Intel Management Engine Interface ( IMEI eller Intel ME ) är ett fristående delsystem inbyggt i nästan alla Intel-processorkretsuppsättningar sedan 2008 [ 1] [2] [3] . Den består av proprietär firmware som körs av en separat mikroprocessor . Eftersom styrkretsen alltid är ansluten till en strömkälla ( batteri eller annan strömkälla ), fortsätter detta delsystem att fungera även när datorn är avstängd [4] . Intel uppger att ME krävs för maximal prestanda [5] . Den exakta arbetsprincipen [6] är till stor del odokumenterad, och källkoden fördunklas med hjälp av Huffman-koden , vars tabell lagras direkt i hårdvaran, så själva firmwaren innehåller inte information för dess avkodning. Intels huvudkonkurrent, AMD , har också integrerat ett liknande AMD Secure Technology-system (tidigare känt som Platform Security Processor) i sina processorer sedan 2013.
Management Engine förväxlas ofta med Intel AMT . AMT är baserat på ME, men är endast tillgängligt på processorer med vPro- teknik . AMT tillåter ägaren att fjärradministrera datorn [7] , till exempel slå på eller av den, installera operativsystemet. ME har dock installerats sedan 2008 på alla Intel-chipset, oavsett om de har vPro. Även om AMT kan inaktiveras, finns det inget officiellt dokumenterat sätt att inaktivera ME.
Flera sårbarheter har hittats i ME. Den 1 maj 2017 bekräftade Intel en sårbarhet för eskalering av fjärrprivilegier (SA-00075) i Management Technology [8] . Varje Intel-plattform med Intel Standard Manageability, Intel Active Management Technology eller Intel Small Business Technology installerad från Nehalem (2008) till Kaby Lake (2017) har en sårbarhet i ME som kan utnyttjas på distans [9] [10] . Flera sätt för otillåten avstängning av ME har hittats som kan störa funktionaliteten hos ME [11] [12] [13] . Ytterligare kritiska sårbarheter som påverkar ett stort antal datorer som kör firmware inklusive ME, Trusted Execution Engine (TXE) och Server Platform Services (SPS) från Skylake (2015) till Coffee Lake (2017) bekräftades av Intel den 20 november 2017 (SA) -00086) [14] . Till skillnad från SA-00075 finns de även om AMT är inaktiverat, inte inkluderat i distributionen eller ME är inaktiverat av någon av de inofficiella metoderna. [femton]
Från och med ME 11 är den baserad på en 32-bitars x86 - kompatibel processor baserad på Intel Quark -teknik som kör operativsystemet MINIX 3 [13] . ME-tillståndet lagras i SPI- bussektionen med hjälp av filsystemet EFFS (Embedded Flash File System) [16] . Tidigare versioner baserades på ARC RISC - kärnan med ThreadX realtidsoperativsystem från Express Logic . ME-versionerna 1.x till 5.x använde ARCTangent-A4 (endast 32-bitars instruktioner), medan versionerna 6.x till 8.x använde den nyare ARCompact (blandad 32- och 16-bitars instruktionsuppsättningsarkitektur ) . Sedan ME 7.1 har ARC-processorn kunnat exekvera signerade Java-appletar .
ME har sin egen MAC-adress och IP-adress för sitt sekundära gränssnitt med direkt tillgång till Ethernet- styrenheten . Varje paket med Ethernet-trafik vidarebefordras till ME även innan det når värdoperativsystemet, och detta beteende stöds av många kontroller som är konfigurerade via MCTP-protokollet [17] [18] . ME kommunicerar också med maskinen via PCI -gränssnittet [16] . I Linux sker interaktionen mellan maskinen och ME genom enheten /dev/mei [19] .
Från och med processorer baserade på Nehalem ME-mikroarkitekturen, är den vanligtvis integrerad i moderkortets norra brygga [20] . På nya Intel-arkitekturer (som börjar med Intel 5-serien) är ME inbyggd i Platform Controller Hub [21] [22] .
Från och med 2017 Intels terminologi är ME en av CSME-sviterna (Converged Security and Manageability Engine). Före AMT version 11 kallades CSME Intel Management Engine BIOS Extension (Intel MEBx) [3] .
Positive Technologies har upptäckt att ME firmware version 11 använder MINIX 3 [13] [23] [24] .
Det är omöjligt att inaktivera ME på de vanliga sätten. Flera odokumenterade och potentiellt riskfyllda metoder har dock hittats för att göra detta [14] . Dessa metoder stöds inte av Intel. ME-säkerhetsarkitekturen är utformad för att förhindra avstängningar, så möjligheten till en sådan avstängning anses vara en sårbarhet. Till exempel kan ett virus, som använder möjligheten att inaktivera obehöriga, beröva datorn några av de funktioner som slutanvändaren förväntar sig, som att spela upp media med tekniskt upphovsrättsskydd . Men kritiker av ME ser inte detta som en sårbarhet.
Strängt taget är ingen av metoderna kapabel att helt inaktivera ME, eftersom utan ME är det omöjligt att ladda processorn. Alla kända metoder gör helt enkelt att ME:n går in i ett ogiltigt tillstånd kort efter laddning, där ingen ME-funktion kan utföras. ME fortsätter att vara ansluten till strömförsörjningen och mikroprocessorn som är inbäddad i ME fortsätter att exekvera kod.
Odokumenterade metoder Firmware neutralisering2016 upptäckte me_cleaner- projektet att ME-autentisering kunde hackas. ME måste upptäcka ett intrång i den fasta programvaran och, om verifieringen misslyckas, tvinga datorn att stängas av efter 30 minuter [25] . Detta förhindrar att det komprometterade systemet fungerar och låter ägaren åtgärda problemet genom att ladda ner en äkta firmwareversion. Som har fastställts av projektet är det möjligt att göra otillåtna ändringar i ME-firmwaren på ett sådant sätt att ME:n går in i ett felaktigt tillstånd som inte tillåter att en påtvingad avstängning utlöses, även om de flesta av firmware har skrivits över.
High Assurance Platform ModeI augusti 2017 publicerade Positive Technologies en metod för att inaktivera ME genom ett odokumenterat inline-läge. Intel har bekräftat [26] att ME innehåller möjligheten för statliga myndigheter som NSA att byta till High-Assurance Platform (HAP) läge omedelbart efter uppstart. Detta läge inaktiverar alla ME-funktioner. Den är endast godkänd för användning av statliga myndigheter och är endast avsedd för maskiner som tillverkats för dem. Det visade sig dock att de flesta datorer som säljs på marknaden kan aktivera detta läge [27] [28] . HAP-bitsmanipulation byggdes snabbt in i me_cleaner [29] -projektet .
ME kommersiell avstängningI slutet av 2017 tillkännagav flera tillverkare av bärbara datorer sina avsikter att leverera bärbara datorer med Intel ME inaktiverat:
Ingen av de två upptäckta metoderna för att inaktivera ME kan vara en effektiv motåtgärd mot SA-00086-sårbarheten [15] . Anledningen till detta är att sårbarheten finns i ME-modulen, som laddas i ett tidigt skede och krävs för att starta upp huvudprocessorn [34] .
Ring-3 rootkit introducerades av Invisible Things Lab-forskare för Q35-chipset; det fungerar inte för den nyare Q45-kretsuppsättningen, eftersom Intel har implementerat ytterligare säkerhetsåtgärder [35] . Exploateringen fungerade genom att mappa om ett normalt skyddat minnesområde (övre 16 MB RAM ) reserverat för ME. ME rootkit skulle kunna installeras oavsett närvaron av AMT, eftersom chipset alltid innehåller ME ARC-samprocessorn. Beteckningen "−3" valdes eftersom ME-samprocessorn är aktiv även när systemet är i viloläge (S3-tillstånd) , därför anses det vara lägre nivå än systemhanteringsläges rootkits [20] . För den sårbara Q35-kretsuppsättningen demonstrerade Patrick Stewin ett tangenttryckningsspårande ME-rootkit [36] [37] .
I maj 2017 bekräftade Intel att många datorer med AMT innehåller en opatchad kritisk eskaleringssårbarhet (CVE-2017-5689) [8] [10] [38] [39] [40] . Sårbarheten, kallad "Silent Bob is Silent" av forskare som rapporterade den till Intel [41] , påverkar många bärbara datorer, datorer och servrar som säljs av Dell , Fujitsu , Hewlett-Packard ( Hewlett Packard Enterprise och HP Inc. efter splittringen), Intel , Lenovo och möjligen andra [41] [42] [43] [44] [45] [46] [47] . Forskarna konstaterade att buggen påverkar system tillverkade 2010 och senare [48] . Vissa har rapporterat att buggen även gäller system tillverkade så tidigt som 2008 [10] [49] . Enligt beskrivningarna tillåter sårbarheten fjärrangripare att få:
full kontroll över sårbara maskiner, inklusive möjligheten att läsa och ändra vad som helst. Den kan användas för att installera beständig skadlig programvara (kanske i firmware) och för att läsa och ändra all data.
Originaltext (engelska)[ visaDölj] full kontroll över drabbade maskiner, inklusive möjligheten att läsa och ändra allt. Den kan användas för att installera beständig skadlig programvara (möjligen i firmware) och läsa och ändra all data. — Tatu Ylönen [41]Några månader efter upptäckten av den tidigare sårbarheten och de efterföljande EFF- varningarna [2] meddelade Positive Technologies att de hade utvecklat en fungerande exploit [50] . Den 20 november 2017 bekräftade Intel upptäckten av allvarliga brister i Management Engine, Trusted Execution Engine och Server Platform Services och släppte en kritisk uppdatering ("kritisk firmwareuppdatering") [51] [52] . Praktiskt taget alla Intel-baserade datorer som släppts under de senaste åren, inklusive de flesta servrar och hemdatorer, är sårbara och kan äventyras, även om inte alla potentiella exploateringar är kända [52] . Problemet kan inte åtgärdas på operativsystemnivå, och en uppdatering av moderkortets firmware (BIOS, UEFI) krävs, vilket förmodligen kommer att ta lite tid för tillverkarna [14] .
Kritiker som Electronic Frontier Foundation (EFF) och säkerhetsexperten Damien Zammit anklagar mig för att ha en bakdörr [2] [53] . Zammit noterar att ME har full minnesåtkomst (utan vetskapen om moderprocessorn ); har full tillgång till TCP/IP- stacken och kan skicka och ta emot paket oavsett operativsystem, och därmed kringgå dess brandvägg .
Intel svarade att "Intel bäddar inte in bakdörrar i sina produkter, och de ger inte Intel kontroll eller tillgång till datorsystemet utan uttryckligt tillstånd från slutanvändaren" [7] [54] .
Intel utvecklar inte och kommer inte att utveckla bakdörrar för att komma åt sina produkter. Senaste rapporter som hävdar annat är baserade på felaktig information och är helt falska. Intel gör inga försök att sänka säkerheten för sina teknologier.
Originaltext (engelska)[ visaDölj] Intel designar inte och kommer inte att designa bakdörrar för åtkomst till sina produkter. De senaste rapporterna som hävdar annat är felinformerade och uppenbart falska. Intel deltar inte i några ansträngningar för att minska säkerheten för sin teknologi.Google försökte från och med 2017 bli av med proprietär firmware på sina servrar och fann att ME-tekniken var ett hinder för detta [14] .
Kort efter att SA-00086-sårbarheten åtgärdats började moderkortstillverkare för AMD-processorer tillhandahålla BIOS -uppdateringar för att inaktivera några av funktionerna i AMD Secure Technology [55] , ett undersystem som liknar Intel ME.