¿Cómo proteger / mitigar el ataque JTAG de IntelME (CSME) a través de USB?

El ataque funciona al explotar la función de depuración USG JTAG que se encuentra en algunas PC.

Hace años, si un fabricante de computadoras estuviera depurando el diseño de su placa base, habría un puerto especial en la placa base llamado puerto JTAG para buscar en los registros del procesador / chipset. enlace

Para usar este puerto, necesitarías un dispositivo de depuración JTAG. En las placas base modernas, a menudo no hay espacio para un puerto JTAG. Y en el caso de algo como una computadora portátil, puede que no sea factible llegar al puerto JTAG. Entonces, Intel desarrolló una forma de acceder a JTAG a través de uno de los puertos USB.

Uno de los puertos USB en el conjunto de chips (generalmente el puerto 0) es un puerto USB "especial" que permite la depuración JTAG con un dispositivo USB especial. enlace

En la configuración del BIOS para una PC, normalmente habría una opción para habilitar la depuración USB, y esta opción debería estar deshabilitada de manera predeterminada en cualquier sistema de producción enviado a los clientes. Sin embargo, hay algunos fabricantes de computadoras que no han seguido las mejores prácticas:

1. Activaron la depuración de forma predeterminada durante el desarrollo de HW / BIOS y se olvidaron de desactivarla.
2. Habilitaron el estado de la depuración USB en el BIOS para habilitarlo, y no proporcionaron una opción para deshabilitarlo.

Si tiene acceso a la función de depuración USB / JTAG, tiene acceso "mejor que root" al sistema. Está diseñado para que el diseñador de hardware y firmware resuelva los problemas del sistema de bajo nivel. El exploit se trata realmente de JTAG, no de Management Engine. Si un atacante puede llegar al puerto JTAG, es dueño de su computadora, punto. Intel Management Engine es solo algo que pueden explotar mientras tienen el control.

También señalaré que el USB JTAG como vector de ataque no es exactamente nuevo: enlace

Una de las leyes fundamentales de la seguridad informática es que si un malvado tiene acceso físico sin restricciones a su computadora, ya no es su computadora. JTAG es un ejemplo de esa regla. enlace

Entonces, ¿qué haces para detener esto?

1. No permitas que un malo tenga acceso físico a tu computadora. Si sospecha que esto ha sucedido, deje de usar su computadora inmediatamente y obtenga una nueva.
2. Consulte con su fabricante para obtener una actualización del BIOS.
3. Deshabilita la depuración USB en la BIOS si puedes.
4. Si no tiene una opción para desactivarla, comuníquese con el fabricante de la computadora / placa base para ver si la tienen habilitada. Si lo hacen, debe esperar a que proporcionen y actualicen o reemplacen la computadora.

Bueno, esto todavía es una noticia de última hora para muchos de nosotros, aunque los problemas del motor de administración de Intel se han planteado durante años & Ha habido problemas anteriores con él. Es posible que esta respuesta deba actualizarse a medida que haya más información disponible.

  

¿Cuáles son los vectores de ataque? (¿Se requiere acceso físico a la computadora?)

En este caso particular, sí: se requiere acceso físico. Sin embargo, debe tener en cuenta que uno de los propósitos del ME es permitir el acceso remoto . Contiene una pila de red completa e incluso un servidor web.

  

¿Qué computadora (y configuración) se ven afectadas?

Cualquier cosa con un procesador Intel se remonta a varios años. Originalmente, el ME se integró en el North Bridge y luego se integró al procesador ( ref )

Broadwell, Skylake y más nuevos se ven afectados. Los sistemas anteriores no admiten DCI (el protocolo para acceder a JTAG a través de USB). Si bien estos sistemas tienen un ME, no es accesible a través de USB

  

¿Cómo proteger y / o mitigar dichos ataques?

¡Graba las pistas para el USB de la placa base! Pero tenga en cuenta que esto solo detiene este problema, no otros que luego se pueden encontrar. No olvides que hay otros ataques, en realidad mucho más fáciles, posibles a través de USB. Para un uso de alta seguridad, el USB debe estar apagado o brindar protección adicional.

Es posible que tenga la suerte de tener una placa base con un BIOS que le permite desactivar AMT. Además, el artículo de Wikipedia al que se hace referencia anteriormente menciona algunas mitigaciones para Windows.

Incluso si AMT está desactivado, por ejemplo, en una configuración de BIOS, DCI a través de USB aún puede secuestrar el ME en sistemas vulnerables.

El uso de chips AMD y placas base también puede ayudar, aunque no tengo evidencia real de eso. Ciertamente, Intel siempre ha sido muy estricto con respecto a AMT, así que supongo que los conjuntos de chips AMD no lo tienen, aunque es posible que tengan su propia solución.

Un usuario anónimo sugirió en una edición que los sistemas AMD tienen algo similar, llamado PSP de AMD, pero no pensaron que se pueda acceder a él a través de USB.