蘋果晶片硬體漏洞曝光：A12 與 A13 晶片存在無法修復的 BootROM 安全缺口
編輯核心觀點
- ✦研究團隊 Paradigm Shift 揭露名為「usbliter8」的漏洞，影響 A12、A13 及 S4、S5 等多款蘋果晶片。
- ✦該漏洞利用 USB 控制器硬體缺陷，允許攻擊者在 iOS 啟動前執行任意代碼，且因屬於硬體層面而無法透過軟體更新修復。
- ✦儘管該漏洞無法直接存取 Secure Enclave 中的加密數據，但研究人員指出其可能成為繞過安全防護的攻擊路徑。
硬體層面的安全挑戰：usbliter8 漏洞解析
資安研究團隊 Paradigm Shift 近日公開了一項名為「usbliter8」的技術細節，這是一項針對蘋果裝置 BootROM（開機唯讀記憶體）的漏洞。該漏洞利用了 USB 控制器中的硬體缺陷，結合裝置韌體中的特定配置錯誤，使得攻擊者能夠在搭載 A12 與 A13 晶片的裝置上執行任意代碼。
研究團隊指出，該漏洞無法透過軟體更新進行修復。在公開技術細節前，Paradigm Shift 已與蘋果產品安全團隊進行協調，並對蘋果在過程中提供的迅速回應與建設性合作表示感謝。
受影響裝置範圍廣泛
usbliter8 漏洞主要影響搭載 A12、A13 以及 S4、S5 晶片的裝置。具體受影響的產品包括：
- A12 晶片：iPhone XR、iPhone XS/XS Max、iPad Air 3、iPad mini 5、iPad 8 及第二代 Apple TV 4K。
- A13 晶片：iPhone 11 系列、第二代 iPhone SE、iPad 9 及 Studio Display。
- S4/S5 晶片：Apple Watch Series 4、Series 5、第一代 Apple Watch SE 及 HomePod mini。
研究人員補充，雖然目前尚未實作，但該漏洞在技術上亦可能支援 A12X/Z 晶片，這意味著 2018 年與 2020 年的 iPad Pro 機型也可能在受影響範圍內。
攻擊原理與安全影響
usbliter8 的攻擊方式為：當裝置處於 DFU（裝置韌體更新）模式時，透過 USB 發送經過特殊設計的數據，導致 USB 控制器發生混淆，進而將數據寫入錯誤的記憶體位置。這使具備物理存取權限的攻擊者能夠控制裝置的啟動程序，在 iOS 載入前執行自訂代碼，並繞過簽章檢查以載入修改過的系統軟體。
usbliter8 雖然不直接影響 Secure Enclave 本身，但它開啟了更廣泛的攻擊向量來破壞 Secure Enclave。
研究人員強調，該漏洞不會影響 Secure Enclave（安全隔離區），因此使用者的密碼與加密數據在實務上仍保持安全。然而，針對 A13 晶片，由於其 SecureROM 使用了 PAC（指標驗證）安全功能，研究人員透過分階段破壞記憶體，成功繞過此保護機制並取得 USB 中斷處理器的控制權。
如何應對？
由於此漏洞屬於無法修復的硬體缺陷，研究人員明確建議：「受影響的使用者應意識到，升級至較新的硬體仍是目前最有效的緩解措施。」目前，研究團隊已在 GitHub 上發布了概念驗證（Proof-of-Concept）專案，供技術社群進一步研究與理解現代 SecureROM 的安全性。
