FSF poukazuje na problém s Intel Management Engine (ME) a Intel Active Management Technology (AMT)

Příspěvek na blogu Nadace pro svobodný software (FSF) poukazuje na problém s Intel Management Engine (ME) a především jeho součástí Intel Active Management Technology (AMT). Jedná se o blob, který má kompletní přístup k PC a v dnešní době je v podstatě nemožné nahradit jej svobodným softwarem nebo jej alespoň vypnout, jak je tomu například u notebooku Libreboot X200 s certifikací RYF (Respects Your Freedom, Respektuje vaši svobodu).

12.6.2016 19:12 | Ladislav Hagara | Zajímavý článek

Komentáře

[little.owl]

Intel ME je prusvih. Aktivni, i kdyz je hlavni CPU vypnute, prima linka na sitovou kartu, IDE Redirection, Serial-Over-LAN ...

[Peter Golis]

Intel AMT beží na CPU ARC ktorý je podporovaný Vanilla jadrom. Bráni niečo niekomu frflajúcemu sa s tým pohrať?

[Lol Phirae]

Bráni niečo niekomu frflajúcemu sa s tým pohrať?

Nevím, koho frflajícího myslíte, ale hlavně to hraní bude každému zcela k hovnu. Jak již bylo řečeno, ten křáp nelze zlikvidovat a je aktivní i při "vypnutém" počítači.

[Pali]

Ono je to ešte horšie... Pri zapnutí "hlavného" CPU, hentá vec potrebuje podpísaný firmware, ktorý potom u seba spustí. Firmware dodáva a nahráva BIOS pri POSTe. A v prípade, že ho do pár minút BIOS/systém nedododá (so správanym podpisom), tak tá intel vec resetuje celú dosku a PC začne bootovať znovu...

[AlYoSHA]

Toz IPMI BMC funguje podobne. Obvykle bezi na SoC-e ktory je na boarde a obvykle bezi aj ked je server vypnuty. Ako si predstavujes fungovanie BMC a remote managementu?

[kralyk z abclinuxu]

Možná si nejdřív přečti na co reaguješ..? On mluvil o možnostech přeflashnutí firmware ME na něco svého. Pak by ti nevadilo, kdy to běží / neběží. Hádám ale, že podpora ARC ve vanille k tomu stačit nebude...

[Lol Phirae]

Jo, četl jsem, asi narozdíl od tebe netrpím paranormálními schopnosti, anžto taková pitomost mě ani nenapadla. Ostatně, její "realizovatelnost" již okomentoval kolega výše.

[Peter Golis]

Silne mi to pripomína búrku v pohári vody keď chcelo zopár ľudí nahradiť closed source BIOS niečím otvoreným. Vtedy sa im to podarilo, mali ochotu do toho ísť.

[k3dAR]

me tvuj koment pripomina zas kybl zvr&tku... na problem s ME/AMT praveze poukazuje zakladatel a hlavni vyvojar libreboot...

[Peter Golis]

Tvrdenie že sa to nedá vypnúť neguje tvrdenie že sa to v notebooku Libreboot X200 vyplo. To poukazuješ na ktorý aspekt danej nepravdy, na tvoj nekľud?

[k3dAR]

At this time, developing free replacement firmware for the ME is basically impossible. The only entity capable of replacing the ME firmware is Intel and its OEM partners. And, since the ME is a control hub for your machine, you can no longer simply disable the ME like you could on earlier models, such as the Libreboot X200 laptop.

[Peter Golis]

To mi pripadá ako búrka v pohári vody keď chceli ľudia slobodnú alternatívu BIOSu. Vznikol OpenBIOS ktorý žije doteraz. Ale vtedy boli ľudia ochotní pre svoju slobodu urobiť aj niečo iné, ako manifestovať že by to za nich urobil niekto iný.

Ak Ti to nevyhovuje, tak to nekupuj a problém sa Ťa nebude týkať. Mobil ktorý sleduje tvoje kroky, a sociálne siete sledujúce okruhy tvojich známych a tvoje návyky Ti tiež nevadia keď nebojuješ za ich otvorenie a rešpektovanie tvojich práv.

[kralyk z abclinuxu]

Ak Ti to nevyhovuje, tak to nekupuj a problém sa Ťa nebude týkať.

Není pravda. 1) Mizerná nabídka svobodného (aspoň do nějaké snesitelné míry) HW je problém, 2) špatné zabezpečení cizích strojů je můj problém mnohdy úplně stejně jako bezpečnost mých strojů.

Mobil ktorý sleduje tvoje kroky, a sociálne siete sledujúce okruhy tvojich známych a tvoje návyky Ti tiež nevadia

Nevím jak předřečník, za mě tohle taky není pravda.

keď nebojuješ za ich otvorenie a rešpektovanie tvojich práv

Non sequitur, to se přece navzájem nevylučuje.

[Peter Golis]

Blbosť. HW bez AMT je dosť, práve z jedného píšem. Jedná sa o i3-4005U.

Naozaj, jedná sa len a len o búrku v pohári vody kde ufrflanci kričia: spravte mi po vôli, ja nepohnem ani prstom. A teraz chcem tento počítač ktorí mi nebudú odpočúrať, na mobilke ani na fejsbúčiku mi to nevadí. Teraz, teraz a teraz.

[little.owl]

i3-4005U:

Intel® ME Firmware Version 9.5

[Lol Phirae]

To neřeš, dotyčný tady z absťáku v bryndzové krizi blije už dva dny totální hovadiny a až konečně podojí ovce a doplní dávku, tak napíše nový firmware pro Intel procesory. ROFL.

[Peter Golis]

Ten procesor nemá vPro a tak to nepodporuje ani v Tebou spomenutej verzii.

Dá niekto podnet na Respect Your Privacy aby prestali sledovať užívateľov cez teleóny alebo sociálne siete?

[kralyk z abclinuxu]

Ten procesor nemá vPro a tak to nepodporuje ani v Tebou spomenutej verzii.

No hele nevim, vPro sice implikuje AMT, ale obráceně to být nemusí. Verzi ME tam máš, máš tam Anti-Theft a taky u Intel ME driveru je tvé CPU v seznamu HW, pro který to je určený.

Dá niekto podnet na Respect Your Privacy aby prestali sledovať užívateľov cez teleóny alebo sociálne siete?

RYF je certifikace HW, takže sociální sítě do toho úplně nespadají. Telefonama se už určitě zabývají. Jakou souvislost mají telefony s Intel ME/AMT mi ale není úplně jasný...

[Peter Golis]

AMT vyžaduje vPro. Intel ME a ani Anti Thieft v UEFI nemám keďže tieto vymoženosti sa nedávali do lacných šuniek.

Telefónmi RYF sa nezaoberajú, a ani sociálnymi sieťami. Ak by sa zaoberali, tak je toho plný internet. A že je to certifikácia? Samozvaná. Takú certifikáciu si v kľude navrhne aj Krakonoš zo Šumavy. Nevravím že nebojujú za dobrú vec, ale bojujú len pomocou blogískov a zasadaní. To je neefektívne, a to je krásne vidno z ich výsledkov.

PS: Naozaj sa jedná o búrku v pohári vody. Keď chceli ľudia slobodný BIOS, tak si ho urobili. Keď nechceli UEFI Secure Boot, tak hulákali že je to zlé namisto toho aby to nekupovali (alebo rovno vracali rozbalené krámy) a nehali tak trh pochovať danú technológiu. Teraz sa tu ľudia rozčuľujú nad technológiou ktorú môžu buď hacknúť, alebo nekupovať a pochovať tak pomocou trhových mechanizmov. Ale zbytočne mútiť pohár vody?

[Lol Phirae]

Naozaj sa jedná o búrku v pohári vody.

Jasně. Když to ještě 20x zopakuješ, tak to zaručeně bude pravda.

hacknúť

Tak určitě. Každý se napíše vlastní firmware procesoru. Zkus přirození 3x denně omývat vlažnou vodou a na hlavu kbelík ledu.

[Peter Golis]

Procesoru, už si začal s omývaním. Ale, podporím Ťa: Transmetta.

[kralyk z abclinuxu]

Intel ME a ani Anti Thieft v UEFI nemám keďže tieto vymoženosti sa nedávali do lacných šuniek.

Ok, nicméně jestli tvá rada je Nechcete ME, kupte si lacnú šunku, tak to děkuju pěkně, to je opravdu skvělá rada...

Telefónmi RYF sa nezaoberajú, a ani sociálnymi sieťami.

Myslímže nějakou sociální síť někdo v rámci projektu GNU vytvořil, ale (kupodivu ) to nikdo nepoužívá...

Samozvaná. Takú certifikáciu si v kľude navrhne aj Krakonoš zo Šumavy. Nevravím že nebojujú za dobrú vec, ale bojujú len pomocou blogískov a zasadaní.

Hmm, v tomhle s tebou asi celkem souhlasim, třeba EFF je IMHO produktivnější. Ale stejně si myslím, že certifikace RYF je dobrá věc.

Keď chceli ľudia slobodný BIOS, tak si ho urobili.

Nicméně HW se svobodným BIOSem není ani 1%...

[Peter Golis]

Môžeš si predsa nájsť iné produkty, nielen Intel alebo AMD vyrábajú CPU.

Ale aspoň je krásne vidno kde je dopyt a ktorým smerom sa tým pádom smeruje ponuka. Ak to chceš, tak si to kúpiš. Ale potom neplač nad zlým výberom.

[kralyk z abclinuxu]

Ale aspoň je krásne vidno kde je dopyt a ktorým smerom sa tým pádom smeruje ponuka.

Vzhledem k tomu, že 99% lidí kupujících tyhle produkty o tom neví nebo neodmítnou ten produkt z jiných důvodů, je z toho co se poptávky/nabídky týče, vidět naprostý kulový.

Vždyť ani ty nevíš pořádně, jestli máš nebo nemáš ME ve svém laptopu, tak jakápak nabídka/poptávka Jediné, z čeho usuzuješ je nějaké marketingové označení, které nedokazuje celkem nic. Můžeš zkusit intelmetool, ale funguje jen na některém HW.

IMHO z toho je vidět maximálně to, že lidé budou počítače s ME poptávat, pokud budou mít o ME dostatečně málo informací a také dostatečně špatné alternativní možnosti. Což je opravdu skvělé.

Ak to chceš, tak si to kúpiš. Ale potom neplač nad zlým výberom.

Vždycky se najde někdo, kdo tohle falešné dilema zopakuje a pokusí se tím umlčet stížnosti ostatních... Reálně samozřejmě není důvod, proč bych nemohl na špatnou nabídku nadávat i po koupi toho produktu.

[Peter Golis]

Takže ja to neviem ale mám si to overiť pomocou nástroja ktorý funguje len na niektorom HW. To čo spomínaš nie je dilema, to je demagógia.

[kralyk z abclinuxu]

Takže ja to neviem ale mám si to overiť pomocou nástroja ktorý funguje len na niektorom HW.

Ano, v čem je takový problém? Kdybych věděl o lepším nástroji, řekl bych to. Zabralo by ti to tak 3 minuty max. Na mém laptopu to nefunguje, zřejmě protože je příliš nový (nedávno koupený). Můžu ještě později zkusit starší až se k němu dostanu...

[Peter Golis]

Ja som ten môj kupoval ani nie mesiac dozadu. Čo by to akože malo vypísať podľa teba keď si to ani nespustil?

[kralyk z abclinuxu]

Sputil jsem to. Na tom novém stroji to píše "Hardware unsupported". Na starším:

Bad news, you have a `HM55 Chipset LPC Interface Controller` so you have ME hardware on board and it is very difficult to remove, continuing...

A následně to zfailuje na nějakém mapování paměti, ale to už mě netankuje...

[k3dAR]

tak me to trvalo od tuknuti na tebou dane url do pusteni zkompilovane binarky ~15vterin(to jen k tomu odhadu 3m, je videt ze "bourka" je opravdu linej kecal a radeji popise tunu obrazovek, nez neco vyzkousi, no nic :)
nicmene u me problem byl ze mi to po zobrazeni udaju a ukonceni zavarilo pocitac... zatez CPU do maxima, teplota k 90C, volne misto na disku do 0, nez sem si vsim ze se roztaci vetrak tak uz nereagovalo nic, ani prepnuti do konzole, ani po ssh, nesel ani MagicSysReq :) po hard-poweroff sem nasel "milionkrat" hlaseno v syslogu/kern.log (tim doslo to misto na disku) ze neni mei client(?)...

Jun 14 17:51:09 x220t kernel: [3137155.219511] mei_me 0000:00:16.0: FW not ready: resetting.
Jun 14 17:51:09 x220t kernel: [3137155.219535] mei_me 0000:00:16.0: unexpected reset: dev_state = ENABLED fw status = 1E000245 68000006 
Jun 14 17:51:09 x220t kernel: [3137155.219542] mei_me 0000:00:16.0: H_RST is set = 0x80000011
Jun 14 17:51:09 x220t kernel: [3137155.235406] mei_me 0000:00:16.0: no destination client found 0x80140007
Jun 14 17:51:09 x220t kernel: [3137155.235408] mei_me 0000:00:16.0: no destination client found 0x80140007
Jun 14 17:51:09 x220t kernel: [3137155.235410] mei_me 0000:00:16.0: no destination client found 0x80140007

[...] cca 35 milionu stejnejch radku [...] 

Jun 14 17:52:52 x220t kernel: [3137258.358778] mei_me 0000:00:16.0: no destination client found 0x80140007
Jun 14 17:52:52 x220t kernel: [3137258.358780] mei_me 0000:00:16.0: no destination client found 0x80140007
Jun 14 17:52:52 x220t kernel: [3137258.358782] mei_me 0000:00:16.0: no destination client found 0x80140007

btw: bylo to na Thinkpad X220 s CPU 2520M. AMT/ME/AntiTheft "(?)vypnute"(?), po restartu sem to zkusil znovu, tentokrat presmeroval vystup do textu a zaroven zamezil zapisu do syslog/kern.log, disk to sice nezaplnilo ale zatuh to byl stejnej, tu je vystup:

Bad news, you have a `QM67 Express Chipset Family LPC Controller` so you have ME hardware on board and it is very difficult to remove, continuing...
RCBA at 0xfed1c000
MEI not hidden on PCI, checking if visible
MEI found: [8086:1c3a] 6 Series/C200 Series Chipset Family MEI Controller #1

ME Status   : 0x1e000245
ME Status 2 : 0x390a0006

ME: FW Partition Table      : OK
ME: Bringup Loader Failure  : NO
ME: Firmware Init Complete  : YES
ME: Manufacturing Mode      : NO
ME: Boot Options Present    : NO
ME: Update In Progress      : NO
ME: Current Working State   : Normal
ME: Current Operation State : M0 with UMA
ME: Current Operation Mode  : Normal
ME: Error Code              : No Error
ME: Progress Phase          : Policy Module
ME: Power Management Event  : Non-power cycle reset
ME: Progress Phase State    : Received AC<>DC switch

PCI READ [bc] : 0x000000bc
ME: Extend SHA-256: c20401a7f4baa166f69c313455db4ed508fd484bf2b89b42eba9a2395cb0f205

ME seems okay on this board
WRITE    [00] : CB: 0x80040007
WRITE    [00] : CB: 0x000002ff
ME: timeout waiting for data: expected 8, available 5
ME: GET FW VERSION message failed
WRITE    [00] : CB: 0x80080007
WRITE    [00] : CB: 0x00000203
WRITE    [00] : CB: 0x00000000
READ     [08] : CB: 0x800d0007
READ     [08] : CB: 0x00008203
READ     [08] : CB: 0x00000000
READ     [08] : CB: 0xf65c6504
READ     [08] : CB: 0x58fa520d
ME Capability: Full Network manageability                 : ON
ME Capability: Regular Network manageability              : OFF
ME Capability: Manageability                              : ON
ME Capability: Small business technology                  : OFF
ME Capability: Level III manageability                    : OFF
ME Capability: IntelR Anti-Theft (AT)                     : ON
ME Capability: IntelR Capability Licensing Service (CLS)  : ON
ME Capability: IntelR Power Sharing Technology (MPC)      : ON
ME Capability: ICC Over Clocking                          : ON
ME Capability: Protected Audio Video Path (PAVP)          : ON
ME Capability: IPV6                                       : ON
ME Capability: KVM Remote Control (KVM)                   : ON
ME Capability: Outbreak Containment Heuristic (OCH)       : OFF
ME Capability: Virtual LAN (VLAN)                         : ON
ME Capability: TLS                                        : ON
ME Capability: Wireless LAN (WLAN)                        : ON
exiting

Pripominam ze AMT(tedy ani ME ktere lze az pak) ani Anti-Theft nebylo v BIOSu aktivovane...
btw: k tomu zavareni, pocital sem ze se neco muze podelat, takze mel vse ulozene a po ~90day uptime sem to stejne chtel otocit ;)

[little.owl]

Pripominam ze AMT(tedy ani ME ktere lze az pak) ani Anti-Theft nebylo v BIOSu aktivovane...

Ono se zda, ze vypnuti v BIOSu nepomuze, treba McAfee tooly to pouzivaji a nastaveni BIOSu ignorovali.

[Peter Golis]

Samozrejme že to veľa krát nepomôže. Ale to nie je chyba AMT albo ME. To je chyba alebo vlastnosť návrhu použitej architektúry keď cez DMA majú plný prístup do RAM už všetky "inteligentné" komponenty v počítači. Namiesto búrky v pohári vody by bolo rozumné keby tunajší bojovníci modernej doby prestali vyplakávať v blogískoch, a zamysleli sa prečo bol len FW port nazývaný ako remote debug port. Na postarších notebookoch bola vyvedená zbernica Cardbus, neskôr Express Card a teraz už je to dostupné aj cez kadejaké USB3 alebo Thunderbolt. Ale búrka je len ohľadne jednej z mnoha všeobecne dostupných technológií ktorá môže narušiť pocit súkromia "by design".
A to sú len niektoré z možností ako sa dostať bez námahy do zakryptovaného počítača. S pomocou auta, pút, kukly a obušku povolí takmer každý počítač. Pochybujem že by niekto z tunajších bojovníkov modernej doby vydržal ďalšie kolo kde zamenia obušok za hasák. Blogísek na internete má ďaleko od moderného života.

[little.owl]

Ale to nie je chyba AMT albo ME. To je chyba alebo vlastnosť návrhu použitej architektúry keď cez DMA majú plný prístup do RAM už všetky "inteligentné" komponenty v počítači.

To je hovadina. Implementace DMA nesouvisi s moznosti uzivatele deaktivovat AMT/ME.

[k3dAR]

to je preci jasne, kdyz vyrobce auta ti da falesny pocit bezpeci tim ze zamknes klickem, ale on zaroven bude mit moznost prijit s bezdratovym klickem a stejne ti to odemnke, tak za to muze co? no preci z 50% sbernice a z 50% loketni operka :)

[Peter Golis]

Zneužiteľných chýb HW je za tri kýble, ale v bogískoch sa opisuje len jedna. Aby sa odpútala pozornosť od iných.

[Lol Phirae]

Jasně. Je to spiknutí proti Intelu.

[k3dAR]

no prave, sice nevim co by McAfee, to pamatuju snad v minulem stoleti :) ale jen sem to radeji zduraznil ani nekdo nemel potrebu mi napsat ze sem si to mel v biosu vypnout, staci ze ma nekdo potrebu psat o sklenici v bouri vody a o tom ze si mam napsat vlastni fw a zakazuje mi podotknout ze je neco spatne se stavajicim ;)

[little.owl]

McAfee, to pamatuju snad v minulem stoleti :)

McAfee je ted vlastnen Intelem a integruje podporu techto veci primo do systemu, i na Linux.

[little.owl]

AMT vyžaduje vPro.

Ne. vPro je marketingove oznaceni pro celou skupinu technologii, a AMT je jeji subset, viz Intel® vProTM Technology Reference Guide, strana 6.

[Peter Golis]

Takže keď nemám vPro, tak nemám ani čiastkové technológie. Ďakujem za ozrejmenie.

[Ovoce]

Problém je pokud tomu dobře rozumím v tom, nějak přesvědčit tinfoilhaty, že se s tím subsystémem pak nedá zvenku tajně komunikovat. A ty asi neuspokojíš, koneckonců i kdyby se u tohohle všeho podařilo potvrdit neškodnost, tak budou věřit, že je tam nějakej další tajnej backdoor v CPU. Prostě konspirační teorie.

[Peter Golis]

To ja viem. Tí dnešní alobaloví šiltovkári sú bojovníci modernej doby. Bojujú len blogískami a zasadaniami. Ruku k dielu však nikto nepriloží. A občas to podporia konšpiračnými teóriami ako Jenda z brmlab aj s tým jeho slávnym argumentom "dokáž že to nemôže byť tak ako som si vymyslel".

[kralyk z abclinuxu]

Takže jestli to chápu správně, tak podle tebe v podstatě o nic nejde, je to naprostá prkotina (bouřka ve sklenici vody), ale zároveň bychom měli přiložit ruku k dílu a něco s tím udělat místo tlachání.

Hmm.

[Ovoce]

On asi nechce říct, že by to bylo mnoho povyku pro nic, ale že tahle iniciativa právě že není nic jiného než povyk a nic, takže je k hovnu. No na druhou stranu nejdřív musí být awareness, takže bych s tím hovnocenímu úplně nesouhlasil.

IMHO se ale obecně z IT/internetovejch problémů dělá moc velký haló, když IRL máme problémy mnohem větší, takže mě osobně je nějaký ME úplně putna. Deprese mám z jinejch věcí a další už nepotřebuju :/

[Peter Golis]

Presne tak. Možností je veľa. Ale to je jedno v dobe keď bojovníci modernej doby zverujú svoje súkromie do rúk sociálnych sietí, a používajú NSA Tracking Devices na vlastné náklady.

[kralyk z abclinuxu]

Připadá mně, že se úplně míjíme, protože ty si do té diskuse promítáš nějaké své rozhořčení nad blogem FSF. Mně třeba je ten jejich blog celkem úplně někde, zajímají mě ale ty technologie. Tady se bavíme konkrétně o ME, proč máš pocit, že to nějak vylučuje ostatní nebezpečí, tomu nerozumim. Já mam s ME/AMT ten problém, že to je téměř operční systém bežící paralelně v mém PC nad kterým mám nulovou kontrolu. A to není nijak specifické pro Intel, z úplně stejných důvodů mám trochu problém třeba s moderními HDD, viz tady.

Prostě ten celkový vývoj elektroniky, kdy lidem se nabízejí neprůhledné blackboxy, je celý špatně.

[little.owl]

V tom problem ani neni, FW neuniknete. Problem je, ze je tohle je plne proprietarni nedokumentovane reseni, kde muzete jen bez zaruky doufat, ze treti strana jedna fer, implementovala to korektne a nepodleha tlaku ruznych vladnich instituci. Lepsi byla cesta ASF, kde se jednalo o otevreny standard, ktery kdokoliv mohl implementovat a verifikovat.

[Jendа]

Osobně se ještě víc než úmyslného backdooru bojím toho, že tam prostě bude omylem udělaná obyčejná díra.

[pc2005]

Tak vzhledem k tomu, že v server verzi jede java

[Jendа]

To nevím, jestli mě má uklidnit, nebo vyděsit. V Javě se mnohem hůř dělají omyly typu buffer overflow.

[pc2005]

Záleží jak dobře maj oddělenej ten virtuální stroj od "kernelu".

[Peter Golis]

Samozrejme, z množstva dier ktorými je prelezený HW sa vypichla len jedna. A o ostatných možnostiach keď ľudia dobrovolne zverujú svoje súkromie sociálnym sieťam a svoje dáta priamo bezpečnostným agentúram sa taktne mlčí. Pripadá mi to ako keby chcelo FSF decentne zamiesť pod koberec niečo iné. Niečo, čo má meno už desaťročia.

Skôr je problém že každý počítač sa skladá z samostatných komponentov, ktoré sú autonómne počítače majúce kompletný prístup do celej pamäte. Bez akejkoľvek ochrany. Som zvedavý koľko bude trvať kým sa prevalia už funkčné prototypy na USB3 ktorý pre alebo Express Card ktoré už dávno prebrali žezlo remote debug portov po FireWire.

[lertimir]

Co to blábolíš? To jestli někdo má nebo nemá učet na sociální síti je jeho rozhodnutí, jestli je nebo není kvalifikované to souvisí jen z jeho informovaností. Ale to jestli mám nebo nemám tenhle backdoor s tím nic nenadělám, žádná informovanost mi nepomůže, A jak píše owl, ještě je další obrovský rozdíl, mezi tím jestli je ovládání veřejným protokolem a nebo binárním veřejně nezdokumentovaným blobem. Celé to není o tom, že vzdálené ovládání vypnutého stroje je špatně. To jistě není, ale problém je když nevíš, co se děje, nebo co se a kdy tam dít může.

[pc2005]

IOMMU? I když bude spousta HW, co ho nepodporuje (nevýhoda mýho notebooku, poslední co nemá ME, ale taky nemá IOMMU , a to má PCIe v docking portu :-/ )

[little.owl]

autonómne počítače majúce kompletný prístup do celej pamäte.

Ne, nemaji. Jak Linux, tak Windows - jsou dale - implementuji opatreni omezujici DMA attack, vcetne uziti IOMMU a navic dalsi ochranou je prichazenici on-fly sifrovani dat v pameti, jako AMD memory encryption v Zen ci Intel Secure Guard Extensions ve Skylaku. Obe reseni uz maji pocatecni podporu v kernelu, viz zde a zde. AMD reseni mi prijde diky transparenci lepsi a navic v pripade Intelu je to integrovane s AMT.

[Peter Golis]

Pokiaľ by bola pravda že Linux a Windows obmedzujú DMA attack, tak filtrujú komunikáciu cez zbernicu. V tom prípade by bolo zablokovanie ME (AMT) vecou triviálnej konfigurácie, a táto búrka v pohári vody by neexistovala. Jednoducho, samotné ME by sa samo odrezalo.

[Jendа]

ME je za IOMMU? Aha.

[little.owl]

Nemusi nic moc filtrovat, IOMMU omezi pamet kam zarizeni muze pres DMA pristupovat a jediny overhead je cache miss v IO TLB.

V tom prípade by bolo zablokovanie ME (AMT) vecou triviálnej konfigurácie, a táto búrka v pohári vody by neexistovala. Jednoducho, samotné ME by sa samo odrezalo.

ME ma podle vsecho moznost v chipsetu bypass-nout IOMMU, narozdil od jinych zarizeni, a ziskat primy pristup k NIC a diskum.

[Peter Golis]

Ras píšeš že tam tá podpora je, druhý krát že nefunguje. Načo to je keď to nefunguje?

[little.owl]

Co je to za pitomost? Rikam, ze IOMMU tam je a omezuje moznost provest DMA attack, jak nesmyslne argumentujete vy - to je ostatne hlavni smysl IOMMMU; s tim ze AMT/ME je jedinou vyjimkou schopnout ucelove a umyslne tuto ochranu obejit.

[Peter Golis]

Keby IOMMU obmedzovalo DMA attack, tak to IOMMU odstaví AMT/ME. Keďže ho neodstavilo, tak to nefunguje. Obyčajné placebo, ako homeopatia.

[kralyk z abclinuxu]

Keby IOMMU obmedzovalo DMA attack, tak to IOMMU odstaví AMT/ME.

Ne. Co ti nebylo jasné na této větě v little.owlově komentáři?

ME ma podle vsecho moznost v chipsetu bypass-nout IOMMU

[Peter Golis]

Jeho komentáre som pochopil v plnej miere. Tvrdí že to funguje, a následne pridáva výnimky kedy to nefunguje. Keby mal pravdu že to funguje, ta to odreže prístup DMA pre ME/AMT. Nemá, a tak pridáva výnimky. Teda opisuje také to 100% funkčné placebo typu homeopatia.

[kralyk z abclinuxu]

Tvrdí že to funguje, a následne pridáva výnimky kedy to nefunguje. Keby mal pravdu že to funguje, ta to odreže prístup DMA pre ME/AMT. Nemá, a tak pridáva výnimky.

Ale má pravdu, tu výnimku nepřidal little.owl, ale Intel, přesně pro AMT/ME. Viz tyhle slajdy, strana 74 a okolo:

So, if Intel allowed its AMT/ME code to bypass VT-d (in order to allow rootkit detectors in the chipset), then our AMT rootkit would automatically gain ability to bypass VT-d as well!

Mluví se tam o VT-d, ale IOMMU je ditto.

AMT/ME není na úrovni nějakého udělátka připojeného přes USB/FireWire, je spíše na úrovni BIOSu. Koneckonců, firmware má uložený na stejným místě jako BIOS.

Nebo si chceš začít stěžovat, že IOMMU je placebo, protože BIOS může přistupovat do RAM jak chce?

[kralyk z abclinuxu]

pardon, tyhle slajdy.

[Peter Golis]

Počítač s BIOSom ktorý má VT-*, IOMMU alebo INtel AMT/ME neexistuje. BIOS bol zbierka 16bit kódu a prestal sa používať s príchodom 64Bit x86/64 CPU.

[kralyk z abclinuxu]

Proč já mam tu blbou vlastnost snažit se udržovat diskusi smysluplnou i navzdory tomu, že druhá strana je zjevně úplně mešugé?

[little.owl]

Protoze je pak sranda .

[lertimir]

+1

[Peter Golis]

Skús vysvetliť čo je zmysluplné na nereálnej kombinácii 16Bit BIOSu a 64Bit CPU keď už s tou kombináciou argumentuješ a tvrdíš že je to zmysluplné.

[kralyk z abclinuxu]

Ničím takovým jsem neargumentoval. Neměl jsem tušení, že máš definici BIOSu nekompatibilní se zbytkem světa. Jestli máš pro dnešní non-UEFI firmware na PC jiný název než "BIOS", klidně si ho tam dosaď - je mi to úplně šumák - a dej pak vědět, jestli se ti podařilo vstřebat ten rozdíl mezi AMT/ME a hardwarem připojeným přes FireWire.

[little.owl]

nereálnej kombinácii 16Bit BIOSu a 64Bit CPU

Odhlednuli od vasi zuzene definice co je BIOS, opet je to totalni nesmysl . I ten 64-bitovy procesor je zpetne kompatibilni s predchozimi procesory, doslova se jedna o 64-bitove rozsireni predchazejici architektury, ktere se musi implicitne zapnout. x86_64 bootuje v 16-bitovem real mode a BIOS ho muze (a nemusi) po inicializaci zarizeni prepnout do protected mode nebo long mode (64-bit), vcetne compatible mode, ktery podporuje i 16-bitove aplikace. Tedy i 16 bitovy BIOS muze nabootovat na 64 bit CPU a spustit GRUB, ktery potom udela zbytek.

[Peter Golis]

BIOS je 16Bit kód, a ľuďia čo nerobia v IT sfére si ho stále mýlia s 64Bit UEFI. To Že sa pod UEFI dá zapnúť emulácia BIOSu neznamená že ten 16Bit BIOS aj reálne štartuje.

[Lol Phirae]

Ale nikdo si nic nemýlí. Existuje spousta amd64 desek, které žádné UEFI nemají. Existují počítače (např. HP), pro které jsou dvě různé verze firmwaru pro MB - jedna s (U)EFI, jedna bez, podle toho, s jakou verzí OS se dodává. Meleš fakt kraviny z hladu.

[pc2005]

BIOS je 16Bit kód

Minimálně na 486 se už přepínal do 32bit protected módu. Na disassemblované LOADALL emulaci jsem se naučil chráněnej mód. Takže BIOS není jen 16bit kód.

Otázka: je podle tebe coreboot BIOS/UEFI, 64bit 32bit nebo 16bit?

[kralyk z abclinuxu]

No a co? To je úplně jedno. Já navíc stejně napsal, že AMT/ME je spíše na úrovni BIOSu, což je pravda i kdyby na moderních PC BIOS nebyl a když si tam místo BIOSu dosadíš UEFI, vyjde to naprosto nastejno.

Takže fakt nevím, proč tady řešíš nějaký 16-bit BIOS.

[Peter Golis]

Keď si za hrušku dosadíš mesiac, tiež to bude slovo. V záhrade.

[Lol Phirae]

Vidím, že jsi v intelektuální krizi už přes týden. Zkus omývat třikrát denně přirození vlažnou vodou.

[kralyk z abclinuxu]

Keď si za hrušku dosadíš mesiac, tiež to bude slovo. V záhrade.

Wut? Víš co, BIOS necháme raději bejt BIOSem. Zapomeň na BIOS. Dovol, abych to přeformuloval:

AMT/ME není na úrovni nějakého udělátka připojeného přes USB/FireWire, je spíše na úrovni UEFI firmware. Koneckonců, firmware ME je uložený na stejným místě jako UEFI firmware.

Nebo si chceš začít stěžovat, že IOMMU je placebo, protože firmware může přistupovat do RAM jak chce?

Lepší?

[Peter Golis]

Nie. ja si nesťažujem. Ak to nechcem, tak to nekupujem a tým pádom to ani nepoužívam.

Ale apoň je krásne vidno aké je IOMMU placebo keď nedokáže obmedziť ten omieľaný prístup.

[kralyk z abclinuxu]

Ale apoň je krásne vidno aké je IOMMU placebo keď nedokáže obmedziť ten omieľaný prístup.

Ano přesně tak. Stejně tak zámky na dveřích jsou placebo, když ani nedokáží omezit majitele domu.

[Lol Phirae]

Dotyčný je evidentně buď troll, nebo blbec. V obou případech je další debata zbytečná.

[Peter Golis]

Pokiaľ tu niekto v jednom príspevku tvrdí že technológia zamedzí prístupu k DMA a v druhom to poprie, ta je evidentne trol. Pokiaľ niekto prirovnáva majiteľa domu k technológii Intel AMT/ME, tak sa vzdáva vlastníctva.

Takže načo to kupovať ak to človek nechce, len aby potom mohol človek plakať na nesprávnom hrobe? Pfff ....

[kralyk z abclinuxu]

Pokiaľ tu niekto v jednom príspevku tvrdí že technológia zamedzí prístupu k DMA a v druhom to poprie, ta je evidentne trol.

Nikdo nic takového netvrdil, to jsi špatně pochopil.

Pokiaľ niekto prirovnáva majiteľa domu k technológii Intel AMT/ME, tak sa vzdáva vlastníctva.

Ano, to je do značné míry podstata AMT/ME, proto je tady s ním taková nespokojenost.

Takže načo to kupovať ak to človek nechce, len aby potom mohol človek plakať na nesprávnom hrobe? Pfff ....

Opět pořád dokola: Člověk je nabídkou nucen do špatných kompromisů. Další věc je, že mi tak nebo onak může škodit i AMT/ME v počítači jiných lidí.

[Peter Golis]

Pokiaľ tu niekto v jednom príspevku tvrdí že technológia zamedzí prístupu k DMA a v druhom to poprie, ta je evidentne trol.

Nikdo nic takového netvrdil, to jsi špatně pochopil.

Je dobré poznať hlavný argument bojovníkov modernej doby používaný v blogísku. Nepochopenie. Ďakujem za potvrdenie toho tvojho argumentu.

Pokiaľ niekto prirovnáva majiteľa domu k technológii Intel AMT/ME, tak sa vzdáva vlastníctva.

Ano, to je do značné míry podstata AMT/ME, proto je tady s ním taková nespokojenost.

A pri kúpe domu človek kupuje vlastníka. Argument jak noha, vychádzajúci z predchádzajúceho.

Takže načo to kupovať ak to človek nechce, len aby potom mohol človek plakať na nesprávnom hrobe? Pfff ....

Opět pořád dokola: Člověk je nabídkou nucen do špatných kompromisů. Další věc je, že mi tak nebo onak může škodit i AMT/ME v počítači jiných lidí.

Ďalšia perla. Neviem ako u vás v kaviarenskej komunite, ale všeobecne nie je človek povinný byť kupujúcim ktorý musí kupovať aj veci čo mu nevyhovujú. A ak mu vyhovujú, tak ich však môže kúpiť.

[kralyk z abclinuxu]

Je dobré poznať hlavný argument bojovníkov modernej doby používaný v blogísku. Nepochopenie. Ďakujem za potvrdenie toho tvojho argumentu.

Jestli tu někdo něco nechápe, tak jsi to ty. Můžu se pokoušet to vysvětlovat opakovaně.

IOMMU slouží pro ochranu paměti při DMA přístupu. Tato ochrana ale nemá za účel chránit hardware proti jeho vlastnímu firmware. Vzhledem k tomu, že AMT/ME je součástí firmware, nepodléhá IOMMU. Neznamená to ale, že jiný hardware může také obejít IOMMU, nemůže. Čili z toho neplyne, že IOMMU je placebo.

Jestli se ti na tom něco nezdá, měl bys přesně a konkrétně popsat, jak například obejdeš IOMMU z FireWire, to by mě opravdu zajímalo.

Neviem ako u vás v kaviarenskej komunite, ale všeobecne nie je človek povinný byť kupujúcim ktorý musí kupovať aj veci čo mu nevyhovujú. A ak mu vyhovujú, tak ich však môže kúpiť.

V tvojí kavárenské komunitě to možná funguje takhle primitivně / černobíle. V reálném životě je o trochu víc možností než jen "produkt mi zcela nevyhovuje se všemi součástmi / vlastnostmi" a "produkt mi zcela vyhovuje se všmi součástmi / vlastnostmi".

[Peter Golis]

TakŽe ono to má chrániť, ale s výnimkami. Takže sme znova u definícii placeba na ktoré sa tu spoliehajú miestny hrdinovia.

[Lol Phirae]

Vidím, že omývání přirození vlažnou vodou nezabralo.

[kralyk z abclinuxu]

TakŽe ono to má chrániť, ale s výnimkami.

Přesně tak, resp. chrání to pouze před cizím firmware, ned před samo sebou.

Takže sme znova u definícii placeba na ktoré sa tu spoliehajú miestny hrdinovia.

Měl jsem dojem, že spíš ty jsi byl ten hrdina, který tvrdil, že o nic nejde...

[Peter Golis]

Čiže sme znova pri ochrane ktorá je tunajšími bojovníkmi modernej doby preferovaná i keď je nedostatočná. Tunajší blogískoví hrdinovia proste chcú používať placebo. A plačú ak to placebo nefunguje.

PS: Za čo si sám seba mal, to je tvoj problém.

[kralyk z abclinuxu]

IOMMU tady nikdo jako ochranu proti AMT/ME používat nechtěl, bylo to zmíněno pouze proto, že se ti někdo pokusil vysvětlit, proč je AMT/ME mnohem nebezpečnější než útok přes třeba FireWire, zřejmě bohužel neúspěšně.

[Peter Golis]

IOMMU tu spomínali bojovníci modernej doby ako obranu pred "záškodníckou" činnosťou ktorou sa prejvuje AMT/ME.

AMT/ME je rovnak nebezpečné ako FireWire, PCI, PCI Express a hociaká iná zbernica ktorá stále umožňuje priamy prístup do pamäte. Vrátane napríklad ThunderBolt-u. Samotné IOMMU je rovnaká ochrana, ako keby si si zamykal vchod do rodinného domu na prízemí, ale dvere na balkóne nehal otvorené dokorán.

[Lol Phirae]

IOMMU tu spomínali bojovníci modernej doby ako obranu pred "záškodníckou" činnosťou ktorou sa prejvuje AMT/ME.

NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE! NE!

A kdybys to náhodou nepochopil v češtině, tak pro extra natvrdlý ještě překlad do hornouherštiny:

NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE! NIE!

[pc2005]

AMT/ME je rovnak nebezpečné ako FireWire, PCI, PCI Express a hociaká iná zbernica ktorá stále umožňuje priamy prístup do pamäte.

Sice nemám čipset s IOMMU, takže jsem ještě nestudoval datasheet specifikace, ale myslím, že můžu říct, že správně nakonfigurovaný IOMMU tě plně ochrání od busmaster útoku na PCI(e) a firewire.

[kralyk z abclinuxu]

IOMMU tu spomínali bojovníci modernej doby ako obranu pred "záškodníckou" činnosťou ktorou sa prejvuje AMT/ME.

To jsi příslušné komentáře nepochopil, IOMMU tady IMHO nikdo jako ochranu před AMT/ME nezmiňoval.

AMT/ME je rovnak nebezpečné ako FireWire, PCI, PCI Express a hociaká iná zbernica ktorá stále umožňuje priamy prístup do pamäte. Vrátane napríklad ThunderBolt-u. Samotné IOMMU je rovnaká ochrana, ako keby si si zamykal vchod do rodinného domu na prízemí, ale dvere na balkóne nehal otvorené dokorán.

Podpoř to prosím nějakou citací, zejména by mě zajímal ten způsob, jakým obejdeš IOMMU z FireWire, prosil bych konkrétně a detailně. Pravděpodobně by mělo být vytvořeno CVE.

[Peter Golis]

Jednoducho. Pozri si stav v akom je SW podpora IOMMU. A ak chceš priamo exploit, tak sa zapoj do bežnej dražby.

[kralyk z abclinuxu]

Pozri si stav v akom je SW podpora IOMMU.

Nechápu, proč bys chtěl SW podporu pro něco, co považuješ za placebo.

A ak chceš priamo exploit, tak sa zapoj do bežnej dražby.

Myslel jsem, že o něčem víš, když tady tak sebevědomě tvrdíš, že to je placebo.

[little.owl]

Jednoducho. Pozri si stav v akom je SW podpora IOMMU.

SW support pro IOMMU je obecne v dobrem stavu, nebot se pouziva jako zakladni stavebni blok u virtualizace a pripadna chyba se ukaze tvrdym padem na cumak. Kdyz je to jednoduche, dejte nam hint, ktery vas vede myslet si to.

[Peter Golis]

Odporúčam začať popisom začleňovacích patchov, tie vylučujú spomínanú pohodu. Ďalej odporúčam spomínaný trh, alebo zbierku na startupe na nákup exploitov za účelom opravy.

[Lol Phirae]

Tedy, exhibovat tady furt dokola vlastní demenci tři týdny, to chce už vážně náturu. Na omývání přirození se vyser a zkus rovnou psychiatra.

[Peter Golis]

To,ano. Argumentovať s ľuďmi čo tvrdia že placebo je jediným správnym riešením, tak to je naozaj na psychiatra.

[pc2005]

Mám C2D počítač s VT-x a UEFI nemá a myslím, že jsem na něm alespoň jednou spouštěl alespoň jeden z následujících: MSDOS 6.22 pro flashování, LILO (tuším int 13h), instalačka win98, memtest, videoBIOS.

VT-x a NX bit podpora se tuším musí speciálně povolit před startem OS (kromě dalších věcí).

Ten bios je klasické prostředí ve stylu už od pentia.

Volání BIOSu se vyvíjelo kontinuálně už od 8086 a postupně se přidávaly funkce a módy volání. I pracovní i5 má jako první řádky dmesgu výpis ve stylu:

[    0.000000] e820: BIOS-provided physical RAM map:
[    0.000000] BIOS-e820: [mem 0x0000000000000000-0x000000000009d7ff] usable
[    0.000000] BIOS-e820: [mem 0x000000000009d800-0x000000000009ffff] reserved
[    0.000000] BIOS-e820: [mem 0x00000000000e0000-0x00000000000fffff] reserved

Volání e820 je volání přes přerušení INT 15h (snad už z dob 8086). Je to doslova 16bit hodnota v registru AX. Implementuje ho i coreboot/libreboot (OT: a byl dost opruz udělat tu mapu správně pro "novej" stroj ).

[Lol Phirae]

Fakt nejsi ve formě. Vem si tlumočníka nebo dovolenou.

[pc2005]

IOMMU je akorát bloček, co má vstup adresy, nějakou funkci a výstup adresy. Pokud prostě jen vygeneruješ adresu na výstupní adrese, tak můžeš na dané lince zapisovat kamkoliv. U toho ME procesoru se předpokládá, že bude na té nejnižší vrstvě, protože jeho nový verze maj na starosti inicializace celého CPU (teď už i s NB a GPU).

[little.owl]

IOMMU je akorát bloček, co má vstup adresy, nějakou funkci a výstup adresy.

Mnohem komplikovanejsi. Kvuli virtualizaci se zacali pouziva dve urovne prekladu, vse probiha asynchronne a parallelne ve frontach, podporuji se vnorene a vicenasobne pametove prostory, podpora protokolu, takze se treba zablokuje cely PCI transfer na pocatku, periferie se mohou pripadne zotavit. IOMMU mi prijdou komplikovanejsi nez MMU.

[pc2005]

No ale to celý se pořád dá vyjádřit jako jeden bloček s neznámým obsahem . Ale zajímalo by mě, jak se provádí "page walking".

[little.owl]

Ale zajímalo by mě, jak se provádí "page walking".

Page-walk? To souvisi s DMAR (DMA Remapping) pro zarizeni nepodporujici long adresy nebo u virtualizace. Pokud dojde ke cache miss u IO TLB, musi se sahnout do hlavni pameti a projit struktury mapujici DMAR stranky, coz se IMHO naziva page-walk. Jak jsem zminoval nahore, cache miss u IO TLB prinasi overhead.

[little.owl]

...nazyva ...

[kralyk z abclinuxu]

Pripadá mi to ako keby chcelo FSF decentne zamiesť pod koberec niečo iné.

A pak kdo tu je na konspirační teorie

[lertimir]

no jak vás všechny tady čtu, tak ještě dlouho zůstanu na svém starém Intel® Core™ i5-2500K Processor.

[Ovoce]

i5-2500K už má ME taky. Pokud seš purista, tak poslední, u čeho šlo ME deaktivovat, byla generace Core 2.

[little.owl]

AMD. Zatim se zda, ze Zen-u pujde TrustZone vypnout a nebo u nekterych CPU nebude.

Pro tohle reseni byl dohodnut otevreny standard ASF v roce 2003 a pak v roce 2005 prisel Intel najednou s vlastnim reseni, ke kteremu nikoho jineho nepustil a cele to pohrbil.

[Ovoce]

Mám poslední generaci APU, kde to ještě není, nejvyšší model. Že bych to třeba jednou výhodně vyměnil za lepší železo s někým, kdo bude mít s novějším hardwarem kopřivku? :D

Na Diit.cz zas vidím, jak tam lidi řeší, že se tomu špehování prý dá bránit samostatnejma síťovkama na PCI, což je prej důvod, proč Intel PCI zaříznul (LÖL).

Těch mám po šuplíkách taky aspoň pět, tyjo já budu ještě jednou bohatej. /troll

[pc2005]

... se tomu špehování prý dá bránit samostatnejma síťovkama na PCI

[teoretický backdoor] Ten řadič by měl bejt schopnej ovládat i hlavní x86 procesor (zvlášť když je teďka integrovanej). Je teoreticky možný aby buď vyvolat SMI (a spustit třeba šifrovanej blob z biosu, vlastní firmware má šifrovanej) nebo poslat code injection v cyklech sběrnice. Kód pro nejobvyklejší OS si pak může posílat cokoliv po normálním OS driveru. [/teoretický backdoor]

Jinak PCI slot je irelevantní, za ~1kKč si můžeš koupit redukci z PCIe na PCI. V čipsetech už někde od prvních PCIe desek bude ten adaptér v čipsetu. PCIe je totiž jen serializovanej PCI (zjednodušeno).

[Ovoce]

Oni ty týpci asi mají představu, že PCIE už jakože má nativní podporu pro špehování zatímco PCI je imunní... nebo co :)

Holt dnešní svět, no hoaxy a konspirační teorie na prvním místě.

[pc2005]

Škoda, že nemaj na diitu anonymní příspěvky, se mě nechce registrovat, ale klidně bych to vysvětlil .

[R]

Pri Core 2 hlavne nie je ME integrovane v CPU, ale v chipsete. A obsahuju ho len niektore chipsety (napr. Q35). Potom Intel integroval north bridge do CPU aj s tym ME...

[pc2005]

Ono to ME začlo jako síťovka s vlastním procesorem, to se hodilo pro vzdálenou správu, takže tomu procesoru v dalších verzích dávali vyšší pravomoce. Nakonec tu síťovku nacpali do čipsetu i s tím procesorem. No a další verze čipsetu už to má nejspíš odděleně (podle všeho mám naštěstí verzi i945, která to ještě nemá, i965 to už má napevno).

BTW ten autonomní procesor nejspíš zabil segment trhu, kdy se do serveru dávaly takový ty obrovský karty s akumulátorem, síťovkou a grafikou.

[R]

Ja som v serveri videl len karty s procesorom, sietovkou a grafikou, ziadny akumulator. Napr. DELL DRAC 4/P. DRAC 5 uz vie zachytavat obraz z grafiky integrovanej na doske.

[pc2005]

Tak já fyzicky žádnou neviděl taky, ale jeden čas jsem sledoval různé aukce, kde byly "dlouhé" karty a něco jsem tam viděl.

Podle všeho DELL DRAC 2 na sobě akumulátor měl. A podle webu dellu ty akumulátory zvládly napájet až 30 minut po výpadku napájení :-O.

[lertimir]

A jde to jednoduše vyzkoušet? (kromě inteli binárky pod win)

[Jendа]

Dumpnout BIOS; s trochou štěstí by v tom udělátory z Corebootu mohly najít ten blob a unhuffme by to mohl dokonce rozbalit.

[lertimir]

To asi ano, ale myslel jsem něco jiného. Pokud je to na vzdálený management vypnutého zařízení, tak to snad musí nějak komunikovat po síti a musí být standardní aplikace, jak si s tím vypnutým zařízením pokecat. Přece jen mám dojem, že to neinzerují jako feature pro NSA, ale jako feature pro korporátní adminy pro administraci vlastních strojů a pak by mohla být známo, jak si to po síti kecá. Ale možná nemám dost informací, jak to funguje. Zatím z toho mám dojem, že to je něco jako proprietální nevypnutelný hardwarově založený "SNMP". Chtěl jsem zjistit jestli z jednoho mého stroje se tímto způsobme mohu dostat na jiný svůj stroj připojený k síti. Nebo alespoň zjistit, co na to potřebuji.

[Pali]

Celé AMT treba povoliť v BIOSe, to predchádza nastavením AMT a BIOS hesiel. A potom sa to ďalej konfiguruje cez Intelove nástroje dodávané iba pre Windows. Niečo by mohlo isť aj bez Windows cez webové rozhranie, keďže v tom intel firmwari beží webový server... Typujem, že to povolenie v BIOSe je iba "formálne" aby bolo pre korporátneho admina jasné, ktoré počítače sú k nemu prihlásené a ktoré nie...

Ak ale nájdeš nejaký rozumný návod ako sa s tým "pohrať", tak daj vedieť. Verím, že by to ocenilo viacero ľudí, keby si to mohlo vyskúšať na vlastnej koži.

[k3dAR]

Tak aktivacni prubeh pro pouziti uzivatelem
- zapnout v biosu AMT
- pri POST startu (u Thinkpadu po stlaceni ThinkVantage) zmacknout CTRL+P pro pusteni konfigurace AMT/ME
- zadat heslo (vychozi je admin) a zmenit na nove heslo
- default nastaveni vseho asi staci, tak jen iniciovat trvale network spojeni, tim zacne byt AMT dostupne po siti
- vypnout pocitac
- LED u LAN konektoru i pri vypnutem pocitaci stale blika...

z jineho pocitace pak zadas do prohlizece http://ipadresa:16992 jmeno: admin, heslo: to_nove_heslo
adresa je ziskana pres dhcp(pokud se to v CTRL+P nezmenilo na statickou) stejnou jako dostava normalne system
je mozne menit nastaveni site AMT, pak zobrazit informace o systemu, nebo natvrdo vzdalene zapnout/vypnout/restartovat
(ty zactvereckovane serial cisla to samozrejme zobrazuje nezactvereckovane ;)

[little.owl]

S ARC procesory jsem se setkal kvuli jejich ISO 26262 certifikaci. Soucasti byl ARC Crypto Pack, ktery neumoznoval updatovat a nahrat nepodepsany FW. Hadam, ze neco podobneho ma Intel take. Navic tato rada procesoru je vice konfigurovatelna zakaznikem nez ARM, takze je dosti mozne ze kernel na tom nepobezi.

[Lol Phirae]

No, samozřejmě že tam nepodepsaný FW nelze nahrát, viz výše. Což bude takový drobný rozdíl například oproti tomu BMC, který tu máme v serverech, kde je duální flash, kam si přes nahraju co mě napadne, krom toho má vyhrazenou síťovou kartu a narozdíl od Intelí implementace nelže uživatelům. Úplná katastrofa jsou pak ty Intel "antitheft" featury v notebookách.

[Pali]

Akým spôsobom funguje ten Intel antitheft v notebookoch? Je to na úrovni ME/AMT?

[Lol Phirae]

Je to na úrovni ME/AMT?

Ano. Včetně wifiny. (K "dokonalosti" už schází jen podpora 3/4G.)

[Pali]

Máš nejaký odkaz na popis toho ako to celé funguje? Dosť by ma to zaujímalo aké Security by Obscurity sa tam používa a ako je to veľmi bezpečné... Ja som našiel iba marketingové PR kecy a v nich je nič.

[Tomáš Bžatek]

FYI, ME neni obsazeny ve vsech chipsetech, nizsi rady typu H110, B150 a Q150 prave ME nemaji. Stejne tak ne vsechny sitovky maji podporu ME - je to suffix V vs. LM v modelovem oznaceni (napr. i219-LM).

Uvedeny blogpost je rant, nicmene je dobre, ze zvysuje povedomi nebezpecnosti teto technologie.

[Dumal]

FYI, ME je od Ivy Bridge primo v CPU a to v kazdem od Intelu.

[Pali]

V bežnom notebooku sa nachádza Intel procesor, Intel grafika, Intel matičná, Intel ethernet, Intel WIFI, Intel bluetooth, Intel audio controller, Intel USB controller, Intel Sata controller a matičná má pod palcom aj celú PCI zbernicu.

A všetky tieto veci krásne diriguje Intel ME, ktorý by som označil ako Ring -3 (lebo -2 je už SMM).

Vďaka všetkému tomu Intel hardwaru sa ani vlastne nemusí dať z bežiaceho kernelu zistiť, čo všetko sa pod ním deje, rozhodne Intel HW sám seba nebonzne...

[Ovoce]

Já měl v Intel notesu audio Conexant, bluetooth Realtek, Ethernet Broadcom a Wifi Atheros.