Обнаруженная экспертами Лаборатория Касперского аппаратная уязвимость в чипсетах Qualcomm Snapdragonвновь поднимает вопрос безопасности на уровне «железа» и доверия к глобальным технологическим цепочкам. Речь идет о критической уязвимости в BootROM — базовой прошивке, которая отвечает за начальный этап загрузки устройства. В случае эксплуатации злоумышленник при физическом доступе может получить полный контроль над устройством, включая доступ к данным, камере и микрофону.
Член комитета Государственной Думы по информационной политике, информационным технологиям и связи, федеральный координатор партийного проекта «Цифровая Россия» Антон Немкин подчеркнул, что подобные инциденты требуют системного подхода к обеспечению технологической безопасности.
«Мы видим, что уязвимости смещаются на самый базовый уровень — уровень аппаратной архитектуры. Это принципиально иной класс угроз, который не решается установкой антивируса или обновлением приложения. Здесь речь идет о доверии ко всей цепочке производства и поставок устройств», — отметил Немкин.
По данным исследователей, атака требует физического подключения устройства через кабель и перевода его в специальный режим восстановления (EDL). Однако риски могут возникать и при подключении к недоверенным USB-портам — например, в общественных местах.
«Даже при отсутствии массового характера таких атак, их потенциальная эффективность делает их крайне опасными для целевых сценариев — будь то корпоративный шпионаж, доступ к персональным данным или вмешательство в работу критически важных устройств», — подчеркнул депутат.
При этом уязвимость может быть использована на этапе ремонта или даже поставки устройства, что открывает возможности для компрометации техники до ее попадания к конечному пользователю.
«Это напрямую связано с вопросами технологического суверенитета и контроля за инфраструктурой поставок. Нам необходимо усиливать требования к безопасности оборудования, особенно в сегментах, где речь идет о персональных данных и государственных информационных системах», — добавил Немкин.
Эксперты отмечают, что устранение подобных уязвимостей возможно только на стороне производителя чипсетов или конечных устройств через обновление прошивки на уровне BootROM, что в ряде случаев затруднено.
«В таких условиях особенно важно развитие собственных компетенций в области микроэлектроники, а также создание механизмов независимого аудита безопасности аппаратных решений», — заключил депутат.