Depois de histórias de terror como roteadores modificados por agências governamentais, ataques diretos ao firmware dos nossos dispositivos e malware capaz de contornar a famosa «air gap», só faltava encontrar algo estranho nos nossos processadores e chipsets. Um artigo recente publicado pelo BoingBoing explora o chamado Intel Management Engine, um subsistema baseado em um coprocessador totalmente fechado, criptografado, independente da CPU ou do sistema operacional, e que não pode ser controlado pelo usuário…
O que é o Intel Management Engine?
A história começa com a plataforma AMT (Active Management Technology), destinada ao que a Intel chama de «administração fora-de-banda», que, dependendo do terminal, inclui funções de monitoramento, atualização e reparação. Se para alguns leitores é a primeira vez que ouvem falar de AMT, é porque ela costuma ficar sob o termo geral «Intel vPro», que abrange outras tecnologias além de AMT. AMT representa um acesso de muito baixo nível ao computador, e para funcionar, precisa da combinação hardware-firmware adequada. Na verdade, AMT não se apoia no elemento x86 de um processador, mas utiliza um coprocessador ARC (Argonaut RISC Core) de 32 bits, muito comum em SoCs e outros sistemas integrados. Esse coprocessador é identificado como Intel ME ou Intel Management Engine, e se o «pacote processador-chipset» vier com suporte vPro declarado, é muito provável que o coprocessador também esteja lá.
Qual é o problema? Em poucas palavras, o Intel ME tem poder demais, e se um agente malicioso conseguir assumir o controle dele, basicamente não haverá volta. O Intel ME opera de forma independente do sistema operacional, permanece ativo mesmo em estados de suspensão e hibernação, pode acessar toda a memória do computador, seus periféricos e até suas conexões com a internet, graças a um micro-servidor TCP/IP na interface de rede. A Intel tentou compartilhar a menor quantidade possível de informações para «reduzir a pegada» do Intel ME, e implementou uma criptografia RSA 2048 com a missão de protegê-lo, mas sabemos que há gente procurando qualquer fraqueza. Alguns especialistas em segurança declararam o Intel ME um rootkit Ring -3, com privilégios (e riscos) mais elevados do que os de um Ring 0 (kernel) ou um Ring -1 (hipervisor, como o velho Blue Pill de 2006).
O problema da falta de transparência
O grande conflito do Intel ME é a falta de transparência. Se esse coprocessador for comprometido, a capacidade do usuário de impedir ou reparar o dano é zero. Apelar para a clássica frase «o código open source é mais seguro» seria cair em uma armadilha óbvia demais, já que houve demonstrações no passado do contrário, mas o acesso ao código equivale ao desenvolvimento de auditorias e avaliações mais precisas sobre a robustez desse subsistema. Até lá, o que nos resta é pedir que nunca apareça um exploit para o Intel ME, ou, como outros sugeriram, nos acostumarmos a desconectar a internet fisicamente. E a resposta é não: mudar para a AMD não seria uma solução.
