0
| 本文作者： 包永剛 | 2019-03-30 11:13 |
Black Hat Asia 2019安全會議上，Positive Technologies的安全研究人員披露了英特爾芯片組中此前未知和未記錄的功能。
研究人員Maxim Goryachy和Mark Ermolov稱其為英特爾內(nèi)部信號可視化（Intel VISA，Intel Visualization of Internal Signals Architecture），這是現(xiàn)代英特爾芯片組中的一項新工具，可幫助英特爾在生產(chǎn)線上進行測試和調(diào)試。
VISA包含在平臺控制器集線器（PCH）芯片組中，是英特爾CPU的一部分，其工作原理就像一個成熟的邏輯信號分析儀。
PCH，圖片來源：Wikimedia Commons
根據(jù)兩位研究人員的說法，VISA攔截從內(nèi)部總線和外圍設(shè)備（顯示器，鍵盤和網(wǎng)絡(luò)攝像頭）發(fā)送到PCH的電子信號，在主CPU之后。
VISA可能獲得計算機的全部數(shù)據(jù)
未經(jīng)授權(quán)訪問VISA功能將允許入侵者攔截計算機內(nèi)存的數(shù)據(jù)，并在盡可能低的層級創(chuàng)建間諜軟件。
盡管它具有極強的侵入性，但對這項技術(shù)目前知之甚少。Goryachy和Ermolov表示，VISA的文件須遵守保密協(xié)議，并不向公眾開放。
通常，這種保密和安全默認的組合使英特爾的用戶免受可能的安全攻擊。
然而，兩位研究人員表示他們發(fā)現(xiàn)了幾種啟用VISA并使用通過CPU嗅探的數(shù)據(jù)的方法，甚至通過隱秘的英特爾管理引擎（ME），自從Nehalem和5系列處理器發(fā)布以來它一直存放在PCH中。
英特爾表示問題已經(jīng)解決，但研究員不同意
Goryachy和Ermolov表示，他們的技術(shù)不需要對計算機主板進行硬件修改，也無需特定設(shè)備。
最簡單的方法是使用英特爾的Intel-SA-00086安全建議中詳述的漏洞來控制英特爾管理引擎并以此方式啟用VISA。
英特爾發(fā)言人昨天告訴ZDNet，“BlackHat Asia討論的英特爾VISA問題依賴于物理訪問和2017年11月20日INTEL-SA-00086已經(jīng)修補的緩解漏洞” 。已經(jīng)應(yīng)用這些措施的客戶受到保護，不受已知問題的影響。”
然而，在給ZDNet的電子郵件中，兩位研究人員表示英特爾-SA-00086修復(fù)程序還不夠，因為英特爾固件可以降級為易受攻擊的版本，攻擊者可以接管英特爾ME，然后啟用VISA。
此外，研究人員表示還有其他三種方法可以使英特爾VISA不依賴于這些漏洞，這些方法將在未來幾天內(nèi)黑帽組織者發(fā)布二人組合的演示幻燈片時公開。
“這些漏洞只是啟用英特爾VISA的一種方式，在我們的演講中我們提供了其他幾種方法來實現(xiàn)?！眱晌谎芯咳藛T在電子郵件中告訴ZDNet?！罢缥覀円辉俦硎镜哪菢?，這些修復(fù)都是虛設(shè)的，它們沒有做任何事情，因為數(shù)字簽名的固件可以降級到任何以前的版本?！?/p>
正如Ermolov昨天所說，VISA并不是英特爾芯片組中的一個漏洞，而只是另一種可能被濫用的功能，并轉(zhuǎn)向用戶的方式。VISA濫用的可能性很低。這是因為如果有人利用Intel-SA-00086漏洞來接管Intel ME，那么他們可能會使用該組件來進行攻擊，而不是依靠VISA。然而，這項研究指出了英特爾芯片組中另一種潛在的威脅。
另外，這是Goryachy和Ermolov在過去一年中發(fā)現(xiàn)的第二個“制造模式”功能。他們還發(fā)現(xiàn)蘋果意外地出貨了一些配備英特爾CPU的筆記本電腦還處于“制造模式”。雷鋒網(wǎng)
雷鋒網(wǎng)編譯，via zdnet 雷鋒網(wǎng)
相關(guān)文章：
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
