Mecanismo de gerenciamento Intel, explicado: o minúsculo computador dentro da sua CPU

O Intel Management Engine foi incluído nos chipsets Intel desde 2008. É basicamente um minúsculo computador dentro de um computador, com acesso total à memória, exibição, rede e dispositivos de entrada do seu PC. Ele executa código escrito pela Intel, e a Intel não compartilhou muitas informações sobre seu funcionamento interno.

Este software, também chamado de Intel ME, apareceu nas notícias por causa de falhas de segurança que a Intel anunciou em 20 de novembro de 2017. Você deve corrigir seu sistema se estiver vulnerável. O acesso profundo ao sistema e a presença deste software em todos os sistemas modernos com um processador Intel significa que é um alvo suculento para invasores.

O que é o Intel ME?

Afinal, o que é o Intel Management Engine? A Intel fornece algumas informações gerais, mas evita explicar a maioria das tarefas específicas que o Intel Management Engine executa e exatamente como ele funciona.

Como a Intel coloca, o Management Engine é “um pequeno subsistema de computador de baixo consumo de energia”. Ele “executa várias tarefas enquanto o sistema está em hibernação, durante o processo de inicialização e quando o sistema está em execução”.

Em outras palavras, trata-se de um sistema operacional paralelo rodando em um chip isolado, mas com acesso ao hardware do seu PC. Ele é executado quando o computador está inativo, durante a inicialização e enquanto o sistema operacional está em execução. Ele tem acesso total ao hardware do sistema, incluindo a memória do sistema, o conteúdo da tela, a entrada do teclado e até a rede.

Agora sabemos que o Intel Management Engine executa um sistema operacional MINIX. Além disso, o software preciso que roda dentro do Intel Management Engine é desconhecido. É uma caixinha preta e só a Intel sabe exatamente o que tem dentro.

O que é a tecnologia Intel Active Management (AMT)?

Além de várias funções de baixo nível, o Intel Management Engine inclui a Intel Active Management Technology. AMT é uma solução de gerenciamento remoto para servidores, desktops, laptops e tablets com processadores Intel. Destina-se a grandes organizações, não a usuários domésticos. Não é ativado por padrão, então não é realmente um "backdoor", como algumas pessoas o chamam.

O AMT pode ser usado para ligar, configurar, controlar ou limpar remotamente computadores com processadores Intel. Ao contrário das soluções de gerenciamento típicas, isso funciona mesmo se o computador não estiver executando um sistema operacional. O Intel AMT é executado como parte do Intel Management Engine, para que as organizações possam gerenciar sistemas remotamente sem um sistema operacional Windows em funcionamento.

Em maio de 2017, a Intel anunciou uma exploração remota no AMT que permitiria que invasores acessassem o AMT em um computador sem fornecer a senha necessária. No entanto, isso afetaria apenas as pessoas que se esforçassem para habilitar o Intel AMT - o que, novamente, não é a maioria dos usuários domésticos. Apenas organizações que usavam AMT precisavam se preocupar com esse problema e atualizar o firmware de seus computadores.

Este recurso é apenas para PCs. Embora os Macs modernos com CPUs Intel também tenham o Intel ME, eles não incluem o Intel AMT.

Você pode desativá-lo?

Você não pode desabilitar o Intel ME. Mesmo que você desabilite os recursos Intel AMT no BIOS do seu sistema, o coprocessador Intel ME e o software ainda estarão ativos e em execução. Neste ponto, ele está incluído em todos os sistemas com CPUs Intel e a Intel não oferece nenhuma maneira de desativá-lo.

Embora a Intel não forneça nenhuma maneira de desativar o Intel ME, outras pessoas experimentaram desativá-lo. Não é tão simples quanto apertar um botão, no entanto. Hackers empreendedores conseguiram desabilitar o Intel ME com algum esforço, e a Purism agora oferece laptops (baseados em hardware Intel mais antigo) com o Intel Management Engine desabilitado por padrão. A Intel provavelmente não está feliz com esses esforços e tornará ainda mais difícil desabilitar o Intel ME no futuro.

Mas, para o usuário comum, desabilitar o Intel ME é basicamente impossível - e isso é intencional.

Por que o Sigilo?

A Intel não quer que seus concorrentes saibam o funcionamento exato do software Management Engine. A Intel também parece estar adotando a “segurança por obscuridade” aqui, tentando tornar mais difícil para os invasores aprender e encontrar falhas no software Intel ME. No entanto, como mostraram as recentes falhas de segurança, a segurança por obscuridade não é uma solução garantida.

Este não é nenhum tipo de software de espionagem ou monitoramento, a menos que uma organização tenha ativado o AMT e o esteja usando para monitorar seus próprios PCs. Se o Mecanismo de gerenciamento da Intel estivesse entrando em contato com a rede em outras situações, provavelmente teríamos ouvido falar disso graças a ferramentas como o Wireshark, que permite que as pessoas monitorem o tráfego em uma rede.

No entanto, a presença de software como o Intel ME, que não pode ser desativado e é de código fechado, é certamente uma preocupação de segurança. É outro caminho para o ataque e já vimos brechas de segurança no Intel ME.

O Intel ME do seu computador está vulnerável?

Em 20 de novembro de 2017, a Intel anunciou sérias falhas de segurança no Intel ME que foram descobertas por pesquisadores de segurança terceirizados. Isso inclui falhas que permitiriam que um invasor com acesso local executasse código com acesso total ao sistema e ataques remotos que permitiriam que invasores com acesso remoto executassem código com acesso total ao sistema. Não está claro o quão difícil seria explorá-los.

A Intel oferece uma ferramenta de detecção que você pode baixar e executar para descobrir se o Intel ME do seu computador está vulnerável ou se foi corrigido.

Para usar a ferramenta, baixe o arquivo ZIP para Windows, abra-o e clique duas vezes na pasta “DiscoveryTool.GUI”. Clique duas vezes no arquivo “Intel-SA-00086-GUI.exe” para executá-lo. Concorde com o prompt do UAC e você será informado se o seu PC está vulnerável ou não.

RELATED: What Is UEFI, and How Is It Different from BIOS?

Se o seu PC estiver vulnerável, você só pode atualizar o Intel ME atualizando o firmware UEFI do seu computador. O fabricante do seu computador precisa fornecer essa atualização, portanto, verifique a seção Suporte do site do fabricante para ver se há alguma atualização UEFI ou BIOS disponível.

A Intel também fornece uma página de suporte com links para informações sobre atualizações fornecidas por diferentes fabricantes de PCs e a mantém atualizada à medida que os fabricantes lançam informações de suporte.

Os sistemas AMD têm algo semelhante chamado AMD TrustZone, que é executado em um processador ARM dedicado.

Crédito da imagem: Laura Houser.