三星键盘漏洞仍未修复 6亿手机身处险境

06月17日消息，最近发现的一个严重的安卓默认键盘漏洞可能会影响手机的整体安全，6亿部三星手机都会受到影响。

　　该漏洞由移动安全公司NowSecure的Ryan Welton发现，它实际上非常明显：三星手机上默认安装的SwiftKey键盘应用会扫描语言更新包，包括未经加密的文件，这就给了Welton一个建立欺骗代理服务器并把恶意代码传入手机。在手机中有了后门之后，他就可以通过很多手段扩大自己的权限并最终在用户毫不知情的情况下控制手机。

在较坏的情境下，黑客获得用户手机管理员权限后可以把手机内的联系人资料、短信内容、银行账号等等一系列私人信息传出手机。也可以用作远程监控用户的一种途径。

　　在2014年11月份三星就收到了关于此漏洞的警告，当时三星表示正在开发补丁并在今年3月为安卓4.2及以上系统更新了补丁。但NowSecure认为现在的手机仍然有漏洞。Welton在伦敦黑帽子安全峰会上现场对一部使用Verizon网络的三星Galaxy S6手机进行了测试，并宣布以同样的方法取得了成功。一名NowSecure发言人表示：“我们已经确认了Galaxy S6手机在Verizon和Sprint网络下仍然没有修复这个问题，他还说道三星的主要产品线包括S3、S4、S5、Note3、Note4都可能存在同样的问题。Verizon、Sprint两家运营商目前都没有做出回应。

　　一名SwiftKey发言人表示：“我们已经读过关于三星手机键盘的安全报告，我们可以保证Google Play和Apple Store上的SwiftKey键盘应用是没有这些问题的。我们非常重视类似的安全问题，并已经在深入调查这个问题了。”

Welton表示这些手机的用户现在的处境比较尴尬，因为系统键盘不能卸载，而且即便使用别的键盘作为默认键盘，这个漏洞同样可以被利用。在更新补丁发布前，三星手机用户应该在接入网络时询问运营商是否已有针对该漏洞的补丁。

　　截止本文发表时三星还未就此作出评论。一个对三星还算挽尊的消息是，在利用该漏洞进入用户的手机之前，黑客必须想办法与该三星手机共处同一个无线网络中，虽然对于有经验的黑客来说在同一个WiFi中找出Galaxy S6手机应该是小菜一碟。如果远程突破的话，就需要黑掉DNS或者路由器才行。