Názory k článku
Nový problém Intel AMT, útočník dokáže obejít heslo BIOSu, TPM i BitLockeru
-
j (neregistrovaný)
Silhavej, ze ses retardovanej to vsichni vedi ... ty totiz vubec netusis, co je to TPM a jak to ma fungovat ze? Tohle je zhruba na urovni bootu do widli v nouzaku ... cimz padem neni treba zadavat zadny hesla k sifrovanym datum ... Coz je nejspis podle tardu tvyho razeni bezny chovani.
-
j (neregistrovaný)
Spousta adminu od systemu ocekava, ze bydefault na nem neni zapnuty nic, k cemu by se dalo nejak prihlasit, a ze prihlasit se da jen k tomu, co sami nastavej.
Na normalnim tuxim distru ti taky bydefault nebezi ani ssh. Musis ho zapnout a tim padem delas vedome nejakou akci, o ktery vis, ze ma nejaky predpoklady - jako trebas ze root ma nastaveny heslo, pripadne ze znemoznis login na roota primo ...
Uz vubec pak admin neocekava, ze si bude muset ke kazdymu kusu HW fyzicky sednout, aby na nem musel neco menit, jednoduse proto, ze v korporatu o desitkach tisic kusu HW je neco takovyho naprosto nemyslitelny.
-
654 (neregistrovaný)
Šifrování je věc, kterou by bez spoluúčasti nebo předchozího souhlasu uživatele neměl mít možnost obejít ani admin. Záložní způsob odšifrování je běžná a rozumná praxe, ale rozhodně se to nedělá takovým způsobem, a vůbec ne bez možnosti to vypnout. Přece existují situace, kdy je lepší data ztratit, než riskovat vyzrazení. Například šéfy Microsoftu rozhodně nepotěší, že jim jejich admin může číst citlivé obchodní tajemství.
lidová moudrost: "dětem a blbcům sirky do rukou nepatří!" není přesná. Přesnější by bylo "dětem a blbcům nestrkej sirky do kapsy, když se nedívají"
-
Co nezlahcuje vaznost celej situacie. Dokonca uz aj vyrobcovia casti Wifi routerov sa naucili generovat pseudonahodne heslo pre pristup k administracnemu rozhraniu routerov, preto nevidim dovod, preco by sa nieco take nemohlo diat aj tu aj ide o featuru, ktora je implicitne zapnuta a ma bezpecnostne dopady.
A ak uz nieco take velmi hlupe spravim, tak do celeho sveta kricim, ze som to urobil.
-
Nad tím jsem také přemýšlel, ale to má jednu vadu. Celý postup je zneužitelný stejně jen při fyzickém přístupu k počítači a při zapnutém AMT. Za jedno, zapínat AMT, když nevím, co to je, je trochu hloupost. Za druhé, když Vám PC ukradnou, dostanou se i k informaci o heslu do AMT, nebo k tomu, z čeho je vypočítávána.
Potenciál této chyby je opravdu velmi malý, PC prakticky nemívají TPM, abychom se bavili o narušení bezpečnosti bitlockeru, a u notebooků je to také menšina, a když už je to využívané, tak v rukou admina.
-
Lol Phirae (neregistrovaný)
Bitlocker je pro šifrování prakticky nepoužitelný. V doméně si zazálohuje klič do AD, pokus se přihlašujete MS účtem, tak si pro jistotu zazálohuje klíč do cloudu (aby se tajné služby nemusely obtěžovat v případě potřeby). V režimu bez PINu jsem nikdy nepochopil, k čemu to kdo používá (krom zbytečné zátěže procesoru), no a s PINem je to pro změnu taky k ničemu kvůli těm úžasným entrprajs věcem, jako je AMT, krom toho je implementace tak geniální, že k zadání PINu to neumí použít numerickou klávesnici. Jediný tak nějak použitelný režim, kdy se klíč uloží na nějaké externí USB médium, tak ten je defaultně vypnutý, podpora něčeho jiného než USB (třeba SD karty, tokeny) je na nule. No, ale hlavně že se to snadno centrálně spravuje a můžeme si odfajfkovat "šifrování disku".
-
To vše se dá v AD nastavit na úroveň, jakou požadujete. Co znám firmy, tak jim nejvíc jde o ukradení notebooků (zapomenuté v autech, hotelích, ...), méně už pak o absolutní šifrování. Takže zálohování klíče do AD je právě pro tento účel pohodlné a řeší to právě ten nejpalčivější problém.
Kdo nechce mít klíč zálohovaný v AD, je to asi trojí kliknutí v politice domény.
-
Cek (neregistrovaný)
Takze si to zopakujme: V CEM je Bitlocker prakticky nepouzitelny? V tom, ze bezpecnostni politiku si neurcuje kazdy uzivatel sam, ale spravuje ji administrator? :-O To je snad vyzadovany stav....
Jeste jsem ochoten uznat ten cloud, zalohovat to tam je opravdu trosku neprakticke....
-
jouda (neregistrovaný)
Opět - žádné šifrování není všemocné, prostředky musí odpovídat tomu co a hlavně před čím chráním.
Jak už bylo řečeno, BitLocker bez pinu chrání v případě:
- Běžný zloděj ukradne firemní notebook a neadresně ho prodá.
- V notebooku odejde disk, a při výměně ho chce dodavatel vrátit.
Shodou okolností, ať se nám to líbí nebo ne, tohle je nejčastější use-case v korporátu, a pro ochranu běžných informací (s klasifikací na způsob internal only) je to naprosto dostatečné. Plus je poměrně snadno nasaditelné a spravovatelné, navíc v ceně multilicence. -
Trupik (neregistrovaný)
Ďakujem, o existencii a účele tejto "pomôcky" som netušil (TPM). Po preštudovaní dokumentácie som sa dozvedel, že okrem BitLockeru jeho "pomoc" dokáže využiť aj dm-crypt (!!!). So všetkými tými dierami poslednou dobou a takýmito skrytými "pomocníkmi", človek sa asi bude musieť vrátiť k 8-bitom, aby mal nejaké súkromie a bezpečie. :(
-
Žádná jistota není, nikdy nebyla a nikdy pravděpodobně nebude. Každý si musí rizika vypočítat sám, určit si, co je ochotný podstoupit. To neplatí jen v IT, ale v celém světě. Když si jdete koupit jakýkoliv výrobek, tak nemáte jistotu, že během záruční doby dodavatel nezkrachuje (a nebude u koho záruku uplatnit), nevíte, jestli televizor bude schopný za 10 let ještě přijímat nějaký signál (bude standard DVB-T8), ... Všichcni chceme žít bez rizik (jakéhokoliv typu), ale nejde to.
-
Žádná taková jistota není a proto to Google vyhodnotil tak jak vyhodnotil. Viz
Google důvěřuje pouze Linuxu, zbaví se UEFI a Intel ME
Děravý Intel Management Engine lze nahradit minimalistickým Linuxem a Goa hromada dalších informací k tomuto nejen na tady na Rootu.
-
Peter FodrekZlatý podporovatel
> K celému útoku stačí pár minut.
nie ste trosku pomaly? Pokial viem, tak to ni je ani jedna minuta...
A NEW SECURITY FLAW in Intel's Active Management Technology (AMT) can be used by attackers with physical access to get around authentication processes in just 30 seconds.
-
FíkZlatý podporovatelno to asi není žádný benchmark :)
spíš bylo myšleno, že stačí nechat počítač bez dozoru pár minut a je tosprávně tedy nenechávejte počítač bez dozoru více než 30 sekund, nebo si změňte AMT heslo :)
-
Podle mě je to chyba admina. Pokud používá takové technologie a hardware, který má AMT a TPM, měl by vědět, jak s nimi zacházet. To bohužel vyžaduje, aby se admin neustále vzdělával, četl, možná i absolvoval školení. To platí ve všech oborech.
Zde je na diskusi, jestli AMT nemá být chráněno např. až po zadání hesla nastaveného v BIOSU. Ale z podstaty věci, tím, že AMT stoj NAD v článku uvedenými technologiemi, nelze pak vyčítat, že má velkou moc nad informacemi v nich uloženými.
Dlužno ještě podotknout, že většina spotřebního hardwaru se neprodává s AMT a TPM, to je určené spíš pro dražší, business modely. Takže překryv této chyby / vlastnosti s běžným, neznalým uživatelem není asi příliš velký. A ve firmách už je to na IT odděleních, aby věděli, s čím pracují.
-
Ovrscout (neregistrovaný)
Dovoluji si nesouhlasit.
Tyhle "management vylepšovátka" zdaleka nejsou jen v dražších modelech, ale klidně i cenovce kolem 15-17tisíc (nemluvě o kategorii 20k+).A i když tam asi nejsou dostupné všechny bussines funkce, zranitelnosti tam nejsp93 st8le budou.
S nějakou tou slevou se to snadno dostane do hledáčku běžných uživatelů.
Předpokládám že je to proto že je jednodušší to tam nechat než dělat speciální verzi bez tohoto.
Navíc v seznamu funkcí tyhle featury zrovna často uváděné nejsou, ještě tak možná TPM. Zřejmě se všichni bojí že by se cílová skupina zákazníků vyděsila.Takže takový běžný admin-samouk bude těžko vědět že tam něco takového je takže to ani nebude zkoumat.
Na druhé straně korporátní IT by to vědět měl, protože tu technologii nejspíš používá.
Předpokládám ale že spousta adminů bude někde mezi těmito dvěma póly.Ale i když to ITtík může nebo má vědět, neznamená to že by ta featura měla být udělaná jako zadní vrátka. Očekával bych že by default bude management vypnutý(respektive nenakonfigurovaný - děje se) a data v TPM bezpečně zamknutá. Při zapnutí management featur se nastaví prvotní heslo(děje se) a při tom se smaže TPM (nebo se použije třeba jiný master klíč nebo co já vím jak je to udělané, tohle se bohužel neděje).
Možná už jsem starý ale pořád mi přijde správné mít systém by default zabezpečený a pak do něj dělat díry než naopak. I kdyby to měla být jen konfigurace firewalu :) -
Možná už jsem starý ale pořád mi přijde správné mít systém by default zabezpečený a pak do něj dělat díry než naopak. I kdyby to měla být jen konfigurace firewalu :)
No to každopádně, ale ve výchozím stavu, aspoň co potkávám já, je AMT vypnuté a TPM reslé. Patrně by pomohlo, kdyby se při prvním zapnutí AMT muselo heslo nastavit, ale už vidím, jak by se řešila recovery ztracených hesel.
-
Ovrscout (neregistrovaný)
A nebo naopak, po zapnutí/aktivaci AMT a následném zadání prvotního hesla(respektive vynuceném zadání nového hesla) resnout TPM.
Přeci jenom mi přijde málo pravděpodobné že si běžný uživatel aktivuje AMT a bude vytvářet heslo, protože je to A)dobře ukryté a za B)k ničemu mu to není.I tak je mi ale divné že podle článku je tam původní heslo, co si pamatuju tak to po mne chtělo zadat nové(prvotní) heslo i při vypnutí tohodle potvoru.
-
j (neregistrovaný)
Jenze vono s tim prd nadelas, i kdyz o tom vis. Protoze prevazna vetsina tohodle HW sebou vlece jeste krome systemu nejakej ten uberfrikulinskej aktualizator vyrobce (a to klidne v podobe neceho v biosu/efi co si samo leze pri bootu na net) a uplne klidne se to "samo" vsemozne a neustale patchuje, pricemz s kazdym patchem ti to zlikviduje veskerou konfiguraci.
Pak to vede k tomu, ze admini neustale musej poslouchat pindy na tema proc se z toho ci onoho neda dostat ani na web ... protoze se staci podivat, co vsechno se neustale snazi nekam neco posilat.
-
No je. Kolik lidi asi tak vi, ze krome do BIOSu se da jeste vlezt do jakesi sracky od Intelu s defaultnim heslem? Vzpomen si, jaka byla krasna dira, kdyz si nekdo vsiml, ze ve Widlich XP je admin bez hesla. I potom to spousta lidi mela nezaheslene, protoze se to k nim bud nedoneslo nebo se zalekli hlasky, ze kdyz to zahesluji, tak by se to mohlo posrat. MS kvuli tomu v updatu na XP zakazal pristup po siti uzivatelum bez hesla, aby ten pruser aspon minimalizoval.
Dira, jako tohle, je v podstate backdoor, ktery se tvari, jako ze backdoor neni. Aby tomu tak nebylo, musel by byt pri bootu uzivatel upozornen na nutnost zmeny hesla a donucen zmenu vykonat. Jinak se to vetsina lidi ani nedozvi. A uz si predstavuju ty zastupy lidi, kteri nastavi heslo a to promptne zapomenou. Jestlipak maji soudruzi aspon nejak vymysleny jakysi faktory reset, ktery zaroven znici klice z TPM?
-
Zdravím, rozumíte tomu někdo přesněji?
Měl jsem za to, že když mám TPM čip (tu věc co se dokupuje k základní desce, nic virtualizovaného) tak systém naběhne vždy bez požadavku na zadání heslo . - na tom hle AMT nic nemění. Po naběhnutí je nutné zadat heslo do OS.
Když nemám TPM čip (a mám Bitlocker povolený přes gorup policy), tak při bootu zadám heslo pro Bitlocker a systém naběhne. - na tomhle AMT nic nemění ?
Stejně nebude postihnutá varianta "startup key"- takže TPM + startup key, nebo jen startup key.
Platí že AMT umožně "nějak" obejít jen kombinaci TPM + PIN ? Protože pokud ano, tak stejně po naběhnutí čeká přihlášení do OS a útočník si moc nepomůže (potřeboval by recovery key aby disk dešifroval a mohl číst jinde)
-
Cohen (neregistrovaný)
Podle mého názoru má tato chyba s TPM/Bitlockerem společné pouze to, že jí lze zneužít ještě před jejich aktivací. Útočník tedy může k systému získat nízkoúrovňový přístup mimo kontrolu OS. Obsah TPM by primárně ohrožen být neměl, nicméně pokud již útočník má k dispozici přístup do AMT, může při příštím startu běh zařízení do velké míry kontrolovat, například vyčíst šifrovací klíč z paměti apod., možná i číst stisky kláves v průběhu zadávání PINu pro TPM.
Každopádně problém to je, a to dost velký a nemá smysl ho zlehčovat. Pečlivě nakonfigurovaný TPM s Bitlockerem bude pravděpodobně schopný zabránit startu takto ovládnutého zařízení, to bude ale spíš výjimečná situace.
