Számítógép a számítógépben: Az Intel Management Engine rejtélye

Amikor Ön használja a számítógépét, azt gondolja, teljes kontrollal rendelkezik. Ön telepíti az operációs rendszert, Ön indítja el a programokat, Ön adja ki a parancsokat. De mi van akkor, ha a gépe legmélyén, a processzorba égetve létezik egy másik, titkos számítógép, ami az Ön tudta és engedélye nélkül működik?

Ez nem egy sci-fi film forgatókönyve. Ez a valóság, amit Intel Management Engine (ME) vagy újabban Converged Security and Management Engine (CSME) néven ismerünk.

Ez az egyik legvitatottabb és legrejtélyesebb technológia a modern számítástechnikában. Nem állítjuk, hogy gonosz, de a működése és a képességei olyan alapvető biztonsági és adatvédelmi kérdéseket vetnek fel, amelyek mellett nem mehetünk el szó nélkül.

Mi az Intel Management Engine?

Képzelje el, hogy a számítógépe processzorában (pontosabban a chipsetben) van egy apró, különálló mikroprocesszor. Ennek a mikroprocesszornak saját, minimalista operációs rendszere (MINIX), saját memóriája és saját hálózati hozzáférése van.

Ez az Intel ME.

A hivatalos magyarázat szerint a célja a nagyvállalati gépek távoli felügyelete. Lehetővé teszi egy rendszergazda számára, hogy távolról bekapcsoljon egy gépet, operációs rendszert telepítsen rá, vagy hibát keressen, még akkor is, ha a gép ki van kapcsolva, vagy az operációs rendszere összeomlott.

Ez egy hasznos funkciónak tűnik. De a probléma a részletekben rejlik.

A fekete doboz legmélyebb szintje

Az Intel ME a fekete doboz koncepciójának a csúcsa. A működését meghatározó szoftver (firmware) teljesen zárt, a kódja az Intel legféltettebb titkai közé tartozik. Senki, az Intelen kívül, nem tudja pontosan, mit csinál.

És itt kezdődnek a nyugtalanító kérdések, amelyeket lehetőségként, nem pedig tényként kell kezelnünk:

A teljhatalom lehetősége: Az Intel ME a legmagasabb, Ring-3 szintű privilégiummal rendelkezik a rendszerben. Ez azt jelenti, hogy hozzáférése van mindenhez. Látja a teljes memóriatartalmat, a billentyűleütéseket, a hálózati forgalmat, a képernyő tartalmát. Mindezt az operációs rendszer és bármilyen biztonsági szoftver (vírusirtó, tűzfal) megkerülésével. Lehetséges, hogy ez a hozzáférés nem csak a rendszergazdák, hanem mások számára is elérhető?

A hálózati hátsó kapu lehetősége: Az Intel ME képes önállóan, az operációs rendszertől függetlenül hálózati kapcsolatot létesíteni. Lehetséges, hogy ez a funkció egy rejtett hátsó kapuként működhet, amin keresztül egy külső fél - legyen az a gyártó, egy kormányzati szerv, vagy egy támadó - hozzáférhet a gépünkhöz?

A sebezhetőség lehetősége: Mint minden szoftver, az Intel ME firmware-je is tartalmazhat hibákat. Több, kritikusan súlyos sebezhetőséget találtak már benne az évek során (pl. CVE-2017-5712), amelyek távoli kódfuttatást tettek lehetővé. Lehetséges, hogy léteznek még felfedezetlen, vagy akár szándékosan beépített sebezhetőségek, amelyek a legmagasabb szintű hozzáférést biztosítják egy támadónak?

Miért fontos ez az Ön számára?

Lehet, hogy Ön nem egy nagyvállalat rendszergazdája. De ha az elmúlt ~15 évben vásárolt Intel processzoros gépet, szinte biztos, hogy az Ön gépében is ott ketyeg ez a titokzatos, fekete doboz. A kérdés nem az, hogy az Intel rossz szándékkal építette-e be ezt a rendszert. A kérdés a kontrollról és a bizalomról szól.

Elfogadható-e egy olyan rendszer, ahol a számítógépünk legmélyén egy átláthatatlan, teljes hatalommal bíró alrendszer működik, aminek a kódját nem ismerhetjük meg, és aminek a működését nem tudjuk teljes mértékben felügyelni?

A mi filozófiánk a rendszerek építésénél a radikális átláthatóságon és a felhasználói kontrollon alapul. Az Intel Management Engine létezése élesen rávilágít arra, hogy a valódi digitális szuverenitásért folytatott küzdelem már a hardver legmélyebb szintjén elkezdődik.

A célunk nem a paranoia keltése. A célunk a tudatosság növelése. Mert a biztonság első lépése mindig az, hogy megértsük a rendszerünk valódi működését, beleértve a rejtett, fekete dobozait is.