web-dev-qa-db-ja.com

Intel i3 CPUはIntel MEの脆弱性の影響を受けますか？

こんにちは、Intel®Core™i3-2328M CPU @ 2.20GHzコンピュータプロセッサを持っています（私はSandy Bridgeだと思います）。 https://ark.intel.com/products/70927/Intel-Core-i3-2328M-Processor-3M-Cache-2_20-GHz

Intel MEを取り巻く最近の問題、PTチームの最近の発見について聞いたことがあります： http://blog.ptsecurity.com/2017/08/disabling-intel-me.html

しかし、彼らは基本的にvProテクノロジーの脆弱性、特にAMTバグについて話しています（ここでこれ以上リンクできないので、CVE-2017-5689を検索してください）。今年初めに発見された巨大なバグのため、多くの人々がAMTシステムを無効にするために慌てています。 TXT（Trusted Execution Technology））についても懸念がありました。これは、インターネットで利用可能な他の研究や研究で詳しく説明されています。

幸い、私のプロセッサーには以下がありません：

  • TXT
  • ブーツガード
  • vPro
  • AMT


ただし、以下についても懸念がありました。

  • リモートアクセスを介してもコンピューターをロックすることができる盗難防止技術（巨大なセキュリティの脆弱性）
  • 無効化ビットを実行します。これが何をするかはわかりませんが、それは一種の侵襲的です
  • アイデンティティ保護テクノロジー、プライバシーの巨大な侵略のように聞こえる
  • Intel VT-x。完全な特権を持つサブシステムを作成しますが、allegedlyはメインシステムにアクセスできません
  • その他

自分のプロセッサに関するセキュリティの専門家の意見を聞きたいのですが、自分のコンピュータのセキュリティを最大限にしたい場合は、自分の状況でMEを無効にしても意味がありますか？

編集：

チップセットを確認しました。 Intel® C216 ChipsetとTXTとvPROの両方が有効になっていると表示されています。混乱しています。これが何を意味するのかわかりません。

exploitvulnerabilityhardwarebackdoorfirmware
6
Hexagon

これをすべて見ていきましょう。

しかし、彼らは基本的にvProテクノロジの脆弱性、特にAMTバグ（ここではこれ以上リンクできない、CVE-2017-5689を検索）について話している。今年初めに発見された巨大なバグ

AMTは通常Xeonアーキテクチャチップでのみ利用可能であるため、AMTを使用していない可能性がありますが、一部のデスクトップアーキテクチャでも悪用可能であるという報告があります。無効にすることは可能です。詳細は Intelのフォーラムのこのスレッド を参照してください。システムがUEFI/BIOSでこのオプションを提供していない場合は、カスタムオプションが必要か（この回答の後半を参照）、またはIMEファームウェアをクリーンアップして機能を完全に削除する必要があります（これについても後で説明します）。 。

盗難防止テクノロジー。基本的に、リモートアクセスを介してもコンピューターをロックできます（巨大なセキュリティの脆弱性）

ちょっと。デバイスを機能させるには、デバイスをプロバイダー（Intel、McAffee、または組織の管理者など）に登録する必要があります。この時点で、盗難を報告した場合、プロバイダーはBIOSをリモートでロックできます。上記のリンクのスレッドは、これをオフにする方法も説明していますが、有効/無効の切り替えは、ほとんどのUEFI/BIOSメニューで簡単に見つかります。

無効化ビットを実行します。これが何をするかはわかりませんが、それは一種の侵襲的です

わからないことで怖がらないで！好奇心を持ちなさい。実行無効化ビットは、非常に重要なセキュリティ機能です。これは、非実行（NX）を支えるハードウェア機能であり、Windowsではデータ実行防止（DEP）とも呼ばれます。

アイデンティティ保護テクノロジー、プライバシーの巨大な侵略のように聞こえる

いいえ。 IPTは、ハードウェアでサポートされる2FAまたはPKI統合が必要なエンタープライズ環境で使用するように設計されています。構成して登録しない限り、何も実行されません。

Intel VT-x。完全な権限を持つサブシステムを作成しますが、メインシステムにアクセスできません。

これをどこで読んだかわかりませんが、ナンセンスです。 VT-xはハードウェア仮想化サポートです。ホストシステムでセカンダリオペレーティングシステム（VM）を仮想化するプロセスを高速化するのに役立つ特別な手順が含まれています。 Hyper-V、VMWare、VirtualBoxなどのソフトウェアは、これらの拡張機能を使用してパフォーマンスとセキュリティを向上させます。

ハードウェアスタックの開放性を重視する場合は、一般にIMEを無効にすることをお勧めします。残念ながら、現時点では完全に無効にすることはできません。ただし、MEで実行するコードの量を大幅に削減するための取り組みがあります。 me_cleaner ツールを使用すると、署名検証の失敗や30分のシャットダウンタイマーをトリガーすることなく、ファームウェアのほとんどのセクションを管理エンジンから取り除くことができます。かなり最近リリースされた新しいトリック（実際にはこれを書く数日前のみ）を使用すると、MEを非常に早く無効にして、さらに多くのコードを取り除くことができます ドキュメント化されていないHAPと呼ばれる機能を使用 。 me_cleaner開発者は、これに対するサポートの実装を進めています。これらのトリックは通常、ハードウェアの変更（ファームウェアを含む8ピンEEPROM ICの再プログラミング）が必要であり、完全にサポートされていないことに注意してください。EEPROMプログラマーを使用していつでも元のファームウェアを復元できますが、ハードウェアをブリックすることもできます。

UEFI/BIOSをオープンソースオプションに置き換える場合は、corebootとlibrebootを調べることもできます。残念ながら、これらのプロジェクトは一般的に少数の古いラップトップとマザーボードに限定されています。

4
Polynomial