«Огромная дыра» в процессорах Intel

Сотни тысяч ПК с процессорами Intel содержат скрытый механизм, деятельность которого нельзя проверить. При этом он способен полностью считывать оперативную память и отправлять данные через интернет, минуя любые фаерволы.

Пользователям остается надеяться на порядочность Intel, которая реализовала эту функцию, и верить в то, что злоумышленники не знают, как она устроена.

Вот примерно как это работает  ...


Схема микроконтроллера Intel ME

«Огромная дыра»

Многие персональные компьютеры с процессорами Intel x86 содержат скрытую уязвимость, эксплуатировать которую хакеры могут начать в любой момент, рассказал на ресурсе BoingBoing независимый исследователь и разработчик Дэмиен Заммит (Damien Zammit). Проблема находится в чипсетах Intel нескольких последних поколений. Она представляет собой целый микроконтроллер, расположенный отдельно от центрального процессора. Он называется Intel Management Engine (Intel ME). Некоторые зарубежные издания охарактеризовали этот компонент «огромной дырой» (enormous flaw), учитывая возможности, которые он способен предложить злоумышленникам.

Отдельный микрокомпьютер

Intel ME — это целый отдельный микрокомпьютер, который управляет центральным процессором (ЦП). Он работает под управлением собственной микропрограммы независимо от ЦП и способен продолжать функционировать даже если система находится в «ждущем режиме» — когда под напряжением находится только оперативная память.

В некоторых чипсетах Intel ME служит для реализации технологии Intel Active Management Technology (AMT), позволяющей системным администраторам дистанционно управлять персональными компьютерами. Для этой цели микроконтроллер напрямую подключен к оперативной памяти и может получать доступ к любой ее области без ведома операционной системы. Микроконтроллер также обладает собственным сервером TCP/IP и может обмениваться сетевыми пакетами через сетевой адаптер компьютера с удаленным сервером, минуя любые установленные на компьютере фаерволы.


«Безопасность через неясность»

В микроконтроллер Intel ME нельзя попасть, нет ни одного способа его отключить. Нет возможности проверить его микропрограмму и что она делает. И если в ней есть уязвимости, их нельзя устранить.

В случае использования этого компонента злоумышленниками, они смогут действовать абсолютно незаметно, так как ни одно программное средство не сможет обнаружить вредоносную активность вследствие недоступности микроконтроллера для операционной системы.

Безопасность микроконтроллера базируется на принципе «безопасность через неясность». То есть его нельзя скомпрометирировать, потому что никто (кроме Intel) не знает, как он устроен. При этом устройство обладает практически безграничными неконтролируемыми правами.

«Несмотря на то, что микропрограмма защищена 2048-битным ключом шифрования RSA, исследователи смогли взломать ранние версии чипсетов с микроконтроллером Intel ME и получить частичный контроль над встроенным программным обеспечением», — сообщает Заммит.

Технология АМТ и неуловимый МЕ

Аббревиатура МЕ в терминологии Intel это Management Engine, а по русски оборудование управления, фактически аналог аппаратуры ВМС для серверов. Поясню для тех, кто не знает.

Вычислительными системами нужно управлять, в простейшем случае у них есть клавиатура, монитор, мышь (так называемый KVM) и оператор через них выполняет требуемые операции. Но представьте себе серверный зал, в котором установлены сотни серверов, естественно управлять ими через KVM невозможно. Поэтому для серверов был разработан стандарт удаленного управления и мониторинга вычислительных систем (IPMI), он реализован в специальных блоках называемых ВМС (блок менеджмента системы).

ВМС представляет из себя специальную плату устанавливаемую в сервер через специальный разъем, на этой плате находится микропроцессор с собственной ОС (как правило Линукс) и сетевой адаптер, для организации выделенной локальной сервисной сети управления всеми серверами. Блоки ВМС и интерфейс подключения к вычислительной установке стандартизирован, индустриальный стандарт IPMI описывает требования к блоку ВМС и интерфейсу связи с вычислительной системой. На рынке имеется множество производителей выпускающих такие блоки управления и ПО для них.

Оператор дистанционно, хоть с другого континента, может через эту сеть управлять любым сервером, кроме этого оборудование ВМС позволяет выполнять операции мониторинга и диагностирования серверов. Удобно и практично, с точки зрения безопасности такая система уязвима только в случае подключения сервисной локальной сети к Интернету, но это вопрос уже к разработчикам топологии сервисной сети.
Фирма Intel в 2006 году совершила тихую ползучую революцию, она встроила блоки ВМС в южный мост серверных чипсетов и изменила схему их подключения.

Кроме этого в том же году Intel в свои чипсеты для десктопов и ноутбуков встроило аналоги ВМС и назвала это оборудование Management Engine (МЕ) технологии реализованные на нем имеют название АМТ и V-PRO. Вот практически полное описание функций этих технологий из официальной документации фирмы Intel:



Оборудование МЕ сейчас расположено в южных мостах, до недавнего времени фирма утверждала, что оно расположено в северных мостах, в эпоху Core это оборудование было встроено непосредственно в процессорный чип. Но это все предположения, документации на МЕ и ВМС фирма Intel не предоставляет, просто рисует их черными квадратами и описывает исключительно только внешние интерфейсы. В настоящее время технология V-PRO уже не применяется, ее функционал полностью вошел в новую версию технологии АМТ восьмой редакции.

Блоки ВМС и МЕ это микропроцессорные системы имеющие собственную оперативную память и канал доступа к сетевому адаптеру по индивидуальному МАС адресу. Подача питания на это оборудование производится от дежурного источника питания, т.е. они работоспособны даже при выключенной основной вычислительной установке.

Программы для микроконтроллера ВМС и МЕ размещаются во флеш-памяти в зашифрованном виде, ключи шифрования хранятся внутри ПО загрузчика микроконтроллера (ПЗУ внутри южного моста) и никому не известны. Часть программных модулей на флеш-памяти не зашифровано, но они защищены от модификации хеш суммами. Вот практически единственное официальное описание функциональных блоков оборудования МЕ в документации Intel:



Что за микропроцессор стоит сейчас в этих системах точно не известно, но раньше в документации указывался RISC процессор ARC.
В отличии от классических ВМС, то что делает фирма Intel это издевательство на безопасностью, о безопасности в этих системах можно говорить только если вы доверяете разработчику (Intel) и производителю, который «заливает» прошивки во флеш-память, – Китаю.

Поясню в чем проблема, собственно их несколько:

Во первых, это проблема доверия, неизвестно что за программы выполняются в МЕ и ВМС фирмы Intel. Программы зашифрованы на симметричном алгоритме AES-256, ключ шифрования недоступен, архитектура процессора на котором они выполняются также неизвестна.

Во вторых, само оборудование этих блоков не описано в документации, а рисуется только квадратиками с внешними интерфейсами. Неизвестно какими возможностями оно обладает на самом деле и как их контролировать сторонним разработчикам ПО. Как уже говорилось ранее нет даже достоверной информации о локализации этого оборудования в конкретных чипах.

В третьих, оборудование МЕ и ВМС не изолировано от основного оборудования вычислительной установки через стандартный интерфейс IPMI. Оборудование на прямую подключено к оперативной памяти и системной шине. Соответственно оно может контролировать информационные ресурсы (например дисковую систему, ОП) и управлять вычислительными процессами на основном оборудовании вычислительной системы.

В четвертых, сервисный сетевой трафик пропускается не через специальный выделенный сетевой адаптер, а туннелируется сквозь сетевые адаптеры общего назначения размещенные на материнской плате либо подключенные через слоты расширения (PCI-E).

В пятых, сервисный сетевой трафик можно контролировать только на внешнем оборудовании, легальные средства контроля уровня операционной системы пакеты сервисного трафика просто не видят, они через средства контроля ОС не проходят. И если сетевой адаптер работает на локальную сеть или на доступ в Интернет, то программное обеспечение функционирующее в недрах МЕ и ВМС автоматически получает доступ в такую информационную сеть.

И в шестых, аппаратура МЕ и ВМС не контролируется с уровня операционной системы, нет возможности вмешаться в ее работу или просто проконтролировать ее текущее состояние. Та информация которая получается через официальный драйвер АМТ не в счет, это не система независимого контроля.

Фактически с 2005 года во всех вычислительных системах Intel находится дополнительно к основному оборудованию еще один полноценный компьютер с независимым подключением к сети неизвестным по функционалу ПО, доступ к которому владелец оборудования не имеет. Причем этот «теневой» компьютер может полностью контролировать все процессы происходящие на основной вычислительной установке.

Наивным может показаться, что проблема нелегального использования оборудования ВМС и МЕ надумана и не имеется достоверных фактов такого его нелегального применения. Придется их разочаровать, еще в далеком 2007 году я сам лично столкнулся с нелегальной активацией системы виртуализации через ПО блока ВМС на серверах Intel, произведенных в Китае. Об этом написана статья в «Китайские закладки, не придуманная история о виртуализации…», вот ссылка, если кто интересуется подробностями: http://www.xakep.ru/post/58104/

Этот инцидент, кстати, показывает порочность подхода фирмы Intel к концепции безопасности для оборудования ВМС и МЕ. По замыслу разработчиков она строится на единственной точке доверия, которой является сама фирма Intel. Для самой Intel проблемы недобросовестного производителя оборудования конечно не существует, т.к. она всегда имеет возможность достоверной верификации ПО залитого во флеш-память материнских плат.

Но кто может гарантировать целостность ПО во флеш-памяти материнских плат поставляемых к примеру в Россию? Да никто.

Если у читателя есть надежды на службу ИБ нашего государства, то это пустые надежды, уровень технической грамотности специалистов этой службы не позволяет им даже толком понять о чем идет речь. Утверждение не голословное, а основанное на печальном опыте общения с этой специфической публикой. Служба информационной безопасности нашего государства находящаяся в недрах ФСБ превратилась из технологического подразделения в филиал «Союза Писателей» и ничего кроме «бумажек ни о чем» сейчас они не производят. Из технических специалистов эти чиновники (офицерами их назвать язык не поворачивается) превратились мастеров эпистолярного жанра, Гоголь, что называется, отдыхает.

Их незатейливые «мантры» заключаются в двух постулатах о том, что все оборудование поступающее в страну содержит закладки (это они охотно признают), и что у них есть два действенных инструмента нейтрализации таких закладок, это периметр безопасности и «человек с ружьем». Соответственно, их задача не разбираться с техникой, а регламентировать организационные мероприятия, чтоб периметр стоял, да «человек с ружьем» не дремал.

Нужно признать, что такой подход к безопасности до недавнего времени был достаточно эффективным, но времена изменились. В настоящий момент получение доступа к секретной информации не является приоритетной задачей, главной задачей становится разрушение информационных систем и тут старые подходы к организации защиты от таких диверсионных атак становятся абсолютно неэффективными.

Собственно проблемы ИБ в масштабах государства к настоящему моменту перешли из разряда локальных и покрытых тайной «шпионских игр» в разряд широкомасштабных войсковых операций, это задачи не службы безопасности, это поле деятельности Министерства Обороны.
США это уже давно поняли, не случайно структура и кадры родившегося в недрах АНБ управления активных мероприятий в информационном пространстве в полном составе переведены в подчинение Пентагона, при этом оно получило небывалый статус «КиберКомандования» и штат «бойцов» в пять тысяч «штыков».


Однако можно встретить и другое мнение на счет всего этого, вот например "Каждый провайдер на территории России подключён через СОРМ. Ни один пакет мимо него не прошмыгнёт в любую из сторон. Такие вещи, как Intel ME, давно изучен (вплоть до логики и команд), и распознаётся в общем потоке. А "вытянутыми" данными может быть ещё интереснее - зная, что их выуживают, можно подменять их "на лету", и наивный клиент, думая, что черпает секретную инфу, может вполне быть "накормлен" дезой. Конечно, об этом не будут распространяться, спецура не имеет маркетингового отдела. "

А как вы думаете, можно ли выключить Intel ME? Ответ на этот вопрос МОЖЕТЕ ПОЧИТАТЬ ВОТ ТУТ или например ВОТ ТУТ


Другие уязвимости в аппаратном обеспечении

Ранее безопасность базовых компонентов вычислительных систем неоднократно оказывалась под вопросом. Так, в марте 2015 г. исследователи Ксено Кова (Xeno Kovah) и Кори Каленберг (Corey Kallenberg) на конференции CanSecWest в Ванкувере, Канада, продемонстрировали способность дистанционно перепрошивать «биосы» персональных компьютеров, помещая в его программное обеспечение вредоносный код.

На днях Ксено Кова вместе с коллегой Траммелем Хадсоном (Trammell Hudson) объявили о разработке компьютерного червя под названием Thunderstrike 2, способного проникать в недосягаемую для антивирусов прошивку компьютеров Apple Mac, минуя все барьеры системы безопасности.

В 2015 г. исследователи рассказали о том, что в архитектуре x86 находится дефект, позволяющий злоумышленникам помещать руткит в прошивку персональных компьютеров и получать к системе практически неограниченный доступ. Примечательно, что уязвимость в архитектуре x86 появилась в 1997 г., но обнаружена была только спустя 18 лет.

В 2014 г. исследователи по безопасности рассказали, что в инструмент хакера можно превратить любое USB-устройство, будь то флешка, внешний жесткий диск, мышь, клавиатура или даже смартфон с USB-интерфейсом. Дело в том, что каждое периферийное устройство содержит чип — контроллер интерфейса, — который можно легко перепрошить. Нет никакой защиты, которая бы препятствовала этому действию.


источники


Давайте вспомним Советские корни процессора Intel Pentium, а вот в прошлом году была такая тема как Intel против AMD: развязка близка. Ну вот еще Большой путь маленького компьютера и Windows. Как это было