英特爾管理引擎
英特爾管理引擎（英語：Intel Management Engine，簡稱ME）是英特爾晶片組的一個子系統，2008年後發佈的所有英特爾晶片組都有整合。英特爾主動管理技術（AMT）是英特爾管理引擎的一部分，用於實現電腦的遠端管理，系統管理員可以用AMT控制電源開關，還可以繞過作業系統完成遠端操作。[1][2]
英特爾主動管理技術從主機板獲得供電，只要有接通的電源，即使電腦處於關機狀態也可以使用。因此它也是一個高價值攻擊目標，通過它可以取得裝置的最高訪問權限並完全繞過作業系統。[3]
英特爾很少披露關於該引擎的資訊，因此被外界猜測該引擎中植入了後門。電子前哨基金會對此表示了憂慮。[4]
人們常將英特爾管理引擎與英特爾主動管理技術混淆。主動管理技術基於管理引擎，但僅適用於有Intel vPro的電腦，這使電腦擁有者能夠遠端管理他們的機器。[5]而自2008年以來，管理引擎被嵌入到所有英特爾晶片組中，而不限於可以使用主動管理技術的晶片組。[6]用戶可以選擇不啟用AMT，但沒有官方支援的方式來禁用ME。[7]
AMD處理器有類似的功能，稱為AMD Secure Technology。
設計
[編輯]英特爾管理引擎的功能主要由在獨立微處理器上的專有韌體實現，只要晶片組接通電源就會開始執行。英特爾表示硬件需要管理引擎才能發揮完整效能。[6]引擎的具體細節沒有公開文件，其代碼也使用霍夫曼編碼進行硬件級混淆。[8]
硬件
[編輯]從11.x版開始，管理引擎的微處理器基於Quark x86，並使用SPI快閃記憶體儲存組態狀態。此前的版本使用ARC處理器，隨着硬件迭代從ARCTangent-A4遷移到更新的ARCompact，還可以執行經過簽章的Java Applet。
管理引擎有單獨的IP位址和MAC地址，可以直接訪問網卡。通過MCTP協定，管理引擎可以在網絡流量到達作業系統前進行攔截。管理引擎同時也通過PCI介面和主機互動，在Linux上的裝置檔案為/dev/mei。
在Nehalem微架構之前，管理引擎一般整合在主機板的北橋。此後的架構中則整合在平台路徑控制器。
韌體
[編輯]按照英特爾2017年的術語體系，ME是幾個為融合安全和可管理引擎（CSME，Converged Security and Manageability Engine）而生的韌體之一。在AMT 11之前的版本，CSME被稱為英特爾管理引擎BIOS擴充（Intel MEBx，Intel Management Engine BIOS Extension）。
依據俄羅斯公司Positive Technologies的發現，11.x版的管理引擎韌體使用MINIX作業系統。[9]
安全漏洞
[編輯]英特爾管理引擎已被發現多個安全漏洞，涵蓋的分類包括破壞引擎功能[9]、遠端提權[10]、遠端代碼執行[11]。其中2017年11月確認的嚴重漏洞SA-00086，甚至能在主動管理技術沒有啟用的情況下被利用。[12]
後門憂慮
[編輯]私隱保護組織和資訊保安專家表達了對管理引擎的憂慮[13][14]，特別是引擎可以繞過系統不留痕跡地訪問硬件的能力，被認為可以被當作後門利用。[15]
英特爾回應稱「英特爾不在產品中設置後門，英特爾的產品也不會在終端用戶明確許可之外的情況讓英特爾獲得控制或訪問權」[15]，以及「英特爾沒有也不會在產品中設計後門。最近聲稱其他情況的報道受到了誤導，明顯不屬實。英特爾不參與任何試圖減弱英特爾技術安全性的活動。」[16]
對管理引擎的批評指出，NSA的2013年預算請求中有一項SIGINT輔助計劃，目的為「向商業加密系統、資訊系統、……中植入漏洞」。在此影響下，英特爾管理引擎和AMD Secure Technology都被猜測是此計劃的一部分。[17]
參考文獻
[編輯]- ^ Intel® AMT and the Intel® ME. Intel. [2017-12-31]. （原始內容存檔於2019-02-21）.
- ^ Getting Started with Intel® Active Management Technology (AMT). Intel. [2017-12-31]. （原始內容存檔於2016-08-05）.
- ^ Black Hat Europe 2017. www.blackhat.com. [2019-04-11]. （原始內容存檔於2020-08-19）.
- ^ Portnoy, Erica; Eckersley, Peter. Intel's Management Engine is a security hazard, and users need a way to disable it. May 8, 2017 [2017-12-31]. （原始內容存檔於2017-05-08）.
- ^ Wallen, Jack. Is the Intel Management Engine a backdoor?. July 1, 2016 [2017-12-31]. （原始內容存檔於2016-07-02）.
- ^ 6.0 6.1 Frequently Asked Questions for the Intel® Management Engine Verification Utility. [2017-12-31]. （原始內容存檔於2017-11-08）.
Built into many Intel® Chipset–based platforms is a small, low-power computer subsystem called the Intel® Management Engine (Intel® ME).
- ^ 存档副本. [2017-12-31]. （原始內容存檔於2021-01-21）.
- ^ Intel ME huffman dictionaries - Unhuffme v2.4. io.netgarage.org. [2019-04-11]. （原始內容存檔於2020-08-01）.
- ^ 9.0 9.1 Research, Author Positive. Disabling Intel ME 11 via undocumented mode. [2019-04-11]. （原始內容存檔於2017-08-28）.
- ^ Security Center. Intel. [2019-04-11]. （原始內容存檔於2021-05-05） （英語）.
- ^ Williams, Chris. Red alert! Intel patches remote execution hole that's been hidden in chips since 2010. www.theregister.co.uk. [2019-04-11]. （原始內容存檔於2017-05-01） （英語）.
- ^ at 16:30, Thomas Claburn in San Francisco 6 Dec 2017. Intel Management Engine pwned by buffer overflow. www.theregister.co.uk. [2019-04-11]. （原始內容存檔於2020-03-10） （英語）.
- ^ Eckersley, Erica Portnoy and Peter. Intel's Management Engine is a security hazard, and users need a way to disable it. Electronic Frontier Foundation. 2017-05-08 [2019-04-11]. （原始內容存檔於2017-05-08） （英語）.
- ^ Cimpanu, Catalin. Intel x86 CPUs Come with a Secret Backdoor That Nobody Can Touch or Disable. softpedia. [2019-04-11]. （原始內容存檔於2021-04-26） （英語）.
- ^ 15.0 15.1 July 1, Jack Wallen in Security on. Is the Intel Management Engine a backdoor?. TechRepublic. [2019-04-11]. （原始內容存檔於2016-07-02） （英語）.
- ^ at 00:12, Thomas Claburn in San Francisco 29 Aug 2017. Intel ME controller chip has secret kill switch. www.theregister.co.uk. [2019-04-11]. （原始內容存檔於2020-04-17） （英語）.
- ^ Leserforum. Heise Magazine. [2019-04-11]. （原始內容存檔於2019-04-11） （德語）.