编辑的笔记-故事更新在上午9：30，以反映沉默圈的博客文章对这个问题的回应。

据一位移动安全研究人员称，Blackphone可能是为了强调用户隐私而设计的，但即使是它也容易出现安全漏洞，有可能被犯罪分子利用。

(资料图片仅供参考)

SentinelOne的移动研究主管Tim Strazzere在Blackphone的调制解调器中发现了一个漏洞。Blackphone是一种由Silent Circle制造的移动设备，它是为了优先考虑用户隐私而制造的。Blackphone是一款Android设备，它定制了SilentOne的软件，以提高隐私和安全性。在听说“寂静圈”计划释放Blackphone2之后，Strazzere决定仔细查看他拥有的第一部Blackphone。

在准备Defcon的培训报告时，Strazzere应用了他要教给他的Blackphone和Bingo的漏洞发现过程-他跌跌撞撞地发现了一个大洞。这导致了现金奖励和一个补丁正在释放的沉默圈。

“人们总是犯同样的错误，人们不明白我们如何找到这些错误——这不是黑魔法，”斯特拉泽雷说。事实上，他认为自己是个白帽黑客。“我们希望培训人们如何找到这些问题，以及它们发生的原因。

该漏洞与调制解调器在Blackphone中使用的开放式套接字有关。调制解调器是由nVidia公司制造的，这家公司通常不从事调制解调器的制造业务，并且一直被用于很少有产品发布到市场上。Blackphone于2014年6月首次发布。

斯特拉泽雷说，如果攻击者了解到这一漏洞，并选择利用它，它可能是通过一个带有恶意组件的应用程序完成的。通常，需要特定通信访问或内存访问的应用程序必须获得用户的许可，但通过使用此漏洞直接通信到调制解调器，这是可以绕过的。

“你只是直接告诉调制解调器，所以Android软件不知道发生了什么，”他说。

在周三的一篇博客文章中，沉默的圆圈感谢了斯特拉泽雷的工作，并强调说，它的政策是快速响应修补漏洞，透明，并给予那些发现错误的人荣誉（加上赏金）。

“在大多数情况下，产品安全性的贬值速度要快于把一辆新车从车上拿下来，”静默圈（Silent Circle）首席产品官丹·福特（Dan Ford）写道。“为了使价值不会太快贬值，你必须提供仔细和一致的维护。

福特指出，漏洞只影响第一个Blackphone，不影响新的Blackphone2。原Blackphone用户应确保升级到1.1.13RC3版本或更高版本。

在一篇关于该漏洞是如何工作的技术细节的博客文章中，Strazzerel描述了攻击者可能执行的操作：

斯特拉泽雷通知沉默圈的问题和问题已经解决。研究人员赞扬该公司对他的发现作出了迅速的反应。他甚至通过公司提供的一个赏金项目获得了500美元的奖励。

“我在摩托车上放了新轮胎，所以我很高兴，”他说。

Silent Circle说，它的安全中心应用程序为恶意应用程序提供了一个反措施，这些应用程序本来可以尝试使用这个漏洞。该函数列出了设备上的所有应用程序，并由每个新的应用程序安装提示。

这不是第一次在Blackphone中发现重大漏洞。一位澳大利亚研究人员在2015年1月发现了SilentOne的消息传递应用程序的问题。这种脆弱性也得到了弥补。

Strazzere说，买家应该考虑从“寂静圈”（Silent Circle）等公司购买产品，这些公司遇到的产品都是透明的，并且在修复过程中反应灵敏。他指出，Blackphone2已经退出，但Silent Circle仍然通过修补漏洞来支持其原有的Blackphone用户。