本当は ME を無効化するのが最善の対策である。しかし、ME には自分自身を無効化・排除しようとするユーザから自らを守るため何重ものセルフディフェンス機構が搭載されており、MEを排除しようとすると、そのチップセットを動作不能化＝文鎮化してしまう。なので、一般人にできるのは ME の存在を許したままで、脆弱性やバックドア悪用のリスクを軽減させる対策のみである。その対策を述べる。
まず、この脆弱性の影響を受けるハードウェアは限定される。Intel AMT (Intel Active Management Technology) は、マザーボードとCPUの両方がvPro対応でないと使えない。vPro対応マザーボードは一般向けではほとんど使われていないので大半の場合はそもそも影響がない。もし CPUとマザービードが両方とも vPro 対応だった場合には、BIOSの設定でAMTを無効にすればリモートから脆弱性が悪用される心配はなくなる。
ついでに、ローカルアクセスが必要なAMTの脆弱性 CVE-2017-5711 の悪用も防げる。
ここまでの対策で、リモートからの攻撃は防げるので多くの人は安心するかもしれない。しかし、システムへのローカルアクセスを持つ攻撃者による任意のコード実行できる ME の脆弱性 CVE-2017-5705, CVE-2017-5708 も恐ろしい。Windows でマルウェアを実行してしまうと、スパイウェアがOSより下のスタックのレベル（BIOSレベル）にインプラントされ、OSの再インストールやSSDの初期化後にもそのまま残る 恐れがある。こうなってしまうと、ウイルス対策ソフトでもそのスパイウェアを検出することができないし、メモリ上のデータを読み取ってVeraCrypt・TrueCryptなどの暗号鍵を盗み取るなどの高度なスパイ行為に悪用されるかもしれない。
この対策は簡単である。BIOS より上のスタックレベルであるところの Windows などから Intel Management Engine (ME) にアクセスするための API を封鎖すれば良い。BIOSによってやり方は違う、American Megatrends のBIOSなら Chipset → ME Configuration → ME Control → Disable である。
ME Control を無効化すれば、OS から MEにアクセスできなくなるので、Windows 等のOS上で実行したマルウェアが ME のバッファーオーバーフロー脆弱性を悪用することもできなくなる。この状態であれば、Intel-SA-00086 Detection Tool [intel.com] から ME のバージョン情報を取得することもできない。
インテル(R) ME 情報 エンジン： インテル(R) マネジメント･エンジン バージョン： Unknown SVN： 0
このように脆弱性検出ツールからも ME へアクセスできない状態にしてしまえばある程度は安心できる。なお、BitLocker を使っている場合は、ME Control を無効化すると、PC起動の度に回復キーの入力が必要になるので注意しよう。それ以外のホームユースの場合、ME Control を無効化しても普通は何の問題も起きない。Me Control 無効でも Intel Vieruallzation Technology への影響もないので、VirtualBox でのゲストOSのパフォーマンスも低下しない。
Ron Minnich, Gan-shun Lim, Ryan O'Leary, Chris Koch, Xuan Chen Google 他
Removing the ME ● If you remove ME firmware, your node ○ May never work again ○ May not power on (as in OCP nodes) ○ May power on, but will turn off in thirty minutes
MEを削除すると電源を入れてから30分でシステムがダウンする罠が発動する 「May power on, but will turn off in thirty minutes」
ME脆弱性 (Intel SA-00086) リスク軽減策 (スコア:3, 参考になる)
単なる陰謀論だと切り捨てられそうだけど、ME (Intel Management Engine) には複数のバックドアが仕組まれている疑いが強い。その詳細やソースコードにアクセスできるのは Intel の中の限られた極一部の人だけで、Google も MEの機能を削除すべきだと警鐘 [impress.co.jp] するほどである。一般人は ME を無効化することが許されていないが、米国家安全保障局 (NSA) は reserve_hap ビットを1にすることで ME を無効化している [cnet.com] ことも、ME の潜在的危険性を裏付けているといえよう。
本当は ME を無効化するのが最善の対策である。しかし、ME には自分自身を無効化・排除しようとするユーザから自らを守るため何重ものセルフディフェンス機構が搭載されており、MEを排除しようとすると、そのチップセットを動作不能化＝文鎮化してしまう。なので、一般人にできるのは ME の存在を許したままで、脆弱性やバックドア悪用のリスクを軽減させる対策のみである。その対策を述べる。
Intel-SA-00086 は複数の脆弱性の集合である。列挙すると、CVE-2017-5705, CVE-2017-5708, CVE-2017-5711(AMTの脆弱性だが要ローカルアクセス), CVE-2017-5712, CVE-2017-5706, CVE-2017-5709, CVE-2017-5707, CVE-2017-5710 と8種類もあるのだが、そのうちリモートから悪用できるのは CVE-2017-5712 のみ である。
スパイされるような機密を持っていない一般人でも、これだけは対策しておくべきだ。
まず、この脆弱性の影響を受けるハードウェアは限定される。Intel AMT (Intel Active Management Technology) は、マザーボードとCPUの両方がvPro対応でないと使えない。vPro対応マザーボードは一般向けではほとんど使われていないので大半の場合はそもそも影響がない。もし CPUとマザービードが両方とも vPro 対応だった場合には、BIOSの設定でAMTを無効にすればリモートから脆弱性が悪用される心配はなくなる。
ついでに、ローカルアクセスが必要なAMTの脆弱性 CVE-2017-5711 の悪用も防げる。
ここまでの対策で、リモートからの攻撃は防げるので多くの人は安心するかもしれない。しかし、システムへのローカルアクセスを持つ攻撃者による任意のコード実行できる ME の脆弱性 CVE-2017-5705, CVE-2017-5708 も恐ろしい。Windows でマルウェアを実行してしまうと、スパイウェアがOSより下のスタックのレベル（BIOSレベル）にインプラントされ、OSの再インストールやSSDの初期化後にもそのまま残る 恐れがある。こうなってしまうと、ウイルス対策ソフトでもそのスパイウェアを検出することができないし、メモリ上のデータを読み取ってVeraCrypt・TrueCryptなどの暗号鍵を盗み取るなどの高度なスパイ行為に悪用されるかもしれない。
この対策は簡単である。BIOS より上のスタックレベルであるところの Windows などから Intel Management Engine (ME) にアクセスするための API を封鎖すれば良い。BIOSによってやり方は違う、American Megatrends のBIOSなら Chipset → ME Configuration → ME Control → Disable である。
ME Control を無効化すれば、OS から MEにアクセスできなくなるので、Windows 等のOS上で実行したマルウェアが ME のバッファーオーバーフロー脆弱性を悪用することもできなくなる。この状態であれば、Intel-SA-00086 Detection Tool [intel.com] から ME のバージョン情報を取得することもできない。
マザーボード設定で ME Control が有効の場合
マザーボード設定で ME Control が無効の場合
このように脆弱性検出ツールからも ME へアクセスできない状態にしてしまえばある程度は安心できる。なお、BitLocker を使っている場合は、ME Control を無効化すると、PC起動の度に回復キーの入力が必要になるので注意しよう。それ以外のホームユースの場合、ME Control を無効化しても普通は何の問題も起きない。Me Control 無効でも Intel Vieruallzation Technology への影響もないので、VirtualBox でのゲストOSのパフォーマンスも低下しない。
BIOS の設定をいじるのが怖かったら、デバイスマネージャ→システムデバイス→Intel(R) Management Engine Interfaceを無効化するのも手だが、Admin権限のマルウェアならこれを勝手に有効化するかもしれないのでBIOS設定から無効化した方が安全である。
ME Control を無効化した状態ならば、OS上で実行したマルウェアが ME 脆弱性を悪用して攻撃することはできないはずである。
しかし、冒頭で述べたように、ME のソースコードは明らかになっておらず、その中身は intel が秘匿していることから、例えばME内部に密かに隠されたバックドアが、マウントしたストレージ暗号の秘密鍵 (VeraCrypt・TrueCrypt) などをメモリから盗み取ってBIOS領域に暗号化して保存して、警察機関が押収したHDD/SDDの復号に悪用されるといった可能性は否定できない。けれど、そういった特殊なバックドア解読手段が用いられるのは、国家間のスパイ・産業スパイ・連邦捜査局や国家安全保障局が出てくるレベルの大きな案件のみと予想されるので、一般のスラドerレベルの機密（違法な児〇ポルノデータや児〇買春関係のやり取りなどの地方警察案件レベルの機密）なら過剰な心配は不要と言えるだろう。
# 前のストーリーで日本語が変だとか文体がバラバラだとかで非難されたから今回は「である調」で文体統一する。「ですます調」は、歴史が浅いなので、文法が不明確で曖昧統一感がなくなるからだ。雰囲気が堅苦しい文章になった勘弁してほしい。
Re: (スコア:0, フレームのもと)
文体なんかより現実と妄想を混ぜて語るのを辞めようか。スラドでは時々みるけど、妄想だけの人よりたちが悪い。
まず、GoogleがMEの機能を削除すべきと言ったのは今回みたいな脆弱性が発見された場合のリスクを考えてであって、バックドアが仕込まれているからじゃない。
前のストーリーや今回のコメントからたどればGoogleの資料読めるから見てくると良い。バックドアなんて一言も書かれてない。
> ME には自分自身を無効化・排除しようとするユーザから自らを守るため何重ものセルフディフェンス機構が搭載されており
なんて事実はない。単にコンポーネント化して切
Re:ME脆弱性 (Intel SA-00086) リスク軽減策 (スコア:2, 参考になる)
Intelが意図的に「セルフディフェンス機構」なんてものを組み込んでると言うのなら信頼できるソースを。
Replace your exploit-ridden firmware with a Linux kernel [schd.ws]
Ron Minnich, Gan-shun Lim, Ryan O'Leary, Chris Koch, Xuan Chen Google 他
MEを削除すると電源を入れてから30分でシステムがダウンする罠が発動する
「May power on, but will turn off in thirty minutes」
me_cleaner README.md [github.com]にも、me_cleaner開発時にこのシャットダウンへの対処に苦戦した様子の記述有り
Re: (スコア:0)
それは、本来アクセスされないファイルが削除されたから、改竄と判断してシャットダウンしているだけのセキュリティ機構か、単に起動に必要な機能を削除しちゃったから、どこかのタイミングでエラーが起きて再起動するってだけではないですか？
Intelが削除させないために仕組んだって判断できる根拠って誰か示してます？
必要ない人もいる機能を削除できない設計が悪いって言うのには同意しますが、それと、悪意を持って削除を妨害していると言うのは全然別の話ですし。
Re:ME脆弱性 (Intel SA-00086) リスク軽減策 (スコア:1)
https://github.com/corna/me_cleaner/wiki/How-does-it-work%3F [github.com] によると、MEは何重にもモジュールの整合性・ハッシュ値・署名のチェックをして INVALID だとシステムを停止させるとある。
なので、スレ主の「ME には自分自身を無効化・排除しようとするユーザから自らを守るため何重ものセルフディフェンス機構が搭載されており、MEを排除しようとすると、そのチップセットを動作不能化＝文鎮化してしまう。」って文は動作としては間違ってない。
しかし「守るため」の機構だと決めつけてるのが問題で、結果として「自分自身を無効化・排除しようとするユーザから自らを守る」動作をしてたとしても、それが目的のチェックだとは限らない（「マルウェアによる改竄から自らを守るため」かもしれない）。
Re: (スコア:0)
> 悪意を持って削除を妨害している
そんなの悪魔の証明でしょ
んなこといったら、DS版ドラゴンクエスト5のコピープロテクトが話題に [srad.jp] だって、スクエニが意図して仕組んだことを認めてないから、「コピーガード」じゃなくて「バグ」なの？
どういう意図なのかなんて、そのコードを書いた人以外誰も分からない
現実の裁判でも犯行の動機なんていうのは本当に真実なのか裁判官でも分からないまま勝手に推測して判決出してる
Re: (スコア:0)
そもそも、こいつはIntelをなんだと思ってるんだ
Intelがバックドア仕込むならこんな分かり易いソフト部分じゃなくて、ハードに組み込むに決まってるだろ
なにが悲しくてわざわざ探してくださいって場所にバックドア組み込むんだよ
実際IntelのCPUの乱数生成器を暗号化の種に使うのはまずいんじゃないかって議論になった事もある
Re: (スコア:0)
https://www.techrepublic.com/article/is-the-intel-management-engine-a-... [techrepublic.com]
> Various sources report that Intel's latest x86 chips contain a secret backdoor.
https://cpplover.blogspot.jp/2015/12/libreboot-t400.html [blogspot.jp]
> 悪名高いバックドア実装用実行環境であるIntel Management Engine
発見された
Re: (スコア:0)
上の記事は#3318115と同じで、根拠示さず存在がバックドアだ、見たいな論調ですし。
下の記事は、何にでもそう言う事言って噛みつくのが芸風の江添さんなので、こう言った議論で根拠に持ってこられても……。
Re: (スコア:0)
これがマイナスモデってなんで？
内容も文体も問題ないと思うけど。
Re: (スコア:0)
ここ数日、スラドで速攻で変なマイナスモデ付く事のをよく見ます。暫くすると、元に戻ってますが。
元編集で無限モデ権持ってる人が暴れてるとかなんですかね？
Re:ME脆弱性 (Intel SA-00086) リスク軽減策 (スコア:2)
元編集の人って編集権解除された時点でモデ権も一般ユーザ並みに戻るのでは？
Re: (スコア:0)
この手の音便の間違いは孤立語話者によく見られるパターンなので
おそらくチャイナフォビアのモデレーターによるマイナスモデと思われる
Re: (スコア:0)
ただの書き間違えとは思えないのか？
「浅いな」「浅いので」みたいな書き方を選んでる時に
半端に削除して前の分の痕跡が残ることはよく有るぞ。
何度も読み返せば気付くけど
ネットの書き捨てにいちいちそこまでやらんぜオレなら。
Re: (スコア:0)
幼女キャラにもよく見られるパターンなので、勝手に萌えていました。
Re: (スコア:0)
> ソースが公開されていないのをしきりに言ってるけど、MEに載ってるMINIXなんて小さなものだから、逆アセンブルして読む人が読めば現実的な時間でバックドアの有無位分かるよ。
> と言うか、そういう人たちが精査した結果reserve_hap ビットが見つかったわけだから。
MEって初期から散々危険だと騒がれてて、セキュリティ専門家が必死になってバックドア探してたんだけど、それでも今回の脆弱性が見つかるまで数年かかってるじゃん
逆アセンブルしたぐらいでバックドアが簡単に見つかったら苦労しねーよ
> 少なくとも現時点でバックドアがある可能性はほぼゼロ。
何言ってるんだか
過去にMEで何度もバックドアとして使える脆弱性が発見されてるの知らないの？
二度あることは三度あるよ
「今回Windowsの脆弱性が発見されてパッチがあたったから現時点でWindowsにバックドアがある可能性はほぼゼロ」っていうぐらい馬鹿らしい論理なのが分からないの？
Re: (スコア:0)
> 今回の脆弱性が見つかるまで数年
今回の脆弱性が載ったMINIXベースのME11が出てから数年もたってないと思うんですが。
> 過去にMEで何度もバックドアとして使える脆弱性が発見されてるの知らないの？
バックドアとバックドアとして使える脆弱性を混同してはいけません。
バックドアとして使える脆弱性については、(#3318133)も否定してないですよね。
それを、Intelが仕込んだバックドアって証拠も無しに確定情報の様に言う事を突っ込んでるだけで。
脆弱性についてはセキュリティ研究者が警戒してるって書いてありますよ。
Re: (スコア:0)
今回の脆弱性が載ったMINIXベースのME11が出てから数年もたってないと思うんですが。
・ 数年 [goo.ne.jp]
辞書ソース: 2、3か5、6ぐらいの年数。
知恵袋ソース: 若い人は2～3、中年以降は5～6の意味で使う傾向にあるらしい
・脆弱性対象 [impress.co.jp]
第6世代/第7世代/第8世代Coreプロセッサー・ファミリー
Skylakeの6700Kなら2015年8月5日発売
2年3カ月以上経ってるから「数年」で合ってる
バックドアかどうかについては、故意に仕込めばバックドア、過失ならばバグ、い
Re: (スコア:0)
でかした！おまえ！ほうびをトラスレータ