Daniel Bradbury Dočekal Milujete konspirace? Jsou svým způsobem zábavné a osvěžující, ale stejně tak nebezpečné. V rukou inteligentních lidí mířících na ty méně inteligentní dokáží způsobit mnoho škody. Nakonec na šíření a rozvíjení konspirací jsou založeny záplavy webu majících konspirační teorie jako zásadní nástroj šíření lží, výmyslů, propagandy a manipulací snažících se ovlivňovat mínění i osudy lidí.
Jedna čerstvá konspirace říká, že nové procesory od Intelu mají zadní vrátka, která tam Intel dal, aby z NSA mohli kdykoliv vstoupit do jakéhokoliv počítače. Jako každá zadní vrátka jsou zneužitelná hackery (to je mimochodem jediná zásadní a pravdivá informace) a co navíc, NSA i hackeři mohou počítač ovládnout i když je kompletně vypnutý. Na dálku, samozřejmě.
TIP: V listopadu 2017 se tohle téma objevilo znovu, trochu oklikou: MINIX — The most popular OS in the world, thanks to Intel.
Můžete si o tom počíst například v New Intel CPUs Have NSA Exploitable Secret Hidden Backdoor a zjistíte, že tahle nová konspirace tady už několikrát byla. Například v podobě toho, že to mělo být možné pomocí síťových karet, ale jinak se v zásadě nijak neliší od předchozích variant. Podivuhodný článek se, jak už to tak bývá, odvolává na bezpečnostního experta jménem Damien Zammit (skutečně existuje), který má být autorem Intel ME Secrets (autorem je každopádně někdo zcela jiný, což ale napraví až dále v článku).
Tvůrci konspirace (či hoaxu, chcete-li) samozřejmě moc nepočítají s tím, že si onu prezentaci opravdu pročtete a vybrali z ní jenom to, co se hodilo pro vyvolání paniky. Ta spočívá ve vyvolání dojmu, že Intel Management Engine je tajný backdoor a že nikdo na světě nezná zdrojový kód. Nechybí ani žonglování s termíny 2048 bit RSA a řadou dalších zkratek. Celé je to ještě mohutně promícháno zmínkami o kvantových algoritmech postavených proti roky starým implementacím SSL, které používají už dávno nevhodné technické řešení. Samozřejmě to celé nemá nic společného s tématem Intel ME. Ale vypadá to důležitě.
Realita?
Intel ME existuje a ve starších verzích byly objeveny bezpečnostní chyby. Co se počítačů používajících současné x86 procesory, tak právě výše uvedený Damien Zammit říká, že existuje možnost, že by něco takového bylo možné, ale prozatím žádná využitelná zranitelnost neexistuje. Což je mimochodem možné říci i jakémkoliv kusu hardware či software.
Ostatně, tvrdit, že Intel ME se nachází v Intel procesorech je také poněkud zásadně nepřesné – na některých základních deskách (a tím pádem v některých počítačích) se nachází 32 bitový ARC mikroprocesor, zabudovaný do čipsetů desky. Slouží i pro podnikové využití a usnadňuje správu systémů v rozsáhlých podnikových sítích – dálkovou správu, samozřejmě.
Může fungovat nezávisle na operačním systému, stejně tak jako může fungovat pokud je „počítač vypnutý“, tedy do momentu toho, že počítač opravdu zcela vypnete a nikoliv pouze uspíte, hibernujete či nevypnete tlačítkem na napájecím zdroji (či vytažením ze zásuvky).
Součástí této technologie může být Active Management Technology (AMT, technologie stará prakticky desetiletí) podpora a software takto spouštěné se může dostat do systémové paměti, může pracovat se síťovou kartou. A na novějších (po Intel Core 2) systémech je něco takového nezakazatelné. Ale co je také nutné dodat, bez Intel ME by tyto počítače nebyly schopné nastartovat.
Proti případným zásahům je vše chráněno jednak SHA256 kontrolním součtem a následně kontrolou RSA podpisu (skutečně s RSA 2048). Případná absence ME firmware či poškození pak vede k tomu, že se systém buď okamžitě vypne nebo odmítne nastartovat.
Zranitelnost
Starší verze ME firmware obsahovaly bezpečnostní nedostatek, který se podařilo najít a zneužít k částečnému převzetí kontroly. Nakonec se pohybujeme v počítačovém prostředí a prakticky nikdy se není možné 100% spolehnout na to, že něco je absolutně bezpečné.
Další poměrně slušné povídání (pokud přeskočíte vyvolávání paniky) je v Intel x86s hide another CPU that can take over your machine (you can’t audit it) a užitečné je i v tom, že sami objevitelé konstatují, že snažit se zneužít Intel ME je velmi obtížné. Co je ale také důležité, zdůrazňují, že klasicky zde Intel bezpečnost řeší právě tím, že dělá věc obtížné (security through obscurity) a spoléhá se na to, že nikdo nemůže získat přístup k čipům, které skrývají vše podstatné.
Podstatné je, že skutečně neexistuje žádný známý způsob jak Intel ME zneužít a ne všechny procesory (lépe řečeno základní desky) od Intelu obsahují předmětný čip (ty s vPro funkčností ovšem ano). Objevená zranitelnost se týkala dřívějších verzí Intel ME a vyžadovala řízený laboratorní experiment, nikoliv „útok na dálku“.
Intel ME má, na druhou stranu, také zcela legitimní a užitečné využití. Například takové, že umožňuje na dálku znemožnit spuštění a používání ukradeného hardware. Byť, jak už bylo řečeno, je trochu nebezpečné, že to celé funguje jako černá skříňka, u které není jisté, kolik chyb tam někdo od Intelu vyrobil.
Mimochodem, pokud jste někde cestou stále nenašli ono NSA, tak se nedivte. Je to jenom skvělý způsob jak konspiraci ještě více udělat konspirační. Ale jinak, samozřejmě, všechno je možné. Všechno.