Procesory Intel Sandy Bridge je možno vzdáleně vyřadit, dokonce i vypnuté

Nové procesory Intel Sandy Bridge mají v rámci Intel Anti-theft 3.0 implementovánu novou funkci vzdáleného a trvalého vyřazení procesoru (např. v případě krádeže). Tato funkce je aktivní dokonce i ve vypnutém stavu, protože využívá bezdrátového 3G připojení. Podrobnosti nejsou známy. Zdroj zprávy.

22.12.2010 11:40 | wsx | IT novinky

Komentáře

[Jakub Lucký]

Už se těším, až nějaký hacker přijde na to, jak to spustit neautorizovaně...

[Max]

+1
Zdar Max

[VM]

Obrovská bezpečnostní díra se skoro nulovým potenciálem rozumného využití. Ukradený notebook se stejně nevrátí, maximálně na to doplatí ten kdo si ho od zloděje koupí v bazaru - bude do něj muset dát nový procesor. Data na harddisku to stejně nesmaže.

Osobně bych takový procesor doma nechtěl - hrozí deaktivace vlivem nějaké chyby nebo prozrazením deaktivačního klíče.

Navíc mi není jasné jak je řešen ten 3G příjem ve vypnutém stavu, ale obávám se, že bude zbytečně žrát baterky.

[heh]

V principu napájení nutné být nemusí.

[Zdenek]

Hehe :) Prosim o schema nejakeho prijimace nejake 3G site pracujiciho bez napajeni radove kilometry od BTS

[VM]

Nemusí - jeden člověk bydlící vedle velkého televizního vysílače si takhle údajně udělal napájení na míchačku (za což ho provozovatelé toho vysílače neměli moc rádi). Ale udělejte to tak, aby to fungovalo na běžných místech s něčím tak komplikovaným jako 3G přijímač - to už by mohl celý notebook fungovat bez napájení, ne?

[heh]

já si nemyslím, že to bude fungovat bez napájení baterií, jen mě tak napadlo, že úplně nemožné to být nemusí. Třeba je to blbost

[merlin111]

Tohle mi docela zajímá. To má na zahradě les antén? Kolik ho vyšel materiál? Šla by takhle využít (tedy aspoň na tu ledničku, nebo notebook) místní telefonní BTS?

[janskyj]

Lidi neblbněte. Vemte si, kolik je takový příkon BTS nebo televizního vysílače (pozor na to, že pokud třeba u cukráku čtete výkon 100kW, tak je to jestě přenásobený ziskem antén), a uvědomte si, že maximum, by jste chytili, pokud by jste postavili kolem celého vysílače kruh z antén (případně kouly, ale kruh pro zamyšlení stačí). A teď si vemte, jakou část tohoto kruhu jste svoji antenou schopni pokrýt a kolik to dělá z příkonu vysílače....

[merlin111]

Proto mi to zajímá, taková menší stavební míchačka potřebuje 600 W příkonu motoru. Když to vycucal ze 100kW vysílače, tak na nějakou malinkatou žárovičku v noci ve stanu by větší vyladěný anténní systém namířený na BTS mohl stačit.

[Miklik]

Příkladem budiž krystalka.

[pc2005]

(případně kouly, ale kruh pro zamyšlení stačí)

Dysonova sféra .

[trekker.dk]

případně kouly, ale kruh pro zamyšlení stačí

Jsi si jistý, že televizní vysílač vysílá rovnoměrně do celého prostoru? Skoro bych si tipnul, že bude snaha vysílat hlavně do stran a nahoru moc ne.

(A jsem si jistý, že kouli se nepíše s tvrdým y na konci.)

[archen]

Taky bych řekl, že to nezáří do koule, že vysílače "střílí" podobně jako wifi všesměrovky. Plošně v nějakým úhlu rozptylu. Dysonova sféra, tak to bude vůbec hukot Mimochodem taky by mě zajímalo, zda lze koncept krystalky ohnout k rozsvícení malé žárovky. Postněte dyžtak linky, když narazíte na něco zajímavýho.

[xm]

Třeba se dal Intel do paktu s Nokií, viz moje starší zprávička Bezdrátové dobíjení mobilů z okolních vysílačů

[Atom321]

No, daleko větší legrace bude, až se zablokovaný notebook majiteli vrátí.

[Dormeg]

V tu chvíli bude po ruce kódíček za penízečky od Intelu, který "trvale" zablokovaný procesor odblokuje. Viz již v současné době prodávané kupóny k aktivaci dalších vlastností CPU.

[xm]

Tohle je tedy pěkně děsivé. Patrně se ale nejedná o žádnou velkou novinku, našel jsem o tom článek Big Brother potentially exists right now in our PCs, compliments of Intel's vPro, který je už z roku 2008.

[merlyn]

aspon dalsi duvod zbavit se tech zidovskych intelu jednou pro vzdy.

[R]

To akoze v procesore je zabudovany 3G modem?

[anonymous_coward]

Na slashdotu někdo psal, že 3G integrováno rozhodně není, a musel by být přítomný nějaký modul. Takže asi jedině u notebooku s takovým modulem a jmenovaným procesorem se dá tahle čuper featura použít.

[Tomáš Bžatek]

Mam pocit, neco podobneho daval za priplatek do svych notebooku Dell nejakou dobu zpatky. Ted budou mit aspon podporu primo v procesoru.

[frdrx]

Bezva. Když se někdo znelíbí režimu, odstaví mu nejenom kreditní karty a účet u banky, Paypalu, Twitteru a Facebooku, dále DNS, hosting a proti vlastním serverům provedou DDoS útok (případně ještě nasadí ženský), ale dokonce mu vyřadí z provozu počítače.

[heh]

nikdo vás produkty Intel kupovat nenutí...

[frdrx]

Já vím, a taky je kupuju co možná nejmíň.

[Mti.]

jiste ...nabidka, kterou nelze odmitnout. Teda, zatim ano, zatim mame jeste AMD.

[frdrx]

Jo a MasterCard mě taky nikdo používat nenutí. Můžu si přece svobodně zvolit VISU. Whoops... Pevně doufám, že AMD nebude v tomhle Intel následovat.

[marvn]

nojo, kde jsou ty casy, kdy ses po znenlibeni rezimu ocil ve vezeni, parkrat te zkopali do bezvedomi a pak popravili za vlastizradu...

[frdrx]

Tyhle časy skončily?

[Piškot]

Zajisté

[frdrx]

IMHO ne tak docela. Tu a tam se nějaká politická vražda odehraje i dneska, a to jak v Evropě, tak v Americe.

[Piškot]

Vážně ?

[frdrx]

Nemyslím dneska jako dnešní den, ale dneska jako v dnešní době. Ano, vážně, David Kelly, Litvinenko, Mahmud al-Mabhuh, Aziz al-Rantissi... Taky počkejme jak dopadne Bradley Manning a Assange.

[trekker.dk]

Ale to víš, že skončily. Dneska prostě jenom zmizíš.

[Sten]

Ano, skončily. Bylo to moc nápadné. Dneska se to řeší elegantněji ve jménu boje s terorizmem a dětským pornem (nechají vás mluvit a pohybovat se, jenom záhadně začnete přicházet o peníze a vaše texty se ocitnou na blacklistu).

[Nicky726]

Smutně trefné.

[frr]

Dal jsem si tu práci a přečetl jsem si odkazovaný článek (který opět jenom odkazoval na nějaký mluvený projev jakéhosi hlavouna z intelu) a taky komentáře pod odkazovaným článkem. V komentářích byl odkaz na Intelí WWW stránku o "anti-theft technology", která byla sice sama o sobě technicky vatová, ale obsahovala tenhle obrázek:
http://www.intel.com/Assets/Image/thumbnails/techrefresh-info-antitheftfull.gif

Co z obrázku plyne:

• Notebook se dá zamknout těmito způsoby:
  
  1. watchdogem
  2. (nejspíš) chassis intrusion switchem (jak jinak si vysvětlit "tampering")
  3. nastaveným počtem nesprávných loginů (ve Windows? Nebo v BIOSu?)
  4. serviskou pod Windows, která potají "volá domů" kdykoli má internetovou konektivitu (přes LAN, WiFi, nebo třeba 3G) - údajně i pomocí SMS, ale to mi přijde lehce přitažené za vlasy, protože poměrně hardwarově specifické pro použitý 3rd-party GSM mobil/modem (a to pořád mluvím o implementaci serviskou ve Windows).
• "Nastražit pastičku" lze pomocí nějakých administrativních kryptonástrojů, dělá to IT admin ve firmě pro své uživatele.
• Stejný admin je pak také schopen "zamčený" notebook znovu odemknout, ať už se zamknul v důsledku krádeže, nebo neobratnou manipulací ze strany právoplatného uživatele.

Ohledně zmínky že to "funguje i bez napájení": no jasně. Informaci o tom, že je notebook zamčený, lze uložit do CMOS NVRAM zálohované knoflíkovým článkem, nebo ještě líp do flashky - buď do hlavní BIOSové, nebo do přídavné 24C01 a spol. Takže vyndat hlavní akumulátor z notebooku je úplně k ničemu - až ho znovu zapnete, bude notebook pořád zamčený. Kdo se někdy pokoušel dostat přes banální administrátorské heslo v BIOSu třeba u noťasů Acer (neřku-li IBM), tak má určitě představu.

V obrázku se sice nikde nepíše Anti-Theft "3.0" (není udána verze), ale opravdu bych se dost divil, kdyby zrovna verze 3 znamenala "možnost odpálit procesor na dálku přes 3G síť i ve vypnutém stavu".

Že Intelí "Anti-Theft" technologie nějak souvisí s AMT, to mě nijak nepřekvapuje - i když popravdě řečeno by na tyto funkce stačil na dnešním základním hardwaru trochu upravený BIOS zejména ve spolupráci se serviskou pod Windows.
IPMI/AMT je obecně "počítač v počítači", který umí leccos zařídit i nezávisle na hlavním procesoru / čipsetu / operačním systému. Tenhle přídavný procesor (zvaný BMC) ale bývá poměrně slaboučký mikrořadič s miniaturní RAMkou a flashkou a přitroublým OS, možná v nejnovějších generacích už obsahuje dokonce plnohodnotný IP stack (dřív uměl víceméně parazitovat na síťovce a jel komplet přes UDP). Firmware BMC je vždycky nějaký základ od výrobce "BMC platformy", dosochaný výrobcem motherboardu. Od výrobce motherboardu pochází také klientská utilita pro "dálkové ovládání". Prakticky většinou oboje oplývá bugy různého druhu, a některé principielní nedostatky má samo IPMI, zejména v ranějších verzích. Open-source utility prakticky fungují pouze pro vybrané konkrétní značky hardwaru.
Tuším i bez přítomnosti BMC ("IPMI procesoru") jsou v moderních intelských platformách občas vidět výčnělky IPMI/AMT potrubí, například jako nefunkční menu v BIOSu, zapomenutá option ROMka, nebo otravný žlutý otazník v device manageru, pro který těžko hledáte ovladač, a když ho najdete, tak sice zalepíte tlamu otazníku, ale praktický užitek z toho žádný.
Základními funkcemi IPMI se zamontovaným BMC je zapnutí/vypnutí/reset na dálku, dále pak čtení HW monitoring senzorů, případně vzdálená sériová konzola (prasoprotokolem SoL nad UDP), v nejlepším případě i plnohodnotný "IP KVM" přenos v grafickém VGA režimu (ale ten umí spíš KVM karty, které mají IPMI jako vedlejší efekt).
Teoreticky to má být nezávislé na hostitelském OS, prakticky jsem před pár lety potkal případ, kdy v Linuxu po natažení ovladače e1000 a po aktivaci eth rozhraní přestal fungovat "parazitní komunikační kanál" BMC z dané síťovky.

Ovládat cosi v počítači na dálku, dokonce ve "vypnutém" stavu, na to vlastně ani nepotřebujete IPMI BMC. Zapnout na dálku počítač, na to stačí Wake On Lan, nebo telefonní modem na sériovém portu. Funkce WoL a IPMI/AMT BMC jsou napájeny "stand-by větví" napájení - u síťových ATX zdrojů "jede furt", nevím jak u notebooků (trvalý odběr řádově 0.5 - 3A na +5V by asi baterku rychle vymlátil).

Teoreticky bychom mohli spekulovat, že by se i ve "vypnutém stavu" dalo komunikovat s BMC přes nějaký GSM/GPRS/3G modem - ovšem muselo by oboje trvale běžet na "stand-by power" (z baterky? Chachachá a kromě toho je tu principielní problém, že způsobů jak připojit GSM/GPRS/3G modem k počítači je několik (232/USB/ETH), navíc by se tohle muselo multiplexovat mezi BMC a hostitelským systémem, a ovládání modemů má i v rámci relativního standardu drobné odchylky, které tuhle fičuru činí přinejmenším vázanou na konkrétní modely GSM modemů. Všimněte si, že Intel žádné GSM modemy nevyrábí. Podobně vyznívají případné úvahy o "WakeOnWifi" nebo něčem na ten způsob (ačkoli tady Intel má i svoje WiFi rádio).

Podle mého rozhodně nejde o to "zabít na dálku samotný procesor bez spolupráce dalších součástek okolo". Že by bylo GSM/GPRS/3G rádio zapečené na procesoru? To je halucinace, zapomeňte. Proč:
Vytvořit anténu na čipu? To snad ano. Ale bude skryta pod chladičem někde uvnitř plechové kastle počítače. Takhle v plastovém notebooku si vyrobit anténu na plošáku motherboardu - no snad by to šlo. Vytvořit rádiový front-end na čipu pohromadě s moderním procesorem? Nikdo to nikdy nerealizoval - skoro se mi chce hodně nahlas smát, akorát u Intelu jeden nikdy neví... Nejrozsáhlejší kus analogových obvodů na velkém čipu poblíž procesoru jsou integrované VGA RAMDAC v intelských GMCH. Intel nemá v oblasti GSM a spol. vůbec žádné know-how. Ale to není všecko. Provozovat na čipu hostitelského CPU vedle GSM radio front-endu ještě taky "GSM protocol stack"? Tady ta halucinace teprve vykvetla. A dokonce bez napájení? Zapomeňte úplně. I pokud by to jelo na stand-by power, pořád by musel čip procesoru obsahovat navíc jedno či několik MCU/DSP jader, která se normálně nacházejí v GSM modemech a telefonech. Spousta složitých obvodů a docela velká spotřeba (i když třeba mobil v pasivním stavu vydrží na malou baterku klidně přes 10 dní).

Suma sumárum mám trochu strach, že to bude zase jedna technologie, která sice není nijak zvlášť užitečná, zato skýtá potenciál k fatálním omylům.
Představte si, že některou z těch pastiček "sklapnete" omylem. Vzpomeňte si třeba, jak svého času konkrétní verze ovladače e1000e gumovala konfigurační EEPROMky na síťovkách (takže síťovky přestávaly fungovat, bylo třeba je flashnout utilitou od výrobce) - téhle varianty se bojím nejvíc, totiž že tu věc půjde odpálit úplně bezděčně nějakým irelevantním kusem softwaru.
Za druhé: určitě už jste taky potkali amatérské/domácí uživatele notebooků, kteří si zaheslovali vstup do BIOSu v dobré víře, že dělají něco pro bezpečnost svých dat, pak heslo zapomněli, a Vy jako údržbář hardwaru jste se pak do BIOSu nedokázali dostat, třeba kvůli změně boot device při zálohování OS apod.
Osobně jsem potkal uživalele (admina serveru), který si v BIOSu zapnul resetovací watchdog, nastavil ho na 1 minutu, a pak reklamoval server, že mu "v průběhu bootování Linuxu náhodně padá".

Neměly svůj vlastní "Anti-Theft" lepší značkové notebooky už dávno? To je fuk, prostě teď to budou mít šmahem všecky notebooky na bázi Intel Sandy Bridge... A těch bugů, co člověk vidí v BIOSech různých PC i u relativně triviálních funkcí... jaj, to bude zmatek.

[Dusan]

Píšem si nekupovať v žiadnom prípade sandybridge.

[Tomáš Bžatek]

A ja uz si na nej stradam penizky.

[frr]

Ono nebude tak zle, já se na ty procesory docela těším. Mohly by z toho vykvést zajímavé ultra-low-power kousky pro moji "průmyslovou" branži. Ta úvaha o zádrhelích s nezáměrným zamčením procesoru byla záměrně trochu přemrštěná. Prostě si myslím, že nebude tak zle, že si jako obvykle příroda nějak pomůže Chtěl jsem víceméně říct, že původní smysl zprávičky i odkazovaného zdroje je mimo mísu.

[gtz]

Jenže proč to vše cpát na chipset? Teoreticky by neměl být až tak velký problém dostat GSM/GPRS/3G modul do počítače. Lze použít třeba nějakou Mini-PCI kartu na které bude vlastní rádio modul. Nehledě na to, že podobné moduly jsou již v některých čínských tabletech aktivní a funkční. A zase když to dokážou číňani dát dohromady tak proč ne Intel. Třeba v NTB je spousta místa kam nacpat nějakou malou destičku atd.... Anténa by mohla být třeba ve víku LCD.

ale

Hlavní problém bych viděl v spojení rádia se světem. Bez karty je rádio mrtvým kusem železa, jistě mohlo by to být zadrátováno natvrdo pro nějakého operátora (brrrrr.... Matrix), ale to je myslím hodně velká utopie...

Však některé netbooky již měly integrovaný 3G/GPRS modul. Třeba nějaký Acer Aspire to měl.

[frr]

Ano, na to jsem zapomněl: "kam se bude strkat SIMka"

[gtz]

všechny tablety i netbooky co to mají tak tyto všechny funkce jsou podporovány systémem (sakra, že by tam nebyl nějaký back-door v M$ bazmeku :):) ), tedy Pin/SMS atd. ,ale nesmíme zapomínat na to, že telefony umí komunikovat v tísňovém režimu bez SIM. Představ si, že se nějaká organizace domluví s nadnárodním operátorem (třeba v akci boj proti terorismu nebo proti potírání DP apod.) a zřídí nějaké spešl číslo přes které tyto udělátka budou komunikovat.... Sakra kam až jsem se dostal ... zase samý Matrix., ale řekni je to nemožné? Zase na druhou stranu by neměl být až tak velký problém zjistit zda z NTB něco neleze ven.

[luu]

Prakticke využití to má,tim reaguji na některe posty výše - existují baličky intelvpro module powershell momentalně ve verzi dva - misto vypisovaní se stačí podivat jak se s nimi pracuje,kdo ma PS může si spustit help k nim.IntelVpro+AMT+powershell.

[luu]

zajimalo by mně jestli tady z těch x lidí co reagovali vi někdo co je AMT,tim myslim vic než přečtení člankku,ten tady jeden jediný člověk zběžně proletl, popřipadě zná jeden jediný přikaz.Podle reakcí ne Podle toho dopadly přispěvky.

[omg]

tak je pravda, ze za posledni 4 roky jsem nevidel jediny carrier class hardware, ktery by mel funkcni bezchybnou IPMI implementaci :) takze od tohodle pracky pryc jeste dvakrat tak rychleji.

[pc2005]

Ble humus, už se fakt těším na ruletní vir hrající s uživatelem o procesor.

BTW něco podobnýho tuším maj japonci, kde si může uživatel smazat (?) disk v notebooku přes SMS.

[petka]

Vim ze funguje obycejna zarivka , fluorescencni material v trubici se rozsviti jakmile je v blizkosti nejaky vf signal . Na skole nam vypravel ze si takhle svitil jeden ucitel kdyz obchazel jeden vysilac .

[pc2005]

Samozřejmě, třeba u tesláku. Tak svítí zářivka poměrně slabě do vzdálenosti stěží 1m a teslák odebírá tak > 100W. Žárovičku to jen nažhaví a to se ještě musí tesláka přímo dotýkat.

Možnost, že by šel takhle odpálit procesor po GSM (tam je limit tuším 30km od vysílače) je prakticky nulová.