Fora

En semi-omfattende guide til Intel Management Engine og omgåelse heraf (+ AMD PSP Notes)

Status
Det første indlæg i denne tråd er et WikiPost og kan redigeres af alle med de passende tilladelser. Dine redigeringer vil være offentlige.

z970

Original plakat
2. juni 2017
01000101 01100001 01110010 01110100 01101000


  • 14. november 2020
I næsten to år nu har jeg undgået alle Intel-systemer med 965-chipsættet og nyere, i stedet for at blive med 945-chipsættet og ældre for at omgå sikkerhedsproblemerne omkring Intel Management Engine inden for den uklare generelle periode fra 2006 til 2008. indvielse. Men i tiden siden jeg har anskaffet mig en Dell XPS 410, er jeg blevet tvunget til fuldt ud at sortere det rod, misinformation og forvirring, der er 965+-chipsættet, Intel Management Engine og Intel Active Management-teknologien, bare for at føle behagelig at betjene den.

Som med en tidligere Wiki, jeg har udarbejdet, skrev jeg i første omgang følgende information med den hensigt, at den skulle bruges som en personlig reference. Men i betragtning af hvordan der tidligere har været eksempler, hvor denne særlige gruppe mennesker har udtrykt interesse og bekymring for emnet ( https://forums.macrumors.com/thread...y-privacy-issues-on-intel-based-macs.2193645/ , og på en semi-relateret note, https://forums.macrumors.com/ tråd...n-the-new-announcements.2267073/post-29238209 ) , sammen med den kendsgerning, at der, så vidt jeg er bekendt, i øjeblikket ikke eksisterer nogen centraliseret informationsressource på internettet, der beskriver, hvilke chipsæt der virkelig er berørt, hvilke chipsæt der kan fjernkompromitteres, og hvad der præcist kan gøres for at afbøde en sårbar chipset skulle brugeren komme i besiddelse af et, har jeg besluttet at offentliggøre det her til fremtidig offentlig reference.



Forebyggelse af sikkerhedssårbarheder fra Intel Active Management Technology inden for Pre-Nehalem-systemer



Intel Management Engine blev introduceret med Intel Q965-chipsættet og er til stede i de efterfølgende Q35- og P/G/GM/Q45-chipsæt, der hver blev introduceret i henholdsvis 2006, 2007 og 2008. Den har fuld adgang til processorgrænsefladen, DRAM-controlleren, intern grafikcontroller, grafikgrænseflader og I/O Controller Hub, men kan kun sende og modtage data over netværket, hvis bundkortet understøtter Intel vPro, eller mere specifikt Intel Active Management Teknologi (i sig selv en delmængde af vPro). Intel ME bør ikke forveksles med Intel AMT, da kun AMT er i stand til at interagere med den Intel-fremstillede indbyggede Network Interface Controller og dermed udgøre en sikkerhedsrisiko. ME og dets vPro/AMT-undersæt blev senere overført til mobile platforme via Centrino Pro og den efterfølgende Centrino 2 vPro i henholdsvis 2007 og 2008.

AMT må heller ikke forveksles med det åbne Alert Standard Format, da ASF er OS-afhængig via software, ikke kan overføre samme bredde af data, ikke er eksklusivt for Q965+ og ikke kan køre, når systemet er slukket.

På mobilsystemer understøttes AMT kun, hvis systemet er mærket som kompatibelt med Centrino Pro eller Centrino 2 vPro. På desktop-systemer understøttes vPro, og derfor AMT, kun, hvis bundkortet indeholder Q965, Q35 eller Q45 business-class chipsæt, som kan identificeres ved det trykte modelnummer på ICH, ellers almindeligvis kendt som southbridge (se til den store Intel-mærkede chip på systemets bundkort):

82801HO (Q965, Digital Office, indeholder både ME og AMT)

82801IO (Q35, Digital Office, indeholder både ME og AMT)

82801JO (Q45, Digital Office, indeholder kun AMT)

Alle Core 2 Solo, Core 2 Duo, Core 2 Quad og Core 2 Extreme-baserede desktopboards, der mangler ovenstående ICH-chips, har ikke AMT, da vPro/AMT (såvel som ME på Q965 og Q35-chipsæt) ikke er bygget. ind i alle desktop-chipsæt, der er fri for 'Q'-betegnelsespræfikset, hvilket gør ME på P/G/GM45-chipsæt som formodentlig godartet.

Alternativt, mei-amt-check ( https://github.com/mjg59/mei-amt-check ) kan bruges på Linux-systemer til at bestemme tilstedeværelsen af ​​ME og AMT. Hvis 'mei_me'-modulet ikke automatisk indlæses ved opstart, så mangler systemet ME, og i forlængelse heraf AMT, og kræver således ikke manuel omgåelse.

Yderligere kan brugeren også kørels / dev | greb medfor at kontrollere tilstedeværelsen af ​​ME på en endnu hurtigere måde. I tilfælde af at kommandoen vender tilbageKanog dermed bekræfter tilstedeværelsen af ​​ME, kan denne metode desværre stadig ikke kontrollere tilstedeværelsen af ​​AMT, hvorimod brug af det førnævnte mei-amt-check-værktøj vil være nødvendigt for at drage en endelig konklusion.

Selvom ME blev introduceret med Q965-chipsættet, debuterede AMT lidt på forhånd på 945-baserede systemer med Intel 82573E Gigabit Ethernet-controlleren, hvilket kan bekræftes medlspci | grep Ethernet, hvorimod følgende afhjælpningstrin ville gælde.

Som en forebyggende foranstaltning på berørte, normalt Q-baserede chipsæt, skal du deaktivere det integrerede NIC via system-BIOS og erstatte det med et alternativt netværksinterface, der ikke indeholder en central NIC-chip designet af Intel, hvilket vil forhindre AMT (og potentielt ME sig selv på P55-systemer og opefter) fra at kommunikere med internettet, fordi den kun indeholder drivere til det indbyggede NIC (fra P55). Eksempler omfatter ikke-Intel USB Wi-Fi-adaptere, USB Ethernet-adaptere og interne PCI- eller PCIe-netværkskort. Denne handling kan også effektivt gøre ME og AMT på gældende systemer som formodentlig godartede.

Som med Core 2-baserede systemer ser vPro / AMT ud til kun at være til stede på Core iX-baserede systemer med Q-præfiks chipsæt. Det er dog i øjeblikket uvist, hvilket præcist forhold ME'en har til NIC for alle Core iX-baserede chipsæt, og hvordan det adskiller sig fra forholdet til Core 2-baserede chipsæt i tidligere versioner. Derfor er NIC'er på Nehalem-baserede systemer og opefter potentielt usikre som standard uden manuel omgåelse gennem alternativ hardware.


Bemærkninger til AMD Platform Security Processor


eller PSP'en har fuld adgang til alle hardwarekomponenter, som med ME.

eller PSP'en er udelukkende placeret på CPU-matricen, hvorimod ME er placeret på bundkortets sydbro.

eller Sidste sikre CPU'er er alt i FX (Bulldozer)-familien, der bruger AM3+ CPU-socket.

eller Hurtigste FX CPU er FX-9590 / overclocket FX-8370. Bundkort bør have FX990-chipsættet for den bedste ydeevne.


Ressourcer


Libreboot – ofte stillede spørgsmål en.wikipedia.org

Intel Management Engine - Wikipedia

en.wikipedia.org en.m.wikipedia.org

Intel Active Management Technology - Wikipedia

en.wikipedia.org

Intel AMT-versioner - Wikipedia

en.wikipedia.org

INTEL-SA-00112

INTEL-SA-00112 www.intel.com

Intel VPro og fibernetværk

Løsning: Hej! Jeg tjekkede med et par af vores Intel-ingeniører, og her er, hvad jeg fandt ud af: vPro bruger den integrerede netværksadapter. I øjeblikket community.spiceworks.com Kører test på forskellige systemer med forskellige chipsæt Sidst redigeret: 11. juli 2021
Reaktioner:RogerWilco6502

RogerWilco6502

12. januar 2019
De unges land
  • 15. november 2020
Amethyst1 sagde: Sikker.

Nehalem og nyere systemer lider også af ME-sårbarheder.

Intel Management Engine - Wikipedia

en.m.wikipedia.org
Ok, tak for infoen. Jeg ved ikke, hvor jeg fik, at nyere systemer var sikre. Det ser ud til, at jeg bliver nødt til at læse mere. >.> D

ødelægger

21. oktober 2013
  • 15. november 2020
RogerWilco6502 sagde: Ok, tak for informationen. Jeg ved ikke, hvor jeg fik, at nyere systemer var sikre. Det ser ud til, at jeg bliver nødt til at læse mere. >.>
Nyere er ikke sikkert med Intel ME, da det ikke var med AMT (hvis du ikke overvejer begges potentielle privatlivsproblemer). Jeg fjerner altid, når det er muligt, ME'en på min Thinkpad's og færre har disse muligheder, uden for Thinkpad (undtagen nogle System76 notebooks eller desktops) er der så vidt jeg ved ikke mange tweaks eller research.
Reaktioner:RogerWilco6502 og Amethyst1

Tratkazir_den_1

11. februar 2020
Rusland, Moskva-regionen
  • 15. november 2020
Emner med IntelME er flammefrembringende Reaktioner:RogerWilco6502, dextractor og Amethyst1

RogerWilco6502

12. januar 2019
De unges land
  • 15. november 2020
dextructor sagde: Nyere er ikke sikkert med Intel ME, da det ikke var med AMT (hvis du ikke overvejer begges potentielle privatlivsproblemer). Jeg fjerner altid, når det er muligt, ME'en på min Thinkpad's og færre har disse muligheder, uden for Thinkpad (undtagen nogle System76 notebooks eller desktops) er der så vidt jeg ved ikke mange tweaks eller research.
Så ThinkPads har måder at deaktivere ME? Ville det være en firmware mulighed?
Tratkazir_the_1st sagde: Emner med IntelME er flammegenererende Reaktioner:davisdelo og sparty411

Ametyst 1

28. oktober 2015
  • 15. november 2020
Eriamjh1138@DAN sagde: Kan en moderator flytte dette ud af PPC-forummet?
Da det også gælder for tidlig Intel Macs, som på en måde har fundet et (midlertidigt?) hjem her, det er ikke helt off-topic.
Reaktioner:MacFoxG4, Project Alice, RogerWilco6502 og 2 andre D

ødelægger

21. oktober 2013
  • 15. november 2020
RogerWilco6502 sagde: Så ThinkPads har måder at deaktivere ME? Ville det være en firmware mulighed?
Som ME er den konstrueret til at være indlejret så meget som tæt på nogle funktioner, vil nogle sige, at man kun erstatter hullets BIOS eller (U)EFI med nogle flere muligheder som Coreboot eller Libreboot for at 'sikkert fjerne ME', fordi nogle af disse 'patches' kun deaktivere eller holde i næsten 'ikke-funktionel' tilstand. Så med de moderne x86 CPU'er (enten AMD eller Intel) er det at vælge din gift, fordi de har disse sårbarheder eller spyware

https://coreboot.org/status/board-status.html Sidst redigeret: 15. november 2020
Reaktioner:RogerWilco6502 og Amethyst1

z970

Original plakat
2. juni 2017
01000101 01100001 01110010 01110100 01101000
  • 15. november 2020
@vddrnnr Forudsat at Apple har brugt standard Intel ME-revisioner, ville man med rimelighed antage, at systemer, der mangler Intel NIC-chipsæt, ikke kan infiltreres af potentielle angribere. Dette blev dog kun bekræftet for vPro/AMT, ikke selve ME (især på Nehalem og opefter).

Når man anvender de etablerede oplysninger på Mac'er, kan enhver potentielt kompilere denne liste og tilføje den til Wikipost til referenceformål.

Det første link indsendt af @Tratkazir_the_1st ser dog ud til at være meget nyttigt i denne henseende, forudsat at det er verificeret med brugertest. Frustrerende nok nævner den dog ikke præcis, hvornår disse praksisser for det meste at neutralisere ME OOB begyndte at gå på plads efter ME og AMT blev introduceret i 2006...

@RogerWilco6502 @Amethyst1 Hvis ThinkPad X40-bundkortet ikke er parret med Intel 82573E Gigabit Ethernet-controlleren, er det faktisk sikkert, da det går før ME-inkorporering i mobile enheder siden 2007 med to år.

Og 965- og P35-baserede Core 2 Duo-systemer påvirkes ikke, hvis de ikke inkluderer vPro (eller i dette tilfælde 965-baserede Centrino Pro / P45-baserede Centrino 2 vPro, hvoraf sidstnævnte kan blive påvirket selv uden vPro pga. til i45-basen).

@RogerWilco6502 For at tilføje præcisering er Nehalem og nyere systemer ikke dækket så omfattende som Core 2-systemer, fordi fra og med ME version 6.0 i de første Core i7-systemer (Nehalem), er ME ikke kun tættere integreret i resten af ​​systemet, men sammen med den fuldstændige mangel på dokumentation, som Intel har leveret, er det ikke fuldt ud kendt, hvad ME selv kan gøre uden AMT. På hvilket tidspunkt ville du bare begynde at bruge alternative netværksadaptere til at låse systemet ned som en fejlsikker.

Generelt var Core 2-systemer sikrere i denne henseende, fordi, ud fra hvad jeg kan få ud af forskning og verifikation (og ikke officiel dokumentation, med tilladelse fra Intel), var ME typisk kun inkluderet i chipsæt, der understøttede vPro. Dette er en del af, hvor tingene ikke var så tæt integreret; hvis vPro / AMT ikke var til stede på systemet, så var der heller ikke behov for at inkludere ME'en, i det mindste på 965 og P35 chipsæt (2006 / 2007).

Derefter så de ud til at være begyndt at samle ME i P45-chipsæt uanset tilstedeværelsen af ​​AMT, som også passer ind i 2008-vinduet. ME på P45-chipsæt var dog ikke sårbare over for SA-00112 uden tilstedeværelsen af ​​AMT, hvilket tyder på, at ME manglede nogen netværkskapacitet og krævede AMT for denne evne (eller for at være en trussel) på P45-chipsæt. På den anden side, selvom ikke alle ME 6.0+ (Nehalem) systemer inkluderer AMT, er de stadig sårbare over for den førnævnte SA-00112, uanset om AMT er til stede eller aktiveret.

Alligevel kan det også logisk argumenteres endnu, at selve ME 6.0+ i Nehalem-systemer og nyere teoretisk set ikke er bedre end de tidligere versioner i Core 2-systemer. Hvis hele AMT's forudsætning er at muliggøre netværksgrænseflader og fjernkonfiguration af ME'en, hvad ville så være meningen med at inkludere netværkskapaciteter i ME'en selv? Det eneste forbehold, jeg har til dette punkt, er den førnævnte forskel i SA-00112, som næsten ser ud til at antyde, at ME selv i Nehalem og opefter fik nogle egne netværkskapaciteter, uanset tilstedeværelsen af ​​AMT. Desværre ser der heller ikke ud til at være noget bevis på nuværende tidspunkt til at modbevise denne teori.

Det er et latterligt kompliceret emne, og grænseoverskridende kaninhul med slørede funktioner. Det tog mig uger bare at behandle alt dette. Du ville blive tilgivet for at forveksle en ting med en anden på flere tidspunkter.

Måske ville det være en fordel at inkorporere en slags sammenligningsgraf for lettere reference...

@Eriamjh1138@DAN Jeg postede kun dette her primært, fordi jeg vidste, at nogle ville have ønsket at vide det. Ellers ville jeg sandsynligvis have brugt en anden hjemmeside helt. Sidst redigeret: 15. november 2020
Reaktioner:Raging Dufus, RogerWilco6502 og destructor

Ametyst 1

28. oktober 2015
  • 15. november 2020
z970mp sagde: Hvis ThinkPad X40 bundkortet ikke er parret med Intel 82573E Gigabit Ethernet Controller,
Den har en 82541.
Reaktioner:RogerWilco6502

RogerWilco6502

12. januar 2019
De unges land
  • 15. november 2020
dextructor sagde: Som ME er den konstrueret til at blive indlejret så meget som tæt på nogle funktioner, vil nogle sige, at man kun erstatter hullets BIOS eller (U)EFI med nogle flere muligheder som Coreboot eller Libreboot for at 'sikkert fjerne ME', fordi nogle af disse 'patches' deaktiverer kun eller holder dem i næsten 'ikke-funktionel' tilstand. Så med de moderne x86 CPU'er (enten AMD eller Intel) er det at vælge din gift, fordi de har disse sårbarheder eller spyware

https://coreboot.org/status/board-status.html
Åh ok. Tak for forklaringen. Jeg vil tage disse oplysninger i betragtning.
z970mp sagde: Hvis ThinkPad X40-bundkortet ikke er parret med Intel 82573E Gigabit Ethernet-controlleren, er det faktisk sikkert, da det går før ME-inkorporering i mobile enheder siden 2007 med to år.

Og 965- og P35-baserede Core 2 Duo-systemer påvirkes ikke, hvis de ikke inkluderer vPro (eller i dette tilfælde 965-baserede Centrino Pro / P45-baserede Centrino 2 vPro, hvoraf sidstnævnte kan blive påvirket selv uden vPro pga. til i45-basen).

For at tilføje en præcisering er Nehalem og nyere systemer ikke dækket så omfattende som Core 2-systemer, fordi fra og med ME version 6.0 i de første Core i7-systemer (Nehalem), er ME ikke kun tættere integreret i resten af ​​systemet, men koblet sammen. med den fuldstændige mangel på dokumentation, som Intel har leveret, er det ikke fuldt ud kendt, hvad ME selv kan gøre uden AMT. På hvilket tidspunkt ville du bare begynde at bruge alternative netværksadaptere til at låse systemet ned som en fejlsikker.

Generelt var Core 2-systemer sikrere i denne henseende, fordi, ud fra hvad jeg kan få ud af forskning og verifikation (og ikke officiel dokumentation, med tilladelse fra Intel), var ME typisk kun inkluderet i chipsæt, der understøttede vPro. Dette er en del af, hvor tingene ikke var så tæt integreret; hvis vPro / AMT ikke var til stede på systemet, så var der heller ikke behov for at inkludere ME'en, i det mindste på 965 og P35 chipsæt (2006 / 2007).

Derefter så de ud til at være begyndt at samle ME i P45-chipsæt uanset tilstedeværelsen af ​​AMT, som også passer ind i 2008-vinduet. ME på P45-chipsæt var dog ikke sårbare over for SA-00112 uden tilstedeværelsen af ​​AMT, hvilket tyder på, at ME manglede nogen netværkskapacitet og krævede AMT for denne evne (eller for at være en trussel) på P45-chipsæt. På den anden side, selvom ikke alle ME 6.0+ (Nehalem) systemer inkluderer AMT, er de stadig sårbare over for den førnævnte SA-00112, uanset om AMT er til stede eller aktiveret.

Alligevel kan det også logisk argumenteres endnu, at selve ME 6.0+ i Nehalem-systemer og nyere teoretisk set ikke er bedre end de tidligere versioner i Core 2-systemer. Hvis hele AMT's forudsætning er at muliggøre netværksgrænseflader og fjernkonfiguration af ME'en, hvad ville så være meningen med at inkludere netværkskapaciteter i ME'en selv? Det eneste forbehold, jeg har til dette punkt, er den førnævnte forskel i SA-00112, som næsten ser ud til at antyde, at ME selv i Nehalem og opefter fik nogle egne netværkskapaciteter, uanset tilstedeværelsen af ​​AMT. Desværre ser der heller ikke ud til at være noget bevis på nuværende tidspunkt til at modbevise denne teori.

Det er et latterligt kompliceret emne, og grænseoverskridende kaninhul med slørede funktioner. Det tog mig uger bare at behandle alt dette. Du ville blive tilgivet for at forveksle en ting med en anden på flere tidspunkter.

Måske ville det være en fordel at inkorporere en slags sammenligningsgraf for lettere reference...
Åh ok. Tak for den dybdegående udvidelse. Jeg skal helt sikkert undersøge dette meget mere >.>
Reaktioner:ødelægger

z970

Original plakat
2. juni 2017
01000101 01100001 01110010 01110100 01101000
  • 15. november 2020
@RogerWilco6502 Held og lykke...
Reaktioner:RogerWilco6502 og destructor

RogerWilco6502

12. januar 2019
De unges land
  • 16. november 2020
z970mp sagde: @RogerWilco6502 Held og lykke...
Tak, det ser ud til at være en masse information at gennemse >.>
Reaktioner:Ametyst 1

sparty411

13. november 2018
  • 16. november 2020
Alternativt kunne man simpelthen undgå Intel som helhed og bruge en AMD baseret maskine. Så vidt jeg ved, er hvert board gennem AM3+ fri for PSP. I stedet for at bruge antikke core 2-æra-processorer, kunne du bruge en 8-core FX 8350 på en relativt moderne platform.
Reaktioner:Projekt Alice og Ametyst1

z970

Original plakat
2. juni 2017
01000101 01100001 01110010 01110100 01101000
  • 16. november 2020
@sparty411 Jeg har endnu ikke analyseret AMD og deres PSP. Når jeg gør det, vil det ikke være udelukket at se en anden informationsressource som denne.

Men jeg bliver sandsynligvis nødt til at finde et andet sted end dette forum at placere det i. Som det er, var dette emnes relevans for underforumet skubbe til det.

Projekt Alice

13. juli 2008
Post Falls, ID
  • 16. november 2020
Ville 2009-2010 Mac'erne for det meste være undtaget fra dette, da de bruger et nvidia-chipsæt, ikke intel? Med undtagelse af Mac Pro havde de andre Mac'er et nvidia-chipsæt.
Reaktioner:RogerWilco6502

z970

Original plakat
2. juni 2017
01000101 01100001 01110010 01110100 01101000
  • 16. november 2020
@Projekt Alice Teoretisk set, ja. De skal først tjekkes medlspci | grep værtogls / dev | greb meddog for at være helt sikker.
Reaktioner:destructor og RogerWilco6502

B S magnet

5. december 2018
uafstået land på den nordlige Turtle Island
  • 2. april 2021
MODS:

Kunne du flytte dette til Early Intels forum? Tak skal du have!
Reaktioner:z970 og davisdelo

Macbook-produkt

1. januar 2018
USA
  • 2. april 2021
Hvorfor er det her? Burde dette ikke være i intel mac sektionen ???

B S magnet

5. december 2018
uafstået land på den nordlige Turtle Island
  • 2. april 2021
Macbookprodude sagde: Hvorfor er det her? Burde dette ikke være i intel mac sektionen ???

Hvis du noterer dig den oprindelige udsendelsesdato, går den forud for oprettelsen af ​​Early Intel Macs-forummet.
Reaktioner:RogerWilco6502, Amethyst1, AL1630 og 1 anden person

z970

Original plakat
2. juni 2017
01000101 01100001 01110010 01110100 01101000
  • 11. juli 2021
Tilføjet en forklaring om Platform Security Processor, AMD's ækvivalent til Intel ME.
Apple Nyheder Andet Anmeldelser Fora Apple Nyheder
Apple Studio Display får sjældent lav rabat ved bedste køb, tilgængelig for 1.299,99 USD
Mophie lancerer Charge Force Cases til iPhone 7/7 Plus, sammen med Powerstation Mini, der kan monteres
Populære Indlæg

Populære Indlæg

Apple Nyheder
Apple-butikker i Beijing screener kunder for feber midt i udbrud af coronavirus
Apple Nyheder
HomePod får ny 'Ambient Sounds' Siri-funktion i efteråret, radiostationssupport lanceres den 30. september
Andet
MP 7,1 Windows 11 på Boot Camp (ingen TPM 2.0)?
Apple Nyheder
iPadOS 15: Sådan bruger du hurtige noter
Apple Nyheder
Three UK understøtter nu Native Wi-Fi-opkald på iPhone
Andet
Hvordan stopper jeg med at dele opkaldshistorik mellem to iPhones (og Mac)