相关漏洞并不容易，或者必须变更硬件设计，不过，不论是Google或Qualcomm都未提及硬件的修补。
