Jeder moderne Intel-Prozessor bringt eine Management Engine (IME) mit, die beim Booten, zur Laufzeit und im Schlafmodus aktiv ist. Da IME über die permanente 5-V-Versorgung aus dem Netzteil gespeist wird, muss der Rechner nicht einmal eingeschaltet sein. Sie besteht aus einem Microcontroller und einer passenden proprietären Firmware, die sich je nach CPU und OEM unterscheiden kann. Die Firmware ist eine von Intel kryptografisch signierte Binärdatei. ME ist von Intel nicht durchgängig dokumentiert. Somit führt die CPU im Rahmen der ME unbekannten und nicht nachprüfbaren Code aus, auf die der Käufer von Intels CPUs keinerlei Einfluss hat. Betroffen sind die Intel-Core-i-Serien i3, i5, i7 und die Intel Xeon Prozessorfamilien.

Sicherheitstechnisch bedenklich

In frühen Versionen saß der Microcontroller im Netzwerkchip, dann in der Northbridge des Chipsatzes, um bei Intels i7-Architektur Teil der CPU zu werden. Der Controller der ME ist dabei völlig unabhängig von der CPU und stellt einen Computer im Computer dar. Die ME hat ihr eigenes Betriebssystem und verfügt über Flashspeicher, einen internen Bus, einen Web-Server und eine Kryptographie-Engine. ME hat Zugriff auf den Hauptspeicher des Systems und über den Intel Gigabit Ethernet Controller auch auf das Netzwerk. Die FSF bemängelt, dass Anwender keinerlei Kontrolle über die Management Engine haben. Wäre dies, wie bei freier Software der Fall, wäre sie ein mächtiges Subsystem, das zur Sicherheit und Administration des Systems beitragen könnte.

Soviel war bereits seit längerem bekannt. Bekannt war auch, dass IME ein großes Sicherheitsrisiko darstellt. Nicht nur die Free Software Foundation (FSF) hat sich gegen dieses zusätzliche proprietäre Sub-Betriebssystem gewandt, sondern auch die Electronic Frontier Foundation (EFF) und Sicherheitsexperten wie Matthew Garrett. Erst im Mai hatte Intel eine seit neun Jahren bestehende kritische Sicherheitslücke in seiner Active Management Technology (AMT), einer der Komponenten der IME, bekannt gegeben. Da das Schließen dieser Lücke eines Firmware-Updates bedarf, werden viele PCs, bei denen AMT aktiv ist, vermutlich nie einen Fix sehen. Ob AMT passiv oder aktiv eingeschaltet oder aus ist, hängt vom BIOS des jeweiligen Rechners ab.

Minix entdeckt

In letzter Zeit beschäftigte sich ein Team von Google-Sicherheitsexperten mit der IME. Dabei entdeckten sie zu ihrem Erstaunen, dass das versteckte Betriebssystem, das die ME steuert, auf den Namen Minix hört. Dabei handelt es sich um ein frühes unixoides Betriebssystem, das von Andrew S. Tanenbaum 1987 zu Lehrzwecken entwickelt wurde. Seine größte Bedeutung heute ist vermutlich, dass es Linus Torvalds zur Entwicklung von Linux inspirierte.  Dank Googles Ronald Minnich wissen wir nun, dass Minix dank Intel das am weitesten verbreitete Unix und möglicherweise sogar das am weitesten »benutzte« Betriebssystem überhaupt ist.

Das enthüllte Minnich vor zwei Wochen auf einem Vortrag auf der Embedded Linux Conference Europe in Prag. Dabei handelt es sich um eine proprietäre Variante von Minix 3. Welche Änderungen hier vorgenommen wurden ist dank des Closed-Source-Status bisher nicht bekannt. Das System hat Zugriff auf die TCP/IP-Netzwerk-Schicht, das Dateisystem, auf Treiber und Web-Server. Es kann zudem die Firmware des Rechners selbst im ausgeschalteten Zustand ändern. Auch kann es selbst-modifizierenden Code einfügen, der selbst in einem stromlosen Rechner erhalten bleibt.

Auf unterster Ebene

Das IME erlangt diesen Zugriff dadurch, dass es im x86-Ring-Modell im niedrigsten Ring -3 läuft und somit noch eine Ebene unter UEFI angesiedelt ist. Um hier mehr Sicherheit zu ermöglichen ruft Minnich Intel dazu auf, anstelle seines proprietären Minix-Derivats ein offenes Linux-System einzusetzen. Im Besonderen sollten zudem der Web-Server und der IP-Stack aus der ME verschwinden. Auch AMD ist keine sichere Bank in dieser Hinsicht. Die neuen Ryzen-Chips enthalten mit dem AMD Platform Security Process ebenfalls »ein schwarzes Loch«. Minnich machte eindrücklich klar, dass er es Ernst meint, wenn er sagte: »Wenn ihr jetzt noch keine Angst habt, dann hab ich das schlecht erklärt. Ich jedenfalls habe Angst.«

Erst kürzlich konnten die Entwickler bei Purism, die auch das freie Smartphone Librem 5 entwickeln, vermelden, dass es ihnen gelungen sei, die IME völlig zu deaktivieren. Wie im hauseigenen Blog nachzulesen ist, hat es Jahre gedauert, bis eine vollständige Lösung gefunden war,  die den Start des Systems auf den Notebooks Librem 13 und Librem 15 ohne aktivierte Management Engine erlaubt.

Inzwischen hat sich Andew Tanenbaum, völlig unreflektiert die Tatsache ignorierend, das Minix als Backdoor eingesetzt wird, bei Intel für die Verwendung von Minix bedankt.

Bild: Hacker by The Preiser Project | Flickr | License: CC-BY 2.0