Intel's mega-backdoor
Последнее время цитируют 'разоблачения Сноудена' про тотальное западное шпионство по всему миру. Однако реальная история может быть еще интереснее.
С год назад я наткнулся на интересную историю на Интернете: инженер обнаружил в Интеловских процессорах закладки, которые он решил сделали китайцы:
Дальше идет рассказ о том, как (тщетно) инженер пытался донести свое открытие до самых серьезных российских структур, ответственных за компьютерную безопасность, и как его не понимали, потом игнорировали -- и одновременно производители чипов тоже не реагировали.
НЕДАВНО чтобы обновить лэптоп я полез разбираться в разных современных интеловских процессорах, и обалдел. Нет, не китайцы, совсем не китайцы.
(а) Для администрирования серверов люди давно стали пользоваться иным каналом связи - например, телефонной линией. К серверу, стоящему в большой компании с кучей серверов в клетках (colocation), приделывалась некая штука (плата), в которую входил телефонный провод. Если надо было сервер остановить, перезапустить и т.д., то вы не оставались отрезаны от управления и могли отдавать команды через удаленный терминал неотключаемо соединенный с вашей включаемой, выключаемой, перезагружаемой машиной
(б) Интел сегодня на новые процессоры (i5, i3) ставит (внутрь, на тот же самый чип) ОДНОВРЕМЕННО - 1 или2 радиопередатчика/приемника, поддержку виртуализации, ПЛЮС интеловскую систему удаленного контроля посредством виртуальной машины (которая позволяет запускать, останавливать, перезагружать вашу клиентскую часть с ОС и всеми программами и никогда не отключается)
Рекламную информацию "как мы позаботились о вашем удобстве" легко найти на сайте Интела.
Называется vPro (on Sandy Bridge and Ivy Bridge architectures)
Т.е. когда вы включаете компьютер на i3, i5 с "vPro", вы получаете доступ не к "железу", а к виртуальной машине, где сам хайпервайзор на железе не ваш, он встроен и запускается при вклюэении питания.
Он поднимет сетевые интерфейсы (со включением питания), и это будут ethernet, если присоединен, и WiFi/Bluetooth всегда.
ДРУГИМИ СЛОВАМИ, все современные процессоры в более-менее новых компьютерах МОГУТ БЫТЬ УДАЛЕННО УПРАВЛЯЕМЫ РАДИОСИГНАЛОМ, если они такую закладку туда заложили.
Интересно отметить, что и WiFi, и Bluetooth используют S-band, пригодную для связи со спутниками. И хотя сами приемопередатчики на чипе слишком слабы для передачи, они вполне будут способны принять более сильный сигнал извне (тут надо разбираться с деталями). Потенциально если "черный ход" заложен в такой чип, он мог бы получать команды со спутника.
ПОНЯТНО, что это - прямая угроза любой экономике, помимо вынесения хранилок данных на сервера в другом конце мира, которые контролируют недружественные люди, помимо того, что программы ходят на Интернет стучать на владельцев машин и их лицензии и т.д. и т.д. и т.д. - механизмов согласованно внедренных в компьютерный мир всеми ведущими корпорациями США.
ИНТЕЛ СДЕЛАЛ ВСЕ МАШИНЫ потенциально УДАЛЕННО ОТКЛЮЧАЕМЫМИ - и я более чем уверен, что такая закладка там есть. Ибо иначе незачем было городить такую функциональность на чипе - домашним машинам это попросту не надо, а в сервера всегда можно было вставить дешевую плату для удаленного администрирования.
ВТОРАЯ ЧАСТЬ МАРЛЕЗОНСКОГО БАЛЕТА.
Не успел я написать этот комментарий в журнале Игоря Коротченко (военный эксперт, редактор журнала Вопросы Обороны), как на него ответил опровергатель из израиля:
Да-да, "чисто бизнес решение", они все такие, 'чисто бизнес'. В США plausible deniability вообще считается одним из основных принципов организации подрывной работыи применяется тотально, повсюду.
Что за человек? Щелкнув мышью на имя получил (с гугла)
Но он в принципе сам все говорит о себе в комментариях выше:
От себя добавлю: Израиль также держит огромную часть рынка в разработке/поддержке программ для компьютерной безопасности (напр корпоративная и популярная Checkpoint firewall, они же в свое время купили лучшую тогда открытую Intrusion Detection system "Snort", и т.д. и т.д.)
Это напрямую влияет на ту часть вопросов компьютерной независимости стран, о которой подавляющее большинство сисадминов, программистов, пользователей в России просто никогда не задумываются, а в тех нескольких случаях, когда я начинал писать об этом в программистских сообществах, реакцией было невежественное отрицание проблемы.
Однако о ней нельзя забывать: не только ОС имеют "черные ходы" (backdoors) - (уже десятки лет для Уиндоуз, несколько лет назад выяснилось, что ФБР/НСА повлияли на программирование IPSEC в BSD - которую подают как "выбор номер один для систем безопасности" и т.д. и т.д.), - не только программы сегодня не спрашивая владельцев ходят стучать на них на зарубежные сервера, и/или сгружают новые программы опять-таки без спроса -- похоже что сегодня любой компьютер стал удаленно отключаемым радиосигналом на уровне "железа"
P.S. Две строчки из Википедии:
Эта мега-дыра, понятно, еще и продается как "система безопасности" и "в помощь администратору удаленных серверов", ага.
P.P.S. Нашлась пара рекламных статей по-русски
которая надеюсь подробнее представит встроенные в чип возможности, и тем уточнит и ДАСТ ПОНЯТЬ СПРАВЕДЛИВОСТЬ
моих утверждений выше.
(а) Ви-Про (дурак расхваливает как это удобно)
http://habrahabr.ru/company/intel/blog/138377/
(б) "анти-вор" - захлёбываясь, рекламка объясняет как
плохо будет ворам если хозяин украденного лэптопа
позвонит в Интел.
http://habrahabr.ru/company/intel/blog/137529/
Т.е. прямым текстом показано, что
(а) Интел хранит возможность доступа к любой машине
(б) знает где она и может с ней связаться в любой момент
(в) может полностью ее заблокировать (и она будет подавать
сигналы с координатами)
Понятно, что это только после "активации" - но не менее
понятно, что скорее всего все эти возможности остаются
у самого Интела и вне "активации" пользователя ноута.
Об этой стороне разумеется в рекламе не пишут.
SEE ALSO:
http://en.wikipedia.org/wiki/Intel_Active_Management_Technology
С год назад я наткнулся на интересную историю на Интернете: инженер обнаружил в Интеловских процессорах закладки, которые он решил сделали китайцы:
- Еще до официального анонса новых процессоров Intel с поддержкой аппаратной виртуализации (в начале 2007 года) я задумал использовать эти чипы для создания единой вычислительной системы на базе нескольких серверов,........
Макет был собран, гипердрайвер написан, все заработало, .......
Я начал разбираться и понял, что моя система виснет при выполнении команд аппаратной виртуализации. Создавалось такое впечатление, что они или совсем не работают, или работают как-то нестандартно...........
То есть во флеш-памяти блока ВМС серверных плат из Китая, выпускаемых под лейблом Intel, имелся установленный на этапе производства недекларированный программный модуль, работающий как хост гипервизора.
http://www.xakep.ru/post/58104/
Дальше идет рассказ о том, как (тщетно) инженер пытался донести свое открытие до самых серьезных российских структур, ответственных за компьютерную безопасность, и как его не понимали, потом игнорировали -- и одновременно производители чипов тоже не реагировали.
НЕДАВНО чтобы обновить лэптоп я полез разбираться в разных современных интеловских процессорах, и обалдел. Нет, не китайцы, совсем не китайцы.
(а) Для администрирования серверов люди давно стали пользоваться иным каналом связи - например, телефонной линией. К серверу, стоящему в большой компании с кучей серверов в клетках (colocation), приделывалась некая штука (плата), в которую входил телефонный провод. Если надо было сервер остановить, перезапустить и т.д., то вы не оставались отрезаны от управления и могли отдавать команды через удаленный терминал неотключаемо соединенный с вашей включаемой, выключаемой, перезагружаемой машиной
(б) Интел сегодня на новые процессоры (i5, i3) ставит (внутрь, на тот же самый чип) ОДНОВРЕМЕННО - 1 или2 радиопередатчика/приемника, поддержку виртуализации, ПЛЮС интеловскую систему удаленного контроля посредством виртуальной машины (которая позволяет запускать, останавливать, перезагружать вашу клиентскую часть с ОС и всеми программами и никогда не отключается)
Рекламную информацию "как мы позаботились о вашем удобстве" легко найти на сайте Интела.
Называется vPro (on Sandy Bridge and Ivy Bridge architectures)
Т.е. когда вы включаете компьютер на i3, i5 с "vPro", вы получаете доступ не к "железу", а к виртуальной машине, где сам хайпервайзор на железе не ваш, он встроен и запускается при вклюэении питания.
Он поднимет сетевые интерфейсы (со включением питания), и это будут ethernet, если присоединен, и WiFi/Bluetooth всегда.
ДРУГИМИ СЛОВАМИ, все современные процессоры в более-менее новых компьютерах МОГУТ БЫТЬ УДАЛЕННО УПРАВЛЯЕМЫ РАДИОСИГНАЛОМ, если они такую закладку туда заложили.
Интересно отметить, что и WiFi, и Bluetooth используют S-band, пригодную для связи со спутниками. И хотя сами приемопередатчики на чипе слишком слабы для передачи, они вполне будут способны принять более сильный сигнал извне (тут надо разбираться с деталями). Потенциально если "черный ход" заложен в такой чип, он мог бы получать команды со спутника.
ПОНЯТНО, что это - прямая угроза любой экономике, помимо вынесения хранилок данных на сервера в другом конце мира, которые контролируют недружественные люди, помимо того, что программы ходят на Интернет стучать на владельцев машин и их лицензии и т.д. и т.д. и т.д. - механизмов согласованно внедренных в компьютерный мир всеми ведущими корпорациями США.
ИНТЕЛ СДЕЛАЛ ВСЕ МАШИНЫ потенциально УДАЛЕННО ОТКЛЮЧАЕМЫМИ - и я более чем уверен, что такая закладка там есть. Ибо иначе незачем было городить такую функциональность на чипе - домашним машинам это попросту не надо, а в сервера всегда можно было вставить дешевую плату для удаленного администрирования.
ВТОРАЯ ЧАСТЬ МАРЛЕЗОНСКОГО БАЛЕТА.
Не успел я написать этот комментарий в журнале Игоря Коротченко (военный эксперт, редактор журнала Вопросы Обороны), как на него ответил опровергатель из израиля:
- Хм... Вообще то для Интела это чисто бизнес решение, такая вот архитектура новых процессоров. И то что их производство вынесено в Ирландию и Израиль, которые даже формально не являются военными союзниками США, в отличии от какой нибудь Британии или ФРГ, перечеркивает все конспирологические сценарии. Опять же разработка их велась не в США и не гражданами США....
И про отключаемые по радиосигналу процессоры даже комментировать не хочется.
Да-да, "чисто бизнес решение", они все такие, 'чисто бизнес'. В США plausible deniability вообще считается одним из основных принципов организации подрывной работыи применяется тотально, повсюду.
Что за человек? Щелкнув мышью на имя получил (с гугла)
- Michael Ryabokul
Место проживания: Israel, Qiryat Gat
Но он в принципе сам все говорит о себе в комментариях выше:
- (1) Милости просим в гости в Израиль. Тут у нас трехмерные процессоры в массовом производстве на 22 нанометровой технологии, на подходе 14 нанометров.
Впечатление получите не меньшее.
(2) Простите, но вы абсолютно не в курсе ситуации. Почитайте немного про то, где идет разработка и производство новейших процессоров Интела того же.
А уж про мобильники, вообще, странно. Какая разница где они собираются. Главное, начинка откуда у них.
ну и про китайцев в вдогонку. На заводе, где я работаю экспорт идет не только в США, Европу, Россию и Японию. Но и в Китай. Потому что получается дешевле в Израиле, чем в Поднебесной, не говоря уж об качестве и урвоне технологии
(3) Израиль вообще старается не светиться особо. Ну зачем тем же египтянам или персам знать, где выращена и разработана огромная часть процессоров в их компьютерах или телефонах. Бело-голубая начинка встречается в такой массе современной аппаратуры, приборов и электроники, что если б всплыло наружу, для многих был бы шок это. Как очень удивились бы саудовцы, узнав, где иногда реально ремонтируются двигатели их Ф-16.
От себя добавлю: Израиль также держит огромную часть рынка в разработке/поддержке программ для компьютерной безопасности (напр корпоративная и популярная Checkpoint firewall, они же в свое время купили лучшую тогда открытую Intrusion Detection system "Snort", и т.д. и т.д.)
Это напрямую влияет на ту часть вопросов компьютерной независимости стран, о которой подавляющее большинство сисадминов, программистов, пользователей в России просто никогда не задумываются, а в тех нескольких случаях, когда я начинал писать об этом в программистских сообществах, реакцией было невежественное отрицание проблемы.
Однако о ней нельзя забывать: не только ОС имеют "черные ходы" (backdoors) - (уже десятки лет для Уиндоуз, несколько лет назад выяснилось, что ФБР/НСА повлияли на программирование IPSEC в BSD - которую подают как "выбор номер один для систем безопасности" и т.д. и т.д.), - не только программы сегодня не спрашивая владельцев ходят стучать на них на зарубежные сервера, и/или сгружают новые программы опять-таки без спроса -- похоже что сегодня любой компьютер стал удаленно отключаемым радиосигналом на уровне "железа"
P.S. Две строчки из Википедии:
- Sandy and Ivy Bridge processors with vPro capability have security features that can remotely disable a PC or erase information from hard drives. This can be useful in the case of a lost or stolen PC. The commands can be received through 3G signals, Ethernet, or Internet connections. AES encryption acceleration will be available, which can be useful for video conferencing and VoIP applications.
Эта мега-дыра, понятно, еще и продается как "система безопасности" и "в помощь администратору удаленных серверов", ага.
P.P.S. Нашлась пара рекламных статей по-русски
которая надеюсь подробнее представит встроенные в чип возможности, и тем уточнит и ДАСТ ПОНЯТЬ СПРАВЕДЛИВОСТЬ
моих утверждений выше.
(а) Ви-Про (дурак расхваливает как это удобно)
http://habrahabr.ru/company/intel/blog/138377/
(б) "анти-вор" - захлёбываясь, рекламка объясняет как
плохо будет ворам если хозяин украденного лэптопа
позвонит в Интел.
http://habrahabr.ru/company/intel/blog/137529/
Т.е. прямым текстом показано, что
(а) Интел хранит возможность доступа к любой машине
(б) знает где она и может с ней связаться в любой момент
(в) может полностью ее заблокировать (и она будет подавать
сигналы с координатами)
Понятно, что это только после "активации" - но не менее
понятно, что скорее всего все эти возможности остаются
у самого Интела и вне "активации" пользователя ноута.
Об этой стороне разумеется в рекламе не пишут.
SEE ALSO:
http://en.wikipedia.org/wiki/Intel_Active_Management_Technology