智能制造網(wǎng)APP
智能制造網(wǎng)手機(jī)站
智能制造網(wǎng)小程序
智能制造網(wǎng)官微
智能制造網(wǎng)服務(wù)號(hào)
智能控制
機(jī)器人
儀器儀表
物聯(lián)網(wǎng)
3D打印
工業(yè)軟件
回放
品牌
施耐德/SCHNEIDER
英特爾芯片漏洞潛伏7年之久 控制計(jì)算機(jī)無(wú)需密碼
上周一（5月1日），有報(bào)道稱繞開(kāi)驗(yàn)證的漏洞寄居在英特爾主動(dòng)管理技術(shù)(Active Management Technology，簡(jiǎn)稱AMT)中。AMT功能允許系統(tǒng)管理者通過(guò)遠(yuǎn)程連接執(zhí)行多種繁重的任務(wù)，這些任務(wù)包括：改變啟動(dòng)計(jì)算機(jī)的代碼、接入計(jì)算機(jī)鼠標(biāo)鍵盤和顯示器、加載并執(zhí)行程序、通過(guò)遠(yuǎn)程方式將關(guān)閉的計(jì)算機(jī)打開(kāi)。簡(jiǎn)言之，AMT可以讓用戶登錄計(jì)算機(jī)，像管理員通過(guò)物理接觸控制計(jì)算機(jī)一樣控制它。
許多vPro處理器都支持AMT技術(shù)，如果想通過(guò)瀏覽器界面遠(yuǎn)程使用它必須輸入密碼，然而，英特爾的驗(yàn)證機(jī)制輸入任何文本串(或者連文本都不要)都可以繞過(guò)。
周五時(shí)，Tenable Network Security刊發(fā)博客文章稱，訪問(wèn)認(rèn)證時(shí)系統(tǒng)會(huì)用加密哈希值(cryptographic hash)驗(yàn)證身份，然后才授權(quán)登錄，不過(guò)這些哈希值可以是任何東西，甚至連文字串都不需要。Tenable逆向工程主管卡羅斯·佩雷茲(Carlos Perez)指出，即使輸入錯(cuò)誤的哈希值也可以獲得授權(quán)，他還說(shuō)：“我們已經(jīng)找到一套方法，可以完全繞開(kāi)驗(yàn)證機(jī)制。”
Embedi是一家安全公司，英特爾認(rèn)為它是首先發(fā)現(xiàn)漏洞的公司，Embedi技術(shù)分析師也得出了相同的結(jié)論。Embedi以郵件形式將分析結(jié)果發(fā)給記者，沒(méi)在網(wǎng)上公布。
還有更糟糕的地方。一般來(lái)說(shuō)，沒(méi)有獲得驗(yàn)證的訪問(wèn)無(wú)法登錄PC，因?yàn)锳MT必須直接訪問(wèn)計(jì)算機(jī)的網(wǎng)絡(luò)硬件。當(dāng)AMT啟用時(shí)，所有網(wǎng)絡(luò)數(shù)據(jù)包會(huì)重新定向，傳到英特爾管理引擎(Intel Management Engine)，然后由管理引擎?zhèn)鞯紸MT。這些數(shù)據(jù)包完全繞開(kāi)了操作系統(tǒng)。按照Embedi的說(shuō)法，從2010年開(kāi)始，英特爾的部分芯片就存在該漏洞，不是所有芯片都有。
英特爾周五曾表示，預(yù)計(jì)PC制造商在隨后一周就會(huì)發(fā)布補(bǔ)丁。新補(bǔ)丁會(huì)以英特爾固件的形式升級(jí)，也就是說(shuō)每一塊存在漏洞的芯片都要刷新固件。與此同時(shí)，英特爾鼓勵(lì)客戶下載并運(yùn)行檢查工具，診斷計(jì)算機(jī)是否存在漏洞。如果工具給出正面結(jié)果，說(shuō)明系統(tǒng)暫時(shí)是安全的，安裝補(bǔ)丁才能真正安全。富士通、惠普、聯(lián)想等公司也針對(duì)特殊機(jī)型發(fā)出警告。
(原標(biāo)題：英特爾芯片漏洞比想象中更嚴(yán)重：控制計(jì)算機(jī)無(wú)需密碼)
浙公網(wǎng)安備 33010602000006號(hào)
智能制造網(wǎng)APP
智能制造網(wǎng)小程序
微信公眾號(hào)
