加密Bug影响苹果等大型厂商蓝牙、操作系统驱动程序
消息来源:baojiabao.com 作者: 发布时间:2024-04-27
E安全7月25日讯 来自以色列理工学院的两位科学家 Lior Neumann 与 Eli Biham 发现,一项加密 Bug (编号CVE-2018-5383)已被证实影响到多种蓝牙及操作系统驱动程序,影响苹果、博通、英特尔、高通等多家硬件供应商的相关产品。
本文源自E安全
漏洞原因
造成此项 Bug 的原因,在于支持蓝牙功能的设备无法充分验证“安全”蓝牙连接期间所使用的加密参数。更准确地说,配对设备无法充分验证在 Diffie-Hellman 密钥交换期间用于生成公钥的椭圆曲线参数。
这将导致弱配对问题,并可能允许远程攻击者获取设备所使用的加密密钥并恢复在“安全”蓝牙连接中配对的两台设备间发送的往来数据。
蓝牙与蓝牙LE皆会受到影响
蓝牙标准中的“安全简单配对”过程与蓝牙LE(低功耗蓝牙)中的“安全连接”配对过程皆会受到影响。
CERT/CC 在2018年7月23日发布了一份安全通报,其中包含以下与此项漏洞相关的说明:
蓝牙利用基于椭圆曲线 Diffie-Hellman(简称ECDH)密钥交换的设备配对机制实现设备之间的加密通信。ECDH 密钥由私钥及公钥组成,且双方交换公钥以共享配对密钥。设备还必须接受所使用的椭圆曲线参数。此前关于“曲线无效化攻击”证明,ECDH 参数在用于计算共享密钥之前并不总会经过验证——即可能并未验证所有共享密钥计算之前存在的参数,这可能减少攻击者获取受攻击设备私钥时需要处理的工作量。
在某些实现方案中,椭圆曲线参数并未全部由加密算法进行验证,这将允许处于同一无线范围内的远程攻击者注入无效公钥以高概率确定会话密钥。此后,攻击者将能够以被动方式拦截并解密所有设备间往来消息,及/或伪造与注入恶意消息。
本文源自E安全
多家大型供应商受到影响
苹果、博通、英特尔以及高通等公司已经确认其蓝牙与操作系统驱动程序受到影响。
- 苹果与博通双方针对该项漏洞部署了修复程序;
- 英特尔与高通方面尚未做出补救性举措;
CERT/CC 专家们还无法确定 Android、谷歌设备或者其它 Linux 内核类方案是否受到影响。
微软不受影响
微软公司表示,其设备不会受到影响。
蓝牙特别兴趣小组(简称 SIG)作为蓝牙标准的开发监督机构,已经就此项安全漏洞发布一份声明:
要成功实施攻击,攻击方需要确保攻击设备处于通过配对程序连接的两台易受攻击蓝牙设备的无线范围之内。攻击设备需要阻止每一次传输、向发送设备发送确认,而后在短时间窗口内将恶意数据包注入接收设备的方式拦截公钥交换过程。如果配对双方中只有一台设备存在漏洞,则攻击无法成功。
该组织表示,目前其已经更新了蓝牙官方标准,要求所有配对设备必须对加密蓝牙连接中基于密钥的所有参数进行验证。研究人员与蓝牙 SIG 指出,他们还没有发现任何可能利用此项安全漏洞的实际攻击活动。
补丁发布方式
此项针对 CVE-2018-5358 漏洞的更新将以操作系统更新/驱动程序更新(面向台式机、笔记本电脑以及智能手机)或固件更新(面向物联网/智能设备)的方式发布。
注:本文由E安全编译报道,转载请注明原文地址
相关文章
- 中兴受美国制裁事件 被罚了20亿美元过程事件始末 中兴被制裁后公司现状
2023-11-02 22:12:46
- B站怎么炸崩了哔哩哔哩服务器今日怎么又炸挂了?技术团队公开早先原因
2023-03-06 19:05:55
- 苹果iPhoneXS/XR手机电池容量续航最强?答案揭晓
2023-02-19 15:09:54
- 华为荣耀两款机型起内讧:荣耀Play官方价格同价同配该如何选?
2023-02-17 23:21:27
- google谷歌原生系统Pixel3 XL/4/5/6 pro手机价格:刘海屏设计顶配版曾卖6900元
2023-02-17 18:58:09
- 科大讯飞同传同声翻译软件造假 浮夸不能只罚酒三杯
2023-02-17 18:46:15
- 华为mate20pro系列手机首发上市日期价格,屏幕和电池参数配置对比
2023-02-17 18:42:49
- 小米MAX4手机上市日期首发价格 骁龙720打造大屏标准
2023-02-17 18:37:22
- 武汉弘芯遣散!结局是总投资1280亿项目烂尾 光刻机抵押换钱
2023-02-16 15:53:18
- 谷歌GoogleDrive网云盘下载改名“GoogleOne” 容量提升价格优惠
2023-02-16 13:34:45
- 巴斯夫将裁员6000人 众化工巨头裁员潮再度引发关注
2023-02-13 16:49:06
- 人手不足 韵达快递客服回应大量包裹派送异常没有收到
2023-02-07 15:25:20
- 资本微念与李子柒销声匿迹谁赢? 微念公司退出子柒文化股东
2023-02-02 09:24:38
- 三星GalaxyS8 S9 S10系统恢复出厂设置一直卡在正在检查更新怎么办
2023-01-24 10:10:02
- 华为Mate50 RS保时捷最新款顶级手机2022多少钱?1.2万元售价外观图片吊打iPhone14
2023-01-06 20:27:09
- 芯片常见的CPU芯片封装方式 QFP和QFN封装的区别?
2022-12-02 17:25:17
- 华为暂缓招聘停止社招了吗?官方回应来了
2022-11-19 11:53:50
- 热血江湖手游:长枪铁甲 刚猛热血 正派枪客全攻略技能介绍大全
2022-11-16 16:59:09
- 东京把玩了尼康微单相机Z7 尼康Z7现在卖多少钱?
2022-10-22 15:21:55
- 苹果iPhone手机灵动岛大热:安卓灵动岛App应用下载安装量超100万次
2022-10-03 22:13:45