वास्तव में, दो हफ्ते पहले जितनी जल्दी हो, दो शोधकर्ताओं ने इंटेल द्वारा जिम्मेदार रूप से प्रणाली में कमियों को खोजने के लिए धन्यवाद दिया और इस दौरान चिपजिलिया 10 कमजोरियों को जारी किया नोटिस, चेतावनी से संबंधित कमजोरियों का प्रबंधन इंजन, सर्वो प्लेटफॉर्म सेवाओं और विश्वसनीय निष्पादन इंजन चलने पर असर पड़ सकता है।
इंटेल प्रबंधन इंजन प्लेटफॉर्म नियंत्रण केंद्र स्थित है, एक सह-प्रोसेसर, vPro चिप एकीकरण की एक श्रृंखला के माध्यम से उद्यम प्रबंधन क्षमताओं को शक्ति प्रदान कर सकते हैं। इंजन एक समर्पित MINIX3 ऑपरेटिंग सिस्टम (यूनिक्स जैसे ऑपरेटिंग सिस्टम), उपकरण कर सकते हैं के साथ सुसज्जित है मुख्य ऑपरेटिंग सिस्टम कर्नेल के नीचे एक स्तर चल रहा है।
इंटेल प्रबंधन इंजन उपयोगकर्ता के कंप्यूटर पर नजर रखने के लिए बनाया गया है, साथ ही उद्यम सिस्टम व्यवस्थापकों के लिए मुख्य सीपीयू प्रसंस्करण प्रोग्रामों और डेटा के लिए प्रवेश द्वार के अधिकांश में, पीसी प्रबंधन समूह के लिए यह इंजन बहुत उपयोगी है, लेकिन उन लोगों के लिए हैकर्स, इंजन भी आकर्षक है।
इंटेल में ये दोष हैकर्स को प्रभावित हार्डवेयर पर अनियंत्रित कोड चलाने की इजाजत दे सकता है जो उपयोगकर्ता या मुख्य ऑपरेटिंग सिस्टम के साथ संगत नहीं है। इस हमले के कारण, चिपज़िला ने मैच के लिए 'शटडाउन स्विच' कार्यान्वित किया अमेरिकी राष्ट्रीय सुरक्षा एजेंसी ने आईटी सुरक्षा मानक एचएपी को नामित किया।
लेकिन इस साल की शुरुआत में स्विच की खोज की गई, और एर्मोलोव और गोरीची ने कहा कि वास्तव में 10 में से तीन बताए गए कमजोरियों से बचाव नहीं हुआ: सीवे-2017-5705, सीवेई-2017-5706 , और सीवेई-2017-5707 उन्होंने यह भी कहा कि उन्हें एक स्टैक बफर ओवरफ्लो मिला है जो स्थानीय रूप से शोषण किया जा सकता है, इंटेल प्रबंधन इंजन के साथ किसी भी उपकरण पर अहस्ताक्षरित कोड को निष्पादित करने की इजाजत देता है - भले ही डिवाइस में है राज्य के बाहर, या सुरक्षा सॉफ्टवेयर द्वारा संरक्षित होने के एक राज्य में। इसके अतिरिक्त, एर्मोलोव और गोरीची एक सामान्य तकनीक का उत्पादन भी करते हैं जो परिवर्तनों का पता लगाने के द्वारा अतिप्रवाह को पकड़ने के लिए स्टैक कैनेरी (एक स्मृति को लिखा गया मान) को छोड़ देता है निष्पादन योग्य कोड चलाने के लिए उन्हें वापसी-उन्मुख प्रोग्रामिंग (आरओपी) का उपयोग करने की अनुमति दे सकते हैं।
हालांकि इन कमजोरियों को प्रभावित मशीन तक स्थानीय पहुंच की आवश्यकता होती है या सिस्टम को समझौता करने के लिए दूरस्थ आईटी प्रबंधन प्रणाली के माध्यम से मशीन क्रेडेंशियल्स तक पहुंचने की आवश्यकता होती है, लेकिन इंटेल की एएमटी भेद्यता इस वर्ष मई में ही प्रकट हुई थी स्थानीय पहुंच का असर होगा, लेकिन अंत में पुष्टि की गई कि भेद्यता भी रिमोट हमलों का कारण बन सकती है।
Ermolov और Goryachy, पिछले रजिस्टर करने के लिए ईमेल कथन में, ने कहा:
'इंटेल चिप्स के बड़े पैमाने पर घुसपैठ को देखते हुए, हमले के संभावित आकार बहुत बड़े हैं, जिनमें लैपटॉप और एंटरप्राइज़ आईटी इन्फ्रास्ट्रक्चर शामिल हैं, जो सभी बहुत कमजोर हैं।'
'यह समस्या को हल करने के लिए मुश्किल है -। फर्मवेयर के उन्नयन के लिए निर्माताओं की आवश्यकता होती है, और जब हैकर्स इन कमजोरियों का फायदा उठाने, उपयोगकर्ताओं को भी मुश्किल है'
डिनो दाई Zovi सुरक्षित Capsule8 कंपनी के सह-संस्थापक और मुख्य प्रौद्योगिकी अधिकारी, रजिस्टर ई-मेल को एक पत्र में है, उसने सोचा Ermolov और Goryachy पढ़ाई सबसे अधिक परेशान पाया है जगह है कि हैकर्स द्वारा इस्तेमाल किया जा सकता है उपयोग करने में आसान, लक्ष्य प्रणाली के कंप्यूटर चेसिस को खोलने की ज़रूरत नहीं है। "डिनो दाई ज़ोवी ने कहा:
'जो लोग एक हैकर चाहते भौतिक उपकरणों का उपयोग करने के लिए, यह एक बड़ा बाधा नहीं है, विरोधी छेड़छाड़ स्विच के साथ कुछ लैपटॉप, एक हैकर आसानी से इस सुरक्षा को बायपास कर सकते हैं, भले ही।'
लेई फेंग नेटवर्क सीखा है कि, हालांकि Ermolov और Goryachy वे CVE-2017-5705, CVE-2017-5706 और CVE-2017-5707 हार्डवेयर के साथ जुड़े जोखिम के लिए एक पैच जारी किया, लेकिन अभी भी पूरी तरह से बाहर काट दिया नहीं किया जा रहा की संभावना नहीं शासन कर सकते हैं एक हमलावर फर्मवेयर प्रबंधन इंजन क्षेत्र के ऊपर लिख सकते हैं और फिर नए संस्करण में कार्यक्रम को फिर से लिखने क्योंकि।
दाई जोवी ने कहा:
'एक प्रबंधन इंजन फर्मवेयर की तैयारी पुराने संस्करणों, आमतौर पर सीधे फ्लैश मेमोरी चिप में लिखा, या BIOS का उपयोग कमजोर की रक्षा के लिए, वास्तव में, इन निर्माताओं में से विशेष विन्यास पर निर्भर करते हैं।'
इंटेल प्रबंधन इंजन भेद्यता के लिए अमेरिकी सरकार से भी निकट व्यक्त किया और संबंधित अधिकारियों को इस मुद्दे को प्रस्तुत किया है। हार्डवेयर निर्माता डेल, विशुद्धतावाद और System76 अब इंटेल प्रबंधन इंजन के साथ सुसज्जित उपकरणों की आपूर्ति बंद करो।
दाई ज़ोवी ने बताया कि इन हार्डवेयर विक्रेताओं के अलावा समस्या का समाधान करने की कोशिश में, कुछ सुरक्षा प्रौद्योगिकी समुदाय भी कुछ खुले स्रोत कोड परियोजनाओं को विकसित करने की कोशिश कर रहा है, जैसे कि इंटेल मैनेजमेंट इंजन, जैसे कि मैग्लाकलर और हेड्स।
यह पूछने पर कि क्या इंटेल अपने प्रबंधन इंजन के काम को बदलने की योजना बना रहा है या अगर इसमें प्रबंधन इंजन चिप नहीं है, तो कंपनी के एक प्रवक्ता ने समस्या के बारे में हार्डवेयर विक्रेता से परामर्श करने का सुझाव दिया, प्रवक्ता ने कहा:
प्रबंधन इंजन कुछ प्रमुख विशेषताओं को प्रदान करता है जो उपयोगकर्ताओं को सबसे अधिक चिंतित हैं, जैसे सुरक्षित बूट, दोहरी प्रमाणीकरण, सिस्टम रिकवरी, और एंटरप्राइज़ डिवाइस प्रबंधन।
'विशेष आवश्यकताओं के साथ प्रणाली के मालिक, डिवाइस प्रासंगिक अनुरोध पूछना चाहिए के निर्माता से संपर्क, लेकिन अगर आप इंजन प्रबंधन चिप को हटाने, निश्चित रूप से, की पेशकश की सबसे मुख्य धारा के उत्पादों के समारोह को प्रभावित करेगा तो इंटेल तरह के एक विन्यास जाने का समर्थन नहीं करता।'
लीि फेंग नेटवर्क अनुवाद से है