研究人員找到禁用Intel ME組件的方法（鄉村故事版）

本文試圖以故事形式還原PositiveTechnologies公司找到禁用IntelME組件方法的消息，祝各位閱讀愉快。

（1）清晨雞鳴響徹天

喔喔喔~喔喔喔~

2017年8月的某天早上，不到6點，雞鳴聲就劃破了位於雞鳴山山腳下一個網路小鎮的天空。今天，這個小鎮似乎跟平時並無不同之處，除了村裡的大喇叭在公雞的三聲打鳴之後也響了起來：

「網路小鎮的各位村民朋友請注意，請大家相互轉告，帶上小板凳，6點半在村民委員會集合，有重要事情宣布……」

「叮——」大多數村民加入的手機蘭心群里已此起彼伏。只見內容鋪天蓋地而來，不久就有幾十條冒了出來，不過刷屏的基本是以下內容：

啥事兒啊

+1

不造

+1

呼叫群主

有貴賓唄，不然咱網路小鎮還用得著用村委會大喇叭驚啊，快麻溜兒地起床奔赴現場

於是，這個網路小鎮就被一陣喇叭聲催得沸騰起來，就像平時每隔10天趕集那樣熱鬧。不一會，PositiveTechnologies （以下簡稱「PT」）、英特爾、多名安全專家以及群主、大爺大媽大叔大嬸小夥子姑娘紛紛往大隊走去。一路上大家說說笑笑好不熱鬧，不過英特爾看上去似乎愁雲密布。有人打趣道，「英特爾，你是不是又熬夜了？你在咱這網路小鎮也算沒有功勞也有苦勞了。能歇一會就歇一會，還是要保重啊。」英特爾沒接話茬，這跟平時能說會道的表現不符。

而PT則喜上眉梢，眼睛泛光，欣喜之情藏都藏不住。他不時跟旁邊的安全專家嘀嘀咕咕，好像在說什麼悄悄話一樣，有小伙兒就調皮地說，「真是好基友啊」。PT和安全專家們聽了先是一楞，隨後馬上哈哈大笑。

（2）PT捷足先登

大家一落座，平時嘻嘻哈哈的村主任就輕拍了一下桌子，嚴肅地說，「今天這麼早召集大家來是因為之前沒有解決完的一件事最近有了新進展，希望大家一起探討一下。」

於是大家又交頭接耳起來。村主任說的是之前多名安全專家認為英特爾管理引擎(ME) 組件應被禁用的事。村主任看看PT，示意他站到前面。

於是，PT三步並作兩步地走到前面，拚命抑制住內心的激動，快速而高昂地說道，「我找到禁用英特爾ME的方法了！」

PT的這句話絲毫不亞於「石破天驚逗秋雨」的效果。一多半人竟然激動地一邊站起來一邊鼓掌。而英特爾臉上掉下了豆大的汗珠，頭髮都被浸濕了，但沒說話，似乎還在思索著什麼。而也有一些人則是冷眼旁觀，想看看PT到底有什麼真把戲。

PT示意大家坐下，然後繼續說道，「大家都知道，英特爾ME組件是一個內嵌在英特爾CPU中的單獨處理器，它運行著自己的操作系統，其中進程、線程、內存管理器、硬體匯流排驅動、文件系統和其它組件一個也不少。

英特爾一直都宣稱IntelME組件是讓企業管理運行在內部網路中的計算機。Intel ME中的工具能讓系統管理員遠程中央單元監控、維護、更新、升級並修復計算機……」

（3）英特爾成眾矢之的

「後門！後門！後門！」

PT的話還未說話，就從人群中傳出一陣喧囂。大家尋聲望去，原來是多家公司聽到PT這麼一說正中下懷，再也沉不住氣了。

「大家不要吵。」村主任慢悠悠但堅定有力地說道。然後朝鐵青著臉的英特爾望去，眼光在詢問是否要說些什麼。

英特爾忽地站起來，神情似乎放鬆了一點，他輕輕呼了一口氣，平靜地說道，「在硬體層面，IntelME只是一個內嵌在平台控制單元(PCH) 晶元中的微控制器，處理真正的英特爾處理器和外部設備之間的所有通信。」

「因為位置的關係，所有的數據流都要經過IntelME，也就是系統管理員能夠管理遠程計算機。」又有人出來打岔了。

這一打岔可就控制不住了。瞬間又有人站起來，哼了一聲說，「在了解這個組件可發揮何種重要作用的系統管理員小圈子外，IntelME的名聲可是糟透了。」

「後門！後門！後門！」又有人在發聲，這次引得除了英特爾和少數不明真相的群眾外的一致鼓掌。「IntelME的固件沒有記錄而且被壓縮了，好隱藏內容啊。」一波未平一波又起，又傳來一句嘲弄。

這時，英特爾漲紅了臉，不說話。縱使他想說也並沒有機會了，在群里還聊得不顯山不露水的人，到了實際生活中就真槍真炮地幹起來了。

（4）很多專家嘗試未果

村主任這時不得不站起身來，敲敲桌子，「靜一下，大家不要著急。」並示意PT繼續。

PT於是清了清嗓子，「我們並不知道IntelME裡面到底有什麼內容，所以很多安全專家都想方設法尋找禁用它的方法。」

「但是我們失敗了，」一名坐在前排的安全專家接了話茬，「因為英特爾把ME組件交織到了啟動進程中。IntelME負責初始化、電量管理和主處理機啟動。」

「禁用IntelME會讓計算機崩潰。正因如此，很多專家只能在不阻止啟動進程的情況下盡量禁用能被禁用的部分，為ME組件瘦身。」PT繼續說道，「但是——」

人們都伸長了脖子，等待令人期待的結果，或者說要看看PT到底賣的是什麼關子。

（5）平地一聲雷炸出NSA

PT興奮得繼續說，「但是，我們在固件代碼中找到一個隱藏的比特！當把它設置為『1』時，ME完成工作並啟動主處理機後就會被禁用！」PT望著期待的目光，扶了扶眼鏡，繼續道，「這個比特的標籤是』reserve_hap』，而從旁邊的注釋可看出它是『高保證平台(HAP)啟用』。」

「啊——」人群中發出一聲聲驚嘆並扭頭望向早已面紅耳赤的英特爾。因為他們知道，HAP是老競爭對手NSA的一個計劃，它為運行安全的計算平台描述一系列規則。

於是，安全專家確定英特爾是奉NSA之令增加了這個ME禁用比特！NSA想要一種禁用ME的方法以保證運行在高敏感環境中計算機的安全。ME或者固件中的任何漏洞都可能導致危險信息的泄露，顯然NSA並不想冒這個風險。

（6）英特爾證實HAP禁用比特

英特爾這時看似是豁出去了，站起來異常平靜地說，「為了響應具有特殊要求的客戶請求，我們有時候會修改或禁用某些功能。這次我們所做的修改是為了響應設備廠商支持客戶對美國政府HAP計劃的支持。這些修改的驗證周期有限並且並非是一個官方支持的配置。」

人們聽完反而安靜了下來。不少人怔怔地望著英特爾，內心如神情一般迷茫又無奈。有的人狠狠地掐滅煙頭，放在地上狠命踩了幾腳，像是要把煙頭踩到地底下；有的人嘴裡吸煙卻從鼻子里冒了出來不置可否；還有的人瞬間石化，任憑煙頭慢慢靠近已經發黃的手指頭。各人心裡都在盤算，聽到有NSA的參與，聽著英特爾毫不遮掩的話語，竟一時緩不過神來。

（7）道阻且長需等待

PT話鋒一轉，「雖然我們找到了禁用IntelME的方法，但是使用HAB禁用比特可能會帶來風險，因為它並未經徹底測試。我們所描述的方法是有風險的，而且可能會損壞或毀壞計算機。想要這麼做的人應該在有經驗的硬體或固件專家的幫助下進行。」

「不過，我們的研究還是很及時的。」PT又充滿信心地說到，「今年年初，研究人員在IntelME引擎中發現了一個漏洞，攻擊者能夠通過IntelME組件在遠程計算機中執行代碼。最近披露的CVE-2017-5689也讓我們成就感滿滿！謝謝大家！」

PT話一說完，人群中就傳來「好好好！」的呼叫聲。但也有人還是對此雲里霧裡，瞬間感覺自己竟然像是個打醬油的；也有一些人特別高興，畢竟之前自己雖然失敗了，但是也是為PT鋪路了啊。英特爾一個人默默地彈了彈身上的煙灰，趁人不注意悄悄地走出了村委會。

「好了，看來大家都明白了，也都有自己的看法。那就這樣吧，大家散了吧。」村主任揮揮手，一低頭不小心聽到了自己的肚子叫，才想起還沒吃早飯呢，就到中午了。

於是，雞鳴山網路小鎮又恢復了日常的安靜和喧囂。

參考鏈接：

https://www.bleepingcomputer.com/news/hardware/researchers-find-a-way-to-disable-much-hated-intel-me-component-courtesy-of-the-nsa/

本文作者:360代碼衛士，轉載請註明來自 FreeBuf.COM

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！