英特尔管理引擎

英特尔管理引擎（英語：，縮寫IME），是英特尔芯片组的子系统，自2008年后发布的所有英特尔晶片組都进行了集成。英特尔主动管理技术（AMT）是英特爾管理引擎的一部分，用于实现電腦的远程管理，系统管理员可以用AMT控制开关電源，还可以绕过操作系统进行远程操作。[1][2]

x86的权限环。 ME通俗地被归类为环-3，权限在系统管理模式（环-2）和系统监管程序（环-1）之下，它们一同运行在比内核更高的特权级别（环-0）之下

英特尔主動管理技術从主板获得供电，只要有接通的电源，即使电脑处于关机状态也可以使用。它是高价值的攻击目标，可以通过它获得设备的最高访问权限并完全绕过操作系统。[3]

英特尔没有提供大多数关于引擎的信息，因此被猜测在引擎中植入了后门。电子前哨基金会表示了对英特尔管理引擎的忧虑。[4]

英特尔管理引擎经常与英特尔主动管理技术混淆。主动管理技术基于管理引擎，但仅适用于有Intel vPro的電腦，使计算机拥有者能够远程管理他们的机器。[5]然而自2008年以来，管理引擎就被嵌入到所有英特尔芯片组中，而不仅仅是可以使用主动管理技术的芯片组。[6]用户可以选择不激活AMT，但没有官方支持的方式来禁用ME。[7]

AMD处理器有类似的功能，称为AMD Secure Technology。

设计

英特尔管理引擎的功能主要由在独立微处理器上的专有固件实现，只要芯片组接通电源就会开始运行。英特尔表示硬件需要管理引擎才能发挥完整性能。[6]引擎的具体细节没有公开文档，其代码也使用霍夫曼编码进行硬件级混淆。[8]

硬件

从11.x版开始，管理引擎的微处理器基于Quark x86，并使用SPI闪存存储配置状态。此前的版本使用ARC处理器，随着硬件迭代从ARCTangent-A4迁移到更新的ARCompact，还可以执行经过签名的Java Applet。

管理引擎有独自的IP地址和MAC地址，可以直接访问网卡。通过MCTP协议，管理引擎可以在网络流量到达操作系统前进行拦截。管理引擎同时也通过PCI接口和主机交互，在Linux上的设备文件为/dev/mei。

在Nehalem微架构之前，管理引擎一般集成在主板的北桥。此后的架构中则集成在平台路径控制器。

固件

按照英特尔2017年的术语体系，ME是几个为融合安全和可管理引擎（CSME，Converged Security and Manageability Engine）而生的固件之一。在AMT 11之前的版本，CSME被称为英特尔管理引擎BIOS扩展（Intel MEBx，Intel Management Engine BIOS Extension）。

依据俄罗斯公司Positive Technologies的发现，11.x版的管理引擎固件使用MINIX操作系统。[9]

安全漏洞

英特尔管理引擎已被发现多个安全漏洞，涵盖的分类包括破坏引擎功能[9]、远程提权[10]、远程代码执行[11]。其中2017年11月确认的严重漏洞SA-00086，甚至能在主动管理技术没有激活的情况下被利用。[12]

后门忧虑

隐私保护组织和信息安全专家表达了对管理引擎的忧虑[13][14]，特别是引擎可以绕过系统不留痕迹地访问硬件的能力，被认为可以被当作后门利用。[15]

英特尔回应称“英特尔不在产品中设置后门，英特尔的产品也不会在终端用户明确许可之外的情况让英特尔获得控制或访问权”[16]，以及“英特尔没有也不会在产品中设计后门。最近声称其他情况的报道受到了误导，明显不属实。英特尔不参与任何试图减弱英特尔技术安全性的活动。”[17]

对管理引擎的批评指出，NSA的2013年预算请求中有一项SIGINT辅助计划，目的为“向商业加密系统、信息系统、……中植入漏洞”。在此影响下，英特尔管理引擎和AMD Secure Technology都被猜测是此计划的一部分。[18]

参考文献
  1. . Intel. [2017-12-31]. （原始内容存档于2019-02-21）.
  2. . Intel. [2017-12-31]. （原始内容存档于2016-08-05）.
  3. . www.blackhat.com. [2019-04-11].
  4. Portnoy, Erica; Eckersley, Peter. . May 8, 2017 [2017-12-31]. （原始内容存档于2017-05-08）.
  5. Wallen, Jack. . July 1, 2016 [2017-12-31]. （原始内容存档于2016-07-02）.
  6. . [2017-12-31]. （原始内容存档于2017-11-08）. Built into many Intel® Chipset–based platforms is a small, low-power computer subsystem called the Intel® Management Engine (Intel® ME).
  7. https://libreboot.org/faq.html#amd
  8. . io.netgarage.org. [2019-04-11].
  9. Research, Author Positive. . [2019-04-11]. （原始内容存档于2017-08-28）.
  10. . Intel. [2019-04-11] （英语）.
  11. Williams, Chris. . www.theregister.co.uk. [2019-04-11]. （原始内容存档于2017-05-01） （英语）.
  12. at 16:30, Thomas Claburn in San Francisco 6 Dec 2017. . www.theregister.co.uk. [2019-04-11] （英语）.
  13. Eckersley, Erica Portnoy and Peter. . Electronic Frontier Foundation. 2017-05-08 [2019-04-11]. （原始内容存档于2017-05-08） （英语）.
  14. Cimpanu, Catalin. . softpedia. [2019-04-11] （英语）.
  15. July 1, Jack Wallen in Security on. . TechRepublic. [2019-04-11]. （原始内容存档于2016-07-02） （英语）.
  16. July 1, Jack Wallen in Security on. . TechRepublic. [2019-04-11]. （原始内容存档于2016-07-02） （英语）.
  17. at 00:12, Thomas Claburn in San Francisco 29 Aug 2017. . www.theregister.co.uk. [2019-04-11] （英语）.
  18. . Heise Magazine. [2019-04-11] （德语）.
This article is issued from Wikipedia. The text is licensed under Creative Commons - Attribution - Sharealike. Additional terms may apply for the media files.