De Intel Management Engine – een privacy-nachtmerrie

Elke moderne processor van Intel bevat een achterdeur die bekend staat als de Intel Management Engine (IME). Dit is een geïsoleerde en beschermde coprocessor die is ingebed in alle Intel-chipsets die nieuwer zijn dan juni 2006.

Dit omvat alle desktops, servers, ultrabooks, tablets en laptops met de Intel Core vPro-processorfamilie. Het omvat de Intel Core i3, i5, i7 en Intel Xeon processor E3-1200 productfamilie.

De Intel Management Engine is echt nogal eng

Dit niet-auditeerbare subsysteem met gesloten bron kan:

  • Toegang tot alle gebieden van het geheugen van uw computer, zonder medeweten van de CPU.
  • Toegang tot alle randapparatuur die op uw computer is aangesloten.
  • Stel een TCP / IP-server in op uw netwerkinterface die verkeer kan verzenden en ontvangen, ongeacht of het besturingssysteem een ​​firewall uitvoert of niet.
  • Voer op afstand uit, zelfs wanneer uw computer is uitgeschakeld.
  • Stel een externe gebruiker in staat uw pc in te schakelen, uit te schakelen, informatie te bekijken over en anderszins uw pc te beheren.
  • ME-firmwareversies 4.0 en hoger (Intel 4-serie en latere chipsets) bevatten een DRM-toepassing "Beschermd audio-videopad" (PAVP). Hierdoor heeft een externe gebruiker toegang tot alles wat op uw scherm wordt getoond.

Als uw pc een Intel-chip gebruikt, maakt het niet uit welk besturingssysteem u gebruikt. Zoals Brian Benchoff opmerkt in een Hackady-blogpost,

"Bezit de ME en jij bezit de computer."

Angstaanjagend als dit alles is, wordt het erger. De AMT-applicatie (zie hieronder) heeft bekende kwetsbaarheden, die al zijn misbruikt om rootkits en keyloggers te ontwikkelen en om heimelijk gecodeerde toegang te krijgen tot de beheerfuncties van een pc. Zoals Libreboot in zijn FAQ opmerkt,

“Samenvattend, de Intel Management Engine en zijn applicaties zijn een achterdeur met totale toegang tot en controle over de rest van de pc. De ME is een bedreiging voor vrijheid, veiligheid en privacy en het libreboot-project beveelt ten sterkste aan om het volledig te vermijden. ”

Tot nu toe was de enige manier om dit te doen het vermijden van alle generaties Intel-hardware die nieuwer is dan tien jaar oud! Helaas kom je niet ver ver als je kiest voor een niet-Intel-processor ...

Ook niet-Intel-chips zijn niet veilig!

Alle AMD-chips na 2013 bevatten een Platform Security Processor (PSP). De implementatie hiervan is heel anders dan die van Intel's IME, maar het doet een zeer vergelijkbaar ding. Het komt ook met dezelfde basisveiligheids- en vrijheidsproblemen als de IM.

Android- en iOS-apparaten worden daarentegen allemaal geleverd met een geïntegreerde eigen chip die bekend staat als een basisbandprocessor. Het is bekend in beveiligingskringen dat dit effectief kan werken als een achterdeur ...

Dus wat is precies de Intel Management Engine?

De IME is het hardwarecomponent van de Active Management Technology (AMT) van Intel. Het is ontworpen om systeembeheerders pc's met externe toegang te bieden om ze te bewaken, onderhouden, bijwerken, upgraden en repareren.

Afgezien van de mogelijkheden is er zeer weinig bekend over de IME. Dit is te danken aan het feit dat het een gesloten bron is en beveiligd met een RSA-2048-sleutel. Zoals eerder opgemerkt, kent de AMT-applicatie kwetsbaarheden, hoewel de IME-hardwarecomponent veilig blijft ... voor nu. Zoals Benchoff opmerkt,

"Er zijn momenteel geen kwetsbaarheden in de ME bekend om te exploiteren: we zijn allemaal buitengesloten van de ME. Maar dat is veiligheid door onduidelijkheid. Zodra de ME valt, valt alles met een Intel-chip. Het is veruit de engste veiligheidsdreiging vandaag, en het is er een die nog erger is geworden door onze eigen onwetendheid over hoe de ME werkt. "

Met betrekking tot criminele hackers is het heel erg wanneer, niet als de hardware is gekraakt. Bovendien vormen criminele hackers slechts één bedreiging.

Systeembeheerders krijgen toegang tot AMT-functies met behulp van cryptografische sleutels. Deze kunnen worden gestolen of worden overgedragen aan de autoriteiten na ontvangst van een dagvaarding, gerechtelijk bevel, nationale veiligheidsbrief of dergelijke.

Inderdaad, gezien wat we weten over de nauwe banden met de Amerikaanse technologie-industrie, zou het redelijk zijn om aan te nemen dat Intel de NSA eenvoudig de certificaten en cryptografische sleutels heeft verstrekt die nodig zijn om toegang te krijgen tot elke chip die het produceert. Nogmaals, dit is heel eng!

Hoe schakel ik de IM uit?

Tot voor kort was het onmogelijk om de IM uit te schakelen op de meeste systemen die Intel Core 2-serie Intel-chips of nieuwer gebruiken (2006 en later). Elke poging om de ME-firmware op een chip met de IME uit te schakelen, zou ertoe leiden dat het systeem weigert op te starten of kort na het opstarten wordt afgesloten.

Er is een techniek ontwikkeld voor het verwijderen van ME uit GM45-chipsets (Core 2 Duo, Core 2 Extreme, Celeron M). Het werkte echter omdat de ME zich op een chip bevond die los stond van de Northbridge.

Deze techniek werkt niet voor Core i3 / i5 / i7-processors, omdat de ME is geïntegreerd in de northbridge. Het is mogelijk om belangrijke delen van de ME op deze chips uit te schakelen, maar dit heeft er altijd toe geleid dat de pc na 30 minuten werd afgesloten, toen de opstart-ROM van de ME (opgeslagen in een SPI Flash) geen geldige Intel-handtekening kon vinden.

Onlangs ontdekte onderzoeker Trammell Hudson echter dat als hij de eerste pagina van de ME-regio wist (d.w.z. 'de eerste 4KB van zijn regio (0x3000, begint met "$ FPT"') van zijn ThinkPad x230 werd deze na 30 minuten niet afgesloten.

Deze ontdekking bracht andere onderzoekers (Nicola Corna en Frederico Amedeo Izzo) ertoe een script te schrijven dat van deze exploit gebruik maakt. Merk op dat dit script de ME op zichzelf niet volledig verwijdert, maar in praktische termen wordt het uitgeschakeld. Benchoff merkt op,

"In feite denkt ME nog steeds dat het draait, maar het doet eigenlijk niets."

Van het script is bekend dat het werkt op Sandy Bridge- en Ivy Bridge-processors en zou moeten werken op Skylake-processors. Het kan werken en Haswell- en Broadwell-processors, maar dit is niet getest.

Helaas vereist het gebruik van dit script serieuze technische karbonades. Het vereist het gebruik van een Beaglebone, een SOIC-8-chipclip en wat losse draden. Het vereist ook veel lef, omdat er een ernstig risico bestaat dat uw processor wordt ingemetseld!

Desalniettemin is dit een belangrijke ontwikkeling waarmee degenen die vastbesloten zijn de achterdeur die in vrijwel elke moderne processor bestaat (effectief) kunnen verwijderen.

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me