資安業者分析:小米支付有漏洞,恐被駭客偷錢

作者 | 發布日期 2022 年 08 月 15 日 10:54 | 分類 Android 手機 , 行動支付 , 資訊安全 Telegram share ! follow us in feedly


受到疫情影響,現在大多數人在消費時往往會選擇行動支付的方式來減少接觸;大多數人對於手機業者提供的行動支付服務相當信任,很少會懷疑這項服務有什麼不利己之處。只是現在資安業者 Check Point 分析了搭載聯發科晶片的小米手機,其所內建的行動支付系統可能暗藏漏洞,恐讓駭客有機會進入你的行動支付系統中偷走你的錢。

根據 Check Point 官方部落格指出,這次的研究是利用搭載聯發科晶片的紅米 Note 9T 5G 手機,其作業系統版本為 MIUI Global 12.5.6.0。

Check Point 表示,多年來可信任執行環境(TEE)一直是行動設備中不可或缺的一部分,TEE 主要的工作就是安全地儲存敏感資訊,例如加密密鑰與使用者的指紋資訊等。由於行動支付的簽名(認證)是在 TEE 中執行,假若 TEE 是安全的,那麼使用者的支付行為就會是安全的。

現在 TEE 較多是由高通的 QSEE 來實現,基於聯發科晶片的智慧手機雖然在亞洲市場被廣泛地使用,但卻較少有安全研究人員會審查這一類手機,也因此沒有人會特別再去審查由手機供應商(例如小米)所編寫的可信應用程式。

Check Point 發現,攻擊者可以將較舊版本的可信應用程式傳送到這一類的設備中,並使用它來覆蓋新的應用程式文件,透過這種降級的方式,就可以繞過小米或聯發科在受信任的應用程式中所做的安全修復。

在小米的手機中內建了一個名為騰訊 Soter 的嵌入式行動支付框架,而這項由 Check Point 發現的漏洞(CVE-2020-14125)將會完全破壞騰訊 Soter 平台,這將允許未經授權的用戶得以認證偽造的支付行為。

Check Point 指出,再經由該公司的協助與揭露後,小米官方已於 6 月時修補了這項漏洞,建議使用者應該要將手機的作業系統更新到最新版本。

針對這項漏洞,小米發言人也回應,造成該漏洞的原因已被鎖定,技術團隊正和供應鏈合作伙伴緊密合作、消除隱患,已啟動相關修復程序。另外,該漏洞僅存在於有限機型,且破解技術難度要求極高,不會存在廣泛影響,也未造成實質性的用戶損失。

(首圖來源:shutterstock)