Bezpečnostní problém INTEL-SA-00086 v Intel ME/SPS/TXE (diskuse)

[xkucf03]

Nemělo by to být klasifikované ze strany Intelu jako Obecné ohrožení? A tím nemyslím to, že udělali nějakou bezpečnostní chybu, ale samotný návrh a zavedení těchto technologií?

Obecné ohrožení podle § 272–273 trestního zákoníku je trestný čin, jehož se dopustí pachatel, který úmyslně (§ 272) nebo z nedbalosti (§ 273) vydá lidi v nebezpečí smrti nebo těžké újmy na zdraví nebo cizí majetek v nebezpečí škody velkého rozsahu tím, že způsobí požár nebo povodeň nebo škodlivý účinek výbušnin, plynu, elektřiny nebo jiných podobně nebezpečných látek nebo sil nebo se dopustí jiného podobného nebezpečného jednání (obecné nebezpečí), případně obecné nebezpečí zvýší anebo ztíží jeho odvrácení nebo zmírnění.

[Sten]

Nemyslím si. Jednak škoda velkého rozsahu je nejméně 5 milionů korun, což asi málokomu bude hrozit, ale hlavně to neodpovídá definici obecného nebezpečí, protože nejde o jednání, ale o opomenutí.

[Luboš Doležel (Doli)]

Opomenutí = nedbalost.

[Tomáš Roll]

Nejde o to, že opomněli opravit nějakou chybu (i když i to je nedbalost, která je trestná), ale o to, že takto nebezpečnou a škodlivou technologii rozšířili na většinu počítačů a nedali lidem možnost se toho svinstva zbavit. V podstatě si kupuješ počítač/procesor, který te záměrně nebude poslouchat a obsahuje trojského koně.

Co se týče škody, na to stačí třeba deset firem o sto lidech, kteří nemohli den pracovat - to máš hned. A těch ohrožených firem a lidí je o několik řádů víc a škoda není zdaleka jen to, ze nebudou moci pracovat, ale to, že někdo ukradne nebo naopak pozmění jejich data - např. přepsané záznamy v bankovních systémech, vyzrazené zdravotní záznamy, firemní strategie a plány nových výrobků, důvěrná data uživatelů, kteří te za to můžou žalovat atd. atd. Ohrožuje to celá odvětví a celé státy.

Za tohle by lidi z Intelu měli jít před soud. Bohužel mám obavu, ze tuhle technologii vyvíjeli s vědomím a možná i na zakázku amerických tajných služeb, takže americká vláda/soudy budou chtít Intel krýt.

[ed]

Je mi jasne, ze pravne by to bola tahanica na dlhe lakte s extremne neistym vysledkom, ale samotny konstrukt tvrdenia, ze nieco bude bezpecne preto, ze autor si mysli, ze sa k tomu neda dostat je v zarodku zly. Co je podla mna dost na klasifikovanie cinu ako nedbalosti.

A staci tym skusit znefunkcnit riadiaci system elektrarne, ktora sice v konecnom dosledku bude bezat na nejakom PLCcku, ktore ale bude widlou masinou kontrolovane a skodu 5 milionov mate nasekanu za pol hodky s prehladom aj s prstom v zadku.

[BigBoss]

To plati jen kdyz ohrozujes necim, co zrovna neni v kurzu...proto je to napsano tak obecne, aby byl obvinitelny kazdy. Samozrejme to plati jen pro chude:)

Pozvi sem 100 lidi z afriky ze statu kde ma AIDS 20%-50% populace a nestane se ti vubec nic.

[mica]

Pozvi sem 100 lidi z afriky ze statu kde ma AIDS 20%-50% populace a nestane se ti vubec nic.

Trapné.

[Tomáš Roll]

Bohužel ma pravdu

[Conscript89]

Priklad kdy by to byla pravda?

[BigBoss]

Verejna data si mzete najit sam, neni to nijak slozite: https://www.avert.org/professionals/hiv-around-world/sub-saharan-africa/lesotho

Ve skutecnosti je nakazenych mnohem vice, jen malokdo se slabou imunitou v centralni africe dostane vysetreni na HIV/AIDS.

Stejne jako u nas je pocet skutecne nakazenych a vysetrenych rozdilny. Narozdil od napriklad tuberkulozy se o nemoci HIV/AIDS neinformuji partneri, blizci ani rodina kvuli mozne nakaze.

[Conscript89]

A jak to souvisi s timto?

Pozvi sem 100 lidi z afriky ze statu kde ma AIDS 20%-50% populace a nestane se ti vubec nic.

[Kate]

Já hlavně nevím proč by se někomu mělo něco stát když si sem pozve nějaké lidi.

[Conscript89]

Ja to cely nejak nechapu :)

[Conscript89]

Jenom jsem chtel vedet o jaky pripad jde kdyz byl zminen, abych si mohl dohledat kontext a udelat pripadne zaver.

[mankind_boost]

Vědomé obecné ohrožení :)

[xkucf03]

Např. Merkelovou už zavřeli? A to do Německa pozvala mnohem víc nebezpečných lidí.

[666]

merklova nikoho nikam nepozvala, pitomio

[Michal]

Kdyby se to vykladalo tak, jak si to predstavujes, tak by bylo za mrizemi tolik lidi, ze by je ti venku neuzivili :-p

[xkucf03]

A co rozporuješ? Výši a rozsah škod? Nebo že nešlo ani o úmysl ani o nedbalost? Nebo způsob provedení (sice to není výbušnina nebo plyn, ale zákon explicitně uvádí, že může jít i o jiné síly, jednání nebo obecně nebezpečí)?

Osobně jsem proti preventivním trestům, ale současný zákon nikoli – a soud by měl postupovat podle něj. A i když nebudeme brát v úvahu preventivní trest, tak stačí počkat do napadení první banky, nemocnice, elektrárny… nebo většího počtu uživatelů a pak už nebude pochyb, že se jedná o velmi nebezpečné a škodlivé jednání a Intel by měl jít před soud, zodpovědní lidé z Intelu natvrdo do vězení a firma by měla dostat takovou pokutu, že by se to rovnalo znárodnění – pak by to šlo všechno vydat jako svobodný software a hardware a zbytek firmy prodat.

[deda.jabko]

Libi se mi tvuj pruzny pristup k zakonum.

Osobně jsem proti preventivním trestům, ale současný zákon nikoli – a soud by měl postupovat podle něj.

V soubezne diskuzi se dozadujes toho, aby nektere trestne ciny (kraceni dane) byly ignorovany, protoze ke skode vlastne nedoslo, a tady pozadujes likvidacni trest, pricemz k neci ujme vlastne nedoslo.

a firma by měla dostat takovou pokutu, že by se to rovnalo znárodnění

Tak za prve, likvidacni pokuty nas stat zakazuje.

pak by to šlo všechno vydat jako svobodný software a hardware a zbytek firmy prodat.

Za druhe, nechce se mi verit, ze zrovna ty, ktery pomalu stavis majetkova prava na uroven lidskych, se dozadujes znarodneni firmy. Tvuj navrh v podstate rika, dame jim mastnou pokutu, ukradneme jednotlivym akcionarum Intel, a rozdame jeho intelektualni vlastnictvi vsem, zbytek prodame a s vytezkem si udelame, co chcem. Na takove napady by nemeli zaludek snad ani mladi komunisti.

[666]

ja bych rekl, ze na ty mlade (neo)komununisty to prave sedi...

[xkucf03]

nektere trestne ciny (kraceni dane) byly ignorovany, protoze ke skode vlastne nedoslo

Tohle snad někde píšu?

Že dokážu nějaké jednání lidsky pochopit a v některých případech možná omluvit a že ty lidi nepovažuji za úplný odpad společnosti, ještě neznamená, že bych chtěl, aby to jednání bylo legální anebo obecně tolerované. Mám na to podobný názor jako na (softwarové) pirátství – je to špatné a když se na takový případ přijde, měl by být potrestán. Ale otázka je, jak moc úsilí bychom měli na odhalení takových případů věnovat a jak moc bychom toho měli obětovat. A tady si myslím, že ekonomické zájmy nebo snaha o „efektivitu“ nemůžou mít přednost před lidskými právy jako je svoboda a soukromí.

Další věc je, že by si stát měl nejdřív zamést před vlastním prahem, měl by být vzorem a měl by dobře hospodařit se společnými prostředky, které občanům spravuje.

[Jendа]

ani o nedbalost

Sem bych se fakt nerad dostal -- napíšu svobodný software, zveřejním ho, bude v něm chyba, někdo přijde o data, a já z toho budu mít problémy. Jistě, v GPL je, že je to bez jakýchkoli záruk - ale to v těch papírech co člověk dostane k procesoru většinou taky, ne?

[xkucf03]

U svobodného softwaru je zásadní rozdíl v tom, že uživatel dovnitř vidí, má možnost zkoumat, jak to uvnitř funguje a má možnost to změnit. Můžeš si smazat nebo zakomentovat část, která se ti nelíbí, můžeš si třeba odinstalovat SSH¹ server z GNU/Linux distribuce, pokud ho považuješ za bezpečnostní riziko, stejně jako jakýkoli jiný síťový software. Kromě toho máš spousty dalších distribucí – a nějaká ti pravděpodobně bude vyhovovat i ve výchozím stavu. Ale co můžeš dělat s děravým procesorem?

_{[1] nemluvě o tom, že většinou ve výchozím stavu ani nainstalovaný nebývá}

[xkucf03]

Hlavně je chyba, že se to řeší až zpětně. Přitom o škodlivosti této technologie se ví už dlouho. Intel měl od státu dostat varování ve stylu: vyvíjíte a šíříte potenciálně hodně nebezpečnou technologii, která může napáchat obrovské škody, a vzhledem k vašemu tržnímu postavení by to bylo považování za obecné ohrožení a škodu velkého rozsahu; pokud tuto odpovědnost nechcete nést, dodávejte procesory, nikoli komplexní a netransparentní špionážní zařízení, a pokud taková technologie má existovat tak musí být plně otevřená nebo musí jít alespoň prokazatelně vypnout.

Kdybych si na Václaváku zaparkoval cisternu s benzínem a hrál si poblíž se zapalovačem, tak mě za obecné ohrožení seberou a stát mi v mojí činnosti zabrání. A to jsem přitom nezpůsobil žádnou škodu, nikomu jsem neublížil. Jak jsem psal, jsem proti preventivním trestům a zastávám názor, že člověk by měl být odpovědný za to, co udělal, nikoli za to, co mohl udělat. Nicméně v současném právním řádu to funguje jinak a preventivní tresty a opatření tam jsou (na úkor svobody) a stávající soudy by měly pracovat podle současných zákonů. Proto by mi přišlo adekvátní v tomto právním řádu soudit Intel za obecné ohrožení (a to už dávno před tím, než by došlo k prvnímu zneužití dané technologie). Problém je zřejmě v tom, že vybuchující cisternu s benzínem si dokáže představit každý, ale že mají děravý procesor si lidé neuvědomují a nechápou následky.

[pc2005]

What is good for cocac^H^H^H^H^H intel is good for the state.

Tak já nevím lidi si přece intel procesory kupujou furt a když někdo přijde třeba s Talos (nebo aspoň s nějakým ARMem), tak prej moc drahý nebo pomalý.

[kralyk z abclinuxu]

Njn neviditelná noha trhu to jako obvykle zdupe...

[pc2005]

Vždycky když zavedli nižší ring, tak pak museli zavádět ještě nižší po tom, co v něm někdo napsal rootkit. To by pak byla celá x86 architektura jako obecné ohrožení.

Když budeš mít lowlevel kontrolu na HW (třeba JTAG), tak naboříš téměř libovolný procesor.

[kralyk z abclinuxu]

Vždycky když zavedli nižší ring, tak pak museli zavádět ještě nižší po tom, co v něm někdo napsal rootkit.

Turtles all the way down?

[pc2005]

[Ovoce]

Není tohle právě použití JTAGu (přes USB)?

[pc2005]

Shrnutí na té intel stránce obsahuje:

Multiple buffer overflows

Ale jinak souhlas, ale i JTAG se dá permanentně zablokovat třeba odpálením efuse. Zatím jsem to teda neviděl/neměl v ruce.

[xkucf03]

A co by bylo špatné na jednoduchém (což neznamená nevýkoném) procesoru, na kterém běží jen (!) to, co tam majitel počítače chce mít? Tzn. první program se zavede z vyhrazené flash paměti (pro jejíž přepis je nutný fyzický přístup) a zbytek už si řeší majitel počítače, který to může delegovat na dodavatele softwaru (distribuci).

Situaci, kdy na tvém počítači běží netriviální software, který nemáš pod kontrolou a u kterého nevíš, co dělá a může pracovat proti tobě… prostě považuji za principiálně špatnou. Zvlášť když ten software umožňuje vzdálený přístup.

[pc2005]

Však já souhlasím taky, já jen říkám že celá x86 architektura vznikla na opačném principu a to tím, že nalepovali další a další rozšíření a módy.

[Michal]

Na fyzickou bezpečnost nelze spoléhat zejména u notebooků ale i jinde je to problém.

Když jsme vypisovali výběrové řízení na notebooky tak funkční TXE a TPM bylo hned prvním bodem a nejdůležitějším požadavkem.

[xkucf03]

Pokud má někdo fyzický přístup k tvému HW, tak máš prostě smůlu – útočník ti může třeba vyměnit tvůj služební notebook za jiný exemplář téhož modelu a ty nic nepoznáš. Nebo může vyměnit jen základní desku, a pak bude notebook vypadat úplně přesně stejně včetně opotřebení, škrábanců, otisků prstů…

Abys takovému útoku předešel, nestačí, abys ty prokazoval svoji identitu počítači (např. zadáním hesla), ale aby počítač prokázal svoji identitu tobě a dokázal, že jeho integrita nebyla narušena – např. tím, že něco vypíše na obrazovku, ty si to v hlavě vyhodnotíš a poznáš, jestli sedíš u svého počítače a můžeš mu věřit… Ale jak to udělat, aby to útočník nemohl okopírovat a zároveň si to uživatel dokázal vyhodnotit?

Nakonec dojdeš k tomu, že bys musel mít nějaké HW zařízení, které nikdy nedáš z ruky, a které ověří, že je to ten správný notebook a že nebyl narušen… Ale i tak ti útočník může napíchnout LCD panel nebo spínače v klávesnici… takže to nemá smysl. To leda že by byl zatavený v nějakém obalu a po jeho porušení by vybuchl – podobně jako jsou chráněné některé čipové karty nebo tokeny – aby muselo by se to vztahovat na celý počítač. Proto bych dal přednost jednoduššímu hardwaru bez trojských koní v procesoru, které přinášejí víc rizik než užitku. A hlavně bych ctil zásadu, že každá komponenta má dělat jednu věc a má ji dělat dobře – takže procesor má poskytovat hrubý výpočetní výkon – a pokud chci přidat nějaké zabezpečení na úrovni HW, tak přidám další komponentu, klidně to pak zatavím do pryskyřice a dám tam pojistku, která součástky (paměť) zničí při porušení obalu… ale jen pokud takový produkt budu potřebovat – jinak chci mít možnost si koupit samotný procesor.

[kralyk z abclinuxu]

A co by bylo špatné na jednoduchém (což neznamená nevýkoném) procesoru

Obávám se, že jednoduchý CPU znamená v podstatě nevýkonný CPU. Ale samozřejmě závisí na definici toho "jednoduchý".

Situaci, kdy na tvém počítači běží netriviální software, který nemáš pod kontrolou a u kterého nevíš, co dělá a může pracovat proti tobě… prostě považuji za principiálně špatnou. Zvlášť když ten software umožňuje vzdálený přístup.

*kyselý úsměv*

Tohle je snad celkem zřejmé, ne? Myslim si, že situaci za principielně špatnou tady považuje většina lidí a asi i víceméně všichni máme představu, jak by to mělo být lépe. Možná se neshodnem na nějakých implementačním detailech, ale to není podstané. Nepřijde mi moc konstruktivní se dohadovat o tom, jak moc je současná situace špatně nebo jaká by bývala měla být, aby to bývalo bylo principielně správně.

Situace je prostě taková jaká je, takže by mě spíše zajímalo, co s ní můžeme v téhle chvíli reálně dělat. Nápady?

[xkucf03]

Obávám se, že jednoduchý CPU znamená v podstatě nevýkonný CPU. Ale samozřejmě závisí na definici toho "jednoduchý".

Tím „jednoduchý“ jsem myslel to, že bude poskytovat výpočetní výkon a nebude na sobě mít nalepené nesouvisející komponenty a řešit jiné věci. Ale pokud chápeš jednoduchost ve smyslu instrukční sady – RISC vs. CISC – tak RISC rozhodně nemusí být nevýkonný.

Situace je prostě taková jaká je, takže by mě spíše zajímalo, co s ní můžeme v téhle chvíli reálně dělat. Nápady?

Některá bojová umění jsou založená na tom, že využívají sílu protivníka ve vlastní prospěch… Někdo by mohl přes děravé procesory napadnout řadu firem a zveřejnit jejich proprietární tajemství. Třeba takové informace o FPGA nebo výrobě čipů by byly zajímavé… Podobně by šlo napadnout i řadu vládních počítačů. To by zase mohlo odstavit od moci řadu politiků (a šedých eminencí), kteří občanům škodí, místo aby je zastupovali. Různé nekalé dohody mezi korporacemi nebo korporacemi a vládami by taky zasloužily zveřejnit.

[Michal]

Podle této logiky by každý, kdo commitnul do jádra linuxu bug nebo regresi, který způsobil škodu (každý objevený bug tak nějak z principu způsobil nějakou škodu protože ho někdo musel nahlásit a tím přišel o čas) a všichni v Signed-off-by řetězci takového commitu, způsobili obecné ohroženi. To se děje pořád takže by skoro všichni bručeli.

Podle náznaků se při zneužití používá tak šílená série souběhu vlastností procesoru, že to už snad ani opomenutím nazvat nelze.

[xkucf03]

Viz #27. Rozdíl je v té transparentnosti. V případě svobodného softwaru dáváš uživateli všechny možnosti a prostředky k tomu, aby věděl, co se na jeho počítači děje a mohl¹ to ovlivnit. Kdežto u proprietárního softwaru a hardwaru je to přesně naopak – to je maximálně netransparentní, je tam snaha bránit uživateli/majiteli, aby nakládal se svým počítačem a daty podle svého – k tomu se používají jak technické, tak právní a jiné prostředky (vyhrožování soudem, dohody s dalšími firmami atd.).

Pokud budeš např. nemocný nebo zraněný a doktor tě připojí na nějaký přístroj a bude ti dávat nějaké prášky, tak ty nevíš, co ten přístroj dělá, co se děje uvnitř a nevíš, co obsahují ty tablety a nemůžeš zhodnotit, jaké na tebe budou mít účinky – zbývá ti jen větřit tomu doktorovi. A je to jeho odpovědnost, abys to přežil a tvůj stav se zlepšil. Naopak když si nakoupíš nějaké chemikálie a součástky a budeš se doma léčit sám, tak je to tvoje věc, tvoje odpovědnost – nikoli obchodníka s chemikáliemi nebo součástkami.

Intel se rozhodl, že místo jednoduchých transparentních součástek, které si uživatel poskládá podle svého, bude dodávat komplexní systém s mnoha funkcemi zabalený do nedělitelného celku (včetně těch funkcí/vlastností, o které zákazník nestojí) a tím na sebe dobrovolně vzal tu odpovědnost – on teď nese vinu za to, co se posralo a posere – protože jen on má proprietární znalosti a různé klíče k tomu, aby věděl, co se děje uvnitř a mohl to ovlivnit.

Proprietární software a hardware je často navržen vyloženě zákeřně – má vlastnosti, o kterých výrobce zákazníkovi neříká nebo které by zákazník nečekal, protože je to v rozporu s obecnými zvyklostmi a zavedenou praxí – např. od tiskárny by člověk čekal, že vytiskne, co do ní pošlu, a ne že bude papír, který přes ni projde neviditelně označovat, aby vyzradila identitu uživatele. A od procesoru by člověk čekal, že bude poskytovat čistý výpočetní výkon, ne že v sobě bude obsahovat další počítač, který bude sloužit jako zadní vrátka do mého počítače.

_{[1] což samozřejmě nemusí dělat sám, může to delegovat na dodavatele dle své volby}

[Jendа]

OK, asi máš pravdu. Zní to rozumně.

protože je to v rozporu s obecnými zvyklostmi a zavedenou praxí

Právě že dneska, když je DRM úplně všude, je zavedená praxe jasná…

[pc2005]

No ale jediné dvě možnosti jak to změnit je buď překecat kupující ať přestanou kupovat Intel a nebo udělat regulaci (pravděpodobně na úrovni EU, na ČR samotné by se intel vykašlal).

A od procesoru by člověk čekal, že bude poskytovat čistý výpočetní výkon

A to sis všiml teprve teď? Vždyť Intel zamyká násobič taktu už od pentia II (a pokud máš desku co neumí rychlejší FSB, tak ten koupený výpočetní výkon nevyužiješ). Dále mění zbytečně sockety, někdy i jen pinouty. Dává umělá omezení na podporovanou velikost RAM a/nebo podporu ECC. Nedodává otevřené drivery pro GPU (byť najmuté jádro od PowerVR (?), ale i tak). A lidem to doteď vesměs nevadilo.

[Michal]

Nevím, zda tenhle argument zcela obstojí. Kdybych chtěl v praxi uplatnit to "vědění" a "možnost" v případě jádra tak vysolím nějaké firmě miliony $ za kompletní audit. A ještě bych ji musel věřit a doufat, že nic nezanedbá. Informace by byla platná do příštího updatu kernelu. Za těchto okolností je celá transparentnost konstruktem čistě filosoficko-teoretickým.

Security by obscurity je naprd. U softu, který se špatně updatuje je to menší zlo. Tím větším by bylo, kdyby se taková chyba s přispěním přístupu ke zdrojákům objevila každý kvartál.

[xkucf03]

To máš jako kdybys říkal, že státní rozpočet nemusí být veřejný, protože občan si tu spoustu čísel stejně nedokáže zanalyzovat a nějak smysluplně vyhodnotit. Takže by mohlo být všechno tajné a za co stát utrácí můžou vědět jen politici.

[Michal]

To přirovnání by muselo mít nožek jako stonožka aby se našla alespoň jediná, na kterou nekulhá.

[Spitzbube]

Tak šup, podat trestní oznámení není tak těžké, na co čekáš...

[Koulemjdoucí]

Zajímalo by mě jak se k tomu postaví, viz

https://mobil.idnes.cz/nemecko-konec-hodinky-pro-deti-del-/mob_tech.aspx?c=A171120_121239_mob_tech_oma

Zákaz používání postiženého HW bez záplaty a/nebo povinnost zničit HW, u kterého výrobce opravu nevydá, by u Intel CPU byl docela zajímavý ;)

[pc2005]

Nevypadá to, že by to položilo nějak moc výrobců "hraček".

[Petr Tomášek]

co's hulil?

[pc2005]

Po několikahodinové analýze tvého vysoceobsažněho dotazu jsem usoudil, že jediná smysluplná kritika z tvé strany by mohla být k tomu, že jsem reagoval odkazem na text o zařízení, co umožňuje hrubý zásah do soukromí na komentář s odkazem na text o zařízení, co umožňuje hrubý zásah do soukromí.

No a pokud v případě IoT sexuální pomůcky výrobce kvůli provalenému odposlouchávání nezkrachuje (a BT je obecně děravý už ve specifikaci). Tak si myslím, že ani Intel to nepoloží.

[pc2005]

BTW zajímavý že německu tolik vadí chytré hodinky ale to, že je odposlouchávala NSA zametli víceméně pod koberec .

Mě by ale hlavně zajímalo, jestli chtěj každý dítě při vstupu do školy prohledat zda nemá štěnici. To mě přijde trochu dystopický. Ale nejvíc absurdní mě přijde rodič, co ho napadlo, že by bylo dobré tu štěnici pro dítě koupit o_O. (jako ve smyslu, že hledání štěnice ve škole bude ten nejmenší systémový problém)