Войти
Кольца привилегий для архитектуры x86. ME в просторечии классифицируется как кольцо -3, ниже Режим управления системой (кольцо -2) и гипервизор (кольцо -1), все они работают с более высоким уровнем привилегий, чем ядро. (кольцо 0) Intel Management Engine (ME), также известный как Intel Manageability Engine, представляет собой автономную подсистему, которая встроена практически во все Intel процессор чипсеты с 2008 года. Он расположен в Platform Controller Hub современных материнских плат Intel .
Intel Management Engine всегда работает до тех пор, пока материнская плата получает питание, даже когда компьютер выключен.
Intel ME является привлекательной целью для хакеров, поскольку он имеет доступ верхнего уровня ко всем устройствам и полностью обходит операционную систему. Electronic Frontier Foundation выразил обеспокоенность по поводу Intel ME.
Главный конкурент Intel AMD включил эквивалентную AMD Secure Technology (формально называемую процессором безопасности платформы) практически во все свои процессоры после 2013 года.
Механизм управления часто путают с Intel AMT (Технология Intel Active Management). AMT работает на ME, но доступна только на процессорах с vPro. AMT позволяет владельцам устройств удаленно управлять своим компьютером, например включать и выключать его, а также переустанавливать операционную систему.
Однако сам ME встроен во все наборы микросхем Intel с 2008 года, а не только с AMT. Хотя владелец может не предоставлять AMT, официального документированного способа отключения ME не существует.
Подсистема в основном состоит из проприетарной микропрограммы, работающей на отдельном микропроцессоре, который выполняет задачи во время загрузка, когда компьютер работает и пока он спит. Пока чипсет или SoC подключен к току (через батарею или источник питания), он продолжает работать, даже когда система выключена. Intel утверждает, что ME требуется для обеспечения полной производительности. Его точная работа в значительной степени недокументирована, а его код запутан с использованием конфиденциальных таблиц Хаффмана, хранящихся непосредственно в оборудовании, поэтому микропрограммное обеспечение не содержит информации, необходимой для декодирования его содержимого.
Начиная с ME 11, оно основано на Intel Quark x86-based 32-bit CPU и работает на MINIX 3 операционная система. Состояние ME сохраняется в разделе флэш-памяти SPI с использованием (EFFS). Предыдущие версии были основаны на ядре ARC, при этом Management Engine выполнял ThreadX RTOS. Версии ME с 1.x по 5.x использовали ARCTangent-A4 (только 32-битные инструкции), тогда как версии 6.x по 8.x использовали более новый ARCompact (смешанный 32- и 16-битный архитектура набора команд ). Начиная с ME 7.1, процессор ARC может также выполнять подписанные Java-апплеты.
. ME имеет свой собственный MAC и IP-адрес для внеполосного интерфейса с прямым доступом к контроллеру Ethernet; одна часть трафика Ethernet перенаправляется на ME даже до того, как достигает операционной системы хоста, что поддерживается различными контроллерами Ethernet, экспортируется и настраивается через транспортный протокол компонентов управления (MCTP). ME также связывается с хостом через интерфейс PCI. В Linux связь между хостом и ME осуществляется через / dev / mei или /dev/mei0.
До выпуска процессоров Nehalem ME обычно был встроен в северный мост материнской платы, следуя схеме концентратора контроллера памяти (MCH). В более новых архитектурах Intel (Intel 5 Series и далее) ME интегрирован в Platform Controller Hub (PCH).
Автор Согласно текущей терминологии Intel по состоянию на 2017 год, ME является одним из нескольких наборов микропрограмм для конвергентного механизма безопасности и управления (CSME). До AMT версии 11 CSME назывался Intel Management Engine BIOS Extension (Intel MEBx).
Российская компания Positive Technologies (Дмитрий Скляров ) обнаружила, что версия 11 прошивки ME работает под управлением MINIX 3.
В ME было обнаружено несколько слабых мест. 1 мая 2017 года Intel подтвердила ошибку удаленного повышения привилегий (SA-00075) в своей технологии управления. Каждая платформа Intel с предоставленной Intel Standard Manageability, Active Management Technology или Small Business Technology, от Nehalem в 2008 году до Kaby Lake в 2017 году, имеет уязвимость в системе безопасности для удаленного использования. Было найдено несколько способов отключить ME без авторизации, которые могут позволить саботировать функции ME. Дополнительные серьезные недостатки безопасности в ME, затрагивающие очень большое количество компьютеров с встроенным ПО ME, Trusted Execution Engine (TXE) и Server Platform Services (SPS), от Skylake в 2015 году до Coffee Lake в 2017 году, были подтверждены Intel 20 ноября 2017 года (SA-00086). В отличие от SA-00075, эта ошибка присутствует даже в том случае, если AMT отсутствует, не настроен или если ME был «отключен» любым из известных неофициальных методов. В июле 2018 года был обнаружен еще один набор уязвимостей (SA-00112). В сентябре 2018 года была опубликована еще одна уязвимость (SA-00125).
A ring -3 rootkit был продемонстрирован лабораторией Invisible Things Lab для набора микросхем Q35; он не работает для более позднего набора микросхем Q45, поскольку Intel реализовала дополнительную защиту. Эксплойт работал путем переназначения обычно защищенной области памяти (верхние 16 МБ ОЗУ), зарезервированной для ME. Руткит ME может быть установлен независимо от того, присутствует ли AMT в системе или включена, так как набор микросхем всегда содержит сопроцессор ARC ME. (Обозначение «-3» было выбрано, потому что сопроцессор ME работает, даже когда система находится в состоянии S3, поэтому он считался уровнем ниже руткитов Режим управления системой.) Для уязвимого набора микросхем Q35 Патрик Стюин продемонстрировал регистратор нажатий клавиш руткит на основе ME.
Другая оценка безопасности, проведенная Вассилиосом Верверисом, показала серьезные недостатки в реализации чипсета GM45. В частности, он подверг критике AMT за передачу незашифрованных паролей в режиме инициализации SMB, когда используются функции перенаправления IDE и последовательного порта через LAN. Также было обнаружено, что режим инициализации «без касания» (ZTC) все еще включен, даже если AMT отключен в BIOS. Примерно за 60 евро Ververis приобрел у Go Daddy сертификат, который принимается микропрограммой ME и позволяет удаленно настраивать (возможно, ничего не подозревающие) машины, которые транслируют свои пакеты HELLO в потенциальную конфигурацию. серверов.
В мае 2017 г. Intel подтвердила, что на многих компьютерах с AMT имеется незащищенная критическая уязвимость повышения привилегий (CVE-2017 -5689 ). Уязвимость, получившая прозвище «Молчаливый Боб молчалив» исследователями, которые сообщили об этом Intel, затрагивает многочисленные ноутбуки, настольные компьютеры и серверы, продаваемые Dell, Fujitsu, Hewlett-Packard (позднее Hewlett Packard Enterprise и HP Inc. ), Intel, Lenovo и, возможно, другие. Эти исследователи утверждали, что ошибка затрагивает системы, выпущенные в 2010 году или позже. В других отчетах утверждалось, что ошибка также затрагивает системы, выпущенные еще в 2008 году. Уязвимость описывалась как предоставление удаленным злоумышленникам:
"полного контроля над затронутыми машинами, включая возможность читать и изменять все. Ее можно использовать для установки постоянного вредоносное ПО (возможно, встроенное ПО), а также считывание и изменение любых данных ".
— Тату Юленен, ssh.comВ июне 2017 года группа киберпреступников PLATINUM стала заметной для использования возможностей AMT последовательного порта через LAN (SOL) для кражи данных украденных документов. SOL по умолчанию отключен, и его необходимо включить, чтобы использовать эту уязвимость.
Спустя несколько месяцев после появления предыдущих ошибок и последующих предупреждений от EFF, охранная компания Positive Technologies заявила, что разработала рабочий эксплойт. 20 ноября 2017 г. корпорация Intel подтвердила, что в микропрограммах Management Engine (основной поток), Trusted Execution Engine (планшет / мобильный телефон) и Server Platform Services (сервер высшего класса) был обнаружен ряд серьезных недостатков, и выпустила «критическую микропрограмму». Обновить". Фактически, каждый компьютер на базе Intel за последние несколько лет, включая большинство настольных компьютеров и серверов, оказался уязвимым для компрометации их безопасности, хотя все потенциальные пути использования не были полностью известны. Невозможно исправить проблемы из операционной системы, и требуется обновление прошивки (UEFI, BIOS) на материнской плате, что, как ожидалось, займет довольно много времени у многих отдельных производителей, если это когда-либо будет многие системы.
Ни один из известных неофициальных методов отключить ME, чтобы предотвратить использование уязвимости. Производитель должен обновить прошивку. Однако те, кто обнаружил уязвимость, отмечают, что обновления прошивки также не полностью эффективны, поскольку злоумышленник, имеющий доступ к региону прошивки ME, может просто прошить старую уязвимую версию и затем воспользоваться ошибкой.
В июле 2018 года Intel объявила о трех уязвимостях (CVE - 2018-3628, CVE- 2018-3629, CVE- 2018-3632 ) и что потребуется патч для прошивки CSME. Intel указала, что не будет патча для процессоров Core 3-го поколения или более ранних версий, несмотря на то, что это касается чипов или их наборов микросхем еще в Intel Core 2 Duo vPro и Intel Centrino 2 vPro. Однако для существования уязвимости необходимо включить и подготовить Intel AMT.
Критики, такие как Electronic Frontier Foundation (EFF), Разработчики Libreboot и эксперт по безопасности Дэмиен Заммит обвинили ME в том, что это бэкдор и проблема конфиденциальности. Заммит подчеркивает, что ME имеет полный доступ к памяти (без каких-либо сведений о ядрах ЦП, контролируемых владельцем), имеет полный доступ к стеку TCP / IP и может отправлять и получать сетевые пакеты независимо от операционной системы, таким образом обходя свой брандмауэр..
Intel ответила, что «Intel не закрывает глаза на свои продукты, и наши продукты не предоставляют Intel контроль или доступ к вычислительным системам без явного разрешения конечного пользователя». и «Intel не разрабатывает и не будет разрабатывать бэкдоры для доступа к своим продуктам. Недавние отчеты, в которых утверждается иное, неверны и явно ложны. Intel не участвует в каких-либо усилиях по снижению безопасности своей технологии».
В контексте В ответ на критику Intel ME и AMD Secure Technology было указано, что бюджетный запрос Агентства национальной безопасности (NSA) на 2013 год содержал проект Sigint Enabling Project с целью «Вставить уязвимости в коммерческих системах шифрования, ИТ-системах и т. д. », и высказывались предположения, что Intel ME и AMD Secure Technology могут быть частью этой программы.
Обычно это невозможно для пользователя, чтобы отключить ME. Однако были обнаружены некоторые недокументированные способы сделать это. Эти методы не поддерживаются Intel. Архитектура безопасности ME предназначена для предотвращения отключения, и поэтому Intel считает такую возможность уязвимостью системы безопасности. Например, вирус может злоупотребить им, чтобы заставить компьютер потерять некоторые функциональные возможности, которые ожидает типичный конечный пользователь, например возможность воспроизведения мультимедиа с DRM. С другой стороны, злоумышленник может использовать ME для удаленной компрометации системы.
Строго говоря, ни один из известных методов не отключает ME полностью, так как это требуется для загрузки основного ЦП. Все известные методы просто переводят ME в ненормальное состояние вскоре после загрузки, в котором он, кажется, не работает. ME все еще физически подключен к системе, и его микропроцессор продолжает выполнять код.
В 2016 году проект me_cleaner обнаружил, что проверка целостности ME нарушена. Предполагается, что ME обнаружит, что он был взломан, и, если это так, принудительно выключит ПК через 30 минут после запуска системы. Это предотвращает работу скомпрометированной системы незамеченной, но позволяет владельцу исправить проблему, установив действительную версию микропрограммы ME в течение льготного периода. Как выяснилось в рамках проекта, путем внесения несанкционированных изменений в прошивку ME можно было принудительно перевести ее в состояние аномальной ошибки, которое не позволяло запускать выключение, даже если большие части прошивки были перезаписаны и, таким образом, стали неработоспособными.
В августе 2017 года российская компания Positive Technologies (Дмитрий Скляров ) опубликовала метод отключения ME с помощью недокументированной сборки -в режиме. Поскольку Intel подтвердила, что ME содержит переключатель, позволяющий правительственным органам, таким как NSA, переводить ME в режим High-Assurance Platform (HAP) после загрузки. Этот режим отключает большинство функций ME и должен был быть доступен только в машинах, произведенных для определенных покупателей, таких как правительство США; однако большинство машин, продаваемых на розничном рынке, можно заставить активировать переключатель. Манипуляции с битом HAP были быстро включены в проект me_cleaner.
В конце 2017 года несколько производителей ноутбуков заявили о своем намерении поставлять ноутбуки с отключенным Intel ME:
Ни один из двух методов отключения ME, обнаруженных до сих пор, не оказался эффективным средством противодействия уязвимости SA-00086. Это связано с тем, что уязвимость находится в предварительно загруженном модуле ME, который необходим для загрузки основного процессора.
По состоянию на 2017 год Google пытался удалить проприетарную прошивку со своих серверов и обнаружил, что ME был препятствием для этого.
Вскоре после исправления SA-00086 поставщики Системные платы процессоров AMD начали поставлять обновления BIOS, которые позволяют отключать AMD Secure Technology, подсистему с аналогичными функциями, что и ME.
