Как отключить разведку
Обновлено: 01.07.2024
Наша группа исследователей Positive Technologies глубоко изучила внутреннюю архитектуру Intel Management Engine (ME) 11 и обнаружила механизм, который может отключать Intel ME после инициализации оборудования и запуска основного процессора. В этой статье мы расскажем, как мы обнаружили этот недокументированный режим и как он связан с программой правительства США High Assurance Platform (HAP).
Отказ от ответственности. Описанные здесь методы сопряжены с риском и могут повредить или разрушить ваш компьютер. Мы не несем ответственности за любые попытки, вдохновленные нашей работой, и не гарантируем работоспособность чего бы то ни было. Для тех, кто осознает риски и все равно решает поэкспериментировать, мы рекомендуем использовать программатор SPI.
ВВЕДЕНИЕ
Intel Management Engine – это запатентованная технология, состоящая из микроконтроллера, встроенного в микросхему Platform Controller Hub (PCH), и набора встроенных периферийных устройств. PCH осуществляет почти всю связь между процессором и внешними устройствами; поэтому Intel ME имеет доступ почти ко всем данным на компьютере. Возможность выполнять сторонний код на Intel ME позволит полностью скомпрометировать платформу. Мы наблюдаем растущий интерес к внутренним компонентам Intel ME со стороны исследователей со всего мира. Одна из причин — переход этой подсистемы на новое оборудование (x86) и программное обеспечение (модифицированный MINIX как операционная система). Платформа x86 позволяет исследователям использовать всю мощь инструментов анализа двоичного кода. Ранее анализ встроенного ПО был затруднен, поскольку более ранние версии ME были основаны на микроконтроллере ARCompact с незнакомым набором инструкций.
После распаковки исполняемых модулей мы приступили к изучению внутреннего программного и аппаратного обеспечения Intel ME. Наша команда работала над этим довольно давно, и у нас накопилось большое количество материала, который мы планируем опубликовать. Это первая статья из серии статей о внутреннем устройстве Intel ME и о том, как отключить его основные функции. Эксперты давно задавались вопросом о такой возможности, чтобы снизить риск утечки данных, связанный с любыми потенциальными уязвимостями нулевого дня в Intel ME.
КАК ОТКЛЮЧИТЬ МЕНЯ
Разочаровывает тот факт, что на современных компьютерах полностью отключить МЭ невозможно. В первую очередь это связано с тем, что данная технология отвечает за инициализацию, управление питанием и запуск основного процессора. Еще одна сложность заключается в том, что некоторые данные жестко запрограммированы внутри чипа PCH, выполняющего функцию южного моста на современных материнских платах. Основной метод, которым пользуются энтузиасты, пытающиеся вывести из строя МЭ, — удалить из образа все «лишнее» с сохранением работоспособности компьютера. Но это не так просто, потому что если встроенный PCH-код не находит модули МЭ во флеш-памяти или определяет, что они повреждены, то система не запустится.
Рисунок 1. Поддержка Skylake и более поздних архитектур в me_cleaner
СЕКРЕТЫ QRESOURCE
Intel позволяет производителям материнских плат задавать небольшое количество параметров ME. Для этого компания предоставляет производителям оборудования специальное программное обеспечение, включая такие утилиты, как Flash Image Tool (FIT) для настройки параметров МЭ и Flash Programming Tool (FPT) для программирования флэш-памяти напрямую через встроенный SPI-контроллер. Эти программы не предоставляются конечным пользователям, но их можно легко найти в Интернете.
Рисунок 2. Сжатые файлы XML
Из этих утилит можно извлечь большое количество XML-файлов (подробное описание процесса см. на странице https://www.troopers.de/downloads/troopers17/TR17_ME11_Static.pdf). Эти файлы содержат много интересной информации: структуру прошивки ME и описание планки PCH, а также специальные конфигурационные биты для различных подсистем, интегрированных в микросхему PCH. Одно из полей под названием «reserve_hap» привлекло наше внимание, потому что рядом с ним был комментарий: «High Assurance Platform (HAP) enable».
Рис. 3. Ремешок PCH для платформы High Assurance
После загрузки платформы утилита MEInfo сообщает о странном статусе: "Alt Disable Mode". Быстрые проверки показали, что ME не отвечает на команды и не реагирует на запросы операционной системы. Мы решили разобраться, как система переходит в этот режим и что это значит. К тому моменту мы уже разобрали основную часть модуля BUP, который отвечает за инициализацию платформы и устанавливает статус, отображаемый MEInfo. Чтобы понять, как работает BUP, необходимо более подробное описание программной среды Intel ME.
ОБЗОР АРХИТЕКТУРЫ INTEL ME 11
Начиная с серии PCH 100, Intel полностью переработала чип PCH. Архитектура встроенных микроконтроллеров была переключена с ARCompact компанией ARC на x86. За основу был выбран 32-битный микроконтроллер Minute IA (MIA); он используется в микрокомпьютерах Intel Edison и SoC Quark и основан на довольно старом скалярном микропроцессоре Intel 486 с добавлением набора инструкций (ISA) от процессора Pentium. Однако для PCH Intel производит это ядро с использованием полупроводниковой технологии 22 нм, что делает микроконтроллер очень энергоэффективным. В новом PCH есть три таких ядра: Management Engine (ME), Integrated Sensors Hub (ISH) и Innovation Engine (IE). Последние два могут быть включены или отключены в зависимости от модели PCH и целевой платформы; ядро ME всегда включено.
Рисунок 5. Три процессора x86 в PCH
Такой капитальный ремонт потребовал изменения программного обеспечения ME. В частности, в качестве основы для операционной системы был выбран MINIX (ранее использовалась ОСРВ ThreadX). Теперь прошивка ME включает в себя полноценную операционную систему с процессами, потоками, диспетчером памяти, драйвером аппаратной шины, файловой системой и многими другими компонентами. Аппаратный криптопроцессор с поддержкой SHA256, AES, RSA и HMAC теперь интегрирован в ME. Пользовательские процессы обращаются к оборудованию через локальную таблицу дескрипторов (LDT). Адресное пространство процесса также организовано через LDT — это просто часть глобального адресного пространства пространства ядра, границы которого указаны в локальном дескрипторе. Таким образом, ядру не нужно переключаться между памятью разных процессов (изменение каталогов страниц), как, например, в Microsoft Windows или Linux.
Помня об этом обзоре программного обеспечения Intel ME, теперь мы можем изучить, как загружаются операционная система и модули.
ЭТАПЫ ЗАГРУЗКИ INTEL ME
Загрузка начинается с программы ПЗУ, которая содержится во встроенной постоянной памяти PCH. К сожалению, широкой публике не известен способ чтения или перезаписи этой памяти. Однако в Интернете можно найти предрелизные версии прошивок ME, содержащие раздел ROMB (ROM BYPASS), который, как можно предположить, дублирует функциональность ROM. Таким образом, изучив такую прошивку, можно воспроизвести базовый функционал программы инициализации.
Изучение ROMB позволяет определить назначение ROM, выполняющее аппаратную инициализацию (например, инициализацию контроллера SPI), проверку цифровой подписи заголовка FTPR и загрузку модуля RBE, расположенного во флэш-памяти. RBE, в свою очередь, проверяет контрольные суммы модулей KERNEL, SYSLIB и BUP и передает управление точке входа ядра.
Следует отметить, что ROM, RBE и KERNEL выполняются с нулевым уровнем привилегий (в кольце-0) ядра MIA.
Рисунок 6. Проверка целостности SYSLIB, KERNEL и BUP в RBE
Первым процессом, создаваемым ядром, является BUP, который работает в своем собственном адресном пространстве в кольце-3. Ядро само не запускает никакие другие процессы; этим занимается сам BUP, а также отдельный модуль LOADMGR, о котором мы поговорим позже. Целью BUP (платформы BringUP) является инициализация всей аппаратной среды платформы (включая процессор), выполнение основных функций управления питанием (например, запуск платформы при нажатии кнопки питания) и запуск всех остальных ME-процессов. . Таким образом, очевидно, что PCH 100 Series или более поздние модели физически не могут запуститься без действующей микропрограммы ME. Во-первых, BUP инициализирует контроллер управления питанием (PMC) и контроллер ICC. Во-вторых, он запускает целую цепочку процессов; некоторые из них жестко закодированы (SYNCMAN, PM, VFS), а другие содержатся в InitScript (аналогично автозапуску), который хранится в заголовке тома FTPR и имеет цифровую подпись.
Рисунок 7. Запуск SYNCMAN и PM
Таким образом, BUP считывает InitScript и запускает все процессы, которые соответствуют типу запуска ME и являются процессами IBL.
Рисунок 8. Обработка InitScript Рисунок 9. Список модулей с флагом IBL
Если процесс не запустится, BUP не запустит систему. Как показано на рис. 9, LOADMGR — последний процесс IBL в списке. Он запускает остальные процессы, но в отличие от BUP, если во время запуска модуля возникает ошибка, LOADMGR просто переходит к следующему.
Это означает, что первый способ «похудеть» Intel ME — удалить все модули, не имеющие флага IBL в InitScript, что значительно уменьшит размер встроенного ПО. Но нашей первоначальной задачей было выяснить, что происходит с ME в режиме HAP. Для этого рассмотрим программную модель BUP.
Рисунок 10. Запуск модулей в ME
ПОДСТАВИТЬ
Если внимательно посмотреть, как работает модуль BUP, то можно сказать, что внутри него реализован классический конечный автомат. Выполнение функционально разделено на две составляющие: этапы инициализации (конечный автомат) и выполнение служебных запросов других процессов после инициализации системы. Количество этапов инициализации может варьироваться в зависимости от платформы и SKU (TXE, CSME, SPS, потребительский, корпоративный), но основные этапы являются общими для всех версий.
На начальном этапе создается внутренняя диагностическая файловая система sfs (SUSRAM FS, файловая система, расположенная в энергонезависимой памяти), считывается конфигурация и, самое главное, опрашивается PMC о причинах запуска : включение платформы, перезапуск всей платформы, перезапуск ME или выход из спящего режима. Этот этап называется определением потока загрузки. От этого зависят последующие этапы работы конечного автомата инициализации. Кроме того, поддерживается несколько режимов: обычный и набор сервисных режимов, в которых отключен основной функционал ME (HAP, HMRFPO, TEMP_DISABLE, RECOVERY, SAFE_MODE, FW_UPDATE и FD_OVERRIDE).
На следующем этапе инициализируется ICC-контроллер и загружается ICC-профиль (отвечает за тактовые частоты основных потребителей). Инициализируется Boot Guard и запускается циклический опрос для подтверждения запуска процессора.
BUP ожидает сообщения от PMC, подтверждающего запуск главного процессора. После этого BUP запускает цикл асинхронного опроса PMC на события питания (перезагрузка или выключение платформы) и переходит к следующему этапу. Если такое событие произойдет, BUP выполнит запрошенное действие между этапами инициализации.
На этом этапе инициализируется внутреннее оборудование. Также BUP запускает heci (специальное устройство, предназначенное для приема команд из BIOS или операционной системы) цикл опроса DID (сообщение DRAM Init Done) из BIOS. Именно это сообщение позволяет ME определить, что основной BIOS инициализировал ОЗУ и зарезервировал для ME специальный регион UMA, а затем перейти к следующему этапу.
После получения DID BUP — в зависимости от режима, который определяется различными факторами — либо запускает процессы IBL из InitScript (в обычном режиме), либо зависает в цикле, из которого может выйти только при получении сообщения от PMC, например, в результате запроса на перезагрузку или выключение системы.
Именно на этом этапе мы обнаруживаем обработку HAP; в этом режиме BUP зависает вместо выполнения InitScript. Это означает, что оставшаяся последовательность действий в обычном режиме не имеет отношения к HAP и рассматриваться не будет. Главное, что хотелось бы отметить, это то, что в режиме HAP BUP инициализирует всю платформу (ICC, Boot Guard), но не запускает основные процессы ME.
Рисунок 11. Определение режима HAP Рисунок 12. Переключение ME на этап 5, вызывающее его зависание Рисунок 13. Этап 5
УСТАНОВКА БИТА HAP
Вышеупомянутые факты помогают выявить второй метод отключения Intel ME:
Остается еще один вопрос — как установить этот бит. Вы можете использовать файлы конфигурации FIT и определить, где находится бит в образе, но есть более простой способ. В разделе ME Kernel FIT вы можете найти зарезервированный параметр. Именно этот бит включает режим HAP.
Рисунок 14. Бит активации режима HAP
HAP AND BOOT GUARD
Мы также обнаружили код в BUP, который при включенном режиме HAP устанавливает дополнительный бит в политиках Boot Guard.К сожалению, нам не удалось выяснить, чем управляет этот бит.
Рисунок 15. Установка дополнительного бита для Boot Guard
ПОДДЕРЖКА ME 11 В ME_CLEANER
Пока эта статья готовилась, разработчики me_cleaner обновили свою утилиту. Теперь он также удаляет из образов все модули, кроме RBE, KERNEL, SYSLIB и BUP, но не устанавливает бит HAP, что переводит ME в режим TemporaryDisable. Нам было любопытно узнать, что происходит при таком подходе.
Мы обнаружили, что удаление разделов с файловой системой ME приводит к ошибке при чтении файла cfg_rules. Этот файл содержит ряд различных системных настроек. Среди них, как мы полагаем, есть флаг, который мы назвали «bup_not_temporary_disable». Если этот флаг не установлен, вся подсистема переключается в режим TemporaryDisable, а поскольку флаг представляет собой глобальную переменную, инициализированную нулем, ошибка чтения рассматривается как конфигурация, требующая отключения.
Мы также проверили прошивки серверной и мобильной версий ME (SPS 4.x и TXE 3.x). В серверной версии этот флаг всегда равен 1; в мобильной версии игнорируется. Это означает, что этот метод не будет работать в серверной и мобильной версиях (Apollo Lake) ME.
Рисунок 16. Чтение файла cfg_rules
ЗАКЛЮЧИТЕЛЬНЫЕ МЫСЛИ
Итак, мы нашли недокументированный ремешок PCH, который можно использовать для включения специального режима, отключающего основной функционал Intel ME на ранней стадии. Мы можем доказать это следующими фактами:
- Двоичный анализ прошивки Intel ME, как описано в этой статье.
- Если мы удалим некоторые важные модули ME и включим режим HAP, Intel ME не выйдет из строя. Это доказывает, что HAP отключает ME на ранней стадии.
- Мы совершенно уверены, что Intel ME не может выйти из этого режима, потому что мы не нашли код, способный сделать это, в модулях RBE, KERNEL и SYSLIB.
Точно так же мы уверены, что ПЗУ, интегрированное в PCH, практически не отличается от ROMB, который также не содержит никакого кода, позволяющего выйти из режима HAP.
Таким образом, HAP защищает от уязвимостей, присутствующих во всех модулях, кроме RBE, KERNEL, SYSLIB, ROM и BUP. Однако, к сожалению, этот режим не защищает от эксплуатации ошибок на более ранних этапах.
Представители Intel были проинформированы о деталях нашего исследования. Их ответ подтвердил нашу гипотезу о связи недокументированного режима с программой High Assurance Platform. С их разрешения мы цитируем ответ Intel ниже:
В ответ на запросы клиентов с особыми требованиями мы иногда изучаем возможность изменения или отключения определенных функций. В данном случае модификации были внесены по запросу производителей оборудования в поддержку оценки их заказчиками программы правительства США «Платформа высокой надежности». Эти модификации прошли ограниченный цикл проверки и не являются официально поддерживаемой конфигурацией."
Мы считаем, что этот механизм предназначен для удовлетворения типичного требования государственных органов, которые хотят уменьшить вероятность утечек по сторонним каналам. Но остается главный вопрос: как HAP влияет на Boot Guard? Из-за закрытости этой технологии пока невозможно ответить на этот вопрос, но мы надеемся сделать это в ближайшее время.
Проект Preiser (CC BY 2.0)
Группа исследователей из Positive Technologies обнаружила незадокументированный параметр конфигурации, предназначенный для использования государственными органами, для отключения Intel Management Engine 11. Теперь вы тоже можете воспользоваться этой правительственной привилегией по деактивации проприетарного главного контроллера ЦП Intel.
Информация об Intel ME
С 2008 года наборы микросхем Intel содержат отдельный постоянно включенный компьютер Management Engine, который невозможно отключить. EFF описал Intel ME как «в значительной степени недокументированный главный контроллер для вашего ЦП: он работает с системной прошивкой во время загрузки и имеет прямой доступ к системной памяти, экрану, клавиатуре и сети».
Еще в июне 2016 года специалист по аппаратному обеспечению Дэмиен Заммит предупредил: «В последних процессорах Intel x86 реализован секретный мощный механизм управления, работающий на отдельном чипе, который никому не разрешено проверять или проверять.Когда они в конечном итоге будут скомпрометированы, они подвергнут все затронутые системы почти неубиваемым, необнаруживаемым руткит-атакам».
Несмотря на то, что многие люди с компьютерами x86 пытались отключить ME, никто не смог. Ближайшей успешной попыткой был, вероятно, проект «Чистка».
По словам Intel, цель ME — позволить предприятиям удаленно управлять компьютерами с помощью технологии активного управления (AMT). Тем не менее, многие эксперты называют ME очень мощным бэкдором, и эта идея набрала обороты после того, как в мае была обнаружена критическая уязвимость.
Корпорация Intel опровергла эти обвинения в использовании бэкдоров, заявив: «Intel не использует бэкдоры в своих продуктах и не предоставляет Intel контроль или доступ к вычислительным системам без явного разрешения конечного пользователя. Короче говоря, Intel не участвует в усилиях по снижению безопасности технологий».
Отключить Intel ME благодаря АНБ
Хорошие новости. Когда исследователи Positive Technologies Марк Ермолов и Максим Горячий копались в прошивке, они обнаружили недокументированное поле HAP. HAP, что означает программу High Assurance Platform (pdf), была разработана АНБ. Эта структура предназначалась для «разработки безопасных вычислительных платформ следующего поколения».
Исследователи обнаружили недокументированное поле под названием «reserve-hap», и что HAP может иметь значение «1», что означает «истина». Судя по всему, АНБ хотело убедиться, что агентство сможет закрыть любую возможную угрозу безопасности, отключив Intel ME. Исследователи написали: «Мы считаем, что этот механизм предназначен для удовлетворения типичного требования государственных органов, которые хотят уменьшить вероятность утечек по сторонним каналам».
Узнав об исследовании, Intel сообщила Positive Technologies:
В ответ на запросы клиентов с особыми требованиями мы иногда изучаем возможность изменения или отключения определенных функций. В данном случае модификации были внесены по запросу производителей оборудования в поддержку оценки их заказчиками программы правительства США «Платформа высокой надежности». Эти модификации прошли ограниченный цикл проверки и не являются официально поддерживаемой конфигурацией.
Если вы хотите отключить Intel ME, вы должны сначала прочитать подробное техническое объяснение о том, что исследователи обнаружили «незадокументированный ремешок PCH, который можно использовать для включения специального режима, отключающего основные функции Intel ME на ранней стадии. ». Positive Technologies также разместила на GitHub свою утилиту для распаковки образа встроенного ПО Intel ME 11.x. Используйте на свой риск; методы отключения Intel ME были описаны как «рискованные и могут повредить или вывести из строя ваш компьютер».
Мисс. Смит (имя изменено) — независимый писатель и программист, проявляющий особый и несколько личный интерес к вопросам конфиденциальности и безопасности в сфере ИТ.
Команда исследователей из Positive Technologies изучила внутренности Intel Management Engine (ME) 11 и нашла способ отключить эту функцию. Если вы не знакомы с ME, это отдельный процессор, спрятанный внутри процессоров Intel, который позволяет компаниям управлять компьютерами в своих сетях. По сути, это позволяет ИТ-команде получить доступ к вашему компьютеру, чтобы, среди прочего, исправить проблемы или применить обновления. Загвоздка в том, что ME 11 по сути является бэкдором, из-за чего некоторые обеспокоены потенциальными уязвимостями безопасности и проблемами конфиденциальности.
< бр />
Этот факт оставил многих людей, которые используют процессоры Intel и не нуждаются в этой функции, недовольными тем, что в их системе находится потенциальный лазейка. Вот тут-то и появляется Positive Technologies, обнаруживший недокументированный режим (для частичного отключения ME) и тот факт, что он связан с программой High Assurance Platform (HAP). Positive Technologies предупреждает людей, что выполнение этих действий может привести к повреждению вашего ПК.
Если вы все равно хотите следовать инструкциям, исследователи разместили необходимую утилиту на GitHub. После того, как это программное обеспечение будет распаковано, вы можете начать процесс или отключить ME 11 с помощью другого инструмента, предоставляемого командой, который называется ME Cleaner. Одно предупреждение: вы не можете полностью отключить это. ME является частью процесса загрузки и необходим для запуска основного процессора.
Positive Technologies пишет: «Разочаровывает тот факт, что на современных компьютерах полностью отключить МЭ невозможно. В первую очередь это связано с тем, что эта технология отвечает за инициализацию, управление питанием и запуск основного процессора. Еще одна сложность заключается в том, что некоторые данные жестко запрограммированы внутри микросхемы PCH, которая на современных материнских платах выполняет функцию южного моста."
Intel предоставляет производителям системных плат инструмент, с помощью которого они могут запрограммировать некоторые ограниченные функции для ME, включая Flash Image Tool (FIT) и Flash Programming Tool (FPT).Хотя они не предоставляются конечным пользователям, считается, что они находятся в свободном доступе в Интернете.
Полный пост исследователей из Positive Technologies носит очень технический характер, и по его сути команда обнаружила, что в коде прошивки для ME есть скрытый переключатель, и если установить значение «1», он выключит ME после компьютер загружается, и компонент ME в последовательности загрузки больше не нужен. Этот бит называется «reserve_hap» и описан в коде как «High Assurance Platform» (HAP) включен, сообщает BleepingComputer.
Сообщается, что этот бит был добавлен по запросу АНБ для ПК, работающих в высокозащищенных средах. Intel подтвердила наличие выключателя для ME, сообщив исследователям: «В ответ на запросы клиентов с особыми требованиями мы иногда изучаем модификацию или отключение определенных функций. В этом случае модификации были сделаны по запросу производителей оборудования в службу поддержки. оценки их клиентом программы "Платформа высокой надежности" правительства США. Эти модификации прошли ограниченный цикл проверки и не являются официально поддерживаемой конфигурацией."
Несмотря на то, что Intel Management Engine (и, в той же степени, AMD Platform Security Processor) продолжает подвергать современные компьютерные процессоры угрозам безопасности, некоторые небольшие успехи все же сохраняются для пользователей, которые ценят безопасность аппаратного и программного обеспечения, которое они используют. собственный. Последнее предприятие по отключению ME — материнская плата ASRock для чипов Intel 8-го и 9-го поколений. (Есть также ссылка на связанный пост Reddit об этом проекте).
Во-первых, краткое напоминание: ME можно полностью удалить на некоторых компьютерах, выпущенных до 2008 года, и его можно частично отключить или деактивировать на некоторых компьютерах, выпущенных примерно до 2013 года. современное оборудование, но благодаря своего рода «эксплойту» некоторые современные чипсеты способны отключать ME. Это связано с требованием правительства США об отключении ME для компьютеров с конфиденциальными приложениями, поэтому Intel разрешает устанавливать определенный недокументированный бит, называемый битом HAP, который отключает ME. Исследователям удалось найти этот бит на этой конкретной материнской плате и управлять им, чтобы отключить ME.
Хотя это не удаляет микропрограмму полностью, но останавливает выполнение всего кода способом, приемлемым для крупной правительственной организации, поэтому, если вам требуется и безопасность, и и современное оборудование, это один из немногих способов достичь этой цели. Есть и другие очень ограниченные возможности, но если вы хотите полностью удалить ME даже на старом оборудовании, сам процесс не так прост, как вы можете себе представить.
Изображение в заголовке: Fritzchens Fritz из Берлина / CC0
39 мыслей на тему «Отключение бэкдора Intel на современном оборудовании»
Конечно, хотелось бы, чтобы где-нибудь был вариант для современного, мощного компьютера, на котором установлено нужное мне программное обеспечение, а операционная система и аппаратное обеспечение не являются позорно уязвимыми шпионскими программами, которые мне приходится взломать, чтобы получить какой-либо уровень владения. Наше программное обеспечение постепенно отдаляется от нас и становится SaaS. Аппаратное тоже, на самом деле. И если они не могут с этим справиться, они к чертям собачьим. В конце концов ему не будет позволено владеть чем-либо.
Я надеюсь, что через несколько лет компьютеры без этого бэкдора станут широко доступны.
Тем временем текущая OpenBSD хорошо работает на двух старых компьютерах, которые я пробовал, один 2003 года, другой 2006 года. У одного всего 384 МБ ОЗУ. Кроме того, это одна из самых безопасных ОС из существующих.
безопасность != полезность. если вы не можете делать с ним то, что вам нужно сделать, вы в конечном итоге отбрасываете его в сторону как диковинку, вместо этого используя гораздо менее безопасную, но гораздо более полезную систему, что делает всю безопасность спорным вопросом. необходимо соблюдать баланс между надежной аппаратно-программной безопасностью и невмешательством в выполнение повседневных задач.
Я знаю, что за последние десять лет Linux Et Al добилась больших успехов в улучшении нетехнических утилит, но они все еще не готовы к прайм-тайму на коленях или на столе обычного пользователя, отчасти из-за относительная легкость случайного FUBAR по сравнению даже с Windows (которую, я честно признаю, довольно легко испортить), но она редко действительно неустранима из программного обеспечения. Упс.
Очень легко заблудиться в Analysis Paralysis, выбирая дистрибутив, диспетчер окон и все промежуточные уровни, если вы делаете что-то более сложное, чем загрузка Ubuntu с WM по умолчанию для использования браузера для просмотра. на видео с котиками.
Это даже не трясина, связанная с поддержкой Linux в играх — количество игр для Linux растет, но некоторые игры, созданные под Win, успешно работают в WINE, даже с улучшением производительности. Некоторые из них представляют собой крах, а некоторые просто не будут этого делать.
«Просто двойная загрузка» — это буквальный ответ, потому что вы теряете непрерывность и одновременность задач во время перехода, и это лишает смысла попытки сделать систему безопасной с самого начала.
Так же, как и «Запустить на виртуальной машине Win» — это приводит к снижению производительности, а значительное количество игр работает на виртуальной машине даже хуже, чем в WINE или аналогичной среде
Мы не обсуждаем здесь споры о Linux и Windows. Речь идет об ужасах управления двигателем. И мы все можем быть уверены в том, что механизм управления не обеспечивает истинной полезности. Избавьтесь от него, лишь бы был очень простой и надежный способ, и вы по-прежнему можете запускать любую ОС, которая вам нравится.
>настоящей полезности нет
ME запускает AMT, который позволяет удаленно включать и настраивать серверы и рабочие станции, даже если на них не установлена операционная система. Это благо для корпоративных ИТ-специалистов, потому что ваша машина может быть заражена вирусами и полностью заблокирована, но они все еще могут получить к ней доступ и удаленно устранить ее.
Добавляю к ответу Люка:
Это может быть сложно объяснить, если вы раньше не использовали решение для управления "отбой".
По большей части ME и AMT очень хорошо работают параллельно с BMC и IPMI. И BMC, и ME использовались для выполнения аналогичных дополнительных ролей в соответствующих средах. Примером может служить последовательность питания оборудования. И ME, и BMC используют аналогичные аппаратные интерфейсы в аппаратном обеспечении.
ECs были вокруг до ME тоже без особой суеты.
Итак, почему весь этот шум вокруг ME, а не BMC, особенно когда BMC были показаны как жизнеспособные векторы атаки, а серверы, возможно, являются гораздо более привлекательной целью, чем потребительское оборудование?
Являются ли ASpeed, Avocent, AMI более надежными по своей сути, чем Intel?
Если OSS и OSHW — это решение, в чем проблема?
Намерение было хорошим. Реализации не было. Я не мог себе представить работу с серверной инфраструктурой в крупной компании без использования ILO на серверах. На самом деле, в последнем месте, где я работал, все серверы были предоставлены с нуля через МОТ. Одна группа собирала их в центре обработки данных, а мы — со своих рабочих мест.
МЭ действительно может быть полезным. Но он должен предлагать как минимум *выделенный* интерфейс, такой как IPMI/iLO. Если (и только если) мне это нужно, я подключаю туда кабель (или использую VLAN на основном сетевом интерфейсе, но это НАМНОГО менее безопасно!). Не нужно играть со скрытыми битами, чтобы отключить его.
Жаль, что инженеры, проектировавшие его, так не думали. А так ME — просто бомба замедленного действия.
Я понимаю вашу точку зрения. Я говорил о системах, которые выполняют важные задачи, такие как серверы и управление производственными процессами. Они не используются для игр, имеют причудливый графический интерфейс и т. д. И они должны быть максимально безопасными — вы же не хотите, чтобы конкуренты получили ваши секреты.
Дело в том, что ILO, как правило, выводятся на собственный сетевой разъем, их можно маршрутизировать вместе с трафиком на сервер или иначе, или вообще не направлять, если вы выберете. Особенность большинства серверов в том, что они живут, так сказать, внутри, поэтому предполагается, что они плавают в дружественных водах, то есть в более защищенном месте.
SCADA, и да, плохие люди развлекаются с ними.
«Оно все еще не готово к тому, чтобы в прайм-тайм сидеть на коленях или на столе обычного пользователя, отчасти из-за относительной легкости случайного FUBAR по сравнению даже с Windows (которую, я честно признаю, довольно легко испортить )”
Ваш комментарий имеет смысл только в том случае, если вы участвуете в маркетинге Windows.
Может быть, если вы будете повторять это снова и снова, это перестанет быть вопиющей ложью.
Читайте также: