Intel Management Engine on sisällytetty Intelin piirisarjoihin vuodesta 2008 lähtien. Se on pohjimmiltaan pieni tietokone-sisällä-tietokone, jolla on täysi pääsy tietokoneesi muistiin, näyttöön, verkkoon ja syöttölaitteisiin. Se toimii Intelin kirjoittamassa koodissa, eikä Intel ole jakanut paljon tietoa sen sisäisestä toiminnasta.
Tämä ohjelmisto, jota kutsutaan myös nimellä Intel ME, on puhjennut uutisista, koska Intel ilmoitti 20.11.2017 tietoturva-aukkoista. Sinun pitäisi korjata järjestelmäsi, jos se on haavoittuva. Tämä ohjelmiston syvä pääsy tietokoneeseen ja läsnäolo kaikissa moderneissa järjestelmissä, joissa on Intel-prosessori, tarkoittaa sitä, että se on mehukas kohde hyökkääjille.
Joten mikä on Intel Management Engine, joka tapauksessa? Intel antaa joitakin yleisiä tietoja, mutta ne välttävät selittävän suurimman osan Intel Management Enginein erityisistä tehtävistä ja tarkasta siitä, miten se toimii.
Kuten Intel toteaa, Management Engine on "pieni, pienitehoinen tietokonealijärjestelmä". Se "suorittaa erilaisia tehtäviä, kun järjestelmä on nukkumassa, käynnistyksen aikana ja kun järjestelmä on käynnissä".
Toisin sanoen tämä on rinnakkainen käyttöjärjestelmä, joka toimii erillisellä sirulla, mutta jolla on pääsy tietokoneesi laitteistoon. Se toimii, kun tietokone nukkuu, kun se käynnistyy ja kun käyttöjärjestelmäsi on käynnissä. Se on täysi pääsy järjestelmän laitteistoon, mukaan lukien järjestelmämuisti, näytön sisältö, näppäimistö ja jopa verkko.
Tiedämme nyt, että Intel Management Engine käyttää MINIX-käyttöjärjestelmää. Sen lisäksi tarkka ohjelmisto, joka kulkee Intel Management Enginein sisällä, ei tunneta. Se on pieni musta laatikko, ja vain Intel tietää tarkalleen, mitä sisällä.
Erilaisten matalan tason toimintojen lisäksi Intel Management Engine sisältää Intel Active Management Technology. AMT on etähallintaratkaisu palvelimia, pöytätietokoneita, kannettavia tietokoneita ja tabletteja varten Intel-prosessoreilla. Se on tarkoitettu suurille organisaatioille, ei kotikäyttäjille. Se ei ole oletusarvoisesti käytössä, joten se ei todellakaan ole "takaoven", kuten jotkut ihmiset ovat kutsuneet.
AMT: ää voidaan käyttää tietokoneen käynnistämiseen, konfigurointiin, hallintaan tai pyyhkimiseen Intel-prosessoreilla. Toisin kuin tyypilliset hallintaratkaisut, tämä toimii, vaikka tietokoneessa ei ole käyttöjärjestelmää. Intel AMT toimii osana Intelin hallintatyökalua, joten organisaatiot voivat hallita järjestelmät etänä ilman toimivia Windows-käyttöjärjestelmiä.
Toukokuussa 2017 Intel ilmoitti AMT: n etäkäytön, jonka avulla hyökkääjät voivat käyttää AMT: tä tietokoneessa antamatta tarvittavaa salasanaa. Tämä vaikuttaisi kuitenkin vain ihmisiin, jotka menivät tieltä, jotta Intel AMT - joka ei ole eniten kotikäyttäjiä. Ainoastaan organisaatiot, jotka käyttivät AMT: tä, tarvitsivat huolta tästä ongelmasta ja päivittäisivät tietokoneensa laiteohjelmistosta.
Tämä ominaisuus on tarkoitettu vain tietokoneille. Vaikka uusilla Intel-prosessoreilla varustetuilla Macilla on myös Intel ME, ne eivät sisällä Intel AMT: tä.
Intel ME ei voi poistaa käytöstä. Vaikka Intel AMT -ominaisuudet poistettaisiin järjestelmän BIOS-järjestelmässä, Intel ME -akkuprosessori ja -ohjelmisto ovat edelleen käytössä ja käynnissä. Tässä vaiheessa se on sisällytetty kaikkiin Intel-prosessoreihin ja Intel ei voi poistaa sitä.
Vaikka Intel ei mitenkään voi poistaa Intel ME: n käytöstä, muut ihmiset ovat kokeillut sen poistamista käytöstä. Se ei kuitenkaan ole niin yksinkertainen kuin kytkin. Uudistetut hakkerit ovat onnistuneet poistamaan Intel ME: n melko paljon, ja Purism tarjoaa nyt kannettavia tietokoneita (vanhemmat Intel-laitteet), joiden Intel Management Engine on oletusarvoisesti pois käytöstä. Intel todennäköisesti ei ole tyytyväinen näihin ponnisteluihin, ja tekee siitä entistä vaikeampaa poistaa Intel ME tulevaisuudessa.
Mutta keskimäärin käyttäjälle, Intel ME: n käytöstä poistaminen on periaatteessa mahdotonta - ja se on suunniteltu.
Intel ei halua sen kilpailijoiden tietävän Management Engine -ohjelmiston tarkkaa toimintaa. Intel näyttää myös omaksuvan "tietoturvan hämärtymisenä", yrittäen vaikeuttaa hyökkääjien oppia ja etsiä reikiä Intel ME -ohjelmistossa. Kuitenkin, kuten viimeaikaiset turva-aukot ovat osoittaneet, turvatarkkuus ei ole taattu ratkaisu.
Tämä ei ole mikään vakoilu- tai valvontaohjelmisto - ellei organisaatio ole ottanut AMT: ää käyttöön ja käyttää sitä omien tietokoneidensa valvontaan. Jos Intelin hallintalinja otti yhteyttä verkkoon muissa tilanteissa, olisimme todennäköisesti kuulleet sen Wireshark-työkalujen ansiosta, joiden avulla ihmiset voivat seurata liikennettä verkossa.
Kuitenkin sellaisten ohjelmistojen, kuten Intel ME: n, läsnäolo, joita ei voida poistaa käytöstä ja jotka ovat suljettuja lähteitä, ovat varmasti turvallisuusongelma. Se on toinen hyökkäyskanava, ja olemme jo nähneet tietoturva-aukkoja Intel ME: ssä.
Intel ilmoitti 20. marraskuuta 2017 kolmannen osapuolen turvallisuustutkijoiden huomannut vakavat tietoturva-aukot Intel ME: ssä. Näihin kuuluvat molemmat virheet, jotka mahdollistavat hyökkääjän, jolla on paikalliset käyttöoikeuskoodit, joilla on täysi järjestelmän käyttöoikeus, ja etähyökkäykset, joiden avulla hyökkääjät voivat käyttää kauko-ohjattua koodia, jolla on täysi pääsy järjestelmään. On epäselvää, kuinka vaikeaa ne olisi hyödyntää.
Intel tarjoaa tunnistustyökalun, jota voit ladata ja käyttää selvittääksesi, onko tietokoneesi Intel ME haavoittuva vai onko se korjattu.
Voit käyttää työkalua ladataksesi ZIP-tiedoston Windowsille, avaamalla sen ja kaksoisnapsauttamalla "DiscoveryTool.GUI" -kansiota. Käynnistä se kaksoisnapsauttamalla "Intel-SA-00086-GUI.exe" -tiedostoa. Selvitä UAC-kehotteelle ja sinulle kerrotaan, onko tietokoneesi haavoittuva vai ei.
Jos tietokoneesi on heikko, voit päivittää vain Intel ME päivittämällä tietokoneesi UEFI-laiteohjelmiston. Tietokoneen valmistajan on annettava tämä päivitys, joten tarkista valmistajan WWW-sivuston Tuki -osiosta, onko käytettävissä UEFI- tai BIOS-päivityksiä.
Intel tarjoaa myös tukisivun, jossa on linkkejä eri PC-valmistajien antamiin päivityksiin ja ne pitävät sitä päivitettynä, kun valmistajat julkaisevat tukitietoja.
AMD-järjestelmissä on jotain samanlaista nimeltä AMD TrustZone, joka toimii omalla ARM-prosessorillaan.
Kuvauskenttä: Laura Houser.
