News Intel: Notebook-Hersteller schalten Management Engine ab

[BlackWidowmaker]

Hallo @ all,

nach der News mit dem Sicherheitsleck hab ich dann auch endlich gelernt was ME ist und was sie macht. Zumindest im Grundsätzlichen. Gibt es aber auch Anwendungen und/oder Tools mit deren Hilfe man das auch als Enduser nutzen kann? Z.B. wenn meine Frau im Geschäft wieder Probleme mit dem PC hat, muß ich spätestens wenn es auch das BIOS betrifft sagen: "Bring den Rechner heute Abend mit, dann schaue ich ihn mir an". Laut Erklärungen hier müßte es doch dann prinzipiell möglich sein auch das BIOS/UEFI fernwarten zu können, oder?

 

[DFFVB]

@BlackWidowmaker

Bewirb Dich einfach bei der NSA, dann sollte da kein Problem mehr sein...

 

[alQamar]

Asus und Asrock haben bereits reagiert und haben die Lücke gepatcht. Bei Asus ist dies im DL Portal des jeweiligen Mainboard einfach zu finden. Asrock verlinkt seine neue Intel ME Firmware hier:
https://www.asrock.com/microsite/2017IntelFirmware/

Auf meine Anfrage hin wird bestätigt, dass die aktuellen ME Treiber noch getestet werden. Bei Asus bin ich nun auch auf dem Treiberstand 11.8, wie die Firmware.

Ergänzung (5. Dezember 2017)

Hallo @ all...,

Ja die Fernwartung funktioniert, aber nur mit Intel Enterprise Tools bzw. solchen die Intel ME / AMT bzw. vPRO unterstützen.

 

[Beefsupreme]

Bei Asus ist dies im DL Portal des jeweiligen Mainboard einfach zu finden.

Auch nur für die Mainstreamplattform. Für X299 ist da noch Ebbe.

 

[Aod1]

Es ist ja nicht der erste Artikel zu ME auf dieser Plattform. Da kann der geneigte Leser auch mal kurz eine Suche starten. Dann muss ich nicht ständig Grundlagen wiederholen.

Hallo fethomm,
an dieser stelle würde ich dir doch gerne wiedersprechen.

Falls du den Artikel Intel: Tool zum Testen auf ME-Lücke in Core i und Xeon verfügbar meinst, diesen habe ich gelesen, und ich muss sagen das im mittelteil vieles über die ME angerissen wird.

Allerdings habt ihr auch über Bitcoins einen großen artikel gebracht, sogar beschrieben wie man diese farmen kann. Warum also keinen artikel über die ME bringen, die einfach mal auf alles eingeht?

Ich meine als normaler User weiß ich dank des Artikels das ME ein eigenes Betriebssystem ist.
Aber was für mich immer noch recht undeutlich ist...

Ist es in der CPU integriert?
Ist es ein seperater Chip auf dem Mainboard?
Kann es per Bios update komplett abgeschaltet werden?
Wenn es ein eigenes Betriebssystem ist, welches unabhängig läuft, warum gibt es dann einen Windows Treiber und eine Windows Software?
Wenn man darüber "vernwarntung" machen kann, wie kann ich als normaler von meinem Laptop aus den heimischen pc warten?

Also ja, ich kann verstehen wenn man nicht in jedem Artikel sich wiederholen will.
Aber nein, warum kann man nicht einen Artikel schreiben in dem man mal alles genau erklärt und an einer stelle Sammelt?

Ggf. sogar eine Anleitung liefert wie man (falls möglich) im selbstversuch ein Bios erstellt um ME abzuschalten?

Zumal, gerade das Thema ME von Intel selber nur gewollt schlecht Dokumentiert wird, wäre es doch sinnvoll wenn eine Platform wie Computerbase etwas dagegen unternimmt und aufklärungsarbeit leistet.

Mfg

 

[ChrisMK72]

Obwohl selbst das spätere XP länger schon tot ist, soll Win ME noch immer aktuell sein?

Aktuell ?

Hat doch niemand gesagt.

Wenn's um "ME abschalten" geht, frag ich mich auch kopfschüttelnd wer das noch nutzt.

Aber unmöglich is nix.
Es soll sogar noch Leute geben, die Linux nutzen ! ;-)

 

[fethomm]

Hallo fethomm,
an dieser stelle würde ich dir doch gerne wiedersprechen.

Falls du den Artikel Intel: Tool zum Testen auf ME-Lücke in Core i und Xeon verfügbar meinst, diesen habe ich gelesen, und ich muss sagen das im mittelteil vieles über die ME angerissen wird.

Allerdings habt ihr auch über Bitcoins einen großen artikel gebracht, sogar beschrieben wie man diese farmen kann. Warum also keinen artikel über die ME bringen, die einfach mal auf alles eingeht?

Ich meine als normaler User weiß ich dank des Artikels das ME ein eigenes Betriebssystem ist.
Aber was für mich immer noch recht undeutlich ist...

Ist es in der CPU integriert?
Ist es ein seperater Chip auf dem Mainboard?
Kann es per Bios update komplett abgeschaltet werden?
Wenn es ein eigenes Betriebssystem ist, welches unabhängig läuft, warum gibt es dann einen Windows Treiber und eine Windows Software?
Wenn man darüber "vernwarntung" machen kann, wie kann ich als normaler von meinem Laptop aus den heimischen pc warten?

Also ja, ich kann verstehen wenn man nicht in jedem Artikel sich wiederholen will.
Aber nein, warum kann man nicht einen Artikel schreiben in dem man mal alles genau erklärt und an einer stelle Sammelt?

Ggf. sogar eine Anleitung liefert wie man (falls möglich) im selbstversuch ein Bios erstellt um ME abzuschalten?

Zumal, gerade das Thema ME von Intel selber nur gewollt schlecht Dokumentiert wird, wäre es doch sinnvoll wenn eine Platform wie Computerbase etwas dagegen unternimmt und aufklärungsarbeit leistet.

Mfg

Wenn ich die Zeit dazu hätte, wäre das schon passiert, wichtig genug ist es ja. Der Bitcoin-Artikel war von einem festen Mitarbeiter, ich bin freier Autor und arbeite noch für andere Plattformen. Sorry, wenn das dein Problem nicht löst, aber so ist es zurzeit.

 

[Schnitz]

AMD implementiert analog ebenfalls so eine OS/HW Kombi.

Ach tatsächlich? Hast Du Infos dazu?

Falls Du den Platform Security Processor (PSP) meinst - der basiert auf ARM-Technologie (nicht x86) und scheint auch ein anderes Paradigma zu verfolgen und ist eher mit Intels Trusted Execution Technology (TXT) zu vergleichen.

Edith: Bei ARM selbst schimpft sich der Mumpitz schlicht TrustZone.

Diese Techniken sollen aber nur das ausführen von Schadprogrammen verhindern und sniffen nicht den Netzwerkverkehr.

 

[DavidMay]

@David May.... Nee Dell ist nicht ehemals größter PC Hersteller... oh man... dann lieber gar nichts schreiben....

Artikel überhaupt gelesen? Dell wird doch im Artikel als einer der Hersteller erwähnt der eine Deaktivierung erlaubt.

Jungs, es ging mir um den Newstitel und den Anreißertext auf der Startseite. Von den Dell ist da nämlich keine Rede. Steht so auch in meinem Beitrag.

In den letzten Tagen meldeten zwei Notebook-Hersteller, dass sie die umstrittene Intel ME auf Notebooks abschalten werden.

Aber, ja, ihr habt natürlich in soweit Recht, dass Dell natürlich im Artikel vorne drin steht. Was ich sagen wollte, dass das jetzt nicht nur Dell für drei(!) einzelne Geräte (oder halt diese zwei genannten Anbieter) anbieten müssten. Aber der Fokus liegt im Anreißer ja wohl auf den zwei "unbedeutenden" Linux-Notebook-Herstellern, die wohl auch kaum "Impact" am Markt haben.

Edit: bei den Dell-Notebooks ohne ME handelt es sich übrigens mitnichten um Allerweltsmodelle, sondern lt. Heise um Geräte für Behörden, Militär und Co. Da kann wohl kaum von einer weiten Bewegung unter den Herstellern sprechen (News-Titel von CB dazu im Vergleich: "Notebook-Hersteller schalten Management Engine ab")

 

[peljotha]

Einige Berichtigungen:
Angefangen hat es mit der vPro Version 1 auf der core duo Plattform. Die ME ist dafür ein Funktionsteil, wie die CPU und die Virtualisierungsfunktionen. Die Fernwartung ist nur mit den Teilen möglich. Intel hat einen Betrieb mit abgeschalteter ME nicht spezifiziert (zumindest bei den Q-chipsätzen). Ich habe einige Systeme mit vPro hier. Z. B. ein Notebook. Wenn ich die ME abschalte, verhält sich die Temperatursteuerung verrückt.
Die Ausliefer-Einstellung wird nach Intel-Empfehlung vom OEM definiert.
Es gab ja schon vorher die dash-Funktionen, also auch Fernwartung, die mit anderen LAN-chips funktioniert. Einen Teil von dash beinhaltet auch vPro. Mit dash sind dann auch AMD-Systeme fernwartbar.

 

[fethomm]

In dem Zusammenhang: https://www.blackhat.com/docs/eu-17...-Unsigned-Code-In-Intel-Management-Engine.pdf

 

[Bruddelsupp]

Wenn man sich etwas wie die Intel ME nicht ins Haus holen will, sind dann AMD Ryzen Boards eine Alternative? Es wurde ja angerissen, dass es bei AMD auch so ein Subsystem gibt, nur halt auf ARM und nicht x86/AMD64 aber ist das dann nicht doch ebenfalls ein eigenständiges Subsystem mit weitreichenden Hardware Privilegien?

 

[peljotha]

Die Funktionen Dash stecken im BIOS und auf dem LANchip. V. a. Broadcom hatte das.

 

[Termy]

passend zum thema, wenn auch noch in manchen Details unklar:
https://www.reddit.com/r/linuxmaste...a_psp_disable_option/?st=jawq1tt4&sh=eacf3aa8

Wenn AMD das wirklich sauber abschaltbar macht, dann darf aber wirklich kein klar denkender, informierter Mensch mehr Intel kaufen...

 

[N4R]

Sehr geil, dass man als Nutzer jetzt auch noch dafür zusätzlich bezahlen soll, ein sicheres System nutzen zu dürfen. Zeigt, dass es Dell Scheißegal ist, ob seine Kunden Sicherheitsproblemen ausgesetzt sind, Hauptsache man kann sie abschöpfen.

Das Problem ist INTEL und AMD.

Nachzulesen bei coreboot. Vom problematischen UEFI wird hier ja gar nicht mal ansatzweise gewarnt.

UEFI hat nur Nachteile in meinem Anwendungsfall. Ich hatte vorher zwei BIOS Notebooks der Typen ASUS K70 und ASUS G70sg. Vor ungefähr zwei Jahren habe ihc diese verkauft und mir am Gebrauchtmarkt ein UEFI basierendes ASUS g75vw gekauft. Das Uefi macht nur Probleme. Spezialtasten wollen nicht funktionieren und die UEFI Zuordnungen für das Betriebssystem werden regelmäßig vergessen.

Sicher ist mal gar nichts, da keiner weis, was da wirklich passiert. Ohne Microcode rennt die Intel cpu mal gar nicht, da rennen mehrere versteckte betriebssysteme bis mal das UEFI "fake bios" kommt und du mal irgendwann dann dein windows oder sonst was benutzen darfst.

Ich wollte mal das Spezifikationsblatt für einen Chip von meinem Motherboard haben. Fehlanzeige, bekommst du nicht. Muss ich da noch mehr sagen?

Ist alles nur undurchsichtig. Sicher wäre es, wenn man zugriff zu allem hätte.

--

Nächste Kiste wird ein ARM oder sonst etwas was eher mehr nach open hardware ausschaut.