Nach den Horrorgeschichten über manipulierte Router, direkte Angriffe auf die Firmware unserer Geräte und Malware, die die berühmte „Air Gap“ umgehen kann, fehlte nur noch etwas Absonderliches in unseren Prozessoren und Chipsätzen. Ein kürzlich bei BoingBoing veröffentlichter Artikel befasst sich mit dem Intel Management Engine, einem Subsystem, das auf einem völlig geschlossenen, verschlüsselten Koprozessor basiert, der unabhängig von CPU und Betriebssystem arbeitet und nicht vom Nutzer kontrolliert werden kann…
Was ist Intel ME?
Die Geschichte beginnt mit der Plattform AMT, Active Management Technology, die Intel als „Out-of-Band-Verwaltung“ bezeichnet und je nach Endgerät Überwachungs-, Update- und Reparaturfunktionen umfasst. Wenn einige unserer Leser zum ersten Mal von AMT hören, liegt das daran, dass es oft unter dem Sammelbegriff „Intel vPro“ geführt wird, der auch andere Technologien umfasst. AMT stellt einen sehr niedrigen Zugriff auf den Computer dar und benötigt die passende Kombination aus Hardware und Firmware. Tatsächlich stützt sich AMT nicht auf das „x86-Element“ eines Prozessors, sondern nutzt einen 32-Bit-ARC-Koprozessor (Argonaut RISC Core), der in SoCs und anderen integrierten Systemen weit verbreitet ist. Dieser Koprozessor wird als Intel ME oder Intel Management Engine identifiziert, und wenn das „Prozessor-Chipsatz-Paket“ mit deklarierter vPro-Unterstützung kommt, ist der Koprozessor höchstwahrscheinlich ebenfalls vorhanden.
Warum ist Intel ME so gefährlich?
Wo liegt das Problem? Kurz gesagt: Intel ME hat zu viel Macht, und wenn ein Angreifer die Kontrolle übernimmt, gibt es praktisch kein Zurück. Intel ME arbeitet unabhängig vom Betriebssystem, bleibt selbst in Ruhe- und Energiesparmodus aktiv, kann auf den gesamten Speicher, die Peripheriegeräte und sogar Internetverbindungen zugreifen – dank eines Mikroservers mit TCP/IP in der Netzwerkschnittstelle. Intel hat versucht, so wenig Informationen wie möglich zu teilen, um den „Fußabdruck“ von Intel ME zu verkleinern, und hat eine RSA-2048-Verschlüsselung implementiert, um es zu schützen, aber wir wissen, dass es Leute gibt, die nach jeder Schwachstelle suchen. Einige Sicherheitsexperten haben Intel ME als Rootkit der Ring-Ebene -3 bezeichnet, mit höheren Privilegien (und Risiken) als ein Ring 0 (Kernel) oder ein Ring -1 (Hypervisor wie der alte Blue Pill von 2006).
Der große Konflikt von Intel ME ist die mangelnde Transparenz. Wenn dieser Koprozessor kompromittiert wird, ist die Fähigkeit des Nutzers, den Schaden zu verhindern oder zu beheben, gleich null. Sich auf den klassischen Satz „Open-Source-Code ist sicherer“ zu berufen, wäre eine zu offensichtliche Falle, denn es gab in der Vergangenheit Vorführungen des Gegenteils, aber der Zugang zum Code entspricht der Entwicklung von Audits und genaueren Bewertungen der Robustheit dieses Subsystems. Bis dahin bleibt uns nur zu hoffen, dass nie ein Exploit für Intel ME auftaucht, oder, wie andere vorgeschlagen haben, sich daran zu gewöhnen, das Internet physisch zu trennen. Und die Antwort ist nein: Zu AMD zu wechseln wäre keine Lösung.
