Na het horen van horrorverhalen over routers die door overheidsinstanties zijn aangepast, directe aanvallen op de firmware van onze apparaten en malware die de beroemde 'air gap' kan omzeilen, ontbrak alleen nog iets vreemds in onze processors en chipsets. Een recent artikel gepubliceerd door BoingBoing verkent de zogenaamde Intel Management Engine, een subsysteem gebaseerd op een coprocessor die volledig gesloten, versleuteld en onafhankelijk van de CPU of het besturingssysteem is, en die niet door de gebruiker kan worden bestuurd...
Active Management Technology en Intel ME
Het verhaal begint met het AMT-platform, Active Management Technology, bedoeld voor wat Intel "out-of-band-beheer" noemt, dat afhankelijk van de terminal functies als monitoring, updating en reparatie omvat. Als sommige van onze lezers voor het eerst over AMT horen, komt dat omdat het meestal onder de paraplu van de algemene term "Intel vPro" valt, die ook andere technologieën omvat dan AMT. AMT vertegenwoordigt een zeer laag niveau van toegang tot de computer, en om te functioneren is de juiste hardware-firmwarecombinatie nodig. AMT steunt eigenlijk niet op het "x86-element" van een processor, maar maakt gebruik van een 32-bits ARC (Argonaut RISC Core) coprocessor, die veel voorkomt in SoC's en andere geïntegreerde systemen. Deze coprocessor wordt geïdentificeerd als Intel ME of Intel Management Engine, en als het "processor-chipsetpakket" met aangegeven vPro-ondersteuning komt, is de kans groot dat de coprocessor er ook is.
Het probleem met Intel ME
Wat is het probleem? In een notendop: Intel ME heeft te veel macht, en als een kwaadwillende agent erin slaagt om er controle over te krijgen, is er in principe geen weg terug. Intel ME werkt onafhankelijk van het besturingssysteem, blijft actief in slaap- en hibernatietoestand, kan toegang krijgen tot al het geheugen van de computer, de randapparatuur en zelfs de internetverbindingen, dankzij een micro-TCP/IP-server op de netwerkinterface. Intel heeft geprobeerd zo min mogelijk informatie te delen om de "voetafdruk" van Intel ME te verminderen, en heeft een RSA 2048-codering geïmplementeerd om het te beschermen, maar we weten dat er mensen zijn die naar zwakheden zoeken. Sommige beveiligingsexperts verklaarden Intel ME tot een Ring -3 rootkit met privileges (en risico's) hoger dan die van een Ring 0 (kernel) of een Ring -1 (hypervisor, zoals de oude Blue Pill uit 2006).
Gebrek aan transparantie
Het grote conflict van Intel ME is het gebrek aan transparantie. Als deze coprocessor wordt gecompromitteerd, is het vermogen van de gebruiker om de schade te voorkomen of te herstellen nul. Een beroep doen op de klassieke uitspraak "open source code is veiliger" zou in een te voor de hand liggende val trappen, aangezien er in het verleden demonstraties van het tegendeel zijn geweest, maar toegang tot de code komt overeen met de ontwikkeling van audits en nauwkeurigere evaluaties van de robuustheid van dit subsysteem. Tot die tijd blijft ons alleen over om te vragen dat er nooit een exploit voor Intel ME verschijnt, of zoals anderen hebben gesuggereerd, wennen aan het fysiek loskoppelen van internet. En het antwoord is nee, overstappen naar AMD zou geen oplossing zijn.
