Специалисты ИБ-компании Positive Technologies Марк Ермолов и Максим Горячий обнаружили способ отключения подсистемы Intel Management Engine (Intel ME). Последняя является отдельным микропроцессором, работающим независимо от ЦПУ и выполняющим задачи, которые необходимо отделить от ОС: обработку защищённого контента (DRM), реализацию модулей TPM (Trusted Platform Module) и низкоуровневых интерфейсов для мониторинга и управления оборудованием. За работу Intel ME отвечает операционная система, основанная на коде ОС MINIX.

Ранее микроконтроллер, который управляет Intel ME, производился Intel по лицензии ARC International. Это был 32-разрядный RISC-процессор с набором возможностей, специально конфигурируемых «под заказчика», но начиная с чипсетов PCH (Platform Controller Hub) 100-й серии Intel полностью переработала эту микросхему. Был осуществлен переход на x86-архитектуру.

Intel ME предустанавливается компанией на все современные процессоры и в силу того, что он отвечает за жизнеспособность не только ЦПУ, но и других подсистем, считалось, что его невозможно отключить. Тем не менее, исследователи доказали обратное. Им удалось обнаружить в программном коде ME скрытую опцию для отключения режима HAP (High Assurance Platform). Последний применяется для организации защищённого межведомственного доступа к конфиденциальным данным и секретным сведениям в американских госучреждениях. По сути, HAP — это целевая программа, которая поддерживается правительством США, АНБ и высокотехнологическими компаниями. Эксперты выяснили, что эта опция позволяет полностью деактивировать основной контроллер Intel ME в чипах Intel через установку недокументированного бита в одном из файлов прошивки.

Как пишет ZDNet, Intel подтвердила Positive Technologies информацию о том, что недокументированная активация HAP потребовалась её клиентам, которые поставляют оборудование в госучреждения США. Чипмейкер пояснил, что некоторые модификации чипов с режимом HAP прошли ограниченный цикл проверки и не являются официально поддерживаемой конфигурацией.

Компания уже неоднократно попадала под прицел критики по причине того, что ME может предоставлять скрытый доступ к источникам данных пользователя в обход центрального процессора. В январе в открытом доступе появилась программa ME_Cleaner, которая предназначена для желающих очистить компьютер от закрытых и проприетарных частей, не имеющих исходников. Тем не менее, программа удаляет лишь часть проприетарного софта.

Некоторые ИБ-специалисты не без оснований опасаются, что закрытость Intel ME не позволяет выявить уязвимости в его компонентах. Например, в мае в составе Intel ME была обнаружена опасная уязвимость, которая затрагивала решения Intel Active Management Technology (AMT), Intel Standard Manageability (ISM), а также Intel Small Business Technology (SBT) и позволяла непривилегированному пользователю получить удаленный доступ к управлению оборудованием.

Ермолов и Горячий предполагают, что режим HAP предназначен для снижения вероятности атак по сторонним (или побочным) каналам (side-channel attack). Эксперты выложили на GitHub утилиту, которая позволяет отключить сопроцессор ME после инициализации аппаратного обеспечения, но предупредили, что её применение чревато непредсказуемыми последствиями.

Версия для печати (без изображений)