腾讯安全团队发现最新5G漏洞

编辑:IT猫 发布于2020-10-25 21:11

在10月24号下午的GeekPwn2020国际安全极客大赛上,腾讯安全玄武实验室高级研究员李冠成、Dego展示了他们对5G安全的最新研究发现:利用5G通信协议的设计问题,黑客可以在同一基站覆盖下劫持任意一部手机的TCP通讯,包括所有类型的短信收发,App通信和服务端通信都可能被劫持。

移动通讯被“劫持”:腾讯秘密实验室披露5G最新安全漏洞。

这就是说,用户收到了一条显示为“955**”的银行短信或应用程序消息推送,很可能来自不明恶意用户。黑作坊可以利用这个漏洞进行多种形式的攻击,如伪造银行向受害人发送短信,告知不正常的交易,引导受害人点击一个实际上可以盗取受害人银行卡信息的木马链接,或者伪造受害人的手机号码给其家人发短信,请求转账或其他请求,甚至劫持任意HTTP访问权限,导致用户帐号密码等敏感信息泄露。

根据玄武实验室的说法,该漏洞是一种通信协议漏洞,它不依赖于任何特定的设备或网络环境,只要攻击者和被攻击者位于同一基站覆盖下,并且整个过程没有被用户侧察觉。这个漏洞在5G,4G,3G通信协议中都存在。

他说:“随着通信技术的不断发展,5G通信在总体上有了更大的安全保障,但这并不意味着5G安全问题可以轻而易举地解决。腾讯安全玄武实验室高级研究员李冠成表示。五月份,中国信息通信研究院发布了5G安全报告,指出除了技术本身还不成熟所带来的本地安全问题外,应用场景自身特性带来的新的安全风险也是影响5G融合业务发展的关键因素。

五G正在加速普及。工信部信息通信发展司司长闻库7月透露,截至今年6月底,我国5G终端总数达6600万台,5G手机已达7700万部,3家基础电信企业已在全国建成并投入使用5G基站超过40万个。5G网络作为“新基础”的重要组成部分,将为物联网、智慧城市、智慧农业、智慧医疗以及泛娱乐等各领域的产业发展带来新机遇。但是同时,就像任何新技术的开发和应用一样,5G作为关键信息基础设施和数字化转型的重要组成部分,在开启万物互联新局面的同时,也带来了新的安全挑战和风险。为此我们需要安全的左移,提前开展攻防的研究工作。

腾讯安全玄武实验室是业界领先的安全研究机构,同时也在深入研究包括5G安全,物联网安全,AI安全等新领域。自2015年起,玄武实验室相继公布了BadBarcode,应用克隆,残骸再利用,BucketShock,BadPower等对行业有深远影响的安全问题,并推动相关厂商齐心协力,共同推进相关安全建设工作。九月十六,玄武实验室首次为快充业发布了安全测试服务,帮助解决设备出厂前可能存在的Badpower相关安全问题。

腾讯安全将利用以往在新技术领域的研究积累,作为技术储备和智力支持,并将这些技术和能力反哺到产品和相关解决方案中,为新基础设施提供全方位、周期的安全解决方案,为产业数字化升级保驾护航。