Intel Management Engine

Intel Management Engine je subsystém obsažený v čipových sadách společnosti Intel, umožňující vzdálený přístup k počítači i bez toho, aby na něm byl nainstalovaný operační systém. V principu je to jakýsi vnitřní počítač běžící pod úrovní všeho.[1] Subsystém je také známý pod názvy Server Platform Services a Trusted Execution Engine. Název Server Platform Services se používá v případě serverových čipsetů a název Trusted Execution Engine se používal u zařízení s procesory Intel Atom.[2] Tyto systémy se od Intel Management Enginu mohou lišit poskytovanými funkcemi, ale v principu jsou všechny tři systémy totožné.[2]

Kromě lidí z Intelu a pravděpodobně i lidí z některých agentur, jako NSA nikdo neví, co Intel Management Engine umí a jak jsou jeho funkce reálně používány.[3] Intel Management systém má přístup ke všem datům na discích, připojeným flash diskům i k síti.[4]

Procesory AMD mají podobný systém AMD Secure Technology.

Historie

Intel Management Engine se poprvé objevil v severním můstku čipové sady 975× a od roku 2015 je součástí všech čipových sad Intel.[3]

Intel se prostřednictvím svého týmu inženýrů zajímal o MINIX 3.[3] Kromě technických dotazů se inženýři Intelu dotazovali autora MINIXu Andrewa Tanenbauma i na množství úprav MINIXu, např. na snížení paměťové náročnosti, přidání #ifdefs do částí kódu, aby byly označitelné v konfiguračních souborech.[3] Tyto úpravy se dostaly do kódu MINIXu 3. Po té Tanenbaumova spolupráce s Intelem na několik let ustala.[3] Později se ukázalo, že MINIX 3 byl využit jako operační systém v rámci 11. generace Intel Management Engine.[3]

Na jaře 2017 byla v Intel Management Engine u procesorů s technologií vPro objevena chyba, která počítače s těmito procesory vystavila nedetekovatelným útokům.[4] Tato chyba byla opravena až v listopadu 2017.[4] V době mezi nalezením chyby a opravením této chyby Intel prováděl analýzu, která měla odhalit i další případné chyby.[4] V Intel Management Engine, v Trusted Execution Engine a v Server Platform Services bylo nalezeno celkem osm chyb.[4] Tyto chyby mohly být tyto chyby využity k instalaci rootkitů, spuštění kódu nedetekovatelným způsobem a samotný Intel Management Engine bylo možné zneužít k lokálnímu i vzdálenému spuštění kódu pomocí přetečení bufferu.[4]

Electronic Frontier Foundation v roce 2017 označila Intel Management Engine jako bezpečností riziko a požádala o možnost ho vypnout.[5] Později v témže roce společnost Positive Technologies publikovala informaci, že Intel Management Engine lze vypnout změnou jediného bitu ve firmware, který tam byl přidán nejspíše na žádost NSA.[1]

V roce 2018 se zjistilo, že Apple v počítačích s procesory Intel ponechal u Management Engine zapnutý výrobní režim (Manufacturing Mode).[5]

Technická specifikace

Intel Management Engine 11
  • procesorové jádro Intel Quark x86[3]
  • operační systém MINIX 3[3]
  • souborový systém Embedded Flash File System na oddílu typu SPI flash[3]
  • vlastní IP adresa a MAC adresa a přímý přístup k rozhranní Ethernet[3]
  • komunikace s počítačem, na kterém Intel Management Engine běží přes rozhraní PCI, v linuxu přístupném jako /dev/mei[3]

Pomocí změny hodnoty bitu, označovaného jako reserve_hap s popiskem High Assurance Platform (HAP) enable je možné Intel Management Engine přepnout do stavu, kdy po inicializaci počítače a předání řízení hlavnímu operačnímu systému se Intel Management Engine zcela vypne.[1]

Intel Management Engine má výrobní režim, který je určen ke konfiguraci nastavení v jednorázově programovatelné paměti a konfiguraci vyjmenovaných proměnných v SPI flash paměti a k testování platformy v průběhu výroby.[5] Výrobní režim je přístupný pouze pomocí nástroje obsaženého v programovém balíku Intel ME System Tools, který není dostupný veřejnosti.[5] Tento režim by tedy měl být ukončen (uzavřen) před dodáním zákazníkům. Výrobní režim a jeho možná rizika nejsou popsány ve veřejné dostupné dokumentaci Intelu.[5]

Bezpečnost

Intel Management Engine je kritizován Free Software Foundation kvůli tomu, že majitel počítače nemá kontrolu nad tím, co se v počítači děje.[6]

Společnost Intel se k bezpečnosti svého Management Engineu prostřednictvím svého mluvčího vyjádřil: „Protože je Intel Management Engine proprietární a Intel nesdílí jeho zdrojové kódy, je velmi bezpečný. Intel definoval sadu politik a procedur, spravovanou samostatným týmem, aby aktivně monitoroval zranitelnosti identifikované ve vydaných produktech a reagoval na ně. V případě Intel Management Engine existují mechanismy reagující na zranitelnosti, které by se mohly objevit.“[6]

Reference
  1. JEŽEK, David. Intel Management Engine jde vypnout díky zadním vrátkům NSA. diit.cz [online]. 30. 8. 2017. Dostupné online. ISSN 1213-2225.
  2. FUNTÁN, Michal. Bezpečnostní aspekty Intel Management Engine. Praha, 2019. magisterská práce. České vysoké učení technické v Praze, Fakulta informačních technologií. Vedoucí práce Ing. Josef Kokeš. Dostupné online.
  3. JEŽEK, David. MINIX je zřejmě nejrozšířenějším systémem, je ukrytý v procesorech Intel. root.cz [online]. 8. 11. 2017. Dostupné online. ISSN 1802-8012.
  4. VÍTEK, Jan. Intel konečně opravil závažné chyby v Management Engine. Svět hardware [online]. 22.11.2017. Dostupné online. ISSN 1213-0818.
  5. CLABURN, Thomas. Apple forgot to lock Intel Management Engine in laptops, so get patching. The Register [online]. 3 Oct 2018 at 22:43. Dostupné online.
  6. JELÍNEK, Lukáš. Intel: Management Engine je uzavřený a proto bezpečný. Linuxexpres [online]. Neděle, 19. červen 2016. Dostupné online. ISSN 1801-3996.
  • FUNTÁN, Michal. Bezpečnostní aspekty Intel Management Engine. Praha, 2019. magisterská práce. České vysoké učení technické v Praze, Fakulta informačních technologií. Vedoucí práce Ing. Josef Kokeš. Dostupné online.
  • VÍTEK, Jan. Máme se bát "tajných" procesorů uvnitř CPU Intel?. Svět hardware [online]. 16.6.2016. Dostupné online. ISSN 1213-0818.
This article is issued from Wikipedia. The text is licensed under Creative Commons - Attribution - Sharealike. Additional terms may apply for the media files.