01.12.2018 | 10:36

Adam Kostrzewa

Intel Management Engine – jedyny “legalny” trojan sprzętowy?

Intel ME od wielu lat wzbudza kontrowersje. Miał usprawnić pracę systemów, a tymczasem oskarżany jest o ich infiltrowanie. Ile prawdy jest w tych teoriach, jakie funkcje spełnia ten układ i czy jest bezpieczny?

Management Engine (ME) został wprowadzony przez firmę Intel do produktów komercyjnych w 2006 roku. Od tego czasu jest stosowany w zdecydowanej większości systemów z produktami tej firmy. Jakie funkcje ma spełniać ten układ? Cytując firmę Intel, jest to:

“mały, energooszczędny podsystem komputerowy […] który wykonuje różne zadania w czasie, gdy system główny jest w stanie uśpienia, podczas procesu uruchamiania oraz podczas pracy systemu.“

Jak widać już ta definicja producenta jest niedokładna i tak naprawdę może oznaczać wszystko i nic, a to dopiero początek problemów z tym produktem.  ME to w dużej mierze nieudokumentowany kontroler główny procesora: współpracuje z firmware’em systemowym podczas rozruchu i ma bezpośredni dostęp do pamięci systemowej, ekranu, klawiatury i sieci.

Producent nie informuje jednak o jego przeznaczeniu, funkcjach ani metodzie działania. Układ ma budowę zamkniętą, a kod tajny i zabezpieczony kryptograficznie. Przez wielu nazywany jest jedynym legalnym trojanem sprzętowym. Czy tak rzeczywiście jest? Skąd biorą się kontrowersje na temat Intel ME? Zanim przejdziemy do odpowiedzi na te pytania, podsumujmy najpierw potwierdzone informacje na temat ME.

Co wiadomo o Intel ME?

Jak to zwykle bywa, mimo chęci producenta, aby układ ten pozostał “czarną skrzynką” wewnątrz naszego komputera, wiadomo już całkiem sporo na jego temat – w dużej mierze dzięki pracy niezależnych badaczy i pasjonatów, którzy powoli rewersują ME.

Przede wszystkim nie ma jednego ME, a jest ich wiele. Cele i funkcje układu, a nawet jego fizyczne umiejscowienie zmienia się w zależności od generacji produktów Intela, z którą mamy do czynienia. Najczęściej można go znaleźć w chipsecie, nazywanym w terminologii firmy Platform Controller Hub (PCH). Chipset – dla osób nie interesujących się na co dzień sprzętem – to zespół kilku ściśle powiązanych ze sobą układów scalonych i komponentów elektronicznych, które razem wykonują jedno określone zadanie. W przypadku PCH jest to zarządzanie przepływem danych pomiędzy procesorem, pamięcią i urządzeniami peryferyjnymi, co daje mu decydujący wpływ na wydajność całego systemu. W przypadku serii produktów o niskim poborze energii (np. seria ultra-low-power Broadwell, procesory z serii Skylake do zastosowań mobilnych) PCH został zintegrowany bezpośrednio z procesorem w formie systemu na chipe (ang. system-on-chip). W tych produktach (np. Intel Atom) również ME stał się częścią procesora. Oprogramowanie  układu (ang. firmware) jest skompresowane i podpisane cyfrowo w celu ochrony przed nieuprawnionymi manipulacjami.

Położenie Intel ME (kolor czerwony) we współczesnych architekturach Intela

Jeśli chodzi o budowę wewnętrzną ME, to dużo informacji zawdzięczamy ostatnim wynikom niezależnych badaczy, np. Dimitria Sklyarova, Marka Ermolova czy Maxima Goryacha. Oprogramowanie ME działa na jednordzeniowym procesorze z architekturą x86. Jego podstawę stanowi zmodyfikowana wersja systemu MINIX, który w ten sposób stał się najprawdopodobniej najczęściej używanym systemem operacyjnym na świecie. Nie słyszeliście o nim? MINIX to system operacyjny o zastosowaniach szkoleniowych napisany przez Andrew S. Tanenbauma dla lepszego wyjaśnienia zagadnień z jego znanej książki “Systemy operacyjne”. Książka ta, obok “Sieci komputerowych” tego samego autora, stała się podstawą dydaktyczną w większości uczelniach na świecie i w Polsce. Co ciekawe, firma “zapomniała” poinformować o użyciu systemu MINIX w większości swoich produktów profesora Tanenbauma. Poniżej fragment z listu otwartego Andrew S. Tanenbauma do Intela (tłumaczenie własne):

“Dziękuje za umieszczenie wersji MINIX-a wewnątrz układu Intel ME-11 używanego przez prawie wszystkie nowsze komputery stacjonarne i laptopy na świecie. Myślę, że dzięki temu MINIX stał się najczęściej używanym systemem operacyjnym na świecie, popularniejszym niż Windows, Linux czy MacOS. Na dodatek nawet o tym nie wiedziałem, dopóki nie przeczytałem artykułu prasowego na ten temat.

[…]

Było to dla mnie zupełną niespodzianką. Nie przeszkadzało mi to oczywiście i nie spodziewałem się żadnej zapłaty, bo też nie jest to wymagane. W licencji nie ma nawet żadnej sugestii, że byłaby ona mile widziana. Jedynie byłoby mi miło, gdyby po zakończeniu projektu i wdrożeniu układu scalonego ktoś z Intela powiedziałby mi, przez zwykłą uprzejmość, że MINIX będzie obecnie prawdopodobnie najczęściej używanym systemem operacyjnym na świecie na komputerach x86.”

Oprócz MINIXA na rdzeniu ME uruchomiona jest wirtualna maszyna Javy. ME działa z tzw. uprawnieniami pierścienia -3. Jest to żartobliwe nawiązanie do klasycznej ochrony pierścieniowej architektury x86, gdzie kernel pracuje w pierścieniu zero, a kod użytkownika w pierścieniu 3. Oznacza to, że ME ma pełen dostęp do wszystkich urządzeń i całej przestrzeni adresowej (np. CPU/iGPU/USB/DDR/PCI ), jak również działa, gdy cały system jest wyłączony. Teoretycznie, jeśli piszesz na klawiaturze podłączonej do wyłączonego komputera, Intel ME może pracować jako keylogger i wysyłać informacje o naciśniętych klawiszach do zewnętrznych serwerów. Kod startowy ME znajduje się zazwyczaj w tej samej pamięci SPI-Flash co kod UEFI BIOS-u.

Co takiego złego jest w tym układzie i skąd się bierze ostra krytyka?

Dużo mniej jest wiadomo o funkcjach logicznych Management Engine. W nowszych systemach Intela ME jest aktywny podczas inicjalizacji systemu (a nawet przed uruchomieniem głównego procesora), a według producenta jego działanie  ma kluczowy wpływ na funkcjonalność i wydajność chipsetu. W tabelce przedstawiam zestawienie najważniejszych funkcji logicznych układu, które udało się ustalić na podstawie doniesień prasowych, publikacji konferencyjnych i oficjalnych informacji od producenta. Jak widać, jest tego całkiem dużo.

Funkcja Opis
Active Management Technology (AMT) Zdalne zarządzanie systemem, w tym dostęp ze zdalnym KVM, przekierowaniem szeregowym (SoL) i przekierowaniem IDE (IDE-R), tylko chipsety Q oraz C206, C226, C236, zdalne KVM tylko z Core i5/i7/Xeon
Anti-Theft Technology (AT-p) Ochrona przed kradzieżą, wymaga dodatkowego oprogramowania i rejestracji u usługodawcy
Small Business Advantage (SBA) Funkcje zarządzania, takie jak bloker USB, tylko chipsety B
Identity Protection Technology (IPT) Kilka indywidualnych funkcji, np. bezpieczne wprowadzanie haseł internetowych za pomocą klawiatury ekranowej, jednorazowy generator haseł (One-Time Password, OTP)
Intel Management and Security Status (IMSS) Narzędzie, które wyświetla funkcje i stan oprogramowania sprzętowego ME
Protected Audio Video Path (PAVP) Windows DRM dla danych chronionych przed kopiowaniem
Extreme Tuning Utility (XTU) Narzędzie do overclockingu
Intel Desktop Utilities (IDU) Monitoring sprzętu (napięcia, temperatury, prędkości wentylatorów)
Trusted Execution Technology (TXT) W połączeniu z oddzielnym TPM zabezpieczenie oprogramowania nadzorcy (ang. hypervisor) przed rootkitami
Intel Boot Guard Producenci komputerów PC mogą używać kodu BIOS dla zapewnienia bezpieczeństwa kryptograficznego
Firmware-TPM 2.0 (fTPM 2.0) Moduł zaufanej platformy (TPM), zaimplementowany w firmware
Trusted Execution Engine (TXE) Interfejs programowy dla funkcji TPM-2.0 ME
Platform Trust Technology (PTT) Funkcje TPM-2.0 ME
Wake on LAN (WOL) Budzenie komputera poprzez Ethernet (w interakcji z układem sieciowym)

Skąd zatem krytyka tak “pożytecznego” urządzenia jak ME? Jak widać, zakres funkcji logicznych jest bardzo szeroki, a ich dokładne działanie w większości nieznane i nieudokumentowane. Równocześnie układ ME pracuje niezależnie i równolegle do uruchomionego systemu, a co najważniejsze zupełnie poza jego kontrolą. Ponadto posiada on dostęp do całości fizycznej pamięci RAM, wszystkich interfejsów i systemów (magistrala PCI Express, USB, SATA etc.), a także do sieci.

Niekontrolowany układ z niejasną funkcjonalnością i dostępem do wszystkich danych i urządzeń systemu stanowi potencjalnie bardzo duże zagrożenie dla bezpieczeństwa. Co jeśli zawiera luki bezpieczeństwa lub ma wbudowanego backdoora? Jak wiadomo, tego typu rozwiązanie jest w sprzeczności z podstawowymi zasadami architektury bezpieczeństwa systemów teleinformatycznych. Co więcej, ME jest używany do zabezpieczenia kodu BIOS-u UEFI i kontroli procesu bezpiecznego bootowania (ang. secure boot). W związku z tym teoretycznie Intel ma możliwość decydowania, jaki system operacyjny i firmware wolno uruchomić na danej maszynie, a nawet zdalnie uniemożliwić jej start. Taka funkcjonalność pozbawia użytkownika prawa do pełnej kontroli systemu (tzw. prawa nadrzędności) zalecanej przez ustawodawstwo większości krajów unijnych dla infrastruktury krytycznej, np. przez niemiecki KRITIS.

Czy da się wykorzystać ME do ataków i jakie są znane luki?

Po pierwsze, krytyczna luka w ME będzie bezpośrednio dawała dostęp do całości systemu ze względu na uprawnienia i sposób działania układu. Na przykład atakujący może modyfikować zawartość pamięci tak w DRAM-ie, jak i podczas zapisu (przechwytywać i zmieniać instrukcje), eksfitrować dane i wysyłać na zewnątrz np. przez WLAN. Dodatkowo ME ma uprzywilejowany dostęp do wszystkich komponentów tej firmy, jak choćby do popularnych “wbudowanych” interfejsów  sieciowych Intela. Ponadto wszystkie te akcje dzieją się poza kontrolą systemu operacyjnego i oprogramowania na nim działającego, np. antywirusa. ME działa na niższym poziomie logicznym i jest transparentny dla reszty systemu. W skrócie, skompromitowany układ ME to marzenie każdego atakującego, a ME z funkcją backdoora byłby potwierdzeniem większości teorii o braku bezpieczeństwa bez pełnej kontroli nad procesem produkcyjnym.

Czy jest się zatem czego bać? Trzeba powiedzieć, że jeśli chodzi o stworzenie zabezpieczonego układu o zamkniętej architekturze, to Intel dokonał prawie niemożliwego. W ciągu pierwszych dwunastu lat od premiery układu znaleziono tylko  jedną lukę umożliwiającą wykonanie dowolnego kodu na ME, a i tu sukces nie jest pełny, gdyż jej wykorzystanie wymaga fizycznego dostępu do maszyny. Specjaliści od bezpieczeństwa zdołali zmodyfikować firmware ME dla niektórych wersji produktów Intela. Kod ME musi być jednak odczytany bezpośrednio z pamięci SPI-Flash BIOS-u, a po edycji zapisany na nowo za pomocą specjalnego adaptera. Do końca 2017 Intel poinformował o dziewięciu lukach, z których jednak tylko dwie mają status krytyczny dla bezpieczeństwa systemu (SA-00075, SA-00086) i umożliwiają eskalację uprawnień. W tej kwestii rok 2018 wydaje się ciekawy, gdyż w tle medialnego zgiełku związanego z lukami Meltdown i Spectre Intel w lipcu opublikował kolejne łatki do ME, które przeszły jednak bez większego medialnego echa.

Pierwsza podatność, CVE-2018-3627, jest błędem logicznym, który pozwala na wykonanie dowolnego kodu na maszynach Intel. Według rosyjskiej firmy Positive Technologies, która w ubiegłym roku znalazła podobny błąd w ME, nowa luka jest łatwiejsza do wykorzystania. Napastnik potrzebuje tylko lokalnego dostępu do maszyny, aby móc użyć Intel ME. CVE-2018-3628 to drugi błąd ujawniony przez Intela. Luka umożliwia “w pełni zdalne wykonanie kodu w procesie AMT należącym do ME”. Ponadto, w przeciwieństwie do CVE-2017-5712, który Positive Technologies odkryła w zeszłym roku, atakujący nie potrzebuje nawet konta administratora AMT. Na szczęście funkcjonalność AMT jest dostępna tylko w niewielkiej części systemów, a i tam można ją w najgorszym wypadku wyłączyć.

Bez wątpienia uniwersalny exploit umożliwiający zdalne wykonywanie kodu poprzez Management Engine jest jednym ze “świętych grali” współczesnych architektur bezpieczeństwa. Jego wdrożenie spowodowałoby, że napastnik miałby pełną kontrolę nad każdym aspektem każdego systemu z chipsetem Intela wyprodukowanego w ostatniej dekadzie.

Czy mogę wyłączyć Intel ME?

Nie ma takiej możliwości. Intel nie przewiduje opcji wyłączenia ME. Brak ME fizycznie uniemożliwia uruchomienie systemu. Co można zatem zrobić? W najlepszym przypadku niektóre funkcje ME mogą być wyłączone lub skonfigurowane. Przypadkowo okazało się, że NSA wymaga wyłączenia większości funkcji ME (High Assurance Platform, HAP) dla własnych komputerów. Dezaktywacja jest zatem możliwa, ale Intel odmawia jej zwykłym nabywcom komputerów PC i laptopów, nie dokumentując jej i nie zapewniając wsparcia. Co ciekawe, firma Dell oferuje amerykańskim agencjom i instytucjom rządowym (np. NSA i wojsku) produkty z  opcjonalnym “dezaktywowanym” ME. Chodzi tutaj przypuszczalnie o te same urządzenia HAP (tym razem z dokumentacją). Teoretycznie pin przełącznika dla platformy HAP (potwierdzony oficjalnie przez Intela) umożliwia wyłączenie wielu funkcji ME bez awarii systemu. Ale nawet po ustawieniu bitu HAP, niektóre z podatności opisanych w SA-00086 mogą nadal być wykorzystywane.

Mam procesor AMD, a więc mnie to wszystko nie dotyczy!

Niestety i to twierdzenie nie jest zgodne z prawdą co najmniej od roku 2014, kiedy AMD wprowadziło na rynek generację Mullins swoich produktów. Wtedy to we wszystkich procesorach firmy został zintegrowany mikrokontroler ARM Cortex-A5 z rozszerzeniem TrustZone nazywanym procesorem bezpieczeństwa PSP (ang. platform secure procesor). Podobnie jak w przypadku Intel ME, działa na nim firmware BLOB (Binary Large Object), który implementuje na przykład funkcję fTPM 2.0. I niestety, podobnie jak w przypadku ME, ten układ nie jest w udokumentowany i nie może być wyłączony, a wiadomo o nim jeszcze mniej niż o ME. Oficjalny funkcjonalny zakres pracy procesora PSP jest znacznie mniejszy niż procesora ME, ale PSP ma takie same uprawnienia w dostępie do systemu. Jednak do tej pory liczba udokumentowanych podatności w systemach wykorzystujących ten układ jest znikoma.

Wnioski końcowe

Intel Management Engine miał usprawnić komunikację, poprawić wydajność i generalnie wyjść naprzeciw oczekiwaniom użytkowników. Jednak dziwna polityka firmy, pełna niejasności i niedomówień, skutkuje coraz większą ilością spekulacji i teorii spiskowych. Jak dotąd nie ma jednoznacznych dowodów na to, by Intel ME posiadał funkcje backdoora. Na pewno skala uprawnień układu ME i jego zamknięta budowa powodują, że architektury, w których jest użyty, automatycznie stoją w sprzeczności z zasadami budowy infrastruktury bezpieczeństwa, w tym krytycznej. Na szczęście, jak na razie układ jest dobrze zabezpieczony – jak dotąd nie ma możliwości zdalnego wykonania kodu na ME. Skąd o tym wiemy? Wciąż nie zaobserwowano nowego botnetu kopiącego bitcoiny na większości komputerów na świecie.

Na koniec oddajmy jeszcze raz głos  Andrew S. Tanenbaumowi, którego książkę (a przynajmniej jej fragmenty) czytała większość czytelników tej strony:

“Dyskusja prowadzona w internecie odeszła za daleko od tez mojego listu otwartego. Chciałbym potwierdzić, że kiedy Intel skontaktował się ze mną, nie poinformował mnie, nad czym pracują pracownicy firmy. Firmy rzadko rozmawiają o przyszłych produktach bez umowy poufności. Pomyślałem, że to nowy interfejs ethernetowy, układ graficzny lub coś takiego. Gdybym podejrzewał, że mogą budować silnik szpiegowski, na pewno nie wyraziłabym zgody na jakąkolwiek współpracę, chociażby chodziło o niewielkie modyfikacje (prosili o zmniejszenie ilości niezbędnej pamięci). Myślę, że wprowadzenie w życie rzeczywistości znanej z książki “Rok 1984” George’a Orwella to bardzo zły pomysł, nawet jeśli będzie on przesunięty w czasie o około 30 lat. Ludzie powinni mieć pełną kontrolę nad własnymi komputerami, a nie firma Intel i nie rząd. W Stanach Zjednoczonych czwarta poprawka wyjaśnia bardzo wyraźnie, że rząd nie może mieć dostępu do czyjejś własności bez nakazu przeszukania. W wielu innych krajach obowiązują prawa dotyczące prywatności, tworzone w tym samym duchu. Umieszczanie potencjalnego szpiega w każdym komputerze jest straszliwym osiągnięciem.”

O autorze

Adam Kostrzewa: Od ośmiu lat zajmuję się badaniami naukowymi i doradztwem przemysłowym w zakresie elektroniki motoryzacyjnej, a w szczególności systemów wbudowanych pracujących w czasie rzeczywistym do zastosowań mogących mieć krytyczne znaczenie dla bezpieczeństwa użytkowników. W wolnym czasie jestem entuzjastą bezpieczeństwa danych. Szczególnie interesujące są dla mnie sprzętowe aspekty implementacji obwodów elektrycznych i produkcji krzemu. Metody i narzędzia używane do tych zadań nie są aż tak dostępne i dokładnie przetestowane jak oprogramowanie, dlatego też stanowią interesującą dziedzinę do badań i eksperymentów.

Blog: adamkostrzewa.github.io

Twitter: twitter.com/systemWbudowany

Powrót

Komentarze

  • 2018.12.01 12:09 D4R0

    Mam procesor Intela, ale chipset innej firmy, a więc mnie to wszystko nie dotyczy?

    Odpowiedz
  • 2018.12.01 15:17 czesuaf

    Czy ktos gdzies, kiedys przegladal komunikacje sieciowa wylaczonego komputera? Jesli poznalibysmy ip serwera to moglibysmy przyblokowac komunikacje na firewallu ( routera)

    Odpowiedz
    • 2018.12.01 18:29 Korzex

      Świat niestety na tcp/ip się nie kończy…

      Odpowiedz
      • 2018.12.01 19:47 Q3d

        Czyli na wyłączony komputer generuje na wyjściu ethernet impulsy elektryczne?

        Odpowiedz
        • 2018.12.01 21:29 Tomasz Miroszkin

          Tak, MINIX potrafi używać również „magic packet” w celu komunikacji w dwie strony. Co więcej, możliwa jest komunikacja radiowa jednokierunkowa (odbiór) nadawana na 100Mhz przez anteny w Colorado, przewody LAN służą wtedy jako antena.

          Odpowiedz
        • 2018.12.01 23:04 five eyes

          backdoor nie musi polegać na komunikacji z C&C
          może przechowywać zapis keyloggera, klucze potrzebne do odszyfrowania dysków, hashe wszystkich plików jakie były na komputerze i listę usb jakie były podłączane
          potem jak zarekwirują komputer i przewiozą do laboratorium FBI/NSA/CIA mogą wszystko wyciągnąć

          Odpowiedz
          • 2018.12.02 12:18 Morcin

            Dlatego ja zawsze po udanych zamachach wyrzucam laptop do niszczarki i kupuję nowy

      • 2018.12.01 19:51 czesuaf

        No ale, ze co? Sa inne protokoly, ale moj router kontaktuje sie z siecia za pomoca tcp ip, wiec nie rozumiem jak taka komunikacja mialaby sie odbywac jak nie po ip.

        Odpowiedz
      • 2018.12.01 20:56 kaper

        Spróbuję rozwinąć myśl Kolegi.
        Na firewallu definiuje się reguły filtrowania ruchu. Zazwyczaj przepuszczany jest tylko taki ruch, dla którego zostanie ustawiona reguła zezwalająca, pozostały ruch jest blokowany. Zazwyczaj łączność ze światem (internetem) odbywa się tylko po protokole IP.
        Ale…
        jeśli firewall ma procesor Intela, w którym jest ME, to tenże ME może rozpoznać ramki Ethernet przychodzące od innych ME a nie zawierające pakietów IP tylko PDU własnego, nieudokumentowanego protokołu ME, przetworzyć te PDU na prawidłowe pakiety IP i wstrzyknąć je do ruchu wychodzącego.
        Trochę trudniej byłoby z ruchem w przeciwną stronę, tzn. ze świata do naszego ME w sieci wewnętrznej, bo trzeba założyć, że internet działa tylko po IP, zatem nasz tajny ruch musiałby być zaszyty w jakichś pakietach IP, które byłyby rozpoznawane przez ME firewalla; a takie pakiety IP zostawiałyby ślad – jeśli nie w samym naszym firewallu (bo zostały przejęte przez jego ME), to w routerach, przez które wcześniej przeszły.
        Ale możemy sobie wyobrazić, że wszystkie routery pomiędzy naszym „wewnętrznym” ME a serwerem C&C, zawierają procesory Intela, posiadające ME, które w tajny sposób przesyłają ruch z/do naszego ME.
        Wyobraziwszy sobie to wszystko, chyba trzeba zużyć całą rolkę folii aluminiowej na zrobienie sobie ochronnej czapki.

        Odpowiedz
      • 2018.12.01 21:24 Mazur

        No może się nie kończy, ale za wielki nie jest. Kilkaset metrów co najwyżej…

        Odpowiedz
        • 2018.12.02 18:42 Tomasz Miroszkin

          W busie na pobliskim parkingu pod Twoim domem :)

          Odpowiedz
  • 2018.12.01 15:22 Kraker

    Ja już swój wymontowalem teraz nie zrobią już xssa

    Odpowiedz
  • 2018.12.01 21:12 Krzysztof

    To samo można napisać i Microsofcie, nie jest otwarty etc.

    Może by ktoś się zapoznał po co jest VPRO, do czego służy …..

    Odpowiedz
  • 2018.12.01 21:40 Tomasz Miroszkin

    Jeżeli podświetlicie płytę główną to zauważycie że miejsce przy gnieździe LAN jest zawsze przezroczyste, tak aby było widać ścieżki. Zastanówcie się dlaczego? :)

    Odpowiedz
  • 2018.12.01 22:22 Paweł

    słowo transparentny w języku polskim ma inne znaczenie niż w angielskim. Poza tym mega artykuł, choć krótki:D

    Odpowiedz
    • 2018.12.02 21:48 Łukasz

      Słowo „skompromitowany” także.

      Odpowiedz
  • 2018.12.02 11:56 marianZ

    Nie da się wyłączyć, ale da się Jankesa przymknąć.
    1. Diler nie bierze własnego towaru, stąd można ME przełączyć w trym HAP (High-assurance platform) używanym… między innymi w Intelu, jeżeli tylko mamy dostęp do zgrania konfiguracji ME.
    2. Jeżeli mamy dostęp do pamięci możemy kasować moduł po module. Istnieje konfiguracja, w której EFI wprowadzone jest w pętlę poszukiwania nieistniejących modułów.
    3. Możemy nawet pozbyć się BIOS/EFI – wystarczy użyć serwerowej płyty głównej, w której pasuje Libreboot. Niektóre płyty wspierają również sprawdzone, referencyjne EFI na otwartej licencji.
    Natomiast pełne bezpieczeństwo uzyskamy używając procesora odpornego na hipotetyczne ataki „pakietem falowym”, ma to związek z rozmiarami samego procesora (pewne części mogą działać jak antena nadawczo-odbiorcza) i wiadomo, że wszystkie procesory DO Coppermine (Pentium II) są bezpieczne.
    Teraz tylko pozostaje nakłonić twórców Linuksa, żeby robili systemy dla komputerów nieco powolniejszych niż najnowsze maszyny jakie kupili im bogaci tatusiowie, kto wie, może za pieniądze z rządu USA.
    ME jest z pewnością trojanem. Swojego czasu Purism udostępnił fragment loadera Intel ME, pochodzący z inżynierii wstecznej. Gdy Intelowi zaj… cały sterownik do grafiki korzystając z rewersu (do „cytowania” kodu z disassemblera w kodzie sterownika), nikt nic nie mówił. Gdy za pomocą inżynierii wstecznej pojawiły się otwarte implementacje sterowników intelowskich backplane’ów, nie było problemów. Pojawił się kod loadera – kwik w ciągu kilku godzin.

    Odpowiedz
    • 2018.12.02 15:32 Intel

      Wiesz zdecydowanie za dużo.

      Więc…

      Gdzie mieszkasz?

      Odpowiedz
    • 2018.12.02 18:40 Tomasz Miroszkin

      Zapomnij o wyłączaniu modułów. Takie próby kończą się wyświetleniem napisu „I co mi teraz zrobisz?”. System restartuje w pętli i koniec.

      Odpowiedz
  • 2018.12.02 13:17 Mgrblokers

    Skoro tak jest, skoro to backdoor to zapewne został wbudowany na zlecenie służb bo wiadomo służby sobie w kaszę dmuchać nie dadzą ( może z wyłączeniem tej naszej firmy rodzinnej abw i całej tej sztafety pokoleń ;D) więc skoro tak jest to po co te wszystkie programy skupowania exploitow poco nsa gchq szuka 0dayow itp cba kupuje od hakedtimu ? To taka gra pozorów plus trochę rozrywki, a może to wszystko na poczet przyszłego państwa totalitarnego :o

    Odpowiedz
    • 2018.12.02 18:46 Tomasz Miroszkin

      0-day są kupowane co by np. Chinole nie miały dostępu do tego samego. I pamiętajcie: WYWIAD ZAJMUJE SIĘ KRADZIEŻĄ ROZWIĄZAŃ TECHNICZNYCH … nic innego nie jest warte zachodu. Jacy terroryści?! Nie istnieją żadni terroryści.

      Odpowiedz
      • 2018.12.02 20:11 Noniestety

        Wywiad może tak, ale ABW nie, ABW robi herbatę w wodzie po pierogach a wywiad to oni mają w gazecie wyborczej chyba tylko :|

        Odpowiedz
        • 2018.12.04 19:04 Mateusz C.

          skąd taka opinia? służby rządzą polską, ich metod operacyjnych nie byłbyś sobie nawet w stanie wyobrazić

          Odpowiedz
          • 2018.12.04 21:29 Fhhd

            Mam wielką wyobraźnię. To nie służby rządzą polską tylko mtv lol

          • 2018.12.05 03:10 Jammer

            > służby rządzą polską, ich metod operacyjnych
            > nie byłbyś sobie nawet w stanie wyobrazić

            Prawa fizyki też łamią?

            Te „niewyobrażalne” metody operacyjne to zwykłe sztuczki, wymyślone albo przez nich samych, albo przez ich sojuszników, albo odziedziczone po PRL-u, nic więcej.

  • 2018.12.03 00:26 Wykop.pl

    Pytanie z innej beczki. W jakim programie została wykonana grafika (Położenie Intel ME) oraz gdzie można znaleźć/ zainspirować się podobnymi grafikami (dysk, kości RAM). Jeśli praca własna to gratuluję. Pozdrawiam.

    Odpowiedz
    • 2018.12.05 09:15 max

      Wygląda na jakieś specjalizowane oprogramowanie niedostępne w normalnej sprzedaży. Microsoft Paint chyba.

      Odpowiedz
  • 2018.12.05 23:40 Kazio

    To ja poproszę następny artykuł o ARMowym trust zone – szczególnie że nadchodzi nowe – cały zalew 64 bitowych procków arma z dodatkowymi „ficzerami”

    Odpowiedz
  • 2020.02.13 09:58 Dario

    „jednorazowy generator haseł (One-Time Password, OTP)” – miało być generator haseł jednorazowych. Jednorazowy generator haseł to chyba wybucha po wygenerowaniu hasła :)

    Odpowiedz
  • 2020.02.22 14:16 Adam

    I pomyslec, że ludzie instalują VPN i mysla ze sa bezpieczni i nie do namierzenia w sieci.

    A tu kazdy ma szpiega w postaci Intel ME.

    Wracam do Commodore C64. W tamtych czasach chyba nikt jeszcze nie myślał o szpiegowaniu.

    Odpowiedz
    • 2021.01.27 11:59 Rick Sanchez

      Obejrzyj sobie „Johnny Wick” i popatrz na w pełni funkcjonalną przestępczą infrastrukturę IT rodem z muzeum. Ktoś wspomniał, że do rdzenia Coppermine procesory i ich platformy uchodzą za jako tako bezpieczne.

      Odpowiedz
  • 2020.03.20 06:00 XXXXXXXXXX

    Bad BIOS istnieje i ma ścisły związek z Intel ME.

    Ten Trojan działa w środowisku MINIX i używany do szpiegostwa, w tym przemysłowego (którym przodują NIEMCY!) Oraz np. do monitorowania określonych ludzi. (którzy szukają konkretnych fraz) Myślę że znam powód dla którego Dragos Ruiu był aż tak ostro „na celowniku” dziwne poszukiwania prowadził. Ja natrafiłem na niego gdy zajmowałem się bezpieczeństwem patentów (wniosków) w polskiej firmie B+R. Okazało się że wywiadownie gospodarcze kradną nam patenty, robią to na etapie tworzenia opisów i rysunków do tworzonych wniosków patentowych. Z Dragos Ruiu nigdy nie udało mi się nawiązać kontaktu, mimo że BadBIOS poznałem dokładnie w tym samym czasie co on 2013/2014.

    Wirus/trojan BadBIOS opiera się na Intel ME w całości.(korzysta z niego ale też z niektórych rozwiązań znajdujących się w komputerach DELL) W systemie operacyjnym jest zasadniczo nie do zauważenia. Sam trojan potrafi jednak skutecznie blokować „poszukiwania go”. Motyw z modyfikowaniem W LOCIE np. oprogramowania NOTEPAD++ w celu złośliwego wyłączania funkcji CTRL+F (szukaj) lub np. brak zawijania textu w podglądzie plików mimo że jest ustawione) Zauważyłem tworzenie skię dziwnych duplikatów kart sieciowych w systemie Windows i Ubuntu. Sam system Intel ME bootuje w czasie 0,3s.

    Pierwszy raz spotkałem się z BadBIOS (Dragos Ruiu) w komputerze firmy DELL (standardowym dwu rdzeniowym prostym biurowym modelu na Windows XP 32bit). Trojan BadBIOS jest jak szachy, można siedzieć nad nim latami. Po kilku miesiącach walki (wszystkie komputery zostały zarażone do tego stopnia że nie miałem czystego komputera aby programator SPI Flash podłączyć) gdy udało mi się go zdeaktywować (modyfikując BIOS „na żwyca”) wyświetlił mi zabawny komunikat: What are you doing? Komunikat ten był w dziwnym trybie graficznym w dziwnym trybie graficznym (jak CG wyglądał), po czym komputer się zawiesił i niestety większość tego co wykombinowałem zniknęła bo wisiała w RAM. Komputery które są odporne na BadBIOS są fizycznie niszczone poprzez np. programowe podniesienie napięć na kościach RAM itp. (jedna z przyczyn którą zauważyłem, zmiana wartości napięcia zasilania RAM zrobiona „w locie” bez śladów w ustawieniach zapisanych w CMOS.

    Cechy charakterystyczne BadBIO

    Potrafi „w locie” modyfikować ściągane z sieci wsady BIN, a nawet skompilowane programy do aktualizacji BIOS. Wiem że grzmi jak SF ale tak jest.

    Potrafi ograniczyć wyszukiwanie w przeglądarce Google (usuwa wyniki), można to poznać po brakujących stronach (tylko w systemie Windows 32Bbit)

    Jest jedna całkowicie 100% cechą pozwalającą go zidentyfikować w komputerze: KAŻDA PŁYTA INSTALACYJNA CDROM WIN98 w zarażonym komputerze będzie płytą uszkodzoną, losowe pliki nie będą się dały odczytać, bez względu czy z poziomu systemy Windows, czy też z poziomu instalatora. Bez względu na rodzaj CDROM czy rodzaj płyty. Nawet fabrycznie nowe płyty z in stalką WIN98 nie uruchomią się. Prawdopodobnie nie dopuszcza do zainstalowania systemu WIN98 ponieważ w starszych komputerach nie było INTEL ME. (MINIX) Robi tak standardowo, w każdym komputerze w którym jest zainstalowany

    W kościach BIOS (SPI flash) jest tylko mały kawałek kodu BadBIOS, (emulator starej stacji dysków 1,1/4″, nikt tego już nie używa, a start/bootowanie zawsze zaczyna się od adresu tej stacji) reszta mieści się w kości SPI flash karty sieciowej LAN.

    Do komunikacji potrafi używać karty sieciowej LAN (używając w przypadku przewodów VI kat, ekranu przewodu jako anteny nadawczej, lub nieużywanych par przewodów w przewodach V kat) Jako generator sygnały radiowego i odbiornik radiowy służy w wielu modelach np. notebooków, modem telefoniczny! (można go przeprogramować na coś w rodzaju prostego SDR)

    Każdy komputer może być zasilany w energię ZDALNIE (zasada jak radyjko kryształowe) Używa się do tego dosyć wysokich częstotliwości i wzbudzania rezonatorów kwarcowych. Co ciekawe w 100% układów scalonych podłączone są w błędny sposób (odcięte GND od obudowy… tylko w EUROPIE, w sprzęcie sprzedawanym na terenie USA to występuje rzadko) że mogą być ona zasilane z tego miejsca. Zasilanie „na odległość” działa na cały świat, antena horyzontalna do tego znajduje się w Colorado. Praktycznie 99% obecnie montowanych rezonatorów kwarcowych nie ma obudowy podłączonej do GND (a powinno!) czasami w zabawny sposób wizualnie że są podłączone.

    Ślady EUROPEJSKIE programu/trojana BadBIOS prowadzą do: serwerów Amazona w Holandii oraz, starego data center HP w Reutlingen, obecnie Prywatna Agencja Wywiadowcza niejakiego Krolla (nazwisko)

    SPRZĘTOWA DEZAKTYWACJA CZĘŚCI TROJANA:

    Aby wyłączyć możliwość zasilania radiowo części układów w komputerze, (nawet wyłączonym od prądu) należy wykonać niedużą modyfikację jednego kwarcu (podłączyć go GND dodając kondensator). To prosta modyfikacja, dla elektronika oczywista. Po kilku miesiącach od dnia w którym wpadłem na ten pomysł (uszczelniałem experymentalnego/projekt notebooka Acer) trafiłem przez przypadek zezłomowany komputer pochodzący z Holandii (rozbita matryca). MIAŁ IDENTYCZNĄ MODYFIKACJĘ!, wlutowaną tak samo, na piechotę.

    Odpowiedz
    • 2021.05.29 16:27 Wiktorek

      Do 09.06.2021 korzystam jeszcze ze skrzynki w hotmail, potem sajonara :D, daj znać czy podzielisz się mailem, może podłubiemy
      w temacie ? Ty masz jakieś sukcesy i my mamy. Czasem warto się skonsolidować…Policja zablokowała od nas załączniki
      typu aplikacja / multimedia ostatnio :D Nie pytaj dlaczego :D
      Nie ma się czego mać, na każdy system jest system…

      Odpowiedz
  • 2022.04.19 22:17 Maro

    Układ ME pozwala dla Intela na wygenerowanie znacznie większej ilości odmian procesorów w danej serii niż faktycznie zaimplementowano fizycznie w płytkach krzemowych.

    Odpowiedz

Zostaw odpowiedź do Korzex

Jeśli chcesz zwrócić uwagę na literówkę lub inny błąd techniczny, zapraszamy do formularza kontaktowego. Reagujemy równie szybko.

Intel Management Engine – jedyny “legalny” trojan sprzętowy?

Komentarze