Diskuze: Bezpečnostní problém: spousta PC má výchozí známé heslo v Intel AMT

Level

14. 1. 2018 14:31

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala ja som ani nevedel ze v biose je nejake amt.. kazdopadne ak je to zneuzitelne len po fyzickom pristupe k pc, tak je to uplne zanedbatelny problem, za dalsie utocnik musi byt na rovnakej LAN. Opisovany problem je velka senzacia len v tieni minulotyzdnovych problemov...

zolo_sk

Level

14. 1. 2018 20:17

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala "... který nelze nijak omezit firewallem ..." To vážne? To by poprelo jeho základnú funkciu. Nehnevajte sa pán Šurkala, ale opakovať, čo ste niekde prečítali sa neoplatí. Mali by ste sa držať fotoaparátov. Aj keď je pravda, že ich vychádza čím ďalej menej. Zo stránok f-secure "Now the attacker can gain access to the system remotely, as long as they're able to insert themselves onto the same network segment with the victim (enabling wireless access requires a few extra steps)." Najskôr by ste museli prekonať striktne nastavený firewall.

Milan Šurkala

SHW

14. 1. 2018 20:48

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Nepopřelo. Vtip je totiž v tom, že ta komunikace do AMT jde přes jeho virtuální sériový port, tedy ta komunikace firewallem vůbec neprojde, ten o ní nemusí vůbec nic vědět. Těžko může firewall blokovat něco, když přes něj nejde ani bajt.

Cituji přímo ze stránek Microsoftu (https://blogs.technet.microsoft.com/mmpc/2017/06/07/platinum-continues-to-evolve-find-ways-to-maintain-invisibility/):

"As this embedded processor is separate from the primary Intel processor, it can execute even when the main processor is powered off and is therefore able to provide out-of-band (OOB) remote administration capabilities such as remote power-cycling and keyboard, video, and mouse control"

"Furthermore, as the SOL traffic bypasses the host networking stack, it cannot be blocked by firewall applications running on the host device. "

George2005

Level

14. 1. 2018 21:31

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Nezlobte se na mě, ale ne úplně přesně chápete, jak AMT funguje.

Jednak komunikace do AMT NEJDE přes jeho virtuální sériový port, je to naopak - virtuální port (SOL - Serial on LAN) je jednou z (volitelných) služeb AMT, která vůbec nemusí být používána. Komunikace je samozřejmě založena na TCP/IP a lze ji pochopitelně blokovat jakýmkoli firewallem, který je předřazen před LAN rozhraní daného PC.

Ten firewall, který zmiňujete ze stránek MS, je klasická softwarová aplikace běžící v operačním systému provozovaném na daném PC ("firewall applications running on the host device").

zolo_sk

Level

15. 1. 2018 10:14

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Pán Šurkala, vážim si vašu prácu. Zvlášť vaše podrobné recenzie fototechniky. A keďže už jej toľko niet, preorientovali ste sa na počítače. Bohužiaľ vidno, že ste stále na strane užívateľa a o jednotlivých technológiách nemáte vedomosti. Nerád by som používal invektívy, tak prepáčte, ak formálne niečo zle napíšem, čo by sa vás mohlo dotknúť. Ako bolo vyššie písané, komunikácia smerom z vonku na AMT prebieha na TCP/IP. AMT bola vytvorená pre správcov v lokálnych sieťach. Akonáhle predradíte firewall, tak proste komunikácia smerom na AMT neprejde. Takže domáci užívatelia sa nemusia báť. Presne to bolo v tej citácii, keby ste sa uráčil si to preložiť a pochopiť. Ak budete naďalej tvrdiť opak, tak fakt radšej prestaňte písať články o IT.

Milan Šurkala

SHW

15. 1. 2018 13:44

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Takže tím chcete říci, že Microsoft a F-Secure tomu nerozumí, když i oni sami píšou, že ten firewall obejít lze? F-Secure tvrdí, že to jde (a upřímně řečeno, u firmy, která se věnuje bezpečnosti, bych takovému prohlášení už dal i trochu váhy), Microsoft tvrdí, že to jde (v reakci na exploit, který to obejití firewallu přes AMT využil a který funguje i v OS s odinstalovanou síťovou kartou), dokonce i Intel sám říká "The Intel AMT device gives access to the computer even when the operating system is not running. This means that a virus/person could use the Intel AMT device to bypass the security measures defined in the operating system and take over the computer." Nevím, co přesně myslí tím "security measures defined in the operating system" , ale tipoval bych to např. na firewall. Nebo "Because packets directed to Intel AMT are never affected by “System Defense” network policies, serial-over-LAN will always work." K tomu tam je "It's (SOL) also useful if the administrator set an Intel AMT “System Defense” network policy that drops all of the network packets." Systém je tedy nastaven na zahazování všech paketů (co tedy ten firewall kontroluje, když jsou všechny pakety zahozeny?), přesto je to "useful" tool k přístupu do počítače a jeho nastavení.

Tím neříkám, že AT nefunguje přes klasické TCP/IP v systému, ale že očividně tu tři velké společnosti (včetně té, která to vymyslela) tvrdí, že tu je cesta mimo klasický síťový řetězec, který klasické security measures v OS neodhalí.

BT, nepřeorientoval jsem se na počítače, ale na fotoaparáty. O počítačích píšu o mnoho let déle než o fotoaparátech.

George2005

Level

15. 1. 2018 14:09

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Pane Šurkalo, opravdu se Vám předem omlouvám, nechci se pouštět do zbytečné konfrontace, ale to, co jste nyní napsal, opět potvrzuje, že úplně nechápete, jak AMT funguje.

Microsoft, F-Secure i Intel mají naprostou pravdu s tím, co píší, avšak bohužel vy z toho vyvozujete nesprávné závěry. Zkuste si prosím uvědomit rozdíl mezi firewallem, který běží jako aplikace v OS (a který samozřejmě NEMŮŽE běžet, když je PC vypnutý, což dá rozum) a firewallem ("krabičkou" či aplikací běžící na JINÉM stroji), který je předřazen síťovému rozhraní daného PC s AMT (tj. to, co jsem psal v předchozím příspěvku).

Milan Šurkala

SHW

15. 1. 2018 15:44

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Pořád je tady vidět Vaše profesionální deformace. Jasně, že pokud nějaký administrátor pracuje s AMT, měl by tomu rozumět a umět to správně nastavit, totéž se týká firewallu, ať už tam AMT je nebo není a spousta z těchto použití má firewall, který popisujete jako krabičku. AMT ale není jen a pouze korporátní svět. Např. já mám herní notebook s procesorem, který by měl AMT podporovat (to, zda to tam skutečně je, nebo je to vypnuté, zjistím, až se k němu v budoucnu někdy zase dostanu). A takových bude více, kteří to AMT možná dostali, ani nevěděli jak a rozhodně nepoužívají nějakou krabičku nebo firewall běžící na jiném počítači.

George2005

Level

15. 1. 2018 16:04

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Ano, svou profesionální deformaci uznávám a opravdu se nechci pouštět do žádné konfrontace.

Jen jsem prostě chtěl říct, že ochrana firewallem běžícím jako aplikace v OS nemůže fungovat na žádném OOB (Out-of Band) zařízení (tj. vzdálený management) z jeho samé podstaty, neboť takový management musí být funkční i v případě, že je jím spravovaný stroj zcela vypnutý nebo dokonce ani nemá nainstalovaný žádný operační systém. Takže to prostě není chyba, ale vlastnost "by design". Takže když se ty firmy zmiňují o firewallu, tak tím myslí právě a jen aplikaci běžící v OS (což tam i jasně zmiňují).

Pokud tedy v článku napíšete, že "nejhorší je, že na problém neplatí silná hesla a nemusí pomoct ani firewally ani jiná bezpečnostní opatření", tak to prostě není pravda a je to matoucí. Pokud byste to psal na Novinkách či Technetu, tak bych neřekl ani "n", ale na Světě Hardwaru bych čekal poněkud přesnější popis problému (klidně i s podrobnějším popisem) a ne jeho "zamotání" :-(

Btw: on byl původně zavádějící i ten titulek článku, ale ten jste opravil, zač bych Vám rád ještě jednou poděkoval.

Milan Šurkala

SHW

15. 1. 2018 17:53

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Však také nemluvím o chybě, ale o zrádné vlastnosti tohoto systému (resp. chybě nastavení, když už mluvíme o chybách), na kterou se snadno zapomene (a mnoho lidí ani neví, že tam vůbec něco takového je). Aby to bylo jasnější, k těm firewallům a jiným bezpečnostním opatřením jsem doplnil určení "v počítači".

George2005

Level

15. 1. 2018 19:35

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala OK, hlavně ať tedy článek pomůže lidem, kteří o AMT nikdy neslyšeli.

Jak už jsme se zmiňoval, tak pokud se někomu zobrazuje před bootováním hláška typu "Press <Ctrl P> to enter Intel(R) ME setup", tak to znamená, že má zapnuto AMT - ať tedy stiskne tu kombinaci Ctrl P a nastaví si své vlastní heslo.

Milan Šurkala

SHW

15. 1. 2018 19:41

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Na moderních kompech se hlášky tohoto typu často ani neukazují. Tam se nezřídka nezobrazuje ani to, jak se dostat do BIOSu (ve výchozím stavu se obvykle ukáže logo výrobce a pak to rovnou skočí do Windows).

George2005

Level

15. 1. 2018 20:02

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Ano, závisí na tom, jakým způsobem se aktivuje tzv. Option ROM a zda je to Legacy nebo UEFI verze. Pak je třeba se dostat do Setupu.

Funkcionalitu AMT však lze zjistit i ve Windows - pokud je vše správně nainstalováno, tak lze v tray ("oznamovací oblasti") najít ikonu modrého klíče v rámečku nebo kolečku s názvem "Intel Management and Security Status" (u dřívějších verzí ikona počítače se zelenou obrazovkou s názvem "Intel AMT Status").

Tam lze zjistit, zda je AMT aktivní, je tam i log pro sledování přístupu, kde lze zjistit, zda se někdo nepokoušel pomocí AMT připojit a i aktuální stav, tj. zda došlo k přesměrování terminálu a klávesnice a především zda není aktivní připojení přes KVM - to je to hlavní nebezpečí, kdy lze sledovat obrazovku a ovládat PC na dálku. Zda a jak je to na Linuxu bohužel nevím.

zolo_sk

Level

16. 1. 2018 09:13

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Vo všetkom súhlasím s George2005. Bohužiaľ pán Šurkala, ste asi nejako zakomplexovaný, lebo nedokážete priznať svoju chybu. Radšej nenápadne pomeníte obsah článku. Dookola ste opakovali a spomínali tri firmy a vyberali si účelovo to, čo podporovalo vašu teóriu. Keď som vám ja vybral od f-secure vetu "Now the attacker can gain access to the system remotely, as long as they're able to insert themselves onto the same network segment with the victim (enabling wireless access requires a few extra steps).", tak ste časť "as long as they're able to insert themselves onto the same network segment" odignorovali. Bohužiaľ vám to časom došlo a ako ste napísali, tak ste potom pridali inkriminovaný text, že je to firewall na danom PC. Ako vám George2005 vysvetlil, ten firewall zo zásady nemôže fungovať pri AMT. Len tak mimochodom, my máme na počítačoch vo veľkej sieti cez doménovu politiku vypnuté firewally na počítačoch. Veď načo, keď sa hacker prebije do siete z internetu cez hlavný HW firewall? Tie na windowsoch ho už nezastavia. Ak ste taký hrdina, tak vám sprístupním AMT na PC a kľudne sa mi hacknite do PC cez AMT. Ale vy nie ste ani rovný chlap, ktorý prizná omyl. Ešte raz, aby bolo jasné, keď pred PC zapojené v sieti, zapojíte HW firewall (proste špecializovaná krabička napríklad Cisco, neviem, či firewall v bežných spotrebiteľských routeroch to zadrží, ale taký Miktotik by nemal mať problém), tak proste sa na AMT nedostanete.

zolo_sk

Level

16. 1. 2018 10:23

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Mám pocit pán Šurkala, že problém tkvie vo vašom nepochopení. Všade píšu, že útočník získa vzdialený prístup. No a vy si to hneď preložíte (ale aj drvivá väčšina ľudí), že získa prístup z opačného konca zemegule. Ale vzdialený prístup je aj z meter vzdialeného počítača kolegu. A ani jedna firma nepíše, že získa prístup z internetu.

Milan Šurkala

SHW

16. 1. 2018 18:29

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Kdybyste neviděl tak rudě, tak byste si jistě všiml větičku v článku "Poté už útočníkovi jen stačí změnit heslo do AMT, povolit vzdálený přístup a pokud jsou počítače na stejné síti, snadno lze monitorovat napadený počítač. ". Celou dobu je tam napsáno "na stejné síti". Tedy za hlavním HW firewallem, pokud tam nějaký je. Nikde nebylo napsáno, že je to z opačné strany zeměkoule, to jste si tam dosadil jen a pouze vy. Však ta věta od F-Secure o té stejné lokální síti tam byla. Celou dobu se mluví o útoku na stejné síti. Resp. asi jste viděl rudě, protože jste si ji nejspíš jen nevšiml.

Možná by pak všechno bylo jinak a nemuseli jsme tady celou dobu vůbec nic řešit. Takže časem mi nic nedošlo, jen jsem to poupravil a lépe rozepsal, protože to bohužel nedošlo někomu jinému, kdo si v textu nevšimli tři slůvka "na stejné síti". Když udělám chybu, tak ji přiznám, to se spolehněte (tím jsem myslím na SHW a Digimanii docela známý, že s tím opravdu nemám nejmenší problém, protože chyby děláme občas všichni). Proto jsem také některé formulace poupravil, neboť byly napsány nešikovně a já to klidně přiznám. Pokud jde o lokální síť, tak tady chybu přiznávat rozhodně nebudu, protože jsem ji neudělal a ta zmínka "na stejné síti" je tam od začátku. Tady je už chyba na vaší straně.

Milan Šurkala

SHW

16. 1. 2018 18:52

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Jak již bylo řečeno výše, ani jedna firma neříká, že získá přístup z internetu a nikdy to neříkal ani článek :-) Opravdu netuším, kde jste na to přišel, že by byla snad řeč o útoku z vnější sítě, když je tam napsáno "na stejné síti". Celou dobu se bavím o útoku na stejné síti a např. SOL a obcházení firewallu v PC. Pokud je HW firewall před sítí (o kterém jste mluvil vy), tak by se asi AMT v procesoru nějakého počítače v síti v této komunikaci nemělo jak angažovat.

zolo_sk

Level

17. 1. 2018 08:28

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Hneď druhá veta prvého odstavca "ale přesto nepříjemná vlastnost v Intel AMT, která dovoluje útočníkovi trvale převzít kontrolu nad postiženým počítačem.." V druhom odstavci posledná veta "Nejhorší je, že na problém neplatí silná hesla a nemusí pomoct ani firewally ani jiná bezpečnostní opatření v počítači (Trusted Platform Module ani Bitlocker), tedy až na jednu výjimku, resp. jedno heslo." Tak do prdele čo si má neznalý čitateľ myslieť??? Myslíte si, že ho už niekde v druhej polovici článku trknú vaše tri slová "na stejné síti". Problém je, že to napíšete ako bulvár. Na začiatku "Belohorcová všetko ukázala" a potom niekde v článku " obsah kabelky". Ale toto ešte čitateľovi dôjde. Ale bežnému čitateľovi, tomu domácemu už nedôjde, že útočník musí byť u neho doma, niečo zmeniť a ešte aj na routeri firewall vypnúť (ak to má vôbec zapnuté). Správca siete ani nemusí čítať vaše články. Ten si to nájde v zdroji. Ale keď budete takto blbnúť čitateľov, tak to radšej ani nepíšte.

Milan Šurkala

SHW

17. 1. 2018 13:25

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Trochu uklidnit by se to chtělo. Podívejte, já nemám problém přiznat, že ten nadpis nebyl dobrý, a tak jsem ho na popud čtenářů opravil. Stejně tak jsem doplnil to "v počítači", aby to bylo ještě jasnější, i to jsem mohl napsat šikovněji. Stejně tak nemám problém uznat, že vy i George2005 máte mnohem lepší znalosti v AMT než já. Vy s tím pracujete, já nikoli.

Nicméně, nikdy v tom článku nebylo napsáno o útoku z internetu nebo vnější sítě, takže jste mi předsouval něco, co jsem tam nenapsal a nikdy to tam nebylo. Jediný, kdo z nás dvou si to přeložil jako útok z internetu a jiné sítě, jste byl vy. "No a vy si to hneď preložíte (ale aj drvivá väčšina ľudí), že získa prístup z opačného konca zemegule." Z nás dvou jste to byl vy, kdo si to tak přeložil. Já nikdy nic o opačném konci zeměkoule neříkal a v článku jsem měl, že jde o stejnou síť. Problém je v této části na vaší straně, ne mojí.

Kdybyste neviděl tak rudě a nejspíš po přečtení prvního odstavce ty další možná ani nečetl nebo prolétl s myšlenkami na to, jak mi vynadáte v diskuzi, možná byste si ta tři slůvka všiml. Tak jsem zvědav, kdo tady bude ten zakomplexovaný. Já nemám problém s přiznáním chyb, které jsem udělal, také jsem je napravil. A co vy? Budete mít vy problém s přiznáním vlastní chyby? Přiznáte, že jste prostě přehlédl něco, co tam dávno bylo a že jste mi vytýkal něco, co v článku nikdy nebylo?

zolo_sk

Level

19. 1. 2018 11:08

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Rozmýšľal som, či vôbec ešte budem reagovať, ale budiž. V prvom rade vám nikde nenadávam. Ak som napísal "Tak do prdele čo si má neznalý čitateľ myslieť", tok to bolo iba expresívne vyjadrenie a nebolo myslené na vás. V druhom rade, ak čítam články, tak ich čítam celé od začiatku do konca, tak ako knihy. Ak zistím, že článok na základe nadpisu som omylom zobrazil a je nezaujímavý, tak ho nečítam a nemám dôvod sa ani vyjadrovať v diskusii. Za tretie, nič som nikde neprehliadol. Neviem, prečo to obraciate proti mne. Pokiaľ napíšete, že to nie je možné obmedziť firewallom, tak je to proste nepravda a chybne formulovaná informácia. Ja píšem, že prvá polovica článku bola tak zle napísaná, že čitateľ získa pocit, že je napadnuteľný. A tie tri slovíčka už ten pocit nezmenia, lebo si neuvedomí ich význam, lebo je to laik. Dúfam, že stále sa tu ešte píše pre širokú verejnosť a nie ste odborný web. Preto vám želám veľa nových skvelých článkov. Aj tak ste stále o dve triedy vyššie oproti tým mladým na rôznych weboch.

Milan Šurkala

SHW

19. 1. 2018 13:09

Komentáře tohoto uživatele máš zablokované.

@Milan Šurkala Uznávám, že ta první část nebyla napsána ideálně, a proto jsem ji také upravil. Přehlédnout jste to přehlédnul, to neokecáte. Několikrát jste mi psal, že z Internetu to neprojde a několikrát jste odkazoval na větičku píšící o útoku z vnitřní sítě. Kdybyste to nepřehlédl, tak byste to nepsal, protože v článku o útoku ze stejné sítě napsáno bylo. Vždyť jste mě sám na tu stejnou síť upozorňoval, dokonce jste mi to vmetl do tváře, že jsem vám na to neodpověděl. Proč byste to dělal, kdybyste věděl, že je to v článku napsáno? Tudíž jste to asi nevěděl a přehlédl to. Nebo mi snad dokážete vysvětlit, proč byste opakovaně namítal, že jsem to pochopil jako útok z vnějšku z internetu, kdybyste věděl, že jsem psal o vnitřní síti? Jak jste došel k tomu, že jsem to pochopil jako útok z vnějšku, když jsem psal o stejné a nikoli vnější síti? Jediné rozumné vysvětlení je, že jste to prostě přehlédl, protože jinak nevidím jediné rozumné vysvětlení, proč byste opravoval něco, když jste údajně věděl, že to tam je. To nedává vůbec smysl.

Pořád se na to díváte svou odbornou optikou, která vám zkresluje vidění a nabourává také vaše argumenty. Jde to vidět např. zde "A tie tri slovíčka už ten pocit nezmenia, lebo si neuvedomí ich význam, lebo je to laik." Laik především často ani netuší, že něco jako HW firewall existuje. Pro laika existuje firewall v podobě softwaru, který má na počítači a v mnoha případech si ještě myslí, že je to antivir. A ten díky AMT nabourat lze. Vy to prostě znáte a vyznáte se v tom velmi dobře, ale většina lidí pod tím firewallem pochopí i bez určení, že jde o ten v počítači (a ano, bylo dobré to tam specifikovat, to se nepřu). Já vím, že HW firewally existují, ale ani by mě nenapadlo, že by někoho mohl v kontextu článku (a toho, že se mluví o procesoru v PC) napadnout jiný, než ten v PC. Nerozumím tomu, jak z toho mohlo vyplynout, že procesor Intel v síti s dalšími počítači (např. s Intely bez AMT nebo AMD) ovlivní to, zda se dá či nedá obejít HW firewall, který je všem předřazený a je mimo toto PC.

Ale to se stává, nebylo to poprvé a určitě to bohužel není ani naposled, co mě čtenáři překvapí pro mě neočekávaným pochopením článku. Snad to bude příště lepší, budu mít větší fantazii než čtenáři a více předvídat.

Diskuze: Bezpečnostní problém: spousta PC má výchozí známé heslo v Intel AMT

Nejnovější komentáře

Nejčtenější obsah

Nejaktivnější čtenáři

Pokračujte ve čtení