Tencent|腾讯公布快充重大安全漏洞：影响数亿设备、可直接烧毁
这几年，快充技术发展越来越快，这几天各家也纷纷宣布了100W、125W的超级快充技术，但一直以来，围绕快充的安全性也存在不少疑虑甚至争议，包括对手机和电池的影响，以及充电技术本身的隐患 。
7月16日，腾讯安全玄武实验室发布研究报告称，市面上现行的大量快充设备存在安全问题，攻击者可通过改写快充设备的固件控制充电行为，造成被充电设备元器件烧毁，甚至更严重的后果，保守估计受影响的终端设备数量可能数以亿计，凡是通过USB供电的设备都可能成为受害者 。
腾讯将此安全问题命名为“BadPower”，这也是继“BadBarcode”、“BadTunnel”、“应用克隆”、“残迹重用”、“BucketShock”等等之后，腾讯安全玄武实验室发布的又一安全问题报告 。
腾讯认为，BadPower可能是世界上第一个能从数字世界攻击物理世界且影响范围如此之大的安全问题
文章图片
某受电设备遭BadPower攻击时芯片烧毁的情况
据介绍，腾讯玄武安全实验室测试了市面上35款支持快充的充电器、充电宝等产品，发现其中18款存在安全问题，涉及到8个不同品牌、9个不同型号的快充芯片，当然具体名单不能公布 。
借助此隐患，攻击者可利用特制设备或被入侵的手机、笔记本等数字终端，入侵快充设备的固件，控制充电行为，使其向受电设备发送过高的功率，从而导致受电设备的元器件击穿、烧毁，还可能进一步给受电设备所在物理环境造成安全风险 。
攻击方式包括物理接触和非物理接触，其中有相当一部分攻击可以通过远程方式完成，18款设备有11款都可以通过数码终端进行无物理接触的攻击 。
可以看出，BadPower和传统的安全问题不同，它不会导致用户的数据隐私泄露，但是会造成实实在在的财产损失，甚至威胁人身安全，事实上更加严重 。
文章图片
攻击效果动图演示
不过幸运的是，BadPower问题大部分都可以通过更新设备固件的方式进行修复，普通用户可以注意：不要轻易把自己的充电设备借给别人、不要用快充充电器给不支持快充的设备充电等 。
腾讯还强调，不同的快充协议本身没有安全性高低的差别，风险主要取决于是否允许通过USB口改写固件，以及是否对改写固件操作进行了安全校验等 。
玄武实验室也针对市面上的快充芯片进行了调研，发现接近60％的具备成品后通过USB口更新固件的功能，因此建议使用这些芯片制造产品时，要在设计时就充分考虑安全，严格控制安全校验机制、固件代码、软件漏洞等 。
腾讯安全玄武实验室已于今年3月27日将“BadPower”问题上报给国家主管机构CNVD，同时也在积极协调相关厂商，推动行业采取积极措施消除BadPower问题，并建议相关部门将安全校验纳入快充技术国家标准 。
据透露，小米、Anker目前是腾讯玄武实验室的紧密合作伙伴，对这次研究工作做出了贡献，在未来上市的快充产品中也会加入玄武安全检测环节 。
文章图片
附腾讯玄武安全实验室官方问答——
Q1：这次BadPower影响面大概是怎样的？哪些设备、厂商需要格外关注BadPower问题？
A：我们目前主要分析了一些充电器、充电宝等产品 。但其实所有支持快充技术的可对外供电的设备都可能存在类似问题 。
快充供电产业链厂商格外需要关注这个问题 。其中包括生产快充设备的厂商，也包括生产快充芯片的厂商等 。
同时，凡是通过USB供电的设备都可能成为BadPower功率过载攻击的受害者，所以至少也应该了解这个风险 。
Q2：厂商可以怎样解决BadPower问题？用户需要做什么？
A：厂商：大部分BadPower问题可通过更新设备固件进行修复 。设备厂商可根据情况，采取措施修复已销售产品中的BadPower问题，例如通过维修网点帮助用户更新充电设备中的固件，或通过网络向手机等支持快充技术的终端设备下发安全更新，升级充电设备中的固件 。
在未来设计和制造快充产品时应注意：
1、对通过USB口更新固件的行为进行严格的合法性校验，或不提供该功能；
2、对设备固件代码进行严格安全检查，防止常见软件漏洞 。
用户：普通用户也可采取一些措施减轻BadPower的威胁 。例如不要轻易把自己的充电器、充电宝等给别人使用 。同时建议不要用Type-C转其它USB接口的线缆让快充设备给不支持快充的受电设备供电 。因为支持快充技术的受电设备过载保护通常好于不支持快充技术的受电设备 。在遭受功率过载时，有更好过载保护的设备可能导致的后果更轻，甚至可能不受影响 。
Q3：请介绍一下你们是怎么攻击这些快充设备的，这种攻击方式有没有可能也同样沿用到别的场景？
A：恶意攻击者可利用特殊设备（物理攻击）或被入侵的数字终端改写快充设备的固件，从而控制充电行为 。
推荐阅读
- 951|青岛中考落幕 九年级单科最大缺考951人 8月14日将公布成绩
- 最新趣闻|王源不鸣则已一鸣惊人，11字更博公布喜讯，评论区一片“恭喜”
- emoji|苹果公布最新emoji表情符号 珍珠奶茶也能用符号表达了
- App|全国多地高考查分时间公布，百度App上线官方查分服务
- 东莞新增报告1例境外输入无症状感染者，详情公布！
- 腾讯战略投资短视频电商平台「成物」；京东战略投资城市生活体验平台「首旅慧科」丨 IT桔子周报
- 语音|腾讯系AI语音助手：从家居场景到全面上车，还要打通小程序
- 成绩|7月23日18时，上海高考成绩将公布（附查询方式）
- 合成|安徽高考评卷进入统分合成阶段！周四公布投档线
- |20号开始报名！珠海这些学校的招生计划公布…