安全研究員 Keegan Ryan 最近發現 Android 手機中高通晶片上的 ECDSA 加密簽章演算法實現有重大缺陷 (CVE-2018-11976)。此缺陷允許攻擊者從安全執行環境（高通安全執行環境，QSEE）中恢復金鑰。這是晶片的儲存區域，儲存裝置的主金鑰，用於進行最敏感的資料處理，例如產生私鑰或建立簽章。該區域與作業系統的其餘部分隔離。任何應用程式都無法存取它，即使它具有 root 存取權限。
難以概括的攻擊
透過針對 Nexus 5X 的快取進行旁路攻擊，安全研究人員表明，仍然有可能從 QSEE 中洩露訊息，例如找到先前產生的 256 位 ECDSA 金鑰。這種攻擊破壞了數億部 Android 智慧型手機的安全架構。幸運的是，它執行起來相當複雜，而且不容易推廣，因為它需要適應每種型號的智慧型手機。
接到安全研究人員的警報後，高通已經發布了補丁。在一個公報，製造商指定了真正受此缺陷影響的 35 種晶片組。其最受歡迎的晶片，包括所有最新的 Snapdragon SoC，都受到了影響。該補丁已包含在最新版本中安卓更新，日期 1是四月。現在需要營運商和各個製造商盡快傳播它。這並不是第一次在 QSEE 環境中發現缺陷。 2016年，研究人員加爾·貝尼亞米尼已經發現了類似的漏洞。
