Katrā mūsdienu Intel ražotā procesorā ir aizmugures durvis, kas pazīstamas kā Intel Management Engine (IME). Šis ir izolēts un aizsargāts kopprocesors, kas ir iestrādāts visās Intel mikroshēmojumos, kas ir jaunāki par 2006. gada jūniju.


Tas ietver visus galddatorus, serverus, ultrabooks, planšetdatorus un klēpjdatorus ar Intel Core vPro procesoru saimi. Tajā ietilpst Intel Core i3, i5, i7 un Intel Xeon procesora E3-1200 produktu saime.

Intel pārvaldības dzinējs ir patiešām diezgan biedējošs

Šī slēgtā avota neauditējamā apakšsistēma var:

  • Piekļūstiet visiem datora atmiņas apgabaliem bez CPU zināšanām.
  • Piekļūstiet visām perifērijas ierīcēm, kas pievienotas jūsu datoram.
  • Tīkla saskarnē iestatiet TCP / IP serveri, kas var nosūtīt un saņemt trafiku neatkarīgi no tā, vai OS darbojas ugunsmūris vai nē.
  • Palaist no attāluma, pat ja dators ir izslēgts.
  • Ļaujiet attālinātajam lietotājam ieslēgt, izslēgt, skatīt informāciju par datoru un citādi to pārvaldīt.
  • ME programmaparatūras versijās 4.0 un jaunākās versijās (Intel 4 Series un jaunākās mikroshēmojumu komplektos) ir DRM lietojumprogramma, ko sauc par "Aizsargāts audio un video ceļš" (PAVP). Tas attālam lietotājam ļauj piekļūt visam, kas tiek parādīts jūsu ekrānā.

Ja jūsu dators izmanto Intel mikroshēmu, tad nav svarīgi, kuru operētājsistēmu vadāt. Kā Braiens Benšofs atzīmē Hackady emuāra ziņojumā,

"Jums pieder ME, un jums pieder dators."

Šausmīgi, jo tas viss ir, tas pasliktinās. AMT lietojumprogrammai (skat. Zemāk) ir zināmas ievainojamības, kuras jau ir izmantotas, lai izstrādātu rootkit un keyloggers un slepeni iegūtu šifrētu piekļuvi datora pārvaldības funkcijām. Kā Libreboot atzīmē savā FAQ,

“Rezumējot, Intel Management Engine un tā lietojumprogrammas ir aizmugures durvis ar pilnīgu piekļuvi pārējam datoram un tā kontroli. ME ir drauds brīvībai, drošībai un privātumam, un libreboot projekts stingri iesaka no tā pilnībā izvairīties. ”

Līdz šim vienīgais veids, kā to izdarīt, bija izvairīties no visām Intel aparatūras paaudzēm, kas ir jaunākas par desmit gadiem! Diemžēl, izvēloties procesoru, kas nav Intel, nenoved jūs tālu ...

Mikroshēmas, kas nav Intel, nav arī drošas!

Visas AMD mikroshēmas pēc 2013. gada satur platformas drošības procesoru (PSP). Tā ieviešana ļoti atšķiras no Intel IME, taču tā darbojas ļoti līdzīgi. Tas nāk ar visiem tiem pašiem pamata drošības un brīvības jautājumiem kā IP.

No otras puses, Android un iOS ierīces tiek piegādātas ar integrētu patentētu mikroshēmu, kas pazīstama kā pamatjoslas procesors. Drošības aprindās ir labi zināms, ka tas var efektīvi darboties kā aizmugure.

Tātad, kas tieši ir Intel pārvaldības dzinējs?

IME ir Intel aktīvās pārvaldības tehnoloģijas (AMT) aparatūras komponents. Tas ir paredzēts, lai sistēmas administratori varētu attālināti piekļūt personālajiem datoriem, lai tos uzraudzītu, uzturētu, atjauninātu, jauninātu un labotu.

Papildus IME iespējām ir zināms tikai maz. Tas notiek pateicoties tam, ka tas ir slēgts avots un nostiprināts ar RSA-2048 atslēgu. Kā jau iepriekš tika atzīmēts, AMT lietojumprogrammai ir zināmas ievainojamības, lai gan IME aparatūras komponents pagaidām ir drošs ... Kā atzīmē Benchoff,

“Pašlaik ME nav zināmu ievainojamību, ko varētu izmantot: mēs visi esam izslēgti no ME. Bet tā ir drošība caur neskaidrību. Tiklīdz ME kritīs, viss, kam ir Intel mikroshēma, kritīs. Tas ir līdz šim visbīstamākais drošības apdraudējums šodien, un to vēl vairāk pasliktina mūsu pašu neziņa par to, kā darbojas ME. ”

Runājot par noziedzīgiem hakeriem, tas ir ļoti daudz gadījumos, kad aparatūra ir sagrauta. Turklāt noziedzīgie hakeri ir tikai viens drauds, par kuru viņi varētu uztraukties.

Sistēmas administratori piekļūst AMT funkcijām, izmantojot kriptogrāfijas atslēgas. Tos var nozagt vai nodot varas iestādēm, saņemot pavēsti, tiesas rīkojumu, valsts drošības vēstuli vai tamlīdzīgu.

Patiešām, ņemot vērā to, ko mēs zinām par tā ciešajiem sakariem ar ASV tehnoloģiju nozari, būtu taisnīgi uzskatīt, ka Intel ir vienkārši piegādājis NSA sertifikātus un kriptogrāfijas atslēgas, kas vajadzīgas, lai piekļūtu jebkurai mikroshēmai, ko tā ražo. Tas atkal ir ļoti biedējoši!

Kā atspējot IM?

Vēl pavisam nesen nebija iespējams atspējot IM lielākajā daļā sistēmu, kuras izmanto Intel Core 2 sērijas Intel mikroshēmas vai jaunākas (2006. gads un turpmāk). Visi mēģinājumi atspējot ME programmaparatūru mikroshēmā, kurā iekļauts IME, novestu pie tā, ka sistēma atsakās sāknēt vai tiek izslēgta īsi pēc sāknēšanas..

Tika izstrādāta tehnika ME noņemšanai no GM45 mikroshēmojumiem (Core 2 Duo, Core 2 Extreme, Celeron M). Tas tomēr darbojās, jo ME atradās uz mikroshēmas, kas atradās atsevišķi no ziemeļu tilta.

Šis paņēmiens nedarbojas Core i3 / i5 / i7 procesoriem, jo ​​ME ir integrēta ziemeļu tiltā. Šajās mikroshēmās ir iespējams atslēgt galvenās ME daļas, taču tas vienmēr ir izraisījis datora izslēgšanu pēc 30 minūtēm, kad ME sāknēšanas ROM (saglabāts SPI Flash) neizdevās atrast derīgu Intel parakstu.

Tomēr pavisam nesen pētnieks Trammell Hudson atklāja, ka, izdzēšot ME reģiona pirmo lapu (t.i., “šī reģiona pirmie 4KB (0x3000, sākas ar "USD FPT"') viņa ThinkPad x230, tas neizslēdzās pēc 30 minūtēm.

Šis atklājums lika citiem pētniekiem (Nicola Corna un Frederico Amedeo Izzo) uzrakstīt skriptu, kas izmanto šo ieguvumu. Ņemiet vērā, ka šis skripts pats par sevi pilnībā nenoņem ME, taču praktiski tas to atspējo. Benchoff novēro,

"Faktiski es joprojām uzskatu, ka tā darbojas, taču faktiski tā neko nedara."

Ir zināms, ka skripts darbojas ar Sandy Bridge un Ivy Bridge procesoriem, un tam vajadzētu darboties Skylake procesoros. Iespējams, ka tas darbosies Haswell un Broadwell procesoros, taču tas nav pārbaudīts.

Diemžēl šī skripta izmantošanai ir vajadzīgas nopietnas tehnikas karbonādes. Tam nepieciešams izmantot Beaglebone, SOIC-8 mikroshēmas saspraudi un dažus vaļīgus vadus. Tas prasa arī daudz nervu, jo pastāv nopietns risks pārspīlēt jūsu procesoru!

Neskatoties uz to, šī ir svarīga attīstība, kas ļauj pietiekami apņēmīgiem, lai (efektīvi) noņemtu aizmugurējās durvis, kas pastāv gandrīz visos mūsdienu procesoros..

Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me