Intel Management Engine (Intel ME)

Intel Management Engine (Intel ME) - подсистема в составе систем на платформе x86, ориентированная на решение различных задач, связанных с мониторингом и обслуживанием компьютера во время его "сна" и в процессе работы.

Система Intel ME встроена во все современные компьютерные платформы с чипсетами компании Intel ^[1]: десктопы, ноутбуки, серверы, планшеты. Intel ME - единственная действующая система, которая:

• работает, когда компьютер выключен (подается электричество на БП);
• имеет доступ ко всему содержимому оперативной памяти компьютера;
• имеет внеполосный доступ к сетевому интерфейсу.

Основной компонент Intel ME - встроенный в чипсет микроконтроллер с настраиваемой архитектурой. В качестве базовой модели используется 32-разрядный ARCtangent-A4.

Представление о взаимодействии Intel ME, (2013)

Intel ME используется при старте ПК и первоначальной настройке материнской платы. Выход из строя Intel Management Engine или его принудительное отключение (при условии, что больше ничего не вышло из строя на плате или в ноутбуке) часто сказывается работой вентиляторов на максимальных оборотах и отсутствием изменения скорости, в зависимости от температуры охлаждаемых компонентов (в том числе и этим занимается Intel ME). Или компьютер не запускается, выключается после некоторого периода времени после старта^[2].

История

2018

Найден «немыслимо простой» способ взлома ноутбуков на процессорах Intel

Исследователи фирмы F-Secure выявили серьезную проблему с технологией Intel Active Management Technology, благодаря которой злоумышленники могут обходить локальные средства авторизации на ноутбуках на базе процессоров Intel. Эксперты отмечают, что для эксплуатации этой уязвимости достаточно полминуты и никаких специализированных знаний не потребуется^[3].

Злоумышленнику потребуется физический доступ к интересующему его лэптопу. В процессе перезагрузки злоумышленнику достаточно зажать CTRL+P и войти в консоль управления Intel Management Engine BIOS Extension (MEBx). Как выясняется, в MEBx существует предустановленный пароль «admin», которого достаточно, чтобы поменять предустановленный пароль к BIOS, настроить удаленный доступ и выключить авторизацию AMT полностью.«Группа Астра» в свободном доступе опубликовала курс по российской службе каталога ALD Pro для обучения администраторов 4.3 т

Дальше злоумышленники могут удаленно проникать в компьютер жертвы через локальную сеть или из-за ее пределов с помощью CIRA-сервера (сервера удаленного доступа по запросу клиента).

«Атака до немыслимого проста в исполнении, но при этом обладает колоссальным деструктивным потенциалом, - заявил старший консультант по безопасности F-Secure Гарри Синтонен (Harry Sintonen). - На практике злоумышленник через локальную сеть может получить полный контроль над рабочим ноутбуком жертвы, какими бы обширными ни были принятые меры безопасности».

2017

Intel устранила найденную Positive Technologies уязвимость в Management Engine

Компания Intel опубликовала в ноябре бюллетень безопасности^[4], в котором сообщила о выпуске патча для устранения уязвимости в подсистеме Intel ME, которая была обнаружена экспертами Positive Technologies Марком Ермоловым и Максимом Горячим. Также компания Intel опубликовала специальный инструмент, который поможет администраторам Windows и Linux-систем узнать о том, уязвимо ли их оборудование.

Intel Management Engine — это закрытая технология, которая представляет собой интегрированный в микросхему Platform Controller Hub (PCH) микроконтроллер с набором встроенных периферийных устройств. Через PCH осуществляется почти все общение процессора с внешними устройствами, поэтому Intel ME имеет доступ практически ко всем данным на компьютере. Исследователям удалось найти ошибку, которая позволяет выполнять неподписанный код внутри PCH на любой материнской плате для процессоров семейства Skylake и выше.

Например, злоумышленники могут атаковать компьютеры с уязвимой версией Intel ME, используя эту ошибку безопасности, и потенциально устанавливать в коде Intel ME `закладки` (например, шпионское ПО), которые большинство традиционных средств защиты не обнаружат. Т.к. `закладка` в этом случае будет функционировать на отдельном чипе, а не на CPU, на котором работают большинство ОС и традиционных средств защиты.

При этом основная система может оставаться работоспособной, таким образом пользователь может не подозревать о том, что на его компьютере функционирует шпионское ПО, устойчивое к переустановке ОС и обновлению BIOS.

В бюллетене безопасности Intel представлен полный список уязвимых процессоров:

• Intel Core поколений 6, 7 и 8;
• Intel Xeon E3-1200 v5 и v6;
• Intel Xeon Scalable;
• Intel Xeon W;
• Intel Atom C3000;
• Apollo Lake Intel Atom E3900;
• Apollo Lake Intel Pentium;
• чипы Celeron серий N и J.

Ошибки в процессорах

В нескольких сериях процессоров Intel выявлена ошибка, эпизодически приводящая к "падению" систем под управлением Windows и Linux. ^[5] Проблема затрагивает процессоры серии Kaby Lake, Skylake, Xeon v5, Xeon v6 и некоторые модели процессоров Pentium и Core X v6.

В процессорах Intel обнаружены приводящие к потере данных ошибки

Ошибка была обнаружена разработчиком компилятора OCaml в прошлом году. О ней немедленно известили Intel, и производитель процессоров выпустил исправления в микрокоде и обновил документацию к процессорам Skylake и Kaby Lake, указав на существование проблемы.

В сложных микроархитектурных условиях короткие циклы, состоящие менее чем из 64 инструкций с использованием регистров AH, BH, CH или DH, а также соответствующих им более широких регистров (например, RAX, EAX или AX для AH), могут вызвать непредсказуемое поведение системы. Такое может произойти только когда оба логических процессора на одном физическом процессоре оказываются активны, говорится в документации (см., например, Errata SKZ7 для процессоров Core X ^[6] и Errata KBL095 для процессоров седьмого поколения^[7] )

Разработчики Debian исследовали проблему и показали, что система может вести себя неадекватно, в диапазоне от некорректной работы отдельных приложений и до порчи и потери данных. В качестве промежуточной меры рекомендуется отключать многопоточность (Hyperthreading) на уровне BIOS/UEFI (что, однако, неизбежно приведёт к серьёзному падению производительности) и дождаться соответствующих обновлений от производителей компьютеров.

Стоит отметить, что ряд производителей систем на базе Linux уже успели распространить исправления для BIOS/UEFI, но пока непонятно, когда ждать исправлений от производителей компьютеров под Windows.

Ошибка не носит эпидемического характера, но даже её случайный характер создаёт определённую опасность для пользователей компьютеров на базе перечисленных процессоров. Особенно это касается систем, которые должны работать бесперебойно. Для них самым разумным решением на данный момент будет отключение технологии Hyperthreading.

2010

Начиная с 2010 года с переносом части функциональных блоков северного моста (графическое ядро, контроллер памяти) в корпус CPU, Intel ME начали встраивать во все чипсеты производства Intel. При этом ME-контроллер остался в корпусе чипсета, в Platform Controller Hub (PCH) - чипсеты 5 серии и выше.

Эта подсистема встроена и в серверные платформы Intel, но под другим именем — Intel Server Platform Services (SPS). Произошло появление и в SoC (System-on-a-Chip) под именем Intel Trusted Execution Engine (TXE).

Архитектура каждой современной мобильной/портативной/настольной/серверной компьютерной платформы с чипсетом/SoC от Intel содержит в себе самую скрытную (от пользователя системы) и привилегированную среду исполнения — подсистему Intel ME. Разрабатывая эту архитектуру, компании Intel пришлось серьёзно потрудиться, чтобы защитить от компрометации.

Подсистема Intel ME - неотъемлемая часть архитектуры современных компьютерных платформ (на основе чипсетов/SoC Intel). Её компрометация предоставляет потенциальному злоумышленнику безграничные возможности контроля над платформой:

• доступ ко всему содержимому оперативной памяти (системная память, память гипервизора, SMRAM, ACRAM, выделяемая память для графического ядра — GFX UMA),
• out-of-band доступ к сетевому интерфейсу (мониторинг всего сетевого трафика),
• удалённый контроль, как часть штатной функциональности AMT,
• перезапись любых регионов SPI флеш-памяти.

При этом обеспечивается полное отсутствие возможностей обнаружения злоумышленника.

Intel ME защищена. Основные принципы этой защиты:

• запрет на использование пароля по умолчанию, принуждение к установке сильного пароля (соответствующего определённым требованиям);
• использование функций шифрования в сетевых протоколах;
• контроль целостности и подлинности всего исполняемого кода прошивки;
• механизмы защиты от эксплуатации бинарных уязвимостей.

2006

В 2006 году микроконтроллер перенесли в северный мост чипсета (Graphics and Memory Controller Hub, GMCH). Тогда подсистему назвали Intel Management Engine (ME) версии 2.0.

В 2006 году в Intel ME добавили возможности:

• полный доступ к содержимому оперативной памяти компьютера через внутренний DMA-контроллер,
• мониторинг видеопотока на монитор (только в случае использования встроенного графического ядра).

Впоследствии на эту подсистему стали добавлять различные системные функции (некоторыми занималась BIOS) для обеспечения работоспособности компьютерной платформы:

• часть функций Advanced Control and Power Interface (ACPI) и Alert Standard Format (ASF);
• Quiet System Technology (QST);
• Integrated Clock Control (ICC);
• Trusted Platform Module (TPM);
• ...

2005: Active Management Technology (AMT) версии 1.0

В 2005 году компания Intel представила технологию Active Management Technology (AMT) версии 1.0 — решение для удалённого администрирования (управление, инвентаризация, обновление, диагностика, устранение неполадок и т.д.) и защиты настольных компьютерных систем, подобие технологии Intelligent Platform Management Interface (IPMI), использующейся в серверах.

Концепция архитектуры Intel AMT1.0, (2005)

Архитектура AMT 1.0 основана на микроконтроллере (Management Engine), интегрированном в чипсет, имеющий возможности:

• внеполосный (out-of-band) доступ к сетевому интерфейсу (Ethernet), который он разделяет с основным CPU, но, имея собственный контроллер канального уровня, осуществляет мониторинг всего входящего сетевого трафика, из которого «вырезает» (при помощи Packet Filter) пакеты, предназначенные для него. Для ОС (наличие и состояние которой, кстати, на работу AMT никак не влияет) этот трафик уже не виден;
• внутренний веб-сервер с TLS-шифрованием;
• доступ к периферийному оборудованию, получение и хранение в энергонезависимой памяти (там же, где и его прошивка) информации о нём.

Микроконтроллер начинает работу с момента подачи питания на материнскую плату компьютерной системы от БП, до подключения компьютера к электрической сети и до запуска пользователем ПК.

Intel Management Engine всегда включён.

Примечания