Abo
  • Services:
Anzeige
Die Intel ME ist auf fast allen aktuellen CPUs angreifbar.
Die Intel ME ist auf fast allen aktuellen CPUs angreifbar. (Bild: Martin Wolf/Golem.de)

Firmware: Intel will ME-Downgrade-Attacken in Hardware verhindern

Die Intel ME ist auf fast allen aktuellen CPUs angreifbar.
Die Intel ME ist auf fast allen aktuellen CPUs angreifbar. (Bild: Martin Wolf/Golem.de)

Als Reaktion auf die öffentlich bekannten Lücken in Intels Management Engine (ME) will Intel das Ausnutzen derartiger Lücken künftig erschweren. Dazu sollen in den kommenden Hardware- und ME-Generationen Downgrades in der Firmware verhindert werden. Das hilft wohl aber nicht immer.

In einem sogenannten Technical Advisory (TA) an seine OEM-Partner verweist Chip-Hersteller Intel auf eine Möglichkeit, wie künftig Downgrade-Angriffe auf die Management Engine (ME) durch spezielle Hardware verhindert werden sollen. Das vergleichsweise sehr kurz gehaltene und eigentlich als vertraulich bezeichnete TA steht auf Github (PDF) über die Community des Werkzeuges ME-Cleaner bereit. Darauf weist das britische Magazin The Register hin.

Anzeige

Diese Ankündigung ist offensichtlich eine Reaktion auf die in diesem Jahr gefundenen Lücken und Angriffe des Teams von Positive Technologies in der ME. Diese Erkenntnisse sind per Reverse Engineering aufgefunden worden und umfassen etwa die Information, dass Intels ME auf dem Betriebssystem Minix basiert oder dass die Firmware-Komponenten komplett übernommen werden kann.

Besonders gravierend ist dabei der auf der Black Hat Europe vorgestellte und vorher angekündigte Angriff in dem Boot-Up-Modul (Bup), wogegen auch das Deaktivieren der ME-Laufzeitkomponenten keine Abhilfe schafft. Intel hat diese Lücken bestätigt und stellt seinen Partnern Updates dafür bereit.

Darüber hinaus gibt es laut dem TA von Intel in den ME-Versionen 8 bis 11 trotz aller integrierten Schutzmaßnahmen immer die Möglichkeit, physisch mit einem speziellen Werkzeug (SPI Flash Programmer) die vorhandene ME-Version auf dem Rechner auf eine alte Version zurückzustellen. Das heißt, selbst wenn Firmware-Updates der OEM-Hersteller für die aktuell bekannten Lücken in der ME vorhanden sind und diese eingespielt werden, können Angreifer die ME-Version eines Rechners zurückspielen und entsprechend verwundbare Versionen ausnutzen.

Hardware-Absicherung gegen Downgrade

Gegen dieses Vorgehen will Intel nun mit Absicherungen in der Hardware vorgehen. Mit der kommenden Version 12 der Intel ME sollen die Sicherheitsversionsnummern (SVN) der ME bei jedem Update in einer Field Programmable Fuse (FPF) gespeichert werden. Jene Hardware-Bausteine lassen sich nur exakt einmal beschreiben. Die ME soll dann beim Boot ihre Versionsnummer mit jener SVN vergleichen, die in einer FPF gespeichert ist. Ist die Version der eingespielten ME älter als die in der Hardware gespeicherten SVN, soll die ME den Start verweigern. Beheben lässt sich dieses Verhalten nur durch das Einbringen einer neueren ME-Version per SPI Flash Programmer.

Möglich werden soll die Nutzung dieser Hardware-Sicherheitsfunktion ab der ME-Version 12 für Intels Cannon-Lake- und Coffee-Lake-Plattformen. Diese Funktion selbst wird wiederum ebenfalls über eine FPF dauerhaft aktiviert. Letzteres müssen die OEM-Partner von Intel jedoch aktiv unterstützen. Dieses Vorgehen wird von Intel zwar standardmäßig als "sehr empfehlenswert" bezeichnet, ist in den von Intel selbst bereitgestellten Werkzeugen für die ME-Programmierung bisher jedoch noch deaktiviert.

Mit künftigen Veröffentlichungen von Intels ME-Werkzeugen für seine OEM-Partner könnte die Funktion für Coffee Lake und Cannon Lake allerdings standardmäßig aktiviert werden, so dass die Firmware dann gegen Rollbacks geschützt wäre. Ein dauerhafter Schutz gegen Angriffe, wie diese etwa Positive Technologies demonstriert hat, ist die von Intel nun angedachte Lösung aber nicht.

Zwar wird damit ein Rollback von aktualisierten ME-Versionen auf bekannterweise verwundbare Versionen verhindert. Damit dieser Schutz aber auch wirkt, müssen Hersteller entsprechende Firmware-Updates bereitstellen und die Nutzer diese auch einspielen. Für den mit Abstand größten Teil der Hardware mit Intel-Chips, allen voran günstige Consumer-Geräte, wird dies wohl aber nie geschehen, wie die Erfahrung aus der Vergangenheit zeigt.

Darüber hinaus ist es theoretisch außerdem eventuell möglich, die Versionsnummer einer von Angreifern eingespielten ME-Version so zu manipulieren, dass diese eine neue aktualisierte Version fingiert. Wie realistisch dieses Szenario ist, muss sich aber noch zeigen.


eye home zur Startseite
daydreamer42 15. Dez 2017

Die Nachteile bei Intel sind bekannt: Der Einschaltknopf funktioniert nicht mehr, und...

Themenstart

Crass Spektakel 14. Dez 2017

Schlösser gehören in schöne Berglandschaften und nicht in meinen Desktop-PC. Im Ernst...

Themenstart

meee 14. Dez 2017

So wie die menschen bei Intel ....

Themenstart

divStar 14. Dez 2017

-------------------------------------------------------------------------------. Wieso...

Themenstart

daydreamer42 13. Dez 2017

Alles kompliziert zu machen ist die deutsche Krankheit. Anscheinend ist Intel von diesem...

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. über Hays AG, München
  2. Deloitte GmbH, Berlin
  3. über Hays AG, Nürnberg
  4. Home Shopping Europe GmbH, Ismaning Raum München


Anzeige
Blu-ray-Angebote
  1. 24,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       


  1. 20.000 neue Jobs

    Apple holt Auslandsmilliarden zurück und baut neuen Campus

  2. Auto-Entertainment

    Carplay im BMW nur als Abo zu bekommen

  3. Fehlende Infrastruktur

    Große Skepsis bei Elektroautos als Dienstwagen

  4. Tim Cook

    Apple macht die iPhone-Drosselung abschaltbar

  5. Nintendo Labo

    Switch plus Pappe

  6. Apple

    Messages-App kann mit Nachricht zum Absturz gebracht werden

  7. Analog

    Kabelnetzkunden in falscher Sorge wegen DVB-T-Abschaltung

  8. Partnerprogramm

    Geld verdienen auf Youtube wird schwieriger

  9. Nur beratendes Gremium

    Bundestag setzt wieder Digitalausschuss ein

  10. Eclipse Foundation

    Erster EE4J-Code leitet Java-EE-Migration ein



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nachbarschaftsnetzwerke: Nebenan statt mittendrin
Nachbarschaftsnetzwerke
Nebenan statt mittendrin
  1. Facebook Wieder mehr Haustierbilder statt Hass
  2. Nextdoor Das soziale Netzwerk für den Blockwart
  3. Hasskommentare Neuer Eco-Chef Süme will nicht mit AfD reden

Sgnl im Hands on: Sieht blöd aus, funktioniert aber
Sgnl im Hands on
Sieht blöd aus, funktioniert aber
  1. NGSFF alias M.3 Adata zeigt seine erste SSD mit breiterer Platine
  2. Displaytechnik Samsung soll faltbares Smartphone auf CES gezeigt haben
  3. Vuzix Blade im Hands on Neue Datenbrille mit einem scharfen und hellen Bild

EU-Urheberrechtsreform: Abmahnungen treffen "nur die Dummen"
EU-Urheberrechtsreform
Abmahnungen treffen "nur die Dummen"
  1. Leistungsschutzrecht EU-Kommission hält kritische Studie zurück
  2. Leistungsschutzrecht EU-Staaten uneins bei Urheberrechtsreform

  1. Re: Die meisten verdienen mit Quatsch ihr Geld

    styler2go | 08:40

  2. Re: M.2 bietet nicht genügend Speicher im Notebook?

    renegade334 | 08:39

  3. Re: IMHO: Der falsche Weg

    Kahiau | 08:39

  4. Re: Unverständlich geschriebener Artikel

    i-love-bmw | 08:38

  5. Re: Im BMW Konfiguratior per Einmalbetrag

    Kirschkuchen | 08:37


  1. 08:26

  2. 08:11

  3. 07:55

  4. 07:30

  5. 00:02

  6. 19:25

  7. 19:18

  8. 18:34


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel