10月24號(hào)下午，GeekPwn 2020 國(guó)際安全極客大賽上，騰訊安全玄武實(shí)驗(yàn)室高級(jí)研究員李冠成、戴戈演示了一項(xiàng)最新的5G安全研究發(fā)現(xiàn)：利用5G通信協(xié)議的設(shè)計(jì)問(wèn)題，黑客可以“劫持”同一個(gè)基站覆蓋下的任意一臺(tái)手機(jī)的TCP通訊，包括各類短信收發(fā)、App和服務(wù)端的通信均有可能被劫持。
這意味著用戶收到一條顯示為“955**”的銀行短信或者App消息推送有可能來(lái)自未知的惡意用戶。黑產(chǎn)團(tuán)伙可以利用這個(gè)漏洞實(shí)施多種形式的攻擊，例如偽造銀行向受害者發(fā)送短信告知異常交易，引導(dǎo)受害者去點(diǎn)擊一個(gè)鏈接，實(shí)際上這個(gè)鏈接被植入木馬，可以竊取受害者銀行卡信息;也有可能偽造受害者的手機(jī)號(hào)向其家人發(fā)短信，提出轉(zhuǎn)賬或者其他要求;甚至劫持任意HTTP訪問(wèn)，造成用戶賬號(hào)密碼等敏感信息泄露。
據(jù)玄武實(shí)驗(yàn)室透露，這項(xiàng)漏洞是通信協(xié)議漏洞，不依賴于任何特定設(shè)備或者網(wǎng)絡(luò)環(huán)境，只要攻擊者和被攻擊者處于同一個(gè)基站覆蓋下就可以完成攻擊，并且整個(gè)過(guò)程用戶側(cè)毫無(wú)感知。5G、4G、3G通信協(xié)議中均存在這個(gè)漏洞。
“隨著通信技術(shù)的升級(jí)換代，從整體上看5G通訊在安全性上有了更大的保障，但并不意味著我們可以對(duì)5G安全問(wèn)題掉以輕心。”騰訊安全玄武實(shí)驗(yàn)室高級(jí)研究員李冠成表示。中國(guó)信息通訊研究院5月份發(fā)布的《5G安全報(bào)告》指出，除了技術(shù)本身不成熟帶來(lái)的原生安全問(wèn)題之外，應(yīng)用場(chǎng)景自身特點(diǎn)面臨新的安全風(fēng)險(xiǎn)也是影響 5G 融合業(yè)務(wù)發(fā)展的關(guān)鍵要素。
5G正在加速普及。工業(yè)和信息化部信息通信發(fā)展司司長(zhǎng)、新聞發(fā)言人聞庫(kù)7月份透露，截至今年6月底，我國(guó)入網(wǎng)的5G終端數(shù)有6600萬(wàn)部，5G手機(jī)累計(jì)出貨量超過(guò)7700萬(wàn)部，3家基礎(chǔ)電信企業(yè)在全國(guó)已建設(shè)開通5G基站超40萬(wàn)個(gè)。作為“新基建”的重要組成部分，5G網(wǎng)絡(luò)將為物聯(lián)網(wǎng)、智慧城市、智慧農(nóng)業(yè)、智慧醫(yī)療和泛娛樂(lè)等方方面面的產(chǎn)業(yè)發(fā)展提供新的機(jī)遇。但與此同時(shí)，和任何新技術(shù)的發(fā)展和應(yīng)用一樣，5G 作為關(guān)鍵信息基礎(chǔ)設(shè)施和數(shù)字化轉(zhuǎn)型的重要基石在開啟萬(wàn)物互聯(lián)新局面的同時(shí)，也會(huì)帶來(lái)新的安全挑戰(zhàn)和風(fēng)險(xiǎn)。對(duì)此我們需要安全左移，提前展開攻防研究工作。
作為行業(yè)領(lǐng)先的安全研究機(jī)構(gòu)，騰訊安全玄武實(shí)驗(yàn)室也一直在深耕包括5G安全、物聯(lián)網(wǎng)安全、AI安全等在內(nèi)的新領(lǐng)域的研究。從2015年開始，玄武實(shí)驗(yàn)室陸續(xù)披露了BadBarcode、應(yīng)用克隆、殘跡重用、BucketShock、BadPower等對(duì)行業(yè)影響深遠(yuǎn)的安全問(wèn)題，并推動(dòng)相關(guān)廠商一起提升相應(yīng)的安全建設(shè)工作。今年9月16號(hào)，玄武實(shí)驗(yàn)室首次發(fā)布了針對(duì)快充行業(yè)的安全測(cè)試服務(wù)，幫助一起解決設(shè)備出廠之前可能存在的Badpower相關(guān)安全問(wèn)題。
在新技術(shù)領(lǐng)域的安全研究中，騰訊安全將會(huì)以過(guò)去的能力積累為技術(shù)儲(chǔ)備和智力支持，并將這些技術(shù)和能力反哺到產(chǎn)品和相關(guān)解決方案里，為新基建提供全領(lǐng)域、全周期安全解決方案，護(hù)航產(chǎn)業(yè)數(shù)字化升級(jí)。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
