Боремся с дистанционным контролем: как отключить Intel ME
Технология Intel ME (или AMT, Active Management Technology) является одним из самых загадочных и мощных элементов современных x86-платформ. Инструмент изначально создавался в качестве решения для удаленного администрирования. Однако он обладает столь мощной функциональностью и настолько неподконтролен пользователям Intel-based устройств, что многие из них хотели бы отключить эту технологию, что сделать не так-то просто.
На прошедшем 17 и 18 мая в Москве форуме Positive Hack Days VI исследователи Positive Technologies Максим Горячий и Марк Ермолов представили несколько техник отключения Intel ME, сопроводив доклад видеодемонстрацией процесса.
Что это, и зачем нужно отключать
Подсистема Intel Management Engine (ME) представляет собой дополнительный «скрытый» процессор, который присутствует во всех устройствах на базе чипсетов Intel (не только в PC и ноутбуках, но и в серверах). Среда исполнения ME никогда не «спит» и работает даже при выключенном компьютере (при наличии дежурного напряжения), а также имеет доступ к оперативной памяти, сетевому интерфейсу, USB контроллеру и встроенному графическому адаптеру.
Несмотря на столь обширные возможности, существуют вопросы к уровню защищенности ME — ранее исследователи уже находили серьезные уязвимости и векторы атак. Кроме того, подсистема содержит потенциально опасные функции — удаленное управление, NFC, скрытый сервисный раздел (hidden service partition). Интерфейсы подсистемы ME недокументированы, а реализация закрыта.
Все эти причины приводят к тому, что многие рассматривают технологию ME в качестве «аппаратной закладки». Ситуацию усугубляет тот факт, что с одной стороны у пользователя устройства нет возможностей по отключению этой функциональности, а с другой производитель оборудования может допустить ошибки в конфигурации МЕ.
Хорошая новость заключается в том, что способы отключения ME все же существуют.
Техники отключения Intel ME
Исследователи компании Positive Technologies Максим Горячий и Марк Ермолов в ходе состоявшегося в Москве форума Positive Hack Days VI представили доклад, посвященный отключению Intel ME. Специалисты описали несколько техник отключения данной подсистемы:
Большинство методов отключения используют встроенные механизмы ME, разработанные для вендоров устройств на платформе Intel. Все они подробно описаны в презентации, которая опубликована на GitHub. По ссылке представлено демонстрационное видео отключения ME (оно же ниже):
И тем не менее, возникает резонный вопрос: «Действительно ли ME перестает работать в полном объеме при использовании ее встроенных механизмов отключения?» В качестве доказательства факта отключения МЕ исследователи приводят следующий аргумент: ME работает в двух режимах использования памяти: только SRAM (встроенный в ME) и SRAM + UMA. UMA — это часть памяти хоста, которая используется как подкачиваемая память (swap). После инициализации DRAM-контроллера хостом ME всегда переключается в режим SRAM + UMA.
Таким образом, если ME действительно выключена, то при отключении на аппаратном уровне доступа МЕ к UMA-памяти в произвольный момент (посредствам канала VСm), в МЕ не будет происходить аппаратных сбоев, связанных с отсутствием данных и кода, которые были вытеснены в UMA память (такие аппаратные сбои приводят к аварийному отключению питания с основных аппаратных компонентов платформы). С другой стороны применение этих методов позволяет осуществить DoS-атаки на технологию AMT в случае ее применения для удаленного управления.
Технология TXT состоит из последовательно защищённых этапов обработки информации и основана на улучшенном модуле TPM (подробнее о нём модно прочесть в нашем обзоре ноутбука с использованием TPM). В основе системы лежит безопасное исполнение программного кода. Каждое приложение, работающее в защищённом режиме, имеет эксклюзивный доступ к ресурсам компьютера, и в его изолированную среду не сможет вмешаться никакое другое приложение. Ресурсы для работы в защищённом режиме физически выделяются процессором и набором системной логики. Безопасное хранение данных означает их шифрование при помощи всё того же TPM. Любые зашифрованные TPM данные могут быть извлечены с носителя только при помощи того же модуля, что осуществлял шифрование.
Intel также разработала систему безопасного ввода данных. У вредоносной программы не будет возможности отследить поток данных на входе компьютера, а кейлоггер получит только бессмысленный набор символов, поскольку все процедуры ввода (включая передачу данных по USB и даже мышиные клики) будут зашифрованы. Защищённый режим приложения позволяет передавать любые графические данные в кадровый буфер видеокарты только в зашифрованном виде, таким образом, вредоносный код не сможет сделать скриншот и послать его хакеру. Кроме того, зашифрована может быть лишь часть информации – например, какое-то определённое окно с сообщением, которое останется для всех других приложений просто невидимым. Защита предусмотрена и для ядра ОС, загружаемого в специальную изолированную область памяти.
Защита безопасности на аппаратном уровне – огромный шаг вперёд. Даже если вирусы не будут побеждены окончательно, конфиденциальность информации сохранять станет намного проще. TXT имеет встроенную систему самоконтроля, так называемую аттестацию, проходя которую компоненты TXT проверяются на целостность, а в случае провала одного из тестов компьютер просто не загрузится. Работа с памятью в TXT чем-то похожа на работу пользователя с разделами жёсткого диска: каждому приложению процессор во время запуска будет выделять свой изолированный раздел оперативной памяти. Возможны в системе и общие, незащищённые разделы памяти. Таким образом, TXT охватывает практически все подсистемы компьютера
* Выделение памяти;
* мониторинг системных событий;
* связь чипсета и памяти;
* подсистемы хранения данных;
* устройства ввода (клавиатура и мышь) ;
* вывод графической информации.
Разработка технологии TXT сейчас находится на финишной прямой. Впервые она будет применена на практике в 2007 году на компьютерах, поддерживающих платформу vPro. В потребительский сектор TXT попадёт только после того, как прочно обоснуется среди профессиональных систем.
технология защиты информации,
системный антивирус, можно так сказать;
расшифровывается так:
Trusted Execution Technology (TXT) технология доверенного выполнения, также ещё называется LaGrande
В неё входят:
Защищенное выполнение (Protected Execution): эта возможность разрешает приложениям выполняться в изолированных окружениях, чтобы оставаться максимально защищенными от другого программного обеспечения, работающего на этой же платформе. Ни одна другая программа не сможет следить за выполнением приложения или его данными. Кроме того, каждое приложение, которое выполняется в этом режиме, имеет свои собственные физически разделенные ресурсы.
Надежное хранение (Sealed Storage): новые чипы TPM могут хранить и шифровать все ключи на аппаратном уровне, причем, расшифровать их можно только на компьютере, в котором установлен конкретный чип TPM. Любые попытки скопировать данные извне приведут к получению зашифрованной информации.
Защищенный ввод (Protected Input): Интел разрабатывает механизм, который предотвратит неавторизованное наблюдение за устройствами ввода, например, отслеживание щелчков мыши и нажатий клавиш на клавиатуре. Шифроваться будет ввод не только от стандартных устройств ввода, но и данные, которые передаются по шине USB. Надеемся, это не отразится на производительности и скорости передачи данных.
Защита графики (Protected Graphics): приложения, которые выполняются в защищенной среде, получат возможность шифрования графического вывода. Данные, которые передаются видеокарте, будут шифроваться и тоже не смогут быть получены не авторизованным кодом. Например, может быть зашифрована информация, которая отображается простой программой-дневником, а все остальные окна будут оставаться незащищенными.
Защищенный запуск (Protected Launch): эта функция TXT будет контролировать и защищать критические части операционной системы и другие, связанные с системой компоненты от несанкционированного доступа во время запуска. Например, компоненты ядра системы защищаются во время и после запуска.
990x.top
Простой компьютерный блог для души)
Intel Trusted Execution Technology что это?
Ребята, всем привет. Поговорим сегодня о такой технологии как Intel Trusted Execution Technology, вот вы знаете что это? Нет? Ничего, я сегодня вам расскажу. Ой ребята, я почитал, почитал про эту технологию и понял одно, это сложная штука. Короче это типа технология доверенного выполнения. Еще пишется, что это защита приложений на аппаратном уровне.
Начал пытаться понять и вот что понял. В общем вся суть состоит в том, что эта технология обеспечивает защиту данных, с которыми работают программы, но защита идет с применением модуля Trusted Platform Module (TPM). То есть если приложение работает в защищенном режиме, то в работу приложения не сможет вмешаться никакое стороннее приложение, ну например вирус. В защищенном режиме все слабые места работы шифруются при помощи TPM, это вообще типа криптопроцессор.
То есть получается что Intel Trusted Execution Technology помогает защитить программы от влияния вирусов. Также эта технология позволяет бороться с теми вирусами, которые загружаются вместе с виндой. Вот только непонятно, а как запустить программу в защищенном режиме?
Ребята, вот нашел картинку и думаю она в тему будет:
Теперь по поводу криптопроцессора TMP. Он может быть на самой материнке или же идти в виде отдельного блока. TMP работает через биос. Основные функции TMP это аппаратное шифрование и защищенное хранилище. Последнее используется для хранения секретных кодов, ключей и прочего.
По поводу включения этой технологии, то я даже не знаю.. где она включается? Пытался узнать в гугле, но там ничего не нашел, только такую картинку:
Так что, в биосе может включается? Может и так 
Еще я знаю что в Windows 7 есть проблемы с работой модуля TMP.
Вот такие дела ребята, надеюсь вы поняли что это за технология. Удачи вам и чтобы все у вас было круто в жизни!
Атака на Intel Trusted Execution Technology №1
Содержание статьи
На прошлой неделе исследователи
сообщили о создании руткита,
который использует для установки уязвимость в кэше процессоров Intel. Джоанна
Рутковска и Лоик Дафлот утвержают, что такого опасного и неуловимого руткита еще
не было. Он устанавливается и прячется в пространстве
SMM, к которой не имеет
доступ никакая операционная система. Утверждается, что компния Intel знала о
существовании этой проблемы еще с 2005 года, но ничего не сделала для ее
исправления.
Сегодня мы предлагаем тебе перевод документа, в котором описана
использованная уязвимость.
Аннотация
В этой статье мы представим результаты нашего исследования безопасности
технологии Intel Trusted Execution Technology (TXT), являющейся составной частью
фирменной технологии Intel под названием vPro. Мы опишем практическую атаку,
позволяющую обойти краеугольный камень концепции доверительных вычислений Intel,
процедуру доверенной загрузки. Кроме этого, мы обсудим практические атаки на
память SMM, являющиеся одним из компонентов взлома TXT.
1. Вступление
Технологии Trusted Computing (Доверительных вычислений) становятся частью
нашей жизни, хотим мы этого или нет, поскольку сейчас практически каждый новый
ноутбук оснащается контроллером Trusted Platform Module (TPM). Кроме
того, некоторые из технологий Microsoft Palladium перекочевали в Vista, а
Microsoft BitLocker, вне всякого сомнения, является самым успешным и широко
распространенным продуктом, основанным на идее Trusted Computing.
Со стороны аппаратного обеспечения, помимо знаменитого TPM, мы также получили
технологию LaGrande, позднее переименованную в Trusted Execution Technology
(TXT). TXT – это ответ Intel на развитие концепции Trusted Computing. На
данный момент TXT является составной частью фирменной технологии vPro, а
совместимое с нею аппаратное обеспечение уже больше года можно купить в любом
компьютерном магазине (первым таким продуктом стала материнская плата DQ35J,
работавшая с некоторыми процессорами Core 2 Duo).
TXT не является альтернативой TPM, более того, для осуществления своих
базовых функций, таких как безопасное хранение вычисленных параметров, TXT во
многом опирается на TPM. Также и Palladium (или как он там сейчас называется) не
является конкурентом TXT. Intel TXT может предоставить той же Vista Bitlocker
необходимый строительный материал, и вероятно сделать ее более безопасной, чем
сейчас.
Единственной целью технологии Intel TXT является предоставление безопасного
способа загрузки и выполнения системного программного обеспечения, например ядра
операционной системы или Монитора виртуальных машин (Virtualization Machine
Monitor, VMM). Достигается это путем проведения и хранения программных
вычислений в определенных регистрах TPM. Самое выдающееся во всем этом – то, что
TXT не делает никаких предположений о состоянии системы перед загрузкой
программного обеспечения, позволяя таким образом пользователю обеспечить
безопасную загрузку операционной системы или VMM даже на потенциально
скомпрометированной машине.
Другими словами, загрузочный сектор жесткого диска может быть полон вирусов,
а BIOS – руткитов, и все равно TXT должен будет позволить безопасно загрузить
чистый VMM (или ядро ОС), обеспечивая им иммунитет от всех вредоносных
приложений, имеющихся в системе. Этот поддерживаемый TXT процесс загрузки
называется Late Launch (поздний запуск), а обрабатывается он через специальную
новую инструкцию ЦП под названием SENTER.
Здесь мы должны обратить внимание на то, что TXT не предназначена для защиты
рабочего цикла программы (например, от переполнения буфера в коде гипервизора).
Она рассчитана только на то, чтобы обеспечить защиту на время загрузки,
обеспечивая, таким образом, нашу уверенность в том, что код, который мы
загружаем, в момент загрузки является тем самым кодом, который мы и намеревались
загрузить.
Также стоит отметить, что у AMD имеется свой собственный вариант Late Launch,
реализуемый через процессорную инструкцию SKINIT. Глубоким изучением технологии
от AMD мы пока не занимались, поэтому от комментариев на ее счет в дальнейшем
предпочтем воздержаться.
Когда начинаешь думать о Late Launch, он представляется просто восхитительной
технологией, обещающей обеспечить все преимущества перезагрузки компьютера без
самой перезагрузки.
Трудно переоценить то влияние, которое технологии, подобные TXT, могли бы
оказать на компьютерную безопасность. Например, очевидной является возможность
использования TXT для того, чтобы избавляться от устойчивых вредоносных программ
системного уровня. То есть при ее помощи легко можно создавать системы (VMM или
даже стандартные ОС), которые были бы неуязвимы к атакам, пытающимся
скомпрометировать двоичный системный код на диске или угрожать машине напрямую,
через BIOS или загрузчик. А если добавить к ней технологии виртуализации в
процессорах (VT-x) и виртуализации ввода-вывода (VT-d), то получится, что в
распоряжении разработчиков систем оказались мощнейшие инструменты для создания
по-настоящему безопасных ОС и VMM…
Что же, теперь самое время поведать о том, как мы атаковали эту замечательную
технологию.
2. Атака на Intel TXT
Ключевая особенность TXT, поздний запуск, зачастую описывается как способ
загрузки и выполнения части доверенного кода (обычно VMM) вне зависимости от
состояния системы на момент, предшествующий такой загрузке. Это, однако, не
совсем верно. На самом деле, определяются системные программы, которым следует
доверять по умолчанию. Они работают в режиме системного управления (System
Management Mode, SMM), который мы более подробно обсудим в следующем разделе (на
нашем сайте о таком режиме вы можете прочитать в цикле статей «SMM
и SMRAM или 128 Кб потусторонней памяти: исследовательская работа»).
Будучи самым привилегированным типом ПО, которое обрабатывается на
процессоре, SMM может обходить предписанные процедурой позднего запуска меры
защиты на вновь загруженном VMM. К сожалению, как мы дальше продемонстрируем,
допущение о том, что программам, работающим в режиме SMM, всегда можно доверять,
не является верным.
Предполагаемая двухступенчатая атака на поздний запуск в TXT будет выглядеть
так:
Мы разработали образец кода, демонстрирующий описанную выше схему атаки
против гипервизора Xen, загруженного при помощи Tboot, открытого загрузчика от
Intel, обеспечивающего загрузку Linux и Xen со всеми преимуществами позднего
запуска Intel TXT. Tboot также является частью открытого и широко
распространенного гипервизора Xen
В нормальных условиях Tboot должен удостовериться, что загружается правильный
(не модифицированный) гипервизор Xen и только затем загружать в регистры TPM
корректные параметры. На практике это означает, что только избранные
(доверенные) версии гипервизора Xen получат доступ к определенным секретам,
зашитым в TPM, и/или будут способны пройти аутентификацию для какой-либо машины
(например, ноутбука системного администратора), осуществляемую через специальную
функцию TPM под названием Remote Attestation (удаленное подтверждение).
Нашей атакой мы показываем, что заразив обработчик SMM, мы можем
модифицировать только что загруженный (и только что просчитанный) VMM. Иными
словами, атака позволяет полностью обойти все меры обеспечения безопасности,
предусмотренные TXT для процедуры доверенной загрузки. Это – прямое следствие
того, что код SMM при поздней загрузке остается в неизменном виде – не важно,
был он до этого скомпрометирован или нет.
Детали того, как атаковать обработчик SMM, мы приведем в следующем разделе.
Предлагаемое Intel лекарство от вредоносного обработчика SMM называется STM,
что расшифровывается как SMM Transfer Monitor (монитор передачи SMM).
Цель STM заключается в том, чтобы изолировать существующий обработчик SMM при
помощи технологий виртуализации VT-x и VT-d. Он должен рассматриваться как
гипервизор для VMM, который загружается во время процедуры поздней загрузки.
Просчитывается STM также в процессе поздней загрузки.
К сожалению, на данный момент STM недоступен. Мы обсудим это более подробно в
последнем разделе нашего исследования.
Механизм доверенного исполнения Intel® (Intel® TXE) для NUC6CAY, NUC8CCH
Введение
При этом загрузке устанавливается Механизм доверенного исполнения Intel® и встроенное ПО.
Лицензия на использование программного обеспечения Intel
Файлы, доступные для скачивания
Подробное описание
Цель
Устанавливает драйвер Механизм доверенного исполнения Intel® (Intel® TXE) и встроенное ПО. Драйвер Intel TXE необходим для работы функций безопасной загрузки и безопасности платформы.
Не уверены, что это подходящий драйвер для вашего устройства Intel® NUC?
Запустите Приложение Intel® Driver & Support Assistant для автоматического обнаружения обновлений драйверов.
Этот скачиваемый файл подходит для нижеуказанных видов продукции.
Автоматическое обновление драйвера и программного обеспечения
Идентифицируйте свою продукцию и установите обновления драйверов Intel® и ПО для вашей ОС Windows*.
Содержание данной страницы представляет собой сочетание выполненного человеком и компьютерного перевода оригинального содержания на английском языке. Данная информация предоставляется для вашего удобства и в ознакомительных целях и не должна расцениваться как исключительная, либо безошибочная. При обнаружении каких-либо противоречий между версией данной страницы на английском языке и переводом, версия на английском языке будет иметь приоритет и контроль. Посмотреть английскую версию этой страницы.
Для работы технологий Intel может потребоваться специальное оборудование, ПО или активация услуг. // Ни один продукт или компонент не может обеспечить абсолютную защиту. // Ваши расходы и результаты могут отличаться. // Производительность зависит от вида использования, конфигурации и других факторов. // См. наши юридические уведомления и отказ от ответственности. // Корпорация Intel выступает за соблюдение прав человека и избегает причастности к их нарушению. См. Глобальные принципы защиты прав человека в корпорации Intel. Продукция и программное обеспечение Intel предназначены только для использования в приложениях, которые не приводят или не способствуют нарушению всемирно признанных прав человека.
