6月9日消息（南山）近日，多家媒体报道，以色列网络安全公司Check Point Research发布公告称，在研究紫光展锐的移动处理器时，发现其LTE协议栈有漏洞，当攻击者利用发射站发送格式错误的数据包，基于紫光展锐处理器的手机基带就会重启，从而对用户通讯造成影响。
面向公开市场，紫光展锐是中国大陆地区最大的手机芯片企业，加之Check Point Research 宣称“全球11%安卓手机受影响”，可能的“后果”如此严重，引起了业界不小的关注。但，“严重安全漏洞”，真的很严重吗？
“耸人听闻”的背后
“严重安全漏洞”，猛一看的确有些吓人。不过，在熟悉ICT产业的人士看来，这是一个常见的描述。例如，2021年工信部统计的安全漏洞就超过14万个，“高危漏洞”超过4万个。其实对于绝大多数互联网用户而言，并没有感受到“高危漏洞”带来的严重威胁。
“全球11%安卓手机受影响”更是耸人听闻，但依然是业界的常规操作。由于互联网全球连接，“全球XX用户受影响”，类似的漏洞描述屡见不鲜。
理论上确实存在这个可能，事实上并未引发广泛攻击。互联网是一个庞大而超级复杂的工程，每年都会产生无数的漏洞。业界“修补漏洞”的机制也趋于完善，大多数有威胁的漏洞在曝光后，相关机构能够很快通过推送补丁等形式修复，用户并没有感知到威胁的存在。
当然，这不代表漏洞的威胁不大，之所以采取这样的语言描述新发现的漏洞，正是因为潜在的负面影响，提醒业界注意，并能够及时采取措施响应并修复。以本次发现的漏洞为例，Check Point Research表示已通报了该漏洞，预计会透过Google 6月Android 安全更新修复。
紫光展锐也回应称，在Check Point Research 发出公告前，该公司已完成相关排查，并登记在案，验证完毕的相关补丁已于 5 月 30 日陆续更新至有关客户厂商。从谷歌登记平台看，6月份的谷歌“安卓安全公告”中，已可以看到紫光展锐的补丁方案。也就是说，展锐芯的手机用户，实际上并不会因为这一漏洞受到安全威胁。
值得注意的是，根据谷歌登记平台的记录，各个芯片厂家基本每月都有相应的补丁登记，修洞补洞基本已是保障用户体验的“常规操作”。
条件并不满足
资料显示，Check Point Research是一家网络安全解决方案提供商，常年收集和分析全球网络受到攻击以及可能受到攻击的数据，以帮助客户企业应对黑客入侵。
本次该机构发布的涉及紫光展锐的公告，其实并非特例。仅以手机芯片厂商为例，之前5月份高通、4月份高通和联发科均已“中招”。IT和软件公司的漏洞，更是层出不穷。
据业内人士分析，要出现Check Point Research本次提到的紫光展锐安全漏洞，是在一个虚拟的假设环境下实现的，实际上触发这个漏洞要满足两个条件，一是将特定非法码流发送给UE，还有一个更重要，就是攻破运营商的4G核心网（或伪造假基站）。
如果黑客攻破4G核心网或者伪造假基站来发送特定非法码流，在4G安全保密架构下，技术难度非常大，而且其他方案手机也会产生影响，但用户的感知不强，手机的通信功能会出现短期故障，1-5秒内即可恢复。如果黑客不重复攻破或者用户离开该区域，网络将恢复正常，手机可正常使用。
“相信大家可以感受到，前些年在2/3G时代经常有伪基站电信诈骗事件发生，但进入4G时代后，这样的新闻就很少听到了。因为伪基站没有办法攻破运营商安全架构极高的4G核心网。”该人士表示。
所以从本质上来说，涉及紫光展锐芯片的“安全漏洞”并没有真正发生。当然，这一测试帮助紫光展锐找到了潜在风险，也具有非常积极的意义。随着紫光展锐在全球的市占份额越来越高，这类具有庞大用户量的产品或者系统，需要时刻接受业界的审视和自我的安全排查，不断迭代和完善，增强安全性，才能为用户提供更好的使用体验。
从这个问题的解决上看，紫光展锐的操作是符合规范的。紫光展锐强调，该公司高度重视产品的安全问题，具有完整的安全管理体系与响应机制。
免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。
