400 difetti trovati nei processori Snapdragon: miliardi di smartphone possono essere trasformati in bug o bloccati

Lo chiamavano “Achille”, e il riferimento va all’evidente debolezza dell’eroe della mitologia greca. In questo caso il tallone d’Achille è il processore DSP Snapdragon, l’Hexagon, all’interno del quale CheckPoint Security trovato oltre 400 fughe di notizie diverse.

Lo Snapdragon prodotto da Qualcomm, azienda americana con sede a San Diego, è il processore che oggi dà vita a oltre il 40% degli smartphone in giro per il mondo: se togliamo un po ‘di Samsung, un po’ di Huawei, qualche smartphone Android di basso livello- fine e iPhone tutto il resto è Snapdragon. Miliardi di telefoni.

Lo Snapdragon è un SoC, System on Chip, ovvero un processore che include tanti piccoli blocchi al suo interno: c’è la CPU che è il processore vero e proprio, c’è la GPU che è il processore grafico e c’è anche quello che di solito viene chiamato DSP, in nel caso di Qualcomm questo DSP è stato battezzato Hexagon.

Il DSP viene utilizzato per svolgere compiti precisi alleggerendo il carico del processore: si occupa della conversione video, della gestione dell’audio, della ricarica, della realtà aumentata o mantenendo sempre i microfoni in ascolto per gli assistenti vocali. Oggi gran parte del lavoro su uno smartphone è svolto dal DSP, che nel caso di Qualcomm funziona anche come acceleratore dell’intelligenza artificiale.

Il DSP di un SoC come Snapdragon è la parte più delicata del chip perché è quella che viene creata e progettata dallo stesso produttore del chip e è una specie di scatola nera perché solo il produttore può guardare dentro, di solito l’accesso al DSP non è concesso ai partner.

Questa piccola gestione “aperta” ha portato questi DSP a diventare i veri punti deboli dei chip moderni, e CheckPoint ha scoperto che Snapdragon è un setaccio.

Data la gravità del problema, CheckPoint non è entrato nei dettagli dei chip analizzati, si è limitato a descrivere cosa è possibile fare con le vulnerabilità riscontrate e lo scenario è molto grave.

Uno scenario molto serio: i telefoni si sono trasformati in insetti

Il DSP gestisce microfoni, audio, fotocamera, tastiera, e con i bug trovati non è difficile trasformare uno smartphone in un completo strumento di spionaggio in grado di accedere e inviare a terzi le foto e i video presenti sul cellulare, registrando le telefonate , accedere al microfono in tempo reale e accedere al GPS. Scene di film, ma CheckPoint assicura che è tutto reale.

Non solo: sfruttando tre vulnerabilità è possibile bloccare completamente il telefono impedendone il pieno accesso, trasformandolo in una sorta di mattone “illuminato”.

Una vulnerabilità viene solitamente misurata anche nel modo in cui può essere sfruttata, ma quelle trovate su Snapdragons possono essere utilizzate semplicemente scaricando un file video o riproducendolo oppure scaricando un’applicazione. E tutto senza permessi speciali.

Check Point Research ha deciso di non pubblicare i dettagli tecnici di queste vulnerabilità fino a quando gli operatori di telefonia mobile non avranno una soluzione completa per mitigare i possibili rischi descritti, tuttavia, hanno pubblicato la notizia per sensibilizzare sui temi della sicurezza.

Data la gravità della questione, la società ha anche aggiornato i funzionari governativi competenti e gli operatori di telefonia mobile: a queste parti interessate sono stati rivelati tutti i dettagli dell’indagine.

Qualcomm ha già chiuso i bug ma nessuno ha implementato la soluzione

E Qualcomm in tutto questo? L’azienda di San Diego non ha smentito la notizia, anzi, l’ha anzi confermata, e questa era l’affermazione: “Per quanto riguarda la vulnerabilità Qualcomm Compute DSP rivelata da Check Point, abbiamo lavorato diligentemente per convalidare il problema e mettere a disposizione degli OEM misure di mitigazione appropriate. Non abbiamo prove che sia attualmente sfruttato. Incoraggiamo gli utenti finali ad aggiornare i propri dispositivi non appena le patch diventano disponibili e a installare le applicazioni solo da posizioni attendibili come Google Play Store”

Ad oggi però nessuno ha incorporato alcuna patch, e anche Google sembra non aver dato conferma in questo senso: la bomba è appena esplosa, e solo nelle prossime settimane sarà possibile capire cosa accadrà.

Come abbiamo scritto sopra, vista la gravità di questi difetti, il numero di smartphone coinvolti, più di un miliardo, e la facilità con cui è possibile trasformare uno smartphone in uno strumento di sorveglianza, Check Point non pubblicherà nulla finché non ci sarà un soluzione completa, soluzione che potrebbe non arrivare mai: se dovessimo avere il 10% dei dispositivi aggiornati sul miliardo in circolazione sarebbe già un miracolo.

Le vulnerabilità sono state classificate CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 e CVE-2020-11209, ma come abbiamo scritto i dettagli sono stati forniti solo ai produttori di smartphone ea coloro che devono lavorare su soluzioni per mitigare gli attacchi. Per chi volesse seguire l’intera presentazione che ha avuto luogo al DefCom, pubblichiamo il video qui sotto.

Due note. Lo Snapdragon è un chip americano, realizzato da un’azienda americana, Qualcomm. L’intera famiglia di processori è vulnerabile a un numero enorme di bug che portano un livello di rischio molto alto a chi utilizza smartphone con questo chip: anche se i dettagli non sono noti, anche solo la notizia che l’Hexagon DSP ha 400 bug sfruttabili lo farà innescare la caccia alla fuga di notizie sul darkweb. Se invece di “americano” e “Qualcomm” avessimo messo “cinese” e “Mediatek” o “Huawei” come sarebbero state accolte tali notizie?

La seconda nota riguarda l’importanza degli aggiornamenti di sicurezza: una domanda simile richiede una reazione immediata, chi ha speso 900 euro per uno smartphone non puoi aver paura di guardare un video, perché oggi con questi difetti è teoricamente sufficiente guardare un video per perdere il controllo del telefono e venderlo a terzi. La sicurezza di avere aggiornamenti veloci, e per molti anni, dovrebbe essere il primo motivo per scegliere uno smartphone.