Выявлена скрытая возможность отключения подсистемы Intel ME
Исследователи из компании Positive Technologies выявили недокументированную опцию для отключения механизма Intel ME 11 (Management Engine), реализованного с использованием отдельного микропроцессора, работающего независимо от CPU и выполняющий задачи, которые необходимо отделить от ОС, такие как обработка защищенного контента (DRM), реализация модулей TPM (Trusted Platform Module) и низкоуровневые интерфейсы для мониторинга и управления оборудованием.
Intel ME является объектом критики из-за возможности организации скрытого доступа к потокам информации пользователя в обход CPU, поэтому возможность отключение Intel ME воспринимается некоторыми пользователями как желанная опция, позволяющая избавиться от неподконтрольного "черного ящика" в системе и возможных уязвимостей в компонентах на его основе. Например, в мае была выявлена уязвимость в компоненте AMT (Active Management Technology), позволяющая непривилегированному атакующему получить доступ к функциям удаленного управления оборудованием, в том числе к функциям управления питанием, мониторингу трафика, изменению настроек BIOS, обновлению прошивок, очистке дисков, удаленной загрузке новой ОС (эмулируется USB-накопитель с которого можно загрузиться), перенаправлению консоли (Serial Over LAN и KVM по сети) и т. д.
Выявленная в результате исследования настройка позволяет полностью отключить основной контроллер Intel ME в чипах Intel через установку недокументированного бита в одном из файлов прошивки, активирующего режим HAP (High Assurance Platform), который связывается с одноименной платформой АНБ, применяемой для обеспечения защиты компьютерных систем в госучреждениях США. Предполагается, что настройка является одной из опций для отключения подсистем, которые могут создавать дополнительные угрозы безопасности.
Компания Intel подтвердила, что опция была добавлена по запросу некоторых производителей оборудования, которые выполняют поставки по контракту с правительством США. Недокуменрированный характер опции объясняется тем, что данный режим пока не прошел полный цикл проверки и пока не является официально поддерживаемой возможностью.
Примечательно, что ранее многие исследователи безопасности пытались найди способ отключения Intel ME, но сделать это удавалось лишь частично, так как некоторые процессы инициализациии и управления оборудованием завязаны на обработчики в Intel ME. Как правило осуществлялось удаление части прошивки Intel ME с оставлением минимального необходимого для загрузки набора. Подобный подход приводил к различным пробелам со стабильностью и не нашел широкого распространения.
Что касается недокументированного режима HAP, то при его активации Intel ME выполняет все начальные стадии, необходимые для инициализации и запуска CPU, после чего переводится в неактивное состояние. Для включения режиме нет необходимости проводить какие-то особые манипуляции с прошивкой или накладывать патчи - связанную с битом HAP опцию можно поменять в интерфейсе прошивки Intel ME, где она представлена под именем "Reserved" в секции "Networking&Connectivity". После включения режима HAP в качестве дополнительной меры предосторожности из состава прошивки можно удалить все модули, кроме RBE, KERNEL, SYSLIB, ROM и BUP, после чего откорректировать контрольную сумму в заголовке CPD.
Исследователи из Positive Technologies провели анализ возможности выхода из режима HAP, но не нашли какого-либо кода, который позволял бы активировать Intel ME, переведенный в отключенное состояние. Полнота отключения также подтверждена экспериментальным путем - исследователи повредили части прошивки, выполняемые посоле начальной стадии инициализации, и система продолжила свою корректную работу (без отключения Intel ME возникал сбой). В итоге сделан вывод, что режим HAP может защитить от уязвимостей во всех модулях Intel ME, за исключением модулей RBE, KERNEL, SYSLIB, ROM и BUP, применяемых на стадии ранней инициализации.
