197 Кб, 450x338Аноны, я тут почитал https://libreboot.org/faq/, оказывается Management Engine есть во всех компах с чипсетом позже intel p965. То есть мы все сидим на забекдоренных компах.
Хотя, написано, что для ранних версий можно отключить, подредактировав какие-то байты nvram, но не написано какие.
Это называется технологической зависимостью: либо кто-то пользуется технологией и продаётся в рабство её разработчику, либо не пользуется и сидит в 80х.
А учитывая то, что реверсящие прошивки ME - россияне, причям зачастую связанные с гебнёй, возможно, что у всех посетителей данного раздела на ME уже крутится гебешный троян.
Что делать-то будем?
Хотя, написано, что для ранних версий можно отключить, подредактировав какие-то байты nvram, но не написано какие.
Это называется технологической зависимостью: либо кто-то пользуется технологией и продаётся в рабство её разработчику, либо не пользуется и сидит в 80х.
А учитывая то, что реверсящие прошивки ME - россияне, причям зачастую связанные с гебнёй, возможно, что у всех посетителей данного раздела на ME уже крутится гебешный троян.
Что делать-то будем?
452 Кб, 900x1254Интересно, если езернет использовать не интегрированный - IME соснет?
А какие есть современные процессоры-чипсеты без подобной хрени?
А какие есть современные процессоры-чипсеты без подобной хрени?
>>19116
Но ведь проще за минуту найти преступника чем тратить месяцы времени, силы и средства на его поиск
Но ведь проще за минуту найти преступника чем тратить месяцы времени, силы и средства на его поиск
>>19102 (OP)
Хуя себе ты категоричный. Вообще-то, не у всех ПК на базе Intel.
Что касается практических атак: сиди за роутером, не пользуйся Ethernet. Нельзя передать пакет для ME — нельзя его использовать.
Для домашнего чтения: http://blog.invisiblethings.org/2015/10/27/x86_harmful.html
>То есть мы все сидим на забекдоренных компах.
Хуя себе ты категоричный. Вообще-то, не у всех ПК на базе Intel.
Что касается практических атак: сиди за роутером, не пользуйся Ethernet. Нельзя передать пакет для ME — нельзя его использовать.
Для домашнего чтения: http://blog.invisiblethings.org/2015/10/27/x86_harmful.html
>>19119
Вот преступников и находят и сажают, а посетителей /crypt/, хабрабыдло и прочих подозрительных личностей просто под контролем держат, и просто имеют на них компромат, который обязательно используют, если станет нужно. Если каждого скачавшего торрент арестовывать, то каждый второй будет в арестован, а на это никаких рук не хватит. Если каждого скачавшего торрент штрафовать, то работа судов будет парализована. Это на данный момент никому не нужно, но не далёк тот момент, когда массовые автоматизированные наказания будут обыденностью, это уже обыденность в таких сферах как дорожное движение.
А за минуту ты загнул. Всё таки компов в мире несколько миллиардов, и не все они активны одновременно, и не на всех из них делается активность, в которую совать своё поганое рыло не следует.
>>19121
Ты думаешь у амд своих бекдоров нет? Я когда-то погулил про аналог и что-то нашёл, а сейчас вся выдача по "AMD management engine" интелом забита.
>>19124
Нет, чтобы не было соблазна затереть нулями или мусором, новые процессоры специально сделаны так, что если в me загружается прошивка c неверной подписью, то комп работать не может. А в старых якобы можно отключить, только не понятно как.
Вот преступников и находят и сажают, а посетителей /crypt/, хабрабыдло и прочих подозрительных личностей просто под контролем держат, и просто имеют на них компромат, который обязательно используют, если станет нужно. Если каждого скачавшего торрент арестовывать, то каждый второй будет в арестован, а на это никаких рук не хватит. Если каждого скачавшего торрент штрафовать, то работа судов будет парализована. Это на данный момент никому не нужно, но не далёк тот момент, когда массовые автоматизированные наказания будут обыденностью, это уже обыденность в таких сферах как дорожное движение.
А за минуту ты загнул. Всё таки компов в мире несколько миллиардов, и не все они активны одновременно, и не на всех из них делается активность, в которую совать своё поганое рыло не следует.
>>19121
Ты думаешь у амд своих бекдоров нет? Я когда-то погулил про аналог и что-то нашёл, а сейчас вся выдача по "AMD management engine" интелом забита.
>>19124
Нет, чтобы не было соблазна затереть нулями или мусором, новые процессоры специально сделаны так, что если в me загружается прошивка c неверной подписью, то комп работать не может. А в старых якобы можно отключить, только не понятно как.
>>19132
Почему ты думаешь только об киберпреступности.
Так ведь можно любого преступника м террориста найти, а их не находят
Почему ты думаешь только об киберпреступности.
Так ведь можно любого преступника м террориста найти, а их не находят
>>19142
У вас же в кгб свои специалисты есть, зачем вам советы каких-то анонов к какого-то харкача?
У вас же в кгб свои специалисты есть, зачем вам советы каких-то анонов к какого-то харкача?
>>19142
Чекать круги подозреваемых
Сужать круги подозреваемых
Да хосподи там ЦРУ мильйон за то что бы пару анонов из тора выцепить заплатили.
Были бы у них такие бекдоры им бы было проще искать
Чекать круги подозреваемых
Сужать круги подозреваемых
Да хосподи там ЦРУ мильйон за то что бы пару анонов из тора выцепить заплатили.
Были бы у них такие бекдоры им бы было проще искать
>>19152
"Любого преступника и террориста найти"? Вася убил и закопал в лесу Машу, с которой познакомился на улице, пойди найди его.
"Любого преступника и террориста найти"? Вася убил и закопал в лесу Машу, с которой познакомился на улице, пойди найди его.
>>19153
Чек компьютер Маши
Чек всех ее друзуей
Вообще почитай как работает розыск и как например им помогают мобильные телефоны
Вообще твой пример не особо корректен, тут речь скорее о серьезных преступлениях в поцессе которых юзались компьютеры, как средства сбора информации или общения
Чек компьютер Маши
Чек всех ее друзуей
Вообще почитай как работает розыск и как например им помогают мобильные телефоны
Вообще твой пример не особо корректен, тут речь скорее о серьезных преступлениях в поцессе которых юзались компьютеры, как средства сбора информации или общения
>>19102 (OP)
Так и в чём суть, что это такое и как через него взломать компьютер? Какой-то микротроян, дающий полный доступ к видео, оперативной памяти, жёсткому диску и сети?
Так и в чём суть, что это такое и как через него взломать компьютер? Какой-то микротроян, дающий полный доступ к видео, оперативной памяти, жёсткому диску и сети?
>>19257
Необнаружимый неотключаемый немониториемый бекдор, который может делать с компом всё что угодно его хозяину, в том числе мониторить данные и вставлять в ОС трояны покрупнее и защищать их от аверов.
Необнаружимый неотключаемый немониториемый бекдор, который может делать с компом всё что угодно его хозяину, в том числе мониторить данные и вставлять в ОС трояны покрупнее и защищать их от аверов.
>>19293
Просто не будет запускаться, пока не прошьёшь биос с прошивкой для me c валидной подписью.
>Распидорасит
Просто не будет запускаться, пока не прошьёшь биос с прошивкой для me c валидной подписью.
31 Кб, 512x538Из чего из этого ПеКу собрать можно
https://en.wikipedia.org/wiki/Open-source_computing_hardware#CPU
https://ru.wikipedia.org/wiki/Открытое_аппаратное_обеспечение
?
https://en.wikipedia.org/wiki/Open-source_computing_hardware#CPU
https://ru.wikipedia.org/wiki/Открытое_аппаратное_обеспечение
?
>>19257
этот трой работает в том случае, если сеть подключена через штатный сетевой интерфейс на мамке (который в неё встроен). Если сетевуха внешняя, да ещё и левого производителя - то уже хуй. А всё из-за того, что для каждой другой сетевухи нужно прописывать дрова в прошивке
этот трой работает в том случае, если сеть подключена через штатный сетевой интерфейс на мамке (который в неё встроен). Если сетевуха внешняя, да ещё и левого производителя - то уже хуй. А всё из-за того, что для каждой другой сетевухи нужно прописывать дрова в прошивке
>>19362
короче надо откапывать старые системники с чердака, чтобы быть немного более уверенным в отсутствии бэкдоров
короче надо откапывать старые системники с чердака, чтобы быть немного более уверенным в отсутствии бэкдоров
>>19121
Если я сижу за роутером, но он подключен к компу через Ethernet, меня взломают? У меня intel если что
Если я сижу за роутером, но он подключен к компу через Ethernet, меня взломают? У меня intel если что
>>19686
Сажа прилипла.
Сажа прилипла.
>>19723
Мне кажется, он спрашивает о том, сработает ли бэкдор из оп-поста, если ethernet цеплять к пк не напрямую, а через маршрутизатор. Признаться, меня это тоже интересует.
Мне кажется, он спрашивает о том, сработает ли бэкдор из оп-поста, если ethernet цеплять к пк не напрямую, а через маршрутизатор. Признаться, меня это тоже интересует.
>>19740
А причём тут ethernet? ethernet на pci шине висит, и с линуксом идут все нужные дрова, так что добавить эти дрова в прошивку me - проблема скорее юридическая.
А причём тут ethernet? ethernet на pci шине висит, и с линуксом идут все нужные дрова, так что добавить эти дрова в прошивку me - проблема скорее юридическая.
>>19784
Там выше анон советовал сидеть за роутером. Вот меня и интересует, как это должно помочь.
Там выше анон советовал сидеть за роутером. Вот меня и интересует, как это должно помочь.
>>19791
Удвою вопрос.
Удвою вопрос.
>>19791
Я и советовал.
Роутер обычно не даёт устанавливать входящие TCP/IP-соединения из внешней сети на частные адреса локальной. Я сказал «Если соединение можно будет установить, то сработает», но я не говорил «Соединение можно установить».
Для большей уверенности можно выключить проброс портов — на тот случай, если зондочип охуел настолько, что запрашивает себе входящий порт.
Впрочем, это не панацея: возможность какого-нибудь packet of death, по приёму которого вклюается устанавливается обратное соединение, никто не отменял.
Я и советовал.
Роутер обычно не даёт устанавливать входящие TCP/IP-соединения из внешней сети на частные адреса локальной. Я сказал «Если соединение можно будет установить, то сработает», но я не говорил «Соединение можно установить».
Для большей уверенности можно выключить проброс портов — на тот случай, если зондочип охуел настолько, что запрашивает себе входящий порт.
Впрочем, это не панацея: возможность какого-нибудь packet of death, по приёму которого вклюается устанавливается обратное соединение, никто не отменял.
>>19864
Понял. Спасибо за разъяснение, анон.
Понял. Спасибо за разъяснение, анон.
https://www.reddit.com/r/IAmA/comments/t373i/iama_us_military_satcom_operator_amaa/
>With the russians not really no. The country who is the biggest intel gatherer on the US would surprise you but I can't say much more on that.
Есть и ещё интересные методы. Например, в процессоре сетевой карточки Broadcom. Вот слайды: esec-lab.sogeti.com/dotclear/public/publications/11-recon-nicreverse_slides.pdf. Зловред перехватывает пакеты со специальным заголовком и перенаправляет их на все остальные карточки broadcom, которые стоят в машине, а те высылают опять в сеть. То есть файрволл уже пал, правда у него всего 64 килобита в секунду получилось пересылать.
Еще подброшу: https://xakep.ru/2011/12/26/58104/
>>20315
типа через закладки в интелах помеют сраную во все дыры?
типа через закладки в интелах помеют сраную во все дыры?
Неужели вы думаете, что данные закладки делают для того, чтобы смотреть ваш трафик и папочку "Мои документы" товарищем майором?
Я думаю в этих закладках преследуют только одну цель, когда это потребуется, заблокировать или вывести из строя компьютер. Больше и не надо. "Сигнал" на блокировку может придти откуда угодно. С компакта с новыми дровишками для твоей видюхи/чипсета/звуковухи/райд-контроллера или новой пиздатой игрухой, из флешки с новым рэпчиком или кинчиком, ну и инет само собой. Даже установив BolgenOS и отрубив провод ethernet топором попутно обмазовшись антивирусами, ты на 100% не застрахован от активирования. Ты его и сам в систему запустить сможешь под видом "легального" софта. Возможно для ее активирования, нужен десяток байт, в определенной последовательности не более. А как тебе передать этот десяток, это уже мелочи. В случае с ВМС от INTELa, в южном мосту, то вариантов откуда именно эта последовательность попадет овердахуя. Посуди сам анон, сейчас все и везде компьютеризировано. Если кто-то скажем нажмет волшебный рубильник, то ты не сможешь снять бабло с банкомата, да даже в банке тебя нахуй пошлют, вебмани/вебхуяни тоже не работают. Хуй сним, ты береш из копилки свои не многочисленные сбережения и пиздуешь в магнит. Там тоже облом, тетя срака не может тебе продать даже вонючий дошик, потому как комп на кассе не работает. Метро, ЖД и АВИА транспорт идет по пизде. Да даже литр ебаного бензина на заправке хуй купишь чтобы уехать в закат от данного пиздеца. Ну про то что такая закладка может стоять на оборудовании всяких энергетических объектов (ГЭС, АЭС и т.д) и последствия ее активирования на данных объектах, многократно увеличат общий пиздец. Сотовая связь и интернет идет в пизду. Да даже по телеку тебе лебединое не покажут, ибо нет света, а для резервных дизелей не купить соляры. В больничке оперируют при свечах, стерелизуют инструменты на костре.
Прикинь анон, не надо запускать ракеты, вводить танки, лететь бомбардировщиками и идти пехотой. Просто нажимаем кнопку, и смотрим как все скатывается обратно в каменный век. Грязь, болезни, голод, холод, нищета, транспортная система нарушена, банковский сектор не работает, энергетический сектор не работает. Ни одного снаряда не потрачено, а пиздец круче чем от ядерной бомбы случился.
Я думаю в этих закладках преследуют только одну цель, когда это потребуется, заблокировать или вывести из строя компьютер. Больше и не надо. "Сигнал" на блокировку может придти откуда угодно. С компакта с новыми дровишками для твоей видюхи/чипсета/звуковухи/райд-контроллера или новой пиздатой игрухой, из флешки с новым рэпчиком или кинчиком, ну и инет само собой. Даже установив BolgenOS и отрубив провод ethernet топором попутно обмазовшись антивирусами, ты на 100% не застрахован от активирования. Ты его и сам в систему запустить сможешь под видом "легального" софта. Возможно для ее активирования, нужен десяток байт, в определенной последовательности не более. А как тебе передать этот десяток, это уже мелочи. В случае с ВМС от INTELa, в южном мосту, то вариантов откуда именно эта последовательность попадет овердахуя. Посуди сам анон, сейчас все и везде компьютеризировано. Если кто-то скажем нажмет волшебный рубильник, то ты не сможешь снять бабло с банкомата, да даже в банке тебя нахуй пошлют, вебмани/вебхуяни тоже не работают. Хуй сним, ты береш из копилки свои не многочисленные сбережения и пиздуешь в магнит. Там тоже облом, тетя срака не может тебе продать даже вонючий дошик, потому как комп на кассе не работает. Метро, ЖД и АВИА транспорт идет по пизде. Да даже литр ебаного бензина на заправке хуй купишь чтобы уехать в закат от данного пиздеца. Ну про то что такая закладка может стоять на оборудовании всяких энергетических объектов (ГЭС, АЭС и т.д) и последствия ее активирования на данных объектах, многократно увеличат общий пиздец. Сотовая связь и интернет идет в пизду. Да даже по телеку тебе лебединое не покажут, ибо нет света, а для резервных дизелей не купить соляры. В больничке оперируют при свечах, стерелизуют инструменты на костре.
Прикинь анон, не надо запускать ракеты, вводить танки, лететь бомбардировщиками и идти пехотой. Просто нажимаем кнопку, и смотрим как все скатывается обратно в каменный век. Грязь, болезни, голод, холод, нищета, транспортная система нарушена, банковский сектор не работает, энергетический сектор не работает. Ни одного снаряда не потрачено, а пиздец круче чем от ядерной бомбы случился.
Неужели вы думаете, что данные закладки делают для того, чтобы смотреть ваш трафик и папочку "Мои документы" товарищем майором?
Я думаю в этих закладках преследуют только одну цель, когда это потребуется, заблокировать или вывести из строя компьютер. Больше и не надо. "Сигнал" на блокировку может придти откуда угодно. С компакта с новыми дровишками для твоей видюхи/чипсета/звуковухи/райд-контроллера или новой пиздатой игрухой, из флешки с новым рэпчиком или кинчиком, ну и инет само собой. Даже установив BolgenOS и отрубив провод ethernet топором попутно обмазовшись антивирусами, ты на 100% не застрахован от активирования. Ты его и сам в систему запустить сможешь под видом "легального" софта. Возможно для ее активирования, нужен десяток байт, в определенной последовательности не более. А как тебе передать этот десяток, это уже мелочи. В случае с ВМС от INTELa, в южном мосту, то вариантов откуда именно эта последовательность попадет овердахуя. Посуди сам анон, сейчас все и везде компьютеризировано. Если кто-то скажем нажмет волшебный рубильник, то ты не сможешь снять бабло с банкомата, да даже в банке тебя нахуй пошлют, вебмани/вебхуяни тоже не работают. Хуй сним, ты береш из копилки свои не многочисленные сбережения и пиздуешь в магнит. Там тоже облом, тетя срака не может тебе продать даже вонючий дошик, потому как комп на кассе не работает. Метро, ЖД и АВИА транспорт идет по пизде. Да даже литр ебаного бензина на заправке хуй купишь чтобы уехать в закат от данного пиздеца. Ну про то что такая закладка может стоять на оборудовании всяких энергетических объектов (ГЭС, АЭС и т.д) и последствия ее активирования на данных объектах, многократно увеличат общий пиздец. Сотовая связь и интернет идет в пизду. Да даже по телеку тебе лебединое не покажут, ибо нет света, а для резервных дизелей не купить соляры. В больничке оперируют при свечах, стерелизуют инструменты на костре.
Прикинь анон, не надо запускать ракеты, вводить танки, лететь бомбардировщиками и идти пехотой. Просто нажимаем кнопку, и смотрим как все скатывается обратно в каменный век. Грязь, болезни, голод, холод, нищета, транспортная система нарушена, банковский сектор не работает, энергетический сектор не работает. Ни одного снаряда не потрачено, а пиздец круче чем от ядерной бомбы случился.
Я думаю в этих закладках преследуют только одну цель, когда это потребуется, заблокировать или вывести из строя компьютер. Больше и не надо. "Сигнал" на блокировку может придти откуда угодно. С компакта с новыми дровишками для твоей видюхи/чипсета/звуковухи/райд-контроллера или новой пиздатой игрухой, из флешки с новым рэпчиком или кинчиком, ну и инет само собой. Даже установив BolgenOS и отрубив провод ethernet топором попутно обмазовшись антивирусами, ты на 100% не застрахован от активирования. Ты его и сам в систему запустить сможешь под видом "легального" софта. Возможно для ее активирования, нужен десяток байт, в определенной последовательности не более. А как тебе передать этот десяток, это уже мелочи. В случае с ВМС от INTELa, в южном мосту, то вариантов откуда именно эта последовательность попадет овердахуя. Посуди сам анон, сейчас все и везде компьютеризировано. Если кто-то скажем нажмет волшебный рубильник, то ты не сможешь снять бабло с банкомата, да даже в банке тебя нахуй пошлют, вебмани/вебхуяни тоже не работают. Хуй сним, ты береш из копилки свои не многочисленные сбережения и пиздуешь в магнит. Там тоже облом, тетя срака не может тебе продать даже вонючий дошик, потому как комп на кассе не работает. Метро, ЖД и АВИА транспорт идет по пизде. Да даже литр ебаного бензина на заправке хуй купишь чтобы уехать в закат от данного пиздеца. Ну про то что такая закладка может стоять на оборудовании всяких энергетических объектов (ГЭС, АЭС и т.д) и последствия ее активирования на данных объектах, многократно увеличат общий пиздец. Сотовая связь и интернет идет в пизду. Да даже по телеку тебе лебединое не покажут, ибо нет света, а для резервных дизелей не купить соляры. В больничке оперируют при свечах, стерелизуют инструменты на костре.
Прикинь анон, не надо запускать ракеты, вводить танки, лететь бомбардировщиками и идти пехотой. Просто нажимаем кнопку, и смотрим как все скатывается обратно в каменный век. Грязь, болезни, голод, холод, нищета, транспортная система нарушена, банковский сектор не работает, энергетический сектор не работает. Ни одного снаряда не потрачено, а пиздец круче чем от ядерной бомбы случился.
>>20347
имхо такие закладки с большей вероятностью применят китайцы. Вся сотовая связь их, инет тоже. Циски щас не покупает никто, всё на хуавеях.
имхо такие закладки с большей вероятностью применят китайцы. Вся сотовая связь их, инет тоже. Циски щас не покупает никто, всё на хуавеях.
>>20347
В целом ты, конечно, прав, но в некоторых местах сморозил откровенную хуйню.
>Ты его и сам в систему запустить сможешь под видом "легального" софта.
В целом ты, конечно, прав, но в некоторых местах сморозил откровенную хуйню.
>>20381
Готов выслушать не хуйню
>В целом ты, конечно, прав, но в некоторых местах сморозил откровенную хуйню.
Готов выслушать не хуйню
Поддвачну этого >>20347
И дополню: "Никогда не следует недооценивать предсказуемость тупизны."
http://www.securitylab.ru/contest/430512.php
И дополню: "Никогда не следует недооценивать предсказуемость тупизны."
> судя по шильдику на лицевой панели Российский компьютер МВК-2, более того, на этикетке все данные о модели и производителе, где написано, что это изделие произведено фирмой «ИнфоПро» в 2011году. Кроме этого на ноутбуке красуется голографический стикер спецпроверки. МВК-2 это Мобильный Вычислительный Комплекс,- основной защищенный компьютер Вооруженных Сил России, отечественная разработка, в войсках их тысячи, если не десятки тысяч…
http://www.securitylab.ru/contest/430512.php
>>20347
Терминатор 3 восстание машин. Но массово - никому не нужно, а индивидуально - слишком гиморно для массового.
1 >Неужели вы думаете, что данные закладки делают для того, чтобы смотреть чей-то трафик и папочку "Мои документы" каким-то сотрудником анб или сотрудником интел?
Да.
2 Выводить из строя компы тоже можно.
3 Можно маркировать совсекретную инфу (включая совсекретную дезинфу) ключевой фразой, после чего на комп устанавливается бекдор и его содержимое отправляется дяядям по скрытому каналу.
4 Фантазия и функциональность неограниченны.
>>20348
С китайскими закладками вообще пиздец - даже если чипы спроектированны в сша, они делаются на заводах в китае. И у >>20330-куна ссылка очень релевантная.
Терминатор 3 восстание машин. Но массово - никому не нужно, а индивидуально - слишком гиморно для массового.
1 >Неужели вы думаете, что данные закладки делают для того, чтобы смотреть чей-то трафик и папочку "Мои документы" каким-то сотрудником анб или сотрудником интел?
Да.
2 Выводить из строя компы тоже можно.
3 Можно маркировать совсекретную инфу (включая совсекретную дезинфу) ключевой фразой, после чего на комп устанавливается бекдор и его содержимое отправляется дяядям по скрытому каналу.
4 Фантазия и функциональность неограниченны.
>>20348
С китайскими закладками вообще пиздец - даже если чипы спроектированны в сша, они делаются на заводах в китае. И у >>20330-куна ссылка очень релевантная.
Предположим, у меня полностью зашифрован диск, и меня взломали через эту закладку. Смогут ли узнать пароль шифрования из опративки или ещё как нибудь?
25 Кб, 448x274>>20538
1 Ты нахуй никому не сделася тебя через эту "закладку" взламывать
2 Кампуктеры в эиргэпе имунны к подобной хуйне
3 Получив доступ к кампуктеру прост поставят кейлоггер
4 Нахуй никто не будет эти запариваться, тебя просто будут пиздить до тех пор, пока все сам не расскажешь и не признаешь что это ты кеннеди убил.
Пикрилейтед.
>взломали через эту закладку
1 Ты нахуй никому не сделася тебя через эту "закладку" взламывать
2 Кампуктеры в эиргэпе имунны к подобной хуйне
3 Получив доступ к кампуктеру прост поставят кейлоггер
4 Нахуй никто не будет эти запариваться, тебя просто будут пиздить до тех пор, пока все сам не расскажешь и не признаешь что это ты кеннеди убил.
Пикрилейтед.
>>20549
Куда ставить-то будут, на зашифрованный диск?
Впрочем, это не нужно, он там уже есть, инфа 95%.
>прост поставят кейлоггер
Куда ставить-то будут, на зашифрованный диск?
Впрочем, это не нужно, он там уже есть, инфа 95%.
>>20538
А нахуй твой пароль, если закладка в мосту, через который ходит инфа на проц, хдд, оперативу и т.д. Там уже бегают расшифрованные данные с твоего винта, и дяде майору нахуй твой пароль не вперся, ты сам все расшифруешь для него, пока будешь в фаптреде лазить.
А нахуй твой пароль, если закладка в мосту, через который ходит инфа на проц, хдд, оперативу и т.д. Там уже бегают расшифрованные данные с твоего винта, и дяде майору нахуй твой пароль не вперся, ты сам все расшифруешь для него, пока будешь в фаптреде лазить.
Аааа нахуй, как там RISC-V? Где свободные проекты?
61 Кб, 720x951>>20614
Она на нём находится.
Она на нём находится.
>>20569
Вопрос был чисто теоретический, но я, вроде, понял.
Вопрос был чисто теоретический, но я, вроде, понял.
Люди, я просто охереваю с такого подгона от Intel, работаю 15 лет с компами и теперь чувствую себя быдлом которое трахнули в сраку.
Я так понимаю Intel Management Engine это своего рода аппаратный интерфейс удалённого управления компом через любой открытый порт?
Есть хотя бы какая-то защита от того чтобы АНБ не могло использовать твой компьютер в любой момент когда захочет? Кроме конечно физического отключения интернета.
Я так понимаю Intel Management Engine это своего рода аппаратный интерфейс удалённого управления компом через любой открытый порт?
Есть хотя бы какая-то защита от того чтобы АНБ не могло использовать твой компьютер в любой момент когда захочет? Кроме конечно физического отключения интернета.
А я читал тред, и тоже неслабо прихуел. Прочитал несколько статей об ME и вот что думаю, этот ME является, я так понимаю, опциональным модулем и для работы компа не нужен, может его просто паяльником выпаять этот чип? Думаю интел предусмотрела вариант с заменой сетевухи. Не даст же АНБ себя так просто провести?
Таки как уничтожить потенциальный троян если я поменял сетевую карту на нонейм? Прошивка биоса? Переустановка OC? Есть идеи?
Блин, ну а на роутере в логах должен же палиться как-то этот чип? Я же увижу его коннекты в банальных логах сетевого доступа к интернету?
https://www.ulmart.ru/goods/158489 поставил вот эту сетевуху, отключил встроенные Intel. Теперь мой пердак в безопасности?
Это вот вообще пиздец: https://habrahabr.ru/post/209746/
Это вот вообще пиздец: https://habrahabr.ru/post/209746/
>>20987
эта хуйня, грубо говоря, ещё один мелкий комп в компе. То есть эта мелкая хуита является как бэ аппаратным радмином к твоему основному компу...
Если ты его выпилишь - не сможешь загрузиться, тк там при загрузке проверяется наличие этой хуйни...
Короче надо в инет ходить со старых компов начала 2000х, а новую пекарню держать без инета
эта хуйня, грубо говоря, ещё один мелкий комп в компе. То есть эта мелкая хуита является как бэ аппаратным радмином к твоему основному компу...
Если ты его выпилишь - не сможешь загрузиться, тк там при загрузке проверяется наличие этой хуйни...
Короче надо в инет ходить со старых компов начала 2000х, а новую пекарню держать без инета
>>20991
ОС не влияет, она гостевая к этому радмину...
варианты выхода из ситуации:
-ставить редкую левую сетевуху
-патчить биос мамки
-юзать за роутером
-не подключать к инету
ОС не влияет, она гостевая к этому радмину...
варианты выхода из ситуации:
-ставить редкую левую сетевуху
-патчить биос мамки
-юзать за роутером
-не подключать к инету
>>20992
теоретически да, а так пока не зафиксированы случаи использования... Просто потенциальная брешь.
Роутеры часто тоже с бэкдорами. На хабре статей дофига уже. Какая-то модель dlink'а позволяла зайти в настройки не вводя пароль админа. Нужно было тупо указать в запросе нужный user-agent...
Потом эту брешь вроде как убрали спрятали поглубже.
теоретически да, а так пока не зафиксированы случаи использования... Просто потенциальная брешь.
Роутеры часто тоже с бэкдорами. На хабре статей дофига уже. Какая-то модель dlink'а позволяла зайти в настройки не вводя пароль админа. Нужно было тупо указать в запросе нужный user-agent...
Потом эту брешь вроде как убрали спрятали поглубже.
>>20996
пока тобой не заинтересуется АНБ никак не сможешь проверить ;)
>поставил вот эту сетевуху, отключил встроенные Intel. Теперь мой пердак в безопасности?
пока тобой не заинтересуется АНБ никак не сможешь проверить ;)
30 Кб, 444x352Тут уже обсуждают альтернативные архитектуры (список)
http://mail.fsfeurope.org/pipermail/discussion/2016-April/010912.html
и рекламируют будущую плату на POWER8 со свободным фирмвером
https://raptorengineeringinc.com/TALOS/prerelease.php
ттх https://raptorengineeringinc.com/TALOS/prerelease_specs.php
бенчмарки POWER https://raptorengineeringinc.com/TALOS/power_advantages.php
всего лишь около $3,700 USD
http://mail.fsfeurope.org/pipermail/discussion/2016-April/010912.html
и рекламируют будущую плату на POWER8 со свободным фирмвером
https://raptorengineeringinc.com/TALOS/prerelease.php
ттх https://raptorengineeringinc.com/TALOS/prerelease_specs.php
бенчмарки POWER https://raptorengineeringinc.com/TALOS/power_advantages.php
всего лишь около $3,700 USD
>>22679
Кстати, годная идея для доски – сделать список полезных mailing list.
>http://mail.fsfeurope.org/pipermail/discussion/2016-April/010912.html
Кстати, годная идея для доски – сделать список полезных mailing list.
а) На CCC каждый год несколько докладов о безопасности прошивок персональных компьютеров, там и ссылки на документацию от производителя есть, и техническое обсуждение. Просвещайтесь.
б) Версий IME несколько, они разные. Первые умели не намного больше, чем Wake-on-LAN. (Например, могли сетевой трафик сравнивать с образцом и блокировать/уведомлять при совпадении. В начале двухтысячных в возможность сделать винду безопасной никто не верил, эпидемии червей регулярно клали локальные сети, поэтому предполагалось такое решение, блокирующее эксплойты на виндовые порты уровнем ниже ОС. Ещё, пожалуй, можно было реагировать на передачу помеченных документов через незащищённый канал, когда ноутбук находится вне контролируемой сети, но это довольно наивная защита, в основном от глупых пользователей.)
в) Хоть предположение о возможности глобальной слежки за любым компьютером и вызовет слюноотделение любого разведчика-тире-шпиона, надо признать, что они тут оседлали имеющиеся на рынке спрос и предложение. IME — не первое и не единственное такое решение для корпоративного использования. (Вон, Apple любой айфончик в мире может заблокировать при первом же обращении к её сервисам.) Всё это сделано для удобства админов, которым не хочется вручную жонглировать сотнями компьютеров, колхозить системы шифрования и защиты от утечек из открытых или узкоспециальных программ, а потом рвать на жопе волосы из-за потери ноутбука в ждущем режиме с открытыми программами. Нажал кнопочку — корневой ключ шифрования удалился из флеш-памяти, девайс стал бесполезен. Нажал другую — видишь всё, что происходит на экране, независимо от операционной системы, видеорежима и стадии загрузки. В серверном мире KVM никого ведь не удивляет, не говоря уж про управление виртуалками.
г) Из нацеленности на корпоративный сегмент следует, что IME доступен не во всех компьютерах, а только в профессиональных, сертифицированных и т. д. продуктовых линейках от партнёров и дилеров. Каждый хочет получить за дополнительную функциональность денежку. Это не значит, что сборщики BIOS'а для вашей материнской платы корректно отключили его инициализацию, а не просто спрятали экран настройки, что у Intel нет волшебного слова, которое включает бизнес-ориентированные функции на любом совместимом железе, и что хитрым обращением к имеющимся компонентам нельзя вызвать отказ системы (обновление БИОС на пустое место, например). Просто обычными утилитами с типичным компьютером сделать ничего нельзя.
д) Технические ограничения тоже присутствуют: сетевая карта и материнская плата должны уметь при работе от дежурного питания полноценно взаимодействовать с IME, видеокарты, скорее всего, только встроенные позволяют копировать буфер экрана для передачи по сети. Тут беспокойство вызывают ноутбуки, у которых зачастую вся платформа разработана Intel и лицензируется целиком разными производителями.
е) Надо различать рекламные заявления и техническое воплощение. Хотя возможность выполнить любой код на уровне BIOS автоматически означает возможность манипуляции памятью ОС и выполнение любого кода в ней, значительная часть предлагаемой функциональности реализована традиционно, программным агентом. Например, «установка любых программ» может проходить так: административное приложение рассылает всем включенным и выключенным компьютерам сети сообщение «записать этот XML-файл в публичную область памяти IME» и запускает те, что были выключены. Затем интеловский агент, стандартно загружаемый ОС, читает этот буфер, видит, что в файле записаны указания установить обновления 12345 и 23456, и пользуется для этого средствами ОС. Да, я знаю, что в домене это всё можно сделать стандартно WSUS и групповой политикой, это просто наглядный пример.
>>20394
Бросается в глаза несоответствие уровня аргументации и паники предполагаемому техническому уровню автора. «Увидел в углу военный компьютер, решил поковырять» — так же правдоподобно, как диггерское «шли, увидели вентиляционный киоск, ВНЕЗАПНО оказались в метро». Все эти громкие вздохи и далеко идущие выводы слишком похожи на пиар одной группы поставщиков против другой, что, впрочем, не отменяет самого факта подобной находки. Такие истории известны и ожидаемы: https://medium.com/@ivlad/о-бумажной-безопасности-e8f9ed84a8b9 (тоже немного сенсационно подано). Вся эта дикая бюрократия с сертификацией и документацией — всего лишь средство хоть как-то заставить людей выполнять инструкции и организовать вертикаль ответственности. Если какого-нибудь летёху, сидящего за этим патефоном и играющего в танчики на стоящем на нём личном ноутбуке с GSM-модемом, спросят, какого чёрта у него стоит управляемый из-за бугра клиент контроля доступа к оборудованию, он покажет пальцем на голографическую наклеечку и скажет, что это зона ответственности тех, кто выдал сертификат. В противном случае потребуется из под земли достать не один десяток тысяч крутых специалистов, самостоятельно разбирающихся в защите своей техники до последнего чипа, что практически невозможно.
б) Версий IME несколько, они разные. Первые умели не намного больше, чем Wake-on-LAN. (Например, могли сетевой трафик сравнивать с образцом и блокировать/уведомлять при совпадении. В начале двухтысячных в возможность сделать винду безопасной никто не верил, эпидемии червей регулярно клали локальные сети, поэтому предполагалось такое решение, блокирующее эксплойты на виндовые порты уровнем ниже ОС. Ещё, пожалуй, можно было реагировать на передачу помеченных документов через незащищённый канал, когда ноутбук находится вне контролируемой сети, но это довольно наивная защита, в основном от глупых пользователей.)
в) Хоть предположение о возможности глобальной слежки за любым компьютером и вызовет слюноотделение любого разведчика-тире-шпиона, надо признать, что они тут оседлали имеющиеся на рынке спрос и предложение. IME — не первое и не единственное такое решение для корпоративного использования. (Вон, Apple любой айфончик в мире может заблокировать при первом же обращении к её сервисам.) Всё это сделано для удобства админов, которым не хочется вручную жонглировать сотнями компьютеров, колхозить системы шифрования и защиты от утечек из открытых или узкоспециальных программ, а потом рвать на жопе волосы из-за потери ноутбука в ждущем режиме с открытыми программами. Нажал кнопочку — корневой ключ шифрования удалился из флеш-памяти, девайс стал бесполезен. Нажал другую — видишь всё, что происходит на экране, независимо от операционной системы, видеорежима и стадии загрузки. В серверном мире KVM никого ведь не удивляет, не говоря уж про управление виртуалками.
г) Из нацеленности на корпоративный сегмент следует, что IME доступен не во всех компьютерах, а только в профессиональных, сертифицированных и т. д. продуктовых линейках от партнёров и дилеров. Каждый хочет получить за дополнительную функциональность денежку. Это не значит, что сборщики BIOS'а для вашей материнской платы корректно отключили его инициализацию, а не просто спрятали экран настройки, что у Intel нет волшебного слова, которое включает бизнес-ориентированные функции на любом совместимом железе, и что хитрым обращением к имеющимся компонентам нельзя вызвать отказ системы (обновление БИОС на пустое место, например). Просто обычными утилитами с типичным компьютером сделать ничего нельзя.
д) Технические ограничения тоже присутствуют: сетевая карта и материнская плата должны уметь при работе от дежурного питания полноценно взаимодействовать с IME, видеокарты, скорее всего, только встроенные позволяют копировать буфер экрана для передачи по сети. Тут беспокойство вызывают ноутбуки, у которых зачастую вся платформа разработана Intel и лицензируется целиком разными производителями.
е) Надо различать рекламные заявления и техническое воплощение. Хотя возможность выполнить любой код на уровне BIOS автоматически означает возможность манипуляции памятью ОС и выполнение любого кода в ней, значительная часть предлагаемой функциональности реализована традиционно, программным агентом. Например, «установка любых программ» может проходить так: административное приложение рассылает всем включенным и выключенным компьютерам сети сообщение «записать этот XML-файл в публичную область памяти IME» и запускает те, что были выключены. Затем интеловский агент, стандартно загружаемый ОС, читает этот буфер, видит, что в файле записаны указания установить обновления 12345 и 23456, и пользуется для этого средствами ОС. Да, я знаю, что в домене это всё можно сделать стандартно WSUS и групповой политикой, это просто наглядный пример.
>>20394
Бросается в глаза несоответствие уровня аргументации и паники предполагаемому техническому уровню автора. «Увидел в углу военный компьютер, решил поковырять» — так же правдоподобно, как диггерское «шли, увидели вентиляционный киоск, ВНЕЗАПНО оказались в метро». Все эти громкие вздохи и далеко идущие выводы слишком похожи на пиар одной группы поставщиков против другой, что, впрочем, не отменяет самого факта подобной находки. Такие истории известны и ожидаемы: https://medium.com/@ivlad/о-бумажной-безопасности-e8f9ed84a8b9 (тоже немного сенсационно подано). Вся эта дикая бюрократия с сертификацией и документацией — всего лишь средство хоть как-то заставить людей выполнять инструкции и организовать вертикаль ответственности. Если какого-нибудь летёху, сидящего за этим патефоном и играющего в танчики на стоящем на нём личном ноутбуке с GSM-модемом, спросят, какого чёрта у него стоит управляемый из-за бугра клиент контроля доступа к оборудованию, он покажет пальцем на голографическую наклеечку и скажет, что это зона ответственности тех, кто выдал сертификат. В противном случае потребуется из под земли достать не один десяток тысяч крутых специалистов, самостоятельно разбирающихся в защите своей техники до последнего чипа, что практически невозможно.
а) На CCC каждый год несколько докладов о безопасности прошивок персональных компьютеров, там и ссылки на документацию от производителя есть, и техническое обсуждение. Просвещайтесь.
б) Версий IME несколько, они разные. Первые умели не намного больше, чем Wake-on-LAN. (Например, могли сетевой трафик сравнивать с образцом и блокировать/уведомлять при совпадении. В начале двухтысячных в возможность сделать винду безопасной никто не верил, эпидемии червей регулярно клали локальные сети, поэтому предполагалось такое решение, блокирующее эксплойты на виндовые порты уровнем ниже ОС. Ещё, пожалуй, можно было реагировать на передачу помеченных документов через незащищённый канал, когда ноутбук находится вне контролируемой сети, но это довольно наивная защита, в основном от глупых пользователей.)
в) Хоть предположение о возможности глобальной слежки за любым компьютером и вызовет слюноотделение любого разведчика-тире-шпиона, надо признать, что они тут оседлали имеющиеся на рынке спрос и предложение. IME — не первое и не единственное такое решение для корпоративного использования. (Вон, Apple любой айфончик в мире может заблокировать при первом же обращении к её сервисам.) Всё это сделано для удобства админов, которым не хочется вручную жонглировать сотнями компьютеров, колхозить системы шифрования и защиты от утечек из открытых или узкоспециальных программ, а потом рвать на жопе волосы из-за потери ноутбука в ждущем режиме с открытыми программами. Нажал кнопочку — корневой ключ шифрования удалился из флеш-памяти, девайс стал бесполезен. Нажал другую — видишь всё, что происходит на экране, независимо от операционной системы, видеорежима и стадии загрузки. В серверном мире KVM никого ведь не удивляет, не говоря уж про управление виртуалками.
г) Из нацеленности на корпоративный сегмент следует, что IME доступен не во всех компьютерах, а только в профессиональных, сертифицированных и т. д. продуктовых линейках от партнёров и дилеров. Каждый хочет получить за дополнительную функциональность денежку. Это не значит, что сборщики BIOS'а для вашей материнской платы корректно отключили его инициализацию, а не просто спрятали экран настройки, что у Intel нет волшебного слова, которое включает бизнес-ориентированные функции на любом совместимом железе, и что хитрым обращением к имеющимся компонентам нельзя вызвать отказ системы (обновление БИОС на пустое место, например). Просто обычными утилитами с типичным компьютером сделать ничего нельзя.
д) Технические ограничения тоже присутствуют: сетевая карта и материнская плата должны уметь при работе от дежурного питания полноценно взаимодействовать с IME, видеокарты, скорее всего, только встроенные позволяют копировать буфер экрана для передачи по сети. Тут беспокойство вызывают ноутбуки, у которых зачастую вся платформа разработана Intel и лицензируется целиком разными производителями.
е) Надо различать рекламные заявления и техническое воплощение. Хотя возможность выполнить любой код на уровне BIOS автоматически означает возможность манипуляции памятью ОС и выполнение любого кода в ней, значительная часть предлагаемой функциональности реализована традиционно, программным агентом. Например, «установка любых программ» может проходить так: административное приложение рассылает всем включенным и выключенным компьютерам сети сообщение «записать этот XML-файл в публичную область памяти IME» и запускает те, что были выключены. Затем интеловский агент, стандартно загружаемый ОС, читает этот буфер, видит, что в файле записаны указания установить обновления 12345 и 23456, и пользуется для этого средствами ОС. Да, я знаю, что в домене это всё можно сделать стандартно WSUS и групповой политикой, это просто наглядный пример.
>>20394
Бросается в глаза несоответствие уровня аргументации и паники предполагаемому техническому уровню автора. «Увидел в углу военный компьютер, решил поковырять» — так же правдоподобно, как диггерское «шли, увидели вентиляционный киоск, ВНЕЗАПНО оказались в метро». Все эти громкие вздохи и далеко идущие выводы слишком похожи на пиар одной группы поставщиков против другой, что, впрочем, не отменяет самого факта подобной находки. Такие истории известны и ожидаемы: https://medium.com/@ivlad/о-бумажной-безопасности-e8f9ed84a8b9 (тоже немного сенсационно подано). Вся эта дикая бюрократия с сертификацией и документацией — всего лишь средство хоть как-то заставить людей выполнять инструкции и организовать вертикаль ответственности. Если какого-нибудь летёху, сидящего за этим патефоном и играющего в танчики на стоящем на нём личном ноутбуке с GSM-модемом, спросят, какого чёрта у него стоит управляемый из-за бугра клиент контроля доступа к оборудованию, он покажет пальцем на голографическую наклеечку и скажет, что это зона ответственности тех, кто выдал сертификат. В противном случае потребуется из под земли достать не один десяток тысяч крутых специалистов, самостоятельно разбирающихся в защите своей техники до последнего чипа, что практически невозможно.
б) Версий IME несколько, они разные. Первые умели не намного больше, чем Wake-on-LAN. (Например, могли сетевой трафик сравнивать с образцом и блокировать/уведомлять при совпадении. В начале двухтысячных в возможность сделать винду безопасной никто не верил, эпидемии червей регулярно клали локальные сети, поэтому предполагалось такое решение, блокирующее эксплойты на виндовые порты уровнем ниже ОС. Ещё, пожалуй, можно было реагировать на передачу помеченных документов через незащищённый канал, когда ноутбук находится вне контролируемой сети, но это довольно наивная защита, в основном от глупых пользователей.)
в) Хоть предположение о возможности глобальной слежки за любым компьютером и вызовет слюноотделение любого разведчика-тире-шпиона, надо признать, что они тут оседлали имеющиеся на рынке спрос и предложение. IME — не первое и не единственное такое решение для корпоративного использования. (Вон, Apple любой айфончик в мире может заблокировать при первом же обращении к её сервисам.) Всё это сделано для удобства админов, которым не хочется вручную жонглировать сотнями компьютеров, колхозить системы шифрования и защиты от утечек из открытых или узкоспециальных программ, а потом рвать на жопе волосы из-за потери ноутбука в ждущем режиме с открытыми программами. Нажал кнопочку — корневой ключ шифрования удалился из флеш-памяти, девайс стал бесполезен. Нажал другую — видишь всё, что происходит на экране, независимо от операционной системы, видеорежима и стадии загрузки. В серверном мире KVM никого ведь не удивляет, не говоря уж про управление виртуалками.
г) Из нацеленности на корпоративный сегмент следует, что IME доступен не во всех компьютерах, а только в профессиональных, сертифицированных и т. д. продуктовых линейках от партнёров и дилеров. Каждый хочет получить за дополнительную функциональность денежку. Это не значит, что сборщики BIOS'а для вашей материнской платы корректно отключили его инициализацию, а не просто спрятали экран настройки, что у Intel нет волшебного слова, которое включает бизнес-ориентированные функции на любом совместимом железе, и что хитрым обращением к имеющимся компонентам нельзя вызвать отказ системы (обновление БИОС на пустое место, например). Просто обычными утилитами с типичным компьютером сделать ничего нельзя.
д) Технические ограничения тоже присутствуют: сетевая карта и материнская плата должны уметь при работе от дежурного питания полноценно взаимодействовать с IME, видеокарты, скорее всего, только встроенные позволяют копировать буфер экрана для передачи по сети. Тут беспокойство вызывают ноутбуки, у которых зачастую вся платформа разработана Intel и лицензируется целиком разными производителями.
е) Надо различать рекламные заявления и техническое воплощение. Хотя возможность выполнить любой код на уровне BIOS автоматически означает возможность манипуляции памятью ОС и выполнение любого кода в ней, значительная часть предлагаемой функциональности реализована традиционно, программным агентом. Например, «установка любых программ» может проходить так: административное приложение рассылает всем включенным и выключенным компьютерам сети сообщение «записать этот XML-файл в публичную область памяти IME» и запускает те, что были выключены. Затем интеловский агент, стандартно загружаемый ОС, читает этот буфер, видит, что в файле записаны указания установить обновления 12345 и 23456, и пользуется для этого средствами ОС. Да, я знаю, что в домене это всё можно сделать стандартно WSUS и групповой политикой, это просто наглядный пример.
>>20394
Бросается в глаза несоответствие уровня аргументации и паники предполагаемому техническому уровню автора. «Увидел в углу военный компьютер, решил поковырять» — так же правдоподобно, как диггерское «шли, увидели вентиляционный киоск, ВНЕЗАПНО оказались в метро». Все эти громкие вздохи и далеко идущие выводы слишком похожи на пиар одной группы поставщиков против другой, что, впрочем, не отменяет самого факта подобной находки. Такие истории известны и ожидаемы: https://medium.com/@ivlad/о-бумажной-безопасности-e8f9ed84a8b9 (тоже немного сенсационно подано). Вся эта дикая бюрократия с сертификацией и документацией — всего лишь средство хоть как-то заставить людей выполнять инструкции и организовать вертикаль ответственности. Если какого-нибудь летёху, сидящего за этим патефоном и играющего в танчики на стоящем на нём личном ноутбуке с GSM-модемом, спросят, какого чёрта у него стоит управляемый из-за бугра клиент контроля доступа к оборудованию, он покажет пальцем на голографическую наклеечку и скажет, что это зона ответственности тех, кто выдал сертификат. В противном случае потребуется из под земли достать не один десяток тысяч крутых специалистов, самостоятельно разбирающихся в защите своей техники до последнего чипа, что практически невозможно.
1,7 Мб, 2448x3264Я под колпаком?
Как его отключить?
Кстати, в биосе у меня большинство опций заблочено, но раньше все было ок.
есть пароль на включение, его ввожу, разумеется. Почему в биосе почти ничего нельзя менять и ф9 не работает?
Как его отключить?
Кстати, в биосе у меня большинство опций заблочено, но раньше все было ок.
есть пароль на включение, его ввожу, разумеется. Почему в биосе почти ничего нельзя менять и ф9 не работает?
>>22845
Про биос я вспомнил, что есть пароль супервайзора, собственно это понятно. А как отключить этот интел зонд? Это вообще возможно?
Про биос я вспомнил, что есть пароль супервайзора, собственно это понятно. А как отключить этот интел зонд? Это вообще возможно?
>>22875
Так у амд иная технология схожая с той же закладкой
Так у амд иная технология схожая с той же закладкой
>>22929
Т.е. мы все неизбежно под колпаком без возможности отключения и защиты от этой фигни?
Т.е. мы все неизбежно под колпаком без возможности отключения и защиты от этой фигни?
Хм, интересная тема. В том плане, что можно заюзать этот бэкдор в своих целях, посмотреть переписку тяночки там...
Фаервол не поможет?
Тред не читай @ сразу отвечай:
Что там с проектами типа CubieBoard?
Довольно мощный ARM, по сравнению с другими железками.
Что там с проектами типа CubieBoard?
Довольно мощный ARM, по сравнению с другими железками.
снова этот истеричный хайп "свободного" железа за 100500денег
а штульман сидит на тхинкпадеснова и в хуй не дует
будут прецеденты, вот тогда и поговорим
а штульман сидит на тхинкпадеснова и в хуй не дует
будут прецеденты, вот тогда и поговорим
>>23307
CubieBoard 4 вполне подходит. Ещё бы оперативной памяти побольше..
CubieBoard 4 вполне подходит. Ещё бы оперативной памяти побольше..
Считаю, что можно решить настройками фаервола и прокси.
Роутер настраиваем таким образом, чтоб он дропал нахуй все попытки forward соединения пк, во все стороны.
Поднимаем в локалке шлюз, на нем http прокси сервер с авторизацией, шлюз делаем клиентом ovpn сервера и прописываем маршруты работы через vpn. В идеале - порезать на фаерволе роутера вообще все соединения, кроме как до vpn сервера.
Итого- извне по ethernet до пк никак не достучаться, но связь есть через прокси. Сомневаюсь, что аппаратная закладка сможет перехватить логин-пароль от прокси и начать через него работать.
Роутер настраиваем таким образом, чтоб он дропал нахуй все попытки forward соединения пк, во все стороны.
Поднимаем в локалке шлюз, на нем http прокси сервер с авторизацией, шлюз делаем клиентом ovpn сервера и прописываем маршруты работы через vpn. В идеале - порезать на фаерволе роутера вообще все соединения, кроме как до vpn сервера.
Итого- извне по ethernet до пк никак не достучаться, но связь есть через прокси. Сомневаюсь, что аппаратная закладка сможет перехватить логин-пароль от прокси и начать через него работать.
Ну блядь здрасьте. Если в роутере все заткнуть, ш2з работать не будет, и многое другое.
>>23759
Пердолинг, конечно, но как вариант - вполне.
Видал недавно что даже есть компактный одноплатник-прокся. Чтоб можно было с ноутбуком носить и серфить отовсюду через эту проксю
Пердолинг, конечно, но как вариант - вполне.
Видал недавно что даже есть компактный одноплатник-прокся. Чтоб можно было с ноутбуком носить и серфить отовсюду через эту проксю
977 Кб, 500x265работала
Я правильно понял, что нужно, чтобы сетевая карта, в том числе и вайфай, были не интел?
Я правильно понял, что нужно, чтобы сетевая карта, в том числе и вайфай, были не интел?
>>25409
И процессор
И процессор
Поскольку это наиболее подходящий тред, тут про ME, intel и тд, напишу здесь.
Хочу обратить внимание на такую вещь как микрокод CPU и его обновления.
Libreboot и прочие приверженцы FSF, дистрибутивы вроде trisquel и пр. отвергают обновления микрокода процессора на том основании, что это, мол, проприетарный блоб, а как они относятся к проприетарным блобам, мы знаем. Однако в процессоре уже есть такой проприетарный блоб, только старый, с завода, и он может содержать (и вполне содержит) разные баги, в том числе потенциально опасные уязвимости. Обновления микрокода придумали для того, чтобы производитель (Intel) мог исправить какой-то баг обновлением прошивки, а не отзывал уже произведенные чипы. Intel выпускает списки таких багов. Пример: http://download.intel.com/design/mobile/specupdt/31407918.pdf
Некоторые из багов разработчики ОС и компиляторов исправляют и обходят сами, но это не всегда возможно. Например, вот что говорит Тео де Раадт (письмо 2007-года о процессорах Intel Code 2, https://marc.info/?l=openbsd-misc&m=118296441702631&w=2):
С тех пор количество фич и новых команд в процессорах только увеличилось, как соответственно и число потенциальных проблем.
К чему я это все. Допустим, мы поставили на компьютер libreboot, удалили ME и пр. Но остается потенциально узявимый процессор, и есть два стула выбор: или загружать в него обновленный микрокод, с потенциальными исправлениями уязвимостей (и гипотетическими новыми бэкдорами), или не загружать, оставаясь с заводским микрокодом (и уже обнаруженные уязвимости не будут исправлены никогда).
Что выберешь ты, анон?
Хочу обратить внимание на такую вещь как микрокод CPU и его обновления.
Libreboot и прочие приверженцы FSF, дистрибутивы вроде trisquel и пр. отвергают обновления микрокода процессора на том основании, что это, мол, проприетарный блоб, а как они относятся к проприетарным блобам, мы знаем. Однако в процессоре уже есть такой проприетарный блоб, только старый, с завода, и он может содержать (и вполне содержит) разные баги, в том числе потенциально опасные уязвимости. Обновления микрокода придумали для того, чтобы производитель (Intel) мог исправить какой-то баг обновлением прошивки, а не отзывал уже произведенные чипы. Intel выпускает списки таких багов. Пример: http://download.intel.com/design/mobile/specupdt/31407918.pdf
Некоторые из багов разработчики ОС и компиляторов исправляют и обходят сами, но это не всегда возможно. Например, вот что говорит Тео де Раадт (письмо 2007-года о процессорах Intel Code 2, https://marc.info/?l=openbsd-misc&m=118296441702631&w=2):
>These processors are buggy as hell, and some of these bugs don't just
>cause development/debugging problems, but will ASSUREDLY be
>exploitable from userland code.
>Note that some errata like AI65, AI79, AI43, AI39, AI90, AI99 scare
>the hell out of us. Some of these are things that cannot be fixed in
>running code, and some are things that every operating system will do
>until about mid-2008, because that is how the MMU has always been
>managed on all generations of Intel/AMD/whoeverelse hardware. Now
>Intel is telling people to manage the MMU's TLB flushes in a new and
>different way. Yet even if we do so, some of the errata listed are
>unaffected by doing so.
>
>As I said before, hiding in this list are 20-30 bugs that cannot be
>worked around by operating systems, and will be potentially
>exploitable. I would bet a lot of money that at least 2-3 of them
>are.
>
>For instance, AI90 is exploitable on some operating systems (but not
>OpenBSD running default binaries).
>
>At this time, I cannot recommend purchase of any machines based on the
>Intel Core 2 until these issues are dealt with (which I suspect will
>take more than a year). Intel must be come more transparent.
С тех пор количество фич и новых команд в процессорах только увеличилось, как соответственно и число потенциальных проблем.
К чему я это все. Допустим, мы поставили на компьютер libreboot, удалили ME и пр. Но остается потенциально узявимый процессор, и есть два стула выбор: или загружать в него обновленный микрокод, с потенциальными исправлениями уязвимостей (и гипотетическими новыми бэкдорами), или не загружать, оставаясь с заводским микрокодом (и уже обнаруженные уязвимости не будут исправлены никогда).
Что выберешь ты, анон?
Поскольку это наиболее подходящий тред, тут про ME, intel и тд, напишу здесь.
Хочу обратить внимание на такую вещь как микрокод CPU и его обновления.
Libreboot и прочие приверженцы FSF, дистрибутивы вроде trisquel и пр. отвергают обновления микрокода процессора на том основании, что это, мол, проприетарный блоб, а как они относятся к проприетарным блобам, мы знаем. Однако в процессоре уже есть такой проприетарный блоб, только старый, с завода, и он может содержать (и вполне содержит) разные баги, в том числе потенциально опасные уязвимости. Обновления микрокода придумали для того, чтобы производитель (Intel) мог исправить какой-то баг обновлением прошивки, а не отзывал уже произведенные чипы. Intel выпускает списки таких багов. Пример: http://download.intel.com/design/mobile/specupdt/31407918.pdf
Некоторые из багов разработчики ОС и компиляторов исправляют и обходят сами, но это не всегда возможно. Например, вот что говорит Тео де Раадт (письмо 2007-года о процессорах Intel Code 2, https://marc.info/?l=openbsd-misc&m=118296441702631&w=2):
С тех пор количество фич и новых команд в процессорах только увеличилось, как соответственно и число потенциальных проблем.
К чему я это все. Допустим, мы поставили на компьютер libreboot, удалили ME и пр. Но остается потенциально узявимый процессор, и есть два стула выбор: или загружать в него обновленный микрокод, с потенциальными исправлениями уязвимостей (и гипотетическими новыми бэкдорами), или не загружать, оставаясь с заводским микрокодом (и уже обнаруженные уязвимости не будут исправлены никогда).
Что выберешь ты, анон?
Хочу обратить внимание на такую вещь как микрокод CPU и его обновления.
Libreboot и прочие приверженцы FSF, дистрибутивы вроде trisquel и пр. отвергают обновления микрокода процессора на том основании, что это, мол, проприетарный блоб, а как они относятся к проприетарным блобам, мы знаем. Однако в процессоре уже есть такой проприетарный блоб, только старый, с завода, и он может содержать (и вполне содержит) разные баги, в том числе потенциально опасные уязвимости. Обновления микрокода придумали для того, чтобы производитель (Intel) мог исправить какой-то баг обновлением прошивки, а не отзывал уже произведенные чипы. Intel выпускает списки таких багов. Пример: http://download.intel.com/design/mobile/specupdt/31407918.pdf
Некоторые из багов разработчики ОС и компиляторов исправляют и обходят сами, но это не всегда возможно. Например, вот что говорит Тео де Раадт (письмо 2007-года о процессорах Intel Code 2, https://marc.info/?l=openbsd-misc&m=118296441702631&w=2):
>These processors are buggy as hell, and some of these bugs don't just
>cause development/debugging problems, but will ASSUREDLY be
>exploitable from userland code.
>Note that some errata like AI65, AI79, AI43, AI39, AI90, AI99 scare
>the hell out of us. Some of these are things that cannot be fixed in
>running code, and some are things that every operating system will do
>until about mid-2008, because that is how the MMU has always been
>managed on all generations of Intel/AMD/whoeverelse hardware. Now
>Intel is telling people to manage the MMU's TLB flushes in a new and
>different way. Yet even if we do so, some of the errata listed are
>unaffected by doing so.
>
>As I said before, hiding in this list are 20-30 bugs that cannot be
>worked around by operating systems, and will be potentially
>exploitable. I would bet a lot of money that at least 2-3 of them
>are.
>
>For instance, AI90 is exploitable on some operating systems (but not
>OpenBSD running default binaries).
>
>At this time, I cannot recommend purchase of any machines based on the
>Intel Core 2 until these issues are dealt with (which I suspect will
>take more than a year). Intel must be come more transparent.
С тех пор количество фич и новых команд в процессорах только увеличилось, как соответственно и число потенциальных проблем.
К чему я это все. Допустим, мы поставили на компьютер libreboot, удалили ME и пр. Но остается потенциально узявимый процессор, и есть два стула выбор: или загружать в него обновленный микрокод, с потенциальными исправлениями уязвимостей (и гипотетическими новыми бэкдорами), или не загружать, оставаясь с заводским микрокодом (и уже обнаруженные уязвимости не будут исправлены никогда).
Что выберешь ты, анон?
>>25559
Там абсолютно то же самое.
Там абсолютно то же самое.
>>25558
Очевидно же, оставлю старый микрокод, который писался во времена, когда мыслили иными масштабами потенциальной слежки и желания запустить руки наболее глубже в анус. В современных же поделиях/обновлениях микрокода куда как больше вероятности что тебе присунут еще одну форточку для входа с тыла
Очевидно же, оставлю старый микрокод, который писался во времена, когда мыслили иными масштабами потенциальной слежки и желания запустить руки наболее глубже в анус. В современных же поделиях/обновлениях микрокода куда как больше вероятности что тебе присунут еще одну форточку для входа с тыла
>>19358
А если работать через WiFi, но интеловскую карточку поменять на какой-нибудь atheros?
А если работать через WiFi, но интеловскую карточку поменять на какой-нибудь atheros?
Тут есть pdf-ка с различными способами отключения ME. https://github.com/ptresearch/me-disablement
Петиция Intel'у выпустить свободный от ME процессор.
https://puri.sm/posts/petition-for-intel-to-release-an-me-less-cpu-design/
https://puri.sm/posts/petition-for-intel-to-release-an-me-less-cpu-design/
>>25737
Годнота про pdf-ки же.
Годнота про pdf-ки же.
>>25722
А вот хуй, если вставить atheros, то ноут не включается, ссылаясь на unauthorized network card, и говорит, что ее нужно remove. Фашисты intel. Нужно патчить биос или прошивать альтернативный, типа coreboot.
А вот хуй, если вставить atheros, то ноут не включается, ссылаясь на unauthorized network card, и говорит, что ее нужно remove. Фашисты intel. Нужно патчить биос или прошивать альтернативный, типа coreboot.
>>27095
Бля, пиздец, ну обновись и сделай вход с милым ковриком welcome, с удобным объединением в ботнет. Шоб разом и у всех!
Бля, пиздец, ну обновись и сделай вход с милым ковриком welcome, с удобным объединением в ботнет. Шоб разом и у всех!
91 Кб, 853x480Интересно
https://www.crowdsupply.com/eoma68/micro-desktop
http://rhombus-tech.net/
Что можно про Allwinner A20 сказать?
https://www.youtube.com/watch?v=jNR4zKqa6vI
лол
https://www.crowdsupply.com/eoma68/micro-desktop
http://rhombus-tech.net/
Что можно про Allwinner A20 сказать?
https://www.youtube.com/watch?v=jNR4zKqa6vI
>Some of you might recognise the form-factor of EOMA68 Computer Cards: it’s the legacy PCMCIA from the 1990s. The EOMA68 standard therefore re-uses legacy PCMCIA cases and housings, because that’s an environmentally responsible thing to do (and saves hugely on development costs).
лол
>>28992
Хз даже, все работает. Ну проблемы с *bsd, хотя openbsd вроде уже научились заводить. На X60 (и видимо T60) появляется такой феномен как "High Pitched Whining Noise on Idle", описан в факе либребута. На Х200 нету. В целом, X200 для либребута лучше - Х60 греется как атомный реактор.
Хз даже, все работает. Ну проблемы с *bsd, хотя openbsd вроде уже научились заводить. На X60 (и видимо T60) появляется такой феномен как "High Pitched Whining Noise on Idle", описан в факе либребута. На Х200 нету. В целом, X200 для либребута лучше - Х60 греется как атомный реактор.
63 Кб, 1280x720Использовать современный штеуд-процессор и иметь отключенный ME-АМТ невозможно.
Патчи-хуятчи, открытые бивасы - это все влажные фантазии 3.5 фанатиков. Бинарные блобы зашиты куда только можно. Тут же у вас и чипсет на мамке, и проц, и сетевушка и т.д. Тут микрокод, тут прошивочка, тут проверка, там проверка, здесь вообще намертво припаяно (сколько там сейчас, 10нм техпроцесс?).
Все подписано-переподписано, везде контрольные суммы - рабочую систему с вырезанным АМТ хуй получишь (разве что это будет штучная работа за большие деньги без гарантий), можете посмотреть выше ресерч по ссылке с пдф.
Патчи-хуятчи, открытые бивасы - это все влажные фантазии 3.5 фанатиков. Бинарные блобы зашиты куда только можно. Тут же у вас и чипсет на мамке, и проц, и сетевушка и т.д. Тут микрокод, тут прошивочка, тут проверка, там проверка, здесь вообще намертво припаяно (сколько там сейчас, 10нм техпроцесс?).
Все подписано-переподписано, везде контрольные суммы - рабочую систему с вырезанным АМТ хуй получишь (разве что это будет штучная работа за большие деньги без гарантий), можете посмотреть выше ресерч по ссылке с пдф.
>>30085
Увы это так. GM45 последнее железо где можно его гарантированно выпилить, хотя и не просто.
Увы это так. GM45 последнее железо где можно его гарантированно выпилить, хотя и не просто.
В пинде ещё на роутерах запретили прошивки менять на незаводские ☺
Так что роутеры тоже с дырой, через которую можно юзать intel ME.
Приехали...
Осталось вообще запретить opensource во всём мире, для защиты от тeppopuстов
Так что роутеры тоже с дырой, через которую можно юзать intel ME.
Приехали...
Осталось вообще запретить opensource во всём мире, для защиты от тeppopuстов
>>23759
Только вот по SSH откупоривается практически любой потребительский роутер с сервисным паролем (или просто админ\админ), независимо от его настроек. На Асусах даже ОпенВРТ не помогает, так как SSH работает с уровнем ниже прошивки у них.
Только вот по SSH откупоривается практически любой потребительский роутер с сервисным паролем (или просто админ\админ), независимо от его настроек. На Асусах даже ОпенВРТ не помогает, так как SSH работает с уровнем ниже прошивки у них.
>>30163
И много ты роутеров с SSH знаешь?
>по SSH откупоривается практически любой потребительский роутер
И много ты роутеров с SSH знаешь?
96 Кб, 604x431>>19102 (OP)
Я тебе больше скажу. Несколько лет одна армия одной страны пыталась заказать ноутбуки со взрывчаткой на борту и vPro. Типа для защиты от потери информации. Посмотрев на их запросы и изучив возможности чипа я слегка прихуел. Думаю, это только начало и они не одни такие.
Я тебе больше скажу. Несколько лет одна армия одной страны пыталась заказать ноутбуки со взрывчаткой на борту и vPro. Типа для защиты от потери информации. Посмотрев на их запросы и изучив возможности чипа я слегка прихуел. Думаю, это только начало и они не одни такие.
>>25558
libreboot актуален для старых железяк, где ни каких обновлений миерокода уже нет 100 лет
libreboot актуален для старых железяк, где ни каких обновлений миерокода уже нет 100 лет
>>22982
Вообще-то есть, но не на всех процессорах.
Вообще-то есть, но не на всех процессорах.
>>30217
не ноутбуки, а r&d, не пыталась, а заказала и выполнила, не со взрывчаткой, а просто чипы изнутри пидорасит - кристаллы ломаются
не ноутбуки, а r&d, не пыталась, а заказала и выполнила, не со взрывчаткой, а просто чипы изнутри пидорасит - кристаллы ломаются
>>30319
актуален блять. Поди попробуй на старую материнку корбут найди. Там они регулярно старые чипсеты и материнки специально дропают под предлогом "надо двигаться дальше". И это правильно - старое некрожелезо в большинстве своём уже либо на помойках, либо на дачах, либо в детдома и детсады отданы, а людям, купившим новое обидно что для него нет.
мимонищеброд-владелец материнской платы 2004 года
актуален блять. Поди попробуй на старую материнку корбут найди. Там они регулярно старые чипсеты и материнки специально дропают под предлогом "надо двигаться дальше". И это правильно - старое некрожелезо в большинстве своём уже либо на помойках, либо на дачах, либо в детдома и детсады отданы, а людям, купившим новое обидно что для него нет.
мимонищеброд-владелец материнской платы 2004 года
>>28993
Дополню по опыту, что проблема перегрева решается заменой термопасты и контролем кулера через thinkpad_acpi+thinkfan. Нужно включать "level full-speed" при достижении 60-70 градусов. Больше никаких проблем с перегревом.
Дополню по опыту, что проблема перегрева решается заменой термопасты и контролем кулера через thinkpad_acpi+thinkfan. Нужно включать "level full-speed" при достижении 60-70 градусов. Больше никаких проблем с перегревом.
>>28966
Китайский кипятильник от компании которая регулярно нарушает GPL? Нет, спасибо
>>30085
http://hardenedlinux.org/firmware/2016/11/17/neutralize_ME_firmware_on_sandybridge_and_ivybridge.html
https://github.com/corna/me_cleaner
https://www.coreboot.org/pipermail/coreboot/2016-September/082049.html
>Allwinner A20
Китайский кипятильник от компании которая регулярно нарушает GPL? Нет, спасибо
>>30085
http://hardenedlinux.org/firmware/2016/11/17/neutralize_ME_firmware_on_sandybridge_and_ivybridge.html
https://github.com/corna/me_cleaner
https://www.coreboot.org/pipermail/coreboot/2016-September/082049.html
>>30085
Тащемта любой современный. АМДшный PSP, и большинство современных арм-процов имеет TrustZone, плюс бейсбэнд процессор в мобильных устройствах. (PSP тоже использует арм-ядро с trustzone).
В целом UEFI и TrustZone представляют собой гораздо более серьезную проблему, чем AMT, т.к. тому даже выпил не требуется - если он инициализацию не прошел, то не сможет работать как бэкдор, а это есть лишь в некоторых материнках.
> Использовать современный штеуд-процессор и иметь отключенный ME-АМТ невозможно.
Тащемта любой современный. АМДшный PSP, и большинство современных арм-процов имеет TrustZone, плюс бейсбэнд процессор в мобильных устройствах. (PSP тоже использует арм-ядро с trustzone).
В целом UEFI и TrustZone представляют собой гораздо более серьезную проблему, чем AMT, т.к. тому даже выпил не требуется - если он инициализацию не прошел, то не сможет работать как бэкдор, а это есть лишь в некоторых материнках.
>>31229
На 2011 не работает, работает на 2006 и 2008
На 2011 не работает, работает на 2006 и 2008
https://github.com/corna/me_cleaner
Кто-нибудь пробовал?
Хочу попробовать, киньте годных гайдов по починке если что пойдёт не так.
Кто-нибудь пробовал?
Хочу попробовать, киньте годных гайдов по починке если что пойдёт не так.
Так ли страшен этот МЕ? Что он конкретно он умеет делать? Как вообще это все реализуется? Он что сам будет по вайфаю сливать мои документы в ЦРУ/АНБ?
>>31319
Это потенциально неотключаемый бекдор, который имеет доступ ко всему оборудованию и может делать все что угодно абсолютно незаметно и ты не можешь этому помешать, потому что он работает на самом нижнем уровне. В последних процессорах он реализован как отдельный аппаратный процессор. Сама идея скрытого процессора в твоем компьютере, который делает неизвестно что, при этом имея абсолютный доступ, ну как-то не очень приятна.
Это потенциально неотключаемый бекдор, который имеет доступ ко всему оборудованию и может делать все что угодно абсолютно незаметно и ты не можешь этому помешать, потому что он работает на самом нижнем уровне. В последних процессорах он реализован как отдельный аппаратный процессор. Сама идея скрытого процессора в твоем компьютере, который делает неизвестно что, при этом имея абсолютный доступ, ну как-то не очень приятна.
>>31321
Ну как это абсолютно все? Где этот код, который делает абсолютно всё? Где он хранится? При каких условиях он активируется? Он зашит в процессоре? Он рассчитан на все операционки? Не верится.
Ну как это абсолютно все? Где этот код, который делает абсолютно всё? Где он хранится? При каких условиях он активируется? Он зашит в процессоре? Он рассчитан на все операционки? Не верится.
>>31327
Он лежит там же, где BIOS. Активируется сразу же при старте компьютера. У него отдельная операционная система, которая работает на отдельном чипе, с отдельным ядром и памятью. Прямой доступ к основной памяти и сетевой карте. Поскольку у него свой процессор и выделенный доступ к сети, он может общаться с интернетом, а основной процессор об этом даже знать не будет. Погугли, давно все разобрали уже.
Он лежит там же, где BIOS. Активируется сразу же при старте компьютера. У него отдельная операционная система, которая работает на отдельном чипе, с отдельным ядром и памятью. Прямой доступ к основной памяти и сетевой карте. Поскольку у него свой процессор и выделенный доступ к сети, он может общаться с интернетом, а основной процессор об этом даже знать не будет. Погугли, давно все разобрали уже.
>>31328
Окей, я не знал, но зачем все эта фигня, какой в этом смысл?
Окей, я не знал, но зачем все эта фигня, какой в этом смысл?
>>31328
>>31335
Судя по статьям, этот IME офигенно крутая вещь, это как бы операционка для оптимальной работы железа, датчики, температура, вентиляторы, фигаторы, вся обслуга, при этом имеет абсолютные привилегии и невидимость, код защищен и подписан ключом Интел, ключ переписать нельзя, так как хэш ключа проверяется железно. Отсюда несколько вопросов: 1) насколько это может быть реально что бэкдор существует? 2) IME не отключается вообще? например нельзя выключить отдельные application modules? фильтр пакетов в частности? 3) код зашифрован, но ведь в момент исполнения он открыт, так ведь? можно ли теоретически в момент исполнения сделать дамп и прочитать его? тогда можно узнать есть там бэкдоры или нет... 4) насколько реалистично сгенерировать пару ключей (и подпись разумеется) так чтобы хэш совпадал с хэшом Интела? ведь это же возможно? значит можно собрать свою собственную прошивку в ME-регион флэш-памяти? -- срочно поясните мне, насколько годен мой гениальный план.
>>31335
Судя по статьям, этот IME офигенно крутая вещь, это как бы операционка для оптимальной работы железа, датчики, температура, вентиляторы, фигаторы, вся обслуга, при этом имеет абсолютные привилегии и невидимость, код защищен и подписан ключом Интел, ключ переписать нельзя, так как хэш ключа проверяется железно. Отсюда несколько вопросов: 1) насколько это может быть реально что бэкдор существует? 2) IME не отключается вообще? например нельзя выключить отдельные application modules? фильтр пакетов в частности? 3) код зашифрован, но ведь в момент исполнения он открыт, так ведь? можно ли теоретически в момент исполнения сделать дамп и прочитать его? тогда можно узнать есть там бэкдоры или нет... 4) насколько реалистично сгенерировать пару ключей (и подпись разумеется) так чтобы хэш совпадал с хэшом Интела? ведь это же возможно? значит можно собрать свою собственную прошивку в ME-регион флэш-памяти? -- срочно поясните мне, насколько годен мой гениальный план.
>>31340
Ну блин. Может там нет бэкдора. Может он там есть. Такие технологии ОБЯЗАНЫ быть открытыми. Офигеть, неизвестно какой код, ты его не можешь ни посмотреть, ни заменить (потому что он подписан интелом), у него абсолютный доступ и ты должен ему верить.
Если там нет бекдора, то обязательно найдут (либо уже нашли) уязвимость, которую будут использовать. Мы это проходили уже 100 раз с BIOS, с UEFI, с SMM, со всякими Computrace и с другими зондами. Производители железа рассказывают, какая это охуенная и защищенная штука, потом в ней находят не то бекдор, не то просто дыру, тогда они отмалчиваются или пытаются замять проблему, но ничего не меняется. И это хуже чем баг в ядре, потому что это даже не подконтрольно операционной системе.
Понимаешь, такая "офигенно крутая вещь" должна быть открытой. Как coreboot. Допустим, ты не будешь хранить на компьютере сверхсекретные документы ЦРУ, и тебя никто не будет атаковать. Допустим, это компьютеры на какой-нибудь критической системе какого-нибудь государства или корпорации. Ничто не мешает интелу (или даже заводу, без ведома интела) поместить в IME бэкдор под видом уязвимости, и затем поиметь всех. Заодно и в твой компьютер попадет. Чем они наверняка и занимаются, просто сейчас у вас стадия "ВРЕЕТИ", а потом будет как всегда.
Его немного научились отключать в этом году, я выше вроде тут постил ссылку на гитхаб с презентацией, там наши исследователи представили несколько способов его отключения разной степени сомнительности. А недавно, вроде, его научились совсем хорошо убивать на Ivy bridge и Sandy bridge. Помимо этого, его можно совсем безопасно выпилить на старом железе, до 2008 года включительно, но это не так интересно.
Невозможно.
>1) насколько это может быть реально что бэкдор существует?
Ну блин. Может там нет бэкдора. Может он там есть. Такие технологии ОБЯЗАНЫ быть открытыми. Офигеть, неизвестно какой код, ты его не можешь ни посмотреть, ни заменить (потому что он подписан интелом), у него абсолютный доступ и ты должен ему верить.
Если там нет бекдора, то обязательно найдут (либо уже нашли) уязвимость, которую будут использовать. Мы это проходили уже 100 раз с BIOS, с UEFI, с SMM, со всякими Computrace и с другими зондами. Производители железа рассказывают, какая это охуенная и защищенная штука, потом в ней находят не то бекдор, не то просто дыру, тогда они отмалчиваются или пытаются замять проблему, но ничего не меняется. И это хуже чем баг в ядре, потому что это даже не подконтрольно операционной системе.
Понимаешь, такая "офигенно крутая вещь" должна быть открытой. Как coreboot. Допустим, ты не будешь хранить на компьютере сверхсекретные документы ЦРУ, и тебя никто не будет атаковать. Допустим, это компьютеры на какой-нибудь критической системе какого-нибудь государства или корпорации. Ничто не мешает интелу (или даже заводу, без ведома интела) поместить в IME бэкдор под видом уязвимости, и затем поиметь всех. Заодно и в твой компьютер попадет. Чем они наверняка и занимаются, просто сейчас у вас стадия "ВРЕЕТИ", а потом будет как всегда.
>2) IME не отключается вообще?
Его немного научились отключать в этом году, я выше вроде тут постил ссылку на гитхаб с презентацией, там наши исследователи представили несколько способов его отключения разной степени сомнительности. А недавно, вроде, его научились совсем хорошо убивать на Ivy bridge и Sandy bridge. Помимо этого, его можно совсем безопасно выпилить на старом железе, до 2008 года включительно, но это не так интересно.
>4) насколько реалистично сгенерировать пару ключей (и подпись разумеется) так чтобы хэш совпадал с хэшом Интела? ведь это же возможно?
Невозможно.
>>31341
Согласен насчет что он должен быть открытым, текущая ситуация абсурдна, но я понимаю Интел которая вероятно хочет защитить свой код чтобы его не скоммуниздили например из АМД или китайцы. По хорошему Индел должны были сделать официальную публикацию с заверениями что конкретно делает этот код и что не делает. И сейчас если я правильно понял IME очень хорошо защищен от уязвимостей, хотя проверить наверное это никак нельзя. Решение как мне кажется должно быть: дать пользователям возможность ставить свои прошивки (разумеется на свой страх и риск). Васянские решения взлома/отключения это конечно не гуд. Я вот думаю про паранойю: если допустим все новые ноутбуки планеты тайно отсылали бы что-то на сервер ЦРУ или любой, это же будет заметно например при банальном просмотре трафика на роутере, какие-то левые пакеты идут. Не защищаю Интел, просто пытаюсь рассуждать логически.
Согласен насчет что он должен быть открытым, текущая ситуация абсурдна, но я понимаю Интел которая вероятно хочет защитить свой код чтобы его не скоммуниздили например из АМД или китайцы. По хорошему Индел должны были сделать официальную публикацию с заверениями что конкретно делает этот код и что не делает. И сейчас если я правильно понял IME очень хорошо защищен от уязвимостей, хотя проверить наверное это никак нельзя. Решение как мне кажется должно быть: дать пользователям возможность ставить свои прошивки (разумеется на свой страх и риск). Васянские решения взлома/отключения это конечно не гуд. Я вот думаю про паранойю: если допустим все новые ноутбуки планеты тайно отсылали бы что-то на сервер ЦРУ или любой, это же будет заметно например при банальном просмотре трафика на роутере, какие-то левые пакеты идут. Не защищаю Интел, просто пытаюсь рассуждать логически.
>>31345
Ну так они не будут идти, конечно. Это должно работать наоборот: сетевая карта принимает некоторый магический пакет, и тогда уже начинаются чудеса.
Но и такого, скорее всего, не будет, ибо это слишком явный бэкдор. Будет что-нибудь вроде недавней уязвимости SMM на ноутбуках Lenovo.
>Я вот думаю про паранойю: если допустим все новые ноутбуки планеты тайно отсылали бы что-то на сервер ЦРУ или любой, это же будет заметно например при банальном просмотре трафика на роутере, какие-то левые пакеты идут.
Ну так они не будут идти, конечно. Это должно работать наоборот: сетевая карта принимает некоторый магический пакет, и тогда уже начинаются чудеса.
Но и такого, скорее всего, не будет, ибо это слишком явный бэкдор. Будет что-нибудь вроде недавней уязвимости SMM на ноутбуках Lenovo.
>>31348
Но тогда обратная ситуация: по всему миру должны ходить некие магические пакеты, кто-то бы заметил, да и как большой брат поймёт на какую машину слать магический пакет? - значит машина сначала должна уведомить ББ что на ней что-то есть интересное... либо эти пакеты подмешиваются к обычному трафику, но я уже не представляю какие ресурсы нужны чтобы их потом вылавливать, это уже заговор мирового уровня... Расскажи что там за SMM.
Но тогда обратная ситуация: по всему миру должны ходить некие магические пакеты, кто-то бы заметил, да и как большой брат поймёт на какую машину слать магический пакет? - значит машина сначала должна уведомить ББ что на ней что-то есть интересное... либо эти пакеты подмешиваются к обычному трафику, но я уже не представляю какие ресурсы нужны чтобы их потом вылавливать, это уже заговор мирового уровня... Расскажи что там за SMM.
>>31359
Нет, не должны. Нет, не должна.
Сценарий намного проще:
1) Ты заходишь на какой-нибудь сайт в даркнете, оказавшийся под контролем гэбни.
2) Гэбня отправляет тебе в ответ картинку, в которой содержатся магические байты.
3) Чип на твоём пэка обнаруживает их и запускает нужный код.
>по всему миру должны ходить некие магические пакеты
>машина сначала должна уведомить ББ что на ней что-то есть интересное
Нет, не должны. Нет, не должна.
Сценарий намного проще:
1) Ты заходишь на какой-нибудь сайт в даркнете, оказавшийся под контролем гэбни.
2) Гэбня отправляет тебе в ответ картинку, в которой содержатся магические байты.
3) Чип на твоём пэка обнаруживает их и запускает нужный код.
>>31369
Ну тебя-то так никто ловить и не будет, а вот какого-нибудь педофила или барыгу вполне.
Ну тебя-то так никто ловить и не будет, а вот какого-нибудь педофила или барыгу вполне.
>>31318
Давно ли? Есть пруф? А то даже X201 был нераспечатанный, когда я инфу искал; точнее, у кого-то одного вроде бы получилось что-то отключить, но он сам был не до конца уверен.
> X220
> научились убивать ME
Давно ли? Есть пруф? А то даже X201 был нераспечатанный, когда я инфу искал; точнее, у кого-то одного вроде бы получилось что-то отключить, но он сам был не до конца уверен.
>>31376
http://hardenedlinux.org/firmware/2016/11/17/neutralize_ME_firmware_on_sandybridge_and_ivybridge.html
На 201 не научились, насколько я знаю.
http://hardenedlinux.org/firmware/2016/11/17/neutralize_ME_firmware_on_sandybridge_and_ivybridge.html
На 201 не научились, насколько я знаю.
>>31379
X60 вообще не интересует, про него и так всё известно. Вот, почитай про X201: https://lists.gnu.org/archive/html/libreboot/2015-03/msg00010.html
X60 вообще не интересует, про него и так всё известно. Вот, почитай про X201: https://lists.gnu.org/archive/html/libreboot/2015-03/msg00010.html
>>31382
А, да, это я видел. Просто т.к. это неоконченная работа, я и сказал, что под него не сделали.
В любом случае, раз уже научились на X220, смысла в 201-м не много.
А, да, это я видел. Просто т.к. это неоконченная работа, я и сказал, что под него не сделали.
В любом случае, раз уже научились на X220, смысла в 201-м не много.
>>31383
Так вот я и реквестирую лютобешено пруф на это дело. Если правда — вот прямщас за паяльник сяду программатор собирать.
> раз уже научились на X220
Так вот я и реквестирую лютобешено пруф на это дело. Если правда — вот прямщас за паяльник сяду программатор собирать.
>>31381
Так и знал, что будет подобный ответ. Лучше новое железо, а не старое при таком же результате.
Я ебу, что ли? Если железо старое, значит есть уязвимости
Так и знал, что будет подобный ответ. Лучше новое железо, а не старое при таком же результате.
> Какие?
Я ебу, что ли? Если железо старое, значит есть уязвимости
>>31380
Например можно сделать настоящее FDE. Ключ шифрования вместе с grub и всем что нужно для расшифровки лежит в SPI-чипе, в итоге диск зашифрован на 100%, даже /boot и ядро, даже небо, даже Аллах.
Например можно сделать настоящее FDE. Ключ шифрования вместе с grub и всем что нужно для расшифровки лежит в SPI-чипе, в итоге диск зашифрован на 100%, даже /boot и ядро, даже небо, даже Аллах.
>>31404
Вопрос только в том что если майор потребует расшифровать то можно ли послать его нахер.
Вопрос только в том что если майор потребует расшифровать то можно ли послать его нахер.
>>31411
И как под него машину собирать соответственно? Есть ли смысл ставить видеокарту и т.д. Так-то без видяхи смысла в нем мало - что-то типа столлманрвского либребута будет. Для упоровшихся нищих параноиков.
И как под него машину собирать соответственно? Есть ли смысл ставить видеокарту и т.д. Так-то без видяхи смысла в нем мало - что-то типа столлманрвского либребута будет. Для упоровшихся нищих параноиков.
>>31406
Проще виртуалку поставить, образ зашифровать или диск внутри образа.
Проще виртуалку поставить, образ зашифровать или диск внутри образа.
>>31415
Так и знал, что такой ответ будет. А, что, если мне нужен нормальный пк без бекдоров и без дополнительных машин для анонимности? А когда нейрошлем сделают, все игори тоже на винде будут и что тогда? Мысли прямо из головы просмотрят?
Так и знал, что такой ответ будет. А, что, если мне нужен нормальный пк без бекдоров и без дополнительных машин для анонимности? А когда нейрошлем сделают, все игори тоже на винде будут и что тогда? Мысли прямо из головы просмотрят?
>>31418
Если тебе нужен ПК без бекдоров, ты должен ставить на него ОС без бекдоров, а не винду.
Если тебе нужен ПК без бекдоров, ты должен ставить на него ОС без бекдоров, а не винду.
Вы блять ебать параноики. Я имел дело с отделом К и могу сказать что там все очень плохо. Они обычных скамеров с левыми айпи ловить не берутся а вы тут про еба уязвимости.
>>31456
Ну так расскажи инсайд, чё ты. Про CERT заодно расскажи, про ЛК.
Ну так расскажи инсайд, чё ты. Про CERT заодно расскажи, про ЛК.
>>31456
Ну ты сравнил обычных нарушителей закона с истинными врагами элиты. В таком случае и автопилоты в самолете заставят его уронить, и в автомобиле электронная педаль газа вдавится, и вообще не подключенный к сети комп взломают через соседний мобильник по электромагнитным волнам или как оно там.
Ну ты сравнил обычных нарушителей закона с истинными врагами элиты. В таком случае и автопилоты в самолете заставят его уронить, и в автомобиле электронная педаль газа вдавится, и вообще не подключенный к сети комп взломают через соседний мобильник по электромагнитным волнам или как оно там.
>>31456
Хуйня какая-то. У них же в распоряжении логи любого провайдера, только свистни.
Хуйня какая-то. У них же в распоряжении логи любого провайдера, только свистни.
>>19864
Распиши поподробнее.
>Впрочем, это не панацея: возможность какого-нибудь packet of death, по приёму которого вклюается устанавливается обратное соединение, никто не отменял.
Распиши поподробнее.
>>31315
а что может пойти не так? считал прошивку, сохранил, отредактировал, залил. поломалось? залей оригинал обратно
а что может пойти не так? считал прошивку, сохранил, отредактировал, залил. поломалось? залей оригинал обратно
>>31695
Это драйверы, у меня тоже было, там еще на звуковуху и еще на чтото было.
Это драйверы, у меня тоже было, там еще на звуковуху и еще на чтото было.
>>31699
https://learn.adafruit.com/onion-pi/overview (там страницы с этапами можно перелистывать). Наруливают там Tor, но никто не мешает попутно поднять и проксик и вообще зарубить через iptables всю непотребщину.
https://learn.adafruit.com/onion-pi/overview (там страницы с этапами можно перелистывать). Наруливают там Tor, но никто не мешает попутно поднять и проксик и вообще зарубить через iptables всю непотребщину.
>>23759
в автоматическом режиме можно научить её искать программы которым нужен выход в инет и смотреть что у них за настройки прокси
в ручном режиме и говорить нечего
>Сомневаюсь, что аппаратная закладка сможет перехватить логин-пароль
в автоматическом режиме можно научить её искать программы которым нужен выход в инет и смотреть что у них за настройки прокси
в ручном режиме и говорить нечего
>>31715
ноут брал на барахолке.
вставил свой ссд и память.
прошивал через распберри пии
используя прищепку с али.
ноут 40$+rpi 35$+ прищепка 5$.
память и ссд у меня были.
собирал и прошивал,а потом обновлял по инструкции сайта и гуглежа. там нет никакой магии.
ноут брал на барахолке.
вставил свой ссд и память.
прошивал через распберри пии
используя прищепку с али.
ноут 40$+rpi 35$+ прищепка 5$.
память и ссд у меня были.
собирал и прошивал,а потом обновлял по инструкции сайта и гуглежа. там нет никакой магии.
>>31718
утю тю
утю тю
>>31721
А в каком он состоянии был?
А в каком он состоянии был?
в нормальном. одна плашка памяти была с ошибками, но я её заменил.
>>31716
А SPI чип у тебя был с 16 ножками или с 8?
А SPI чип у тебя был с 16 ножками или с 8?
у меня был soic 16.
но клипсы брал обе.
но клипсы брал обе.
подниму тред.
жителям украины c нужным железом есть возможность проапгрейдиться на libreboot почти на халяву.
жителям украины c нужным железом есть возможность проапгрейдиться на libreboot почти на халяву.
Хочу прошить coreboot, у меня чип soic 8. Подойдёт ли такая китайская прищепка http://kypikluchi.ru/shop/product/pomona-5250-test-clip-8pin-soic ? Или брать оригинальную помону американскую? В чем разница?
>>32486
хватит китайской. отличия в качестве
хватит китайской. отличия в качестве
Похоже libreboot скоро на x220 завезут https://www.coreboot.org/pipermail/coreboot/2017-February/083287.html
>>32627
что-то с последними тенденциями я не очень то доверяю им.
сам думал перебраться на 220 коребут + порезаный ме в будущем.
чувак с 200
что-то с последними тенденциями я не очень то доверяю им.
сам думал перебраться на 220 коребут + порезаный ме в будущем.
чувак с 200
>>32638
не очень доверяю в плане исполнения. да и сраться со всеми не стоило. пока это стрижка параноиков на бабос.
фиксанул прошлый коммент
не очень доверяю в плане исполнения. да и сраться со всеми не стоило. пока это стрижка параноиков на бабос.
фиксанул прошлый коммент
>>32639
В целом согласен с тобой, сам удивился когда оказалось, что все разработчики libreboot это по сути один неуравновешенный трап, лол
Но может хоть польза будет в плане прогресса в выпиливании ME.
В целом согласен с тобой, сам удивился когда оказалось, что все разработчики libreboot это по сути один неуравновешенный трап, лол
Но может хоть польза будет в плане прогресса в выпиливании ME.
>>32640
ну но типа мейнтейнер. народу со своими патчами много, но и серверную мамку пилил другой человек за деньги и т.д.
кмк денег опять собирают для заказа прошивки под 220.
кстати на ixbt прикольно обсуждают 220, был у меня он когда-то. надо еще заказать
ну но типа мейнтейнер. народу со своими патчами много, но и серверную мамку пилил другой человек за деньги и т.д.
кмк денег опять собирают для заказа прошивки под 220.
кстати на ixbt прикольно обсуждают 220, был у меня он когда-то. надо еще заказать
Няши, как узнать, какой чип у меня в ноуте? Нужно обезательно вытаскивать мать? И потом, как понять какой программатор нужен?
>>33448
овощ хотел узнать что у него стоит за флеш память.
но он мог просто погуглить,а не захотел.
и программатор он сможет подобрать в зависимости от типа/корпуса памяти.
ты ведь меня понимаешь, овощ2?
овощ хотел узнать что у него стоит за флеш память.
но он мог просто погуглить,а не захотел.
и программатор он сможет подобрать в зависимости от типа/корпуса памяти.
ты ведь меня понимаешь, овощ2?
https://www.blackhat.com/eu-17/briefings/schedule/index.html#how-to-hack-a-turned-off-computer-or-running-unsigned-code-in-intel-management-engine-8668
Выполнение кода в ME 11+. Конференция в декабре, подробностей пока нет.
Выполнение кода в ME 11+. Конференция в декабре, подробностей пока нет.
>>33446
Аида или эверест.
Аида или эверест.
>>31716
Приветствую! Можешь мне собрать такой же экземпляр? Если да, то сколько будет стоить твои услуги?
Приветствую! Можешь мне собрать такой же экземпляр? Если да, то сколько будет стоить твои услуги?
>>31345
А зачем вообще они встраивают такие системы? Разве она нужна? Какое у нее предназначение?
А зачем вообще они встраивают такие системы? Разве она нужна? Какое у нее предназначение?
>>19102 (OP)
Поясните за ThinkPad X230T, в его процессоре есть такая ебала? Можно отключить?
Где-то читал что только в новых интеловских процессорах такой лютый пиздец, что даже не отключается.
Поясните за ThinkPad X230T, в его процессоре есть такая ебала? Можно отключить?
Где-то читал что только в новых интеловских процессорах такой лютый пиздец, что даже не отключается.
>>38208
Там же все написано, как он работает и что делает. Это лучшее из того что есть на данный момент.
Там же все написано, как он работает и что делает. Это лучшее из того что есть на данный момент.
BUMP
>>43626
Коли так, то поясни за coreboot. Это замена вшитому в мать биосу или што? После напердоливания может что-то отвалиться?
мимо-с-железом-дел-не-имел
Коли так, то поясни за coreboot. Это замена вшитому в мать биосу или што? После напердоливания может что-то отвалиться?
мимо-с-железом-дел-не-имел
>>43718
Да.
В зависимости от поддержки твоего железа coreboot-ом и собственной криворукости, да. Например, криво прошьешь - совсем кирпич будет, надо перешивать. Или, например, там пока нет официальной поддержки NVIDIA Optimus, поэтому прошьешь на ThinkPad, на котором раньше переключал видеокарты динамически - и больше не сможешь.
Вот паста, которую я когда-то написал анону в /hw/:
Плюсы:
- швабода, выпиливание некоторых зондов
- отсутствие whitelist-ов, если они были в оригинальном биосе (пример - thinkpad-ы)
- скорость загрузки
- отсутствие проблем с отключенным intel me
- можно менять настройки через nvramtool прямо из ОС
- возможность софтварной прошивки (обновления), или наоборот - возможность наглухо ее заблокировать во имя безопасности (но не везде, на AMD я читал жалобы что нельзя, но у меня нет AMD, не знаю)
- возможность сделать полноценное FDE, разместив все, что нужно для расшировки и/или верификации целостности системы, в CBFS на чипе
- или вот пример: когда я портировал его на макбук ретину, столкнулся с тем, что оригинальная прошивка форсит использование дискретной видеокарты и отключает встройку, если загружается линукс или любая другая ОС, кроме macOS. Вроде как есть способы это обойти, я все перепробовал, но у меня ни один так и не сработал, возможно они не работают на новых версиях прошивки. Короче чтобы на макбуке пользоваться линуксом и встройкой, нужно очень сильно поебаться с этим. На coreboot же оно просто работает (TM) без танцев с бубном.
Минусы:
- отсутствие поддержки большого количества железа
- неидеальный нативный raminit для некоторых платформ, из-за которого часть планок памяти либо работают не на полной скорости, либо не определяются (фиксится использованием интеловского mrc.bin или активным пинанием разработчиков на IRC-канале)
- проблемы с Windows 10 из-за ACPI кода
- иногда проблемы с EC ввиду неполноценной его поддержки на платах, которыми пользуется полтора анона (пример - ноутбуки hp, насколько я знаю с ними всё грустно)
- ненулевой шанс окирпичить плату с обновлением, потому что двачер вроде меня закоммитил глючный код для твоей платы, а мейнтейнеры не протестировали и смержили
- в целом отсутствие стабильных релизов - их не существует. 4.8, 4.9 и прочие "релизы" - это просто состояние master в определенный момент времени. Всегда рекомендуется использовать актуальный master, но всегда есть вероятность, что в нем что-то сломано (чем популярнее платформа, тем эта вероятность меньше, к примеру на thinkpad-ах редко что-то ломают, либо быстро чинят, потому что сами разработчики ими пользуются)
>Это замена вшитому в мать биосу или што?
Да.
>После напердоливания может что-то отвалиться?
В зависимости от поддержки твоего железа coreboot-ом и собственной криворукости, да. Например, криво прошьешь - совсем кирпич будет, надо перешивать. Или, например, там пока нет официальной поддержки NVIDIA Optimus, поэтому прошьешь на ThinkPad, на котором раньше переключал видеокарты динамически - и больше не сможешь.
Вот паста, которую я когда-то написал анону в /hw/:
Плюсы:
- швабода, выпиливание некоторых зондов
- отсутствие whitelist-ов, если они были в оригинальном биосе (пример - thinkpad-ы)
- скорость загрузки
- отсутствие проблем с отключенным intel me
- можно менять настройки через nvramtool прямо из ОС
- возможность софтварной прошивки (обновления), или наоборот - возможность наглухо ее заблокировать во имя безопасности (но не везде, на AMD я читал жалобы что нельзя, но у меня нет AMD, не знаю)
- возможность сделать полноценное FDE, разместив все, что нужно для расшировки и/или верификации целостности системы, в CBFS на чипе
- или вот пример: когда я портировал его на макбук ретину, столкнулся с тем, что оригинальная прошивка форсит использование дискретной видеокарты и отключает встройку, если загружается линукс или любая другая ОС, кроме macOS. Вроде как есть способы это обойти, я все перепробовал, но у меня ни один так и не сработал, возможно они не работают на новых версиях прошивки. Короче чтобы на макбуке пользоваться линуксом и встройкой, нужно очень сильно поебаться с этим. На coreboot же оно просто работает (TM) без танцев с бубном.
Минусы:
- отсутствие поддержки большого количества железа
- неидеальный нативный raminit для некоторых платформ, из-за которого часть планок памяти либо работают не на полной скорости, либо не определяются (фиксится использованием интеловского mrc.bin или активным пинанием разработчиков на IRC-канале)
- проблемы с Windows 10 из-за ACPI кода
- иногда проблемы с EC ввиду неполноценной его поддержки на платах, которыми пользуется полтора анона (пример - ноутбуки hp, насколько я знаю с ними всё грустно)
- ненулевой шанс окирпичить плату с обновлением, потому что двачер вроде меня закоммитил глючный код для твоей платы, а мейнтейнеры не протестировали и смержили
- в целом отсутствие стабильных релизов - их не существует. 4.8, 4.9 и прочие "релизы" - это просто состояние master в определенный момент времени. Всегда рекомендуется использовать актуальный master, но всегда есть вероятность, что в нем что-то сломано (чем популярнее платформа, тем эта вероятность меньше, к примеру на thinkpad-ах редко что-то ломают, либо быстро чинят, потому что сами разработчики ими пользуются)
>>43718
Да.
В зависимости от поддержки твоего железа coreboot-ом и собственной криворукости, да. Например, криво прошьешь - совсем кирпич будет, надо перешивать. Или, например, там пока нет официальной поддержки NVIDIA Optimus, поэтому прошьешь на ThinkPad, на котором раньше переключал видеокарты динамически - и больше не сможешь.
Вот паста, которую я когда-то написал анону в /hw/:
Плюсы:
- швабода, выпиливание некоторых зондов
- отсутствие whitelist-ов, если они были в оригинальном биосе (пример - thinkpad-ы)
- скорость загрузки
- отсутствие проблем с отключенным intel me
- можно менять настройки через nvramtool прямо из ОС
- возможность софтварной прошивки (обновления), или наоборот - возможность наглухо ее заблокировать во имя безопасности (но не везде, на AMD я читал жалобы что нельзя, но у меня нет AMD, не знаю)
- возможность сделать полноценное FDE, разместив все, что нужно для расшировки и/или верификации целостности системы, в CBFS на чипе
- или вот пример: когда я портировал его на макбук ретину, столкнулся с тем, что оригинальная прошивка форсит использование дискретной видеокарты и отключает встройку, если загружается линукс или любая другая ОС, кроме macOS. Вроде как есть способы это обойти, я все перепробовал, но у меня ни один так и не сработал, возможно они не работают на новых версиях прошивки. Короче чтобы на макбуке пользоваться линуксом и встройкой, нужно очень сильно поебаться с этим. На coreboot же оно просто работает (TM) без танцев с бубном.
Минусы:
- отсутствие поддержки большого количества железа
- неидеальный нативный raminit для некоторых платформ, из-за которого часть планок памяти либо работают не на полной скорости, либо не определяются (фиксится использованием интеловского mrc.bin или активным пинанием разработчиков на IRC-канале)
- проблемы с Windows 10 из-за ACPI кода
- иногда проблемы с EC ввиду неполноценной его поддержки на платах, которыми пользуется полтора анона (пример - ноутбуки hp, насколько я знаю с ними всё грустно)
- ненулевой шанс окирпичить плату с обновлением, потому что двачер вроде меня закоммитил глючный код для твоей платы, а мейнтейнеры не протестировали и смержили
- в целом отсутствие стабильных релизов - их не существует. 4.8, 4.9 и прочие "релизы" - это просто состояние master в определенный момент времени. Всегда рекомендуется использовать актуальный master, но всегда есть вероятность, что в нем что-то сломано (чем популярнее платформа, тем эта вероятность меньше, к примеру на thinkpad-ах редко что-то ломают, либо быстро чинят, потому что сами разработчики ими пользуются)
>Это замена вшитому в мать биосу или што?
Да.
>После напердоливания может что-то отвалиться?
В зависимости от поддержки твоего железа coreboot-ом и собственной криворукости, да. Например, криво прошьешь - совсем кирпич будет, надо перешивать. Или, например, там пока нет официальной поддержки NVIDIA Optimus, поэтому прошьешь на ThinkPad, на котором раньше переключал видеокарты динамически - и больше не сможешь.
Вот паста, которую я когда-то написал анону в /hw/:
Плюсы:
- швабода, выпиливание некоторых зондов
- отсутствие whitelist-ов, если они были в оригинальном биосе (пример - thinkpad-ы)
- скорость загрузки
- отсутствие проблем с отключенным intel me
- можно менять настройки через nvramtool прямо из ОС
- возможность софтварной прошивки (обновления), или наоборот - возможность наглухо ее заблокировать во имя безопасности (но не везде, на AMD я читал жалобы что нельзя, но у меня нет AMD, не знаю)
- возможность сделать полноценное FDE, разместив все, что нужно для расшировки и/или верификации целостности системы, в CBFS на чипе
- или вот пример: когда я портировал его на макбук ретину, столкнулся с тем, что оригинальная прошивка форсит использование дискретной видеокарты и отключает встройку, если загружается линукс или любая другая ОС, кроме macOS. Вроде как есть способы это обойти, я все перепробовал, но у меня ни один так и не сработал, возможно они не работают на новых версиях прошивки. Короче чтобы на макбуке пользоваться линуксом и встройкой, нужно очень сильно поебаться с этим. На coreboot же оно просто работает (TM) без танцев с бубном.
Минусы:
- отсутствие поддержки большого количества железа
- неидеальный нативный raminit для некоторых платформ, из-за которого часть планок памяти либо работают не на полной скорости, либо не определяются (фиксится использованием интеловского mrc.bin или активным пинанием разработчиков на IRC-канале)
- проблемы с Windows 10 из-за ACPI кода
- иногда проблемы с EC ввиду неполноценной его поддержки на платах, которыми пользуется полтора анона (пример - ноутбуки hp, насколько я знаю с ними всё грустно)
- ненулевой шанс окирпичить плату с обновлением, потому что двачер вроде меня закоммитил глючный код для твоей платы, а мейнтейнеры не протестировали и смержили
- в целом отсутствие стабильных релизов - их не существует. 4.8, 4.9 и прочие "релизы" - это просто состояние master в определенный момент времени. Всегда рекомендуется использовать актуальный master, но всегда есть вероятность, что в нем что-то сломано (чем популярнее платформа, тем эта вероятность меньше, к примеру на thinkpad-ах редко что-то ломают, либо быстро чинят, потому что сами разработчики ими пользуются)
>>43719
мой случай, у меня пропук, я соснул?
>пример - ноутбуки hp, насколько я знаю с ними всё грустно
мой случай, у меня пропук, я соснул?
>>43725
>>43729
Нет поддержки от слова совсем.
Этот, кажется, на ivybridge, значит можно сгенерировать исходники через autoport, собрать, прошить и попробовать запустить, ничего не заработает конечно, но хотя бы логи можно получить, и дальше портировать, но если ты
то это проще скачать, чем сделать.
С этим сложнее, если я правильно понял это 8-е поколение, значит может быть включен Intel Boot Guard, если это так, то стороннюю прошивку вообще не запустить. Если не включен, то есть надежда портировать с использованием Intel FSP, но опять же это проще сказать, работа на недели/месяцы.
>>43729
Нет поддержки от слова совсем.
>4540s
Этот, кажется, на ivybridge, значит можно сгенерировать исходники через autoport, собрать, прошить и попробовать запустить, ничего не заработает конечно, но хотя бы логи можно получить, и дальше портировать, но если ты
>мимо-с-железом-дел-не-имел
то это проще скачать, чем сделать.
>пропук 450 г6
С этим сложнее, если я правильно понял это 8-е поколение, значит может быть включен Intel Boot Guard, если это так, то стороннюю прошивку вообще не запустить. Если не включен, то есть надежда портировать с использованием Intel FSP, но опять же это проще сказать, работа на недели/месяцы.
>>43730
Где скачать? Дай ссылочку.
>Этот, кажется, на ivybridge, значит можно сгенерировать исходники через autoport, собрать, прошить и попробовать запустить, ничего не заработает конечно, но хотя бы логи можно получить, и дальше портировать, но если ты
>>мимо-с-железом-дел-не-имел
>то это проще скачать, чем сделать.
Где скачать? Дай ссылочку.
>>43764
Сказать. Опечатка.
Сказать. Опечатка.
>>43719
Говно, короче, нестабильное.
Говно, короче, нестабильное.
>>43843
Если ты не некрофил, то любую, в которой ME успешно убивается me_cleaner-ом. У них в issues на гитхабе есть перепись мамок. Правда для этого нужно будет шить биос программатором.
Ну или AMD года до 12-13, когда там PSP появился.
Если ты не некрофил, то любую, в которой ME успешно убивается me_cleaner-ом. У них в issues на гитхабе есть перепись мамок. Правда для этого нужно будет шить биос программатором.
Ну или AMD года до 12-13, когда там PSP появился.
>>43844
Где-то читал что на самом деле он появился на пару лет раньше чем принято думать. Даже какую-то таблицу сохранял на эту тему
> AMD года до 12-13, когда там PSP появился
Где-то читал что на самом деле он появился на пару лет раньше чем принято думать. Даже какую-то таблицу сохранял на эту тему
>>30106
Так, падажи, на хабре написано что до чипсетов 5-й серии МЕ ставили только в Q-чипсеты. И только с 5-й серии это говно стали ставить в любые чипсеты. По идее в GM45 ME быть не должно.
Так, падажи, на хабре написано что до чипсетов 5-й серии МЕ ставили только в Q-чипсеты. И только с 5-й серии это говно стали ставить в любые чипсеты. По идее в GM45 ME быть не должно.
>>31386
Вот и не кукарекай если не знаешь.
Правда в том, что в новом железе уязвимостей больше чем в старом.
Специально оставленных уязвимостей.
> Я ебу, что ли?
Вот и не кукарекай если не знаешь.
Правда в том, что в новом железе уязвимостей больше чем в старом.
Специально оставленных уязвимостей.
>>44724
Что хотел-то?
Что хотел-то?
Мой первый пост в /crypt/.
НЕКРОМАНСЕР ИТТ @ ВОСКРЕШАЮ ТРЕНЖ
НЕКРОМАНСЕР ИТТ @ ВОСКРЕШАЮ ТРЕНЖ
НЕКРОМАНСЕР ИТТ @ ВОСКРЕШАЮ ТРЕНЖ
Есть два древних ноута:
IBM T30 (Intel Mobile Pentium 4-M)
IBM T43 (Intel Pentium M "Dothan")
Я правильно понимаю, что в них нет IME?
IBM T30 (Intel Mobile Pentium 4-M)
IBM T43 (Intel Pentium M "Dothan")
Я правильно понимаю, что в них нет IME?
>>19864
Почему бы просто не фильтровать такой траффик фаерволлом на роутере?
Почему бы просто не фильтровать такой траффик фаерволлом на роутере?
Есть комы без IME, но вымутить их КРАЙНЕ сложно. Поставляются в основном в правительственный сектор США.
>>45143
Нету никаких компов без IME. Есть AltMeDisable бит во флеш дескрипторе (и еще парочка), которые можно проставить программатором элементарно.
Нету никаких компов без IME. Есть AltMeDisable бит во флеш дескрипторе (и еще парочка), которые можно проставить программатором элементарно.
Просто напомню, что так любимая всеми малинка на арм тоже имеет подобную херобору (ThreadX). Это, видимо, такая неприятная современная тенденция, когда основная система оказывается гостевой.
Проблема все еще актуальна? И если кто шарит, что нужно чтобы сидеть на компе без ME.
>>45338
Полностью без ME можно сидеть на Intel Core, том самом который 2006 года. Имхо это не вариант в 2020. Если ориентироваться по поколениям моделей thinkpad, то это X60.
Дальше, на Penryn прошивку ME можно удалить с SPI чипа. Сам аппаратный модуль ME при этом никуда не денется, но у него больше не будет прошивки (останется какой-то минимальный boot rom, хранящийся где-то отдельно, который выпилить все равно невозможно). Это условный ThinkPad X200.
Начиная с Nehalem (условно X201) и в след. нескольких поколениях, прошивку ME уже нельзя полностью выпилить с SPI чипа, потому что платформа не включится без нее. К счастью последние годы ME активно реверсили, разобрали формат прошивки, и существует утилита me_cleaner, позволяющая выпилить большую часть модулей прошивки, оставив только то что нужно для старта платформы. Помимо me_cleaner есть и другие альтернативные способы "выключения" ME, например HAP бит или Soft Temp Disable Mode. Это предусмотренные интелом способы отключения, но не сильно широко известные. Все они применимы, работают и с их применением можно быть достаточно уверенным, что ME не делает ничего плохого. Товарищи из PT, которые реверсят ME и у которых есть аппаратные отладчики, говорят, что он действительно "зависает" после этого и больше ничего не делает.
Отвечая на твой вопрос, что нужно - в общем случае нужен SPI программатор и прямые руки. В частном конкретном надо смотреть что у тебя за машина.
Полностью без ME можно сидеть на Intel Core, том самом который 2006 года. Имхо это не вариант в 2020. Если ориентироваться по поколениям моделей thinkpad, то это X60.
Дальше, на Penryn прошивку ME можно удалить с SPI чипа. Сам аппаратный модуль ME при этом никуда не денется, но у него больше не будет прошивки (останется какой-то минимальный boot rom, хранящийся где-то отдельно, который выпилить все равно невозможно). Это условный ThinkPad X200.
Начиная с Nehalem (условно X201) и в след. нескольких поколениях, прошивку ME уже нельзя полностью выпилить с SPI чипа, потому что платформа не включится без нее. К счастью последние годы ME активно реверсили, разобрали формат прошивки, и существует утилита me_cleaner, позволяющая выпилить большую часть модулей прошивки, оставив только то что нужно для старта платформы. Помимо me_cleaner есть и другие альтернативные способы "выключения" ME, например HAP бит или Soft Temp Disable Mode. Это предусмотренные интелом способы отключения, но не сильно широко известные. Все они применимы, работают и с их применением можно быть достаточно уверенным, что ME не делает ничего плохого. Товарищи из PT, которые реверсят ME и у которых есть аппаратные отладчики, говорят, что он действительно "зависает" после этого и больше ничего не делает.
Отвечая на твой вопрос, что нужно - в общем случае нужен SPI программатор и прямые руки. В частном конкретном надо смотреть что у тебя за машина.
бамп
>>45386
Так заебись же
Так заебись же
>>45401
ну да ебать и горжусь этим
2к16 по моему вообще был годом когда я на эту доску в первый раз зашел, увидел тред и прям въетнамские флешбеки начались
ну да ебать и горжусь этим
2к16 по моему вообще был годом когда я на эту доску в первый раз зашел, увидел тред и прям въетнамские флешбеки начались
>>45417
Я не про правильно пишется а вообще
Я не про правильно пишется а вообще
>>19102 (OP)
С подключением. Все железо после 1997 года являет собой зонд.
Так что если ты реально хочешь независимости то придется создавать его самому и с нуля. А потом с нуля програмировать, начиная с машинного кода. Ты не можешь доверять даже программам которые сейчас удобненько тебе пишут на ассемблере. С нуля всё и самому. А самое хуевое что драйвера для каких нибудь жестких дисков являют собой закрытый код
С подключением. Все железо после 1997 года являет собой зонд.
Так что если ты реально хочешь независимости то придется создавать его самому и с нуля. А потом с нуля програмировать, начиная с машинного кода. Ты не можешь доверять даже программам которые сейчас удобненько тебе пишут на ассемблере. С нуля всё и самому. А самое хуевое что драйвера для каких нибудь жестких дисков являют собой закрытый код
>>45642
Почему именно 1997?
Почему именно 1997?
>>19686
Да. Если роутер рабочий, конечно же.
Да. Если роутер рабочий, конечно же.
>>45634
Вроде как на кор2 можно сделать её полностью неработоспособной
Там тоже есть. Но 1) появилось позже, 2) заявляется возможность её отключения через биос
> Ну чё, научились отключать эту хуйню?
Вроде как на кор2 можно сделать её полностью неработоспособной
> А что насчёт АМД?
Там тоже есть. Но 1) появилось позже, 2) заявляется возможность её отключения через биос
>>45335
Переходить на процы от амд не новее вишеры
Переходить на процы от амд не новее вишеры
>>45798
Сам долбоеб. Никто не будет пользоваться этими пентиумами на 478 сокете сегодня, по крайней мере для реальных задач. Сегодня либо Intel с ME (который можно отключить, но не полностью), либо какой-нибудь ARM (хотя и там надо смотреть).
Сам долбоеб. Никто не будет пользоваться этими пентиумами на 478 сокете сегодня, по крайней мере для реальных задач. Сегодня либо Intel с ME (который можно отключить, но не полностью), либо какой-нибудь ARM (хотя и там надо смотреть).
>>19102 (OP)
на ютабе есть видео как отключить эту штуку: https://www.youtube.com/watch?v=5HmuP4IA014
на ютабе есть видео как отключить эту штуку: https://www.youtube.com/watch?v=5HmuP4IA014
>>45827
но он отключается частично
но он отключается частично
>>46126
Soft Temp Disable это как раз таки отключение самого ME, он перестает работать и не грузит ядро после DRAM Init Done.
А то что они обозвали ME Subsystem это как раз наверное MEI (PCI устройство, интерфейс).
Soft Temp Disable это как раз таки отключение самого ME, он перестает работать и не грузит ядро после DRAM Init Done.
А то что они обозвали ME Subsystem это как раз наверное MEI (PCI устройство, интерфейс).
>>46128
Как убедится?
> Soft Temp Disable это как раз таки отключение самого ME, он перестает работать и не грузит ядро после DRAM Init Done.
Как убедится?
>>46128
Вот тут https://2ch.hk/crypt/src/19102/15800490873420.png (
М) написано про ошибку в драйвере интерфейса. Прочитай внимательно
А вот тут https://2ch.hk/crypt/src/19102/15800490873451.png (М) про временное отключение
Вот тут https://2ch.hk/crypt/src/19102/15800490873420.png (
М) написано про ошибку в драйвере интерфейса. Прочитай внимательноА вот тут https://2ch.hk/crypt/src/19102/15800490873451.png (
М) про временное отключение>>46128
http://blog.ptsecurity.ru/2017/08/intel-me-disable.html
А разве МЕ должен реагировать на команды из ОС?
> Нашей первой мыслью было поставить этот бит и посмотреть, что будет.
> После загрузки платформы утилита meinfo сообщает странный статус — Alt Disable Mode. Беглые показали, что ME не отвечает на команды и никак не реагирует на воздействия из операционной системы
http://blog.ptsecurity.ru/2017/08/intel-me-disable.html
А разве МЕ должен реагировать на команды из ОС?
>>46128
https://habr.com/ru/company/pt/blog/302292/#comment_9637220
> На чипсете Q35 часть кода AMT выполняется, даже если AMT выключен в биосе
https://habr.com/ru/company/pt/blog/302292/#comment_9637220
>>46128
Смотри че пишут:
https://libreboot.org/faq.html#intel
А на вики пишут другое:
https://ru.wikipedia.org/wiki/Intel_I/O_Controller_Hub#ICH7
Но ведь Active Management Technology основана не возможностях Intel ME. То есть, чтобы на компе была Active Management Technology на нем должен быть Intel МЕ
Так когда оно появилось?
Смотри че пишут:
> Представленный в июне 2006 года в семействе чипсетов Intel 965 Express (Graphics and) Memory Controller Hubs, или (G)MCHs, и семействе контроллеров ввода-вывода ICH8, Intel Management Engine (ME)
https://libreboot.org/faq.html#intel
А на вики пишут другое:
> ICH7 начали выпускаться с середины 2005 года вместе с новым чипсетом высокого класса MCH Intel i955X. Два дополнительных порта PCI Express х 1, ускоренный контроллер SATA скоростью передачи данных до 300 МБ/с (в мобильной версии эта возможность отключена), а также была добавлена поддержка технологии Intel «Active Management Technology»
https://ru.wikipedia.org/wiki/Intel_I/O_Controller_Hub#ICH7
Но ведь Active Management Technology основана не возможностях Intel ME. То есть, чтобы на компе была Active Management Technology на нем должен быть Intel МЕ
Так когда оно появилось?
>>46128
Вот ещё:
https://ru.wikipedia.org/wiki/Active_Management_Technology#Версии
Всё-таки ICH7 и 2005 год?
Вот ещё:
> Intel AMT 1.0 — Платформы на чипсете 82573E (ICH7), использующие контроллер Gigabit Ethernet, например Intel D975XBX2
https://ru.wikipedia.org/wiki/Active_Management_Technology#Версии
Всё-таки ICH7 и 2005 год?
>>46131
Дебаггером. В PT проверили.
Плюс у меня есть приватная интеловская документация на ME для разработчиков BIOS, там подробно описано как смотреть статус ME. В soft temp disable он не загружается.
Но должен заметить это не очень надёжная тема, чтобы вернуть его из этого режима достаточно записать всего одно слово в один регистр, т.е. достаточно рут прав на системе.
Дебаггером. В PT проверили.
Плюс у меня есть приватная интеловская документация на ME для разработчиков BIOS, там подробно описано как смотреть статус ME. В soft temp disable он не загружается.
Но должен заметить это не очень надёжная тема, чтобы вернуть его из этого режима достаточно записать всего одно слово в один регистр, т.е. достаточно рут прав на системе.
>>46134
Эти биты это не то. Это биты во флеш дескрипторе. А soft temp disable это когда биос на этапе ранней загрузки отправляет ME через специальный интерфейс специальное сообщение.
Ну да, у него есть два интерфейса
Эти биты это не то. Это биты во флеш дескрипторе. А soft temp disable это когда биос на этапе ранней загрузки отправляет ME через специальный интерфейс специальное сообщение.
> А разве МЕ должен реагировать на команды из ОС?
Ну да, у него есть два интерфейса
>>46137
Я сейчас не помню анончик, по-моему да 2005. Лежу болею, лень искать, посмотри на сайте libreboot, там у них более менее нормально описано, хотя и есть ошибки.
Алсо я в coreboot делал поддержку soft temp disable (патч на ревью сейчас)
Я сейчас не помню анончик, по-моему да 2005. Лежу болею, лень искать, посмотри на сайте libreboot, там у них более менее нормально описано, хотя и есть ошибки.
Алсо я в coreboot делал поддержку soft temp disable (патч на ревью сейчас)
>>46139
Нихуя себе!!!! Даже так?
Тогда ты наверно знаешь, получается что на матерях с ICH7 и не интеловским эзернет-контролером его нет? Или есть?
> у меня есть приватная интеловская документация на ME для разработчиков BIOS
Нихуя себе!!!! Даже так?
Тогда ты наверно знаешь, получается что на матерях с ICH7 и не интеловским эзернет-контролером его нет? Или есть?
108 Кб, 792x764>>46141
Вот эта пдф-ка. 244 страница
https://www.intel.com/content/dam/doc/datasheet/i-o-controller-hub-7-datasheet.pdf
Я нашел новые МБ на 775 с чипсетом G41, ICH7 и гигабитным эзернетом. Мне надо понять стоит их покупать или нет. Этот гигабитный эзернет меня смущает, хоть он не от интел
>посмотри на сайте libreboot
Вот эта пдф-ка. 244 страница
https://www.intel.com/content/dam/doc/datasheet/i-o-controller-hub-7-datasheet.pdf
Я нашел новые МБ на 775 с чипсетом G41, ICH7 и гигабитным эзернетом. Мне надо понять стоит их покупать или нет. Этот гигабитный эзернет меня смущает, хоть он не от интел
>>46142
>>46143
>>46144
На сайте libreboot норм пишут, дело в том что раньше это не называлось Intel ME. Видимо в ICH7 была первая реализация AMT, а потом они уже придумали вынести это в то что назвали ME.
Я ничего не могу сказать про ICH7, не имел с ним дело и даже доков на него у меня нет. Могу сказать про ICH9. Там прошивка ME лежит на SPI чипе рядом с биосом. Во флеш дескрипторе есть специальный битик, точнее вроде их два, надо их проставить, и тогда можно полностью удалить весь раздел ME с флешки, и всё продолжит работать. libreboot немного неправильно пиарит, будто они "удаляют" ME, ME конечно же они не удаляют, его невозможно удалить, это часть железа, но они удаляют его прошивку, и никакой AMT там уже работать не сможет без этого кода. Не знаю пробовал ли кто-то делать то же самое на ICH7, все таки железо довольно старое, но наверное там тот же принцип. И я не думаю, что оно может быть в не-интеловской сетевой карте, к тому же в доке же написано, что AMT requirement – Intel PRO 82573E GbE Controller.
Доки по ME у меня только начиная с версии ME 8.x, есть для 8, 9, 10, 11, и то, ME BWG (BIOS Writer's Guide) только начиная с 9, для 8 там что-то другое. Могу скинуть тебе куда-нибудь если интересно, но хз чем тебе это поможет, ничего полезного для старого железа там точно нет. Ну там есть описание Soft Temp Disable Mode, как в него заходить, как оттуда выходить. Вот про этот >>45013 "ME Temporary Disable".
У меня вообще много приватных доков, но они все для более-менее нового железа, начиная от Cougar Point PHC и дальше. Куча всего по Skylake, Apollo Lake и тд, по Intel TXE, а старые доки это редкость. Есть только ICH9 EDS (intel confidential).
>>46143
>>46144
На сайте libreboot норм пишут, дело в том что раньше это не называлось Intel ME. Видимо в ICH7 была первая реализация AMT, а потом они уже придумали вынести это в то что назвали ME.
Я ничего не могу сказать про ICH7, не имел с ним дело и даже доков на него у меня нет. Могу сказать про ICH9. Там прошивка ME лежит на SPI чипе рядом с биосом. Во флеш дескрипторе есть специальный битик, точнее вроде их два, надо их проставить, и тогда можно полностью удалить весь раздел ME с флешки, и всё продолжит работать. libreboot немного неправильно пиарит, будто они "удаляют" ME, ME конечно же они не удаляют, его невозможно удалить, это часть железа, но они удаляют его прошивку, и никакой AMT там уже работать не сможет без этого кода. Не знаю пробовал ли кто-то делать то же самое на ICH7, все таки железо довольно старое, но наверное там тот же принцип. И я не думаю, что оно может быть в не-интеловской сетевой карте, к тому же в доке же написано, что AMT requirement – Intel PRO 82573E GbE Controller.
Доки по ME у меня только начиная с версии ME 8.x, есть для 8, 9, 10, 11, и то, ME BWG (BIOS Writer's Guide) только начиная с 9, для 8 там что-то другое. Могу скинуть тебе куда-нибудь если интересно, но хз чем тебе это поможет, ничего полезного для старого железа там точно нет. Ну там есть описание Soft Temp Disable Mode, как в него заходить, как оттуда выходить. Вот про этот >>45013 "ME Temporary Disable".
У меня вообще много приватных доков, но они все для более-менее нового железа, начиная от Cougar Point PHC и дальше. Куча всего по Skylake, Apollo Lake и тд, по Intel TXE, а старые доки это редкость. Есть только ICH9 EDS (intel confidential).
35 Кб, 960x195>>46145
Да, АМТ 1.0
Я примерно так же думаю. Просто надо было чтобы кто-нибудь шарящий подтвердил или опровергнул мои догадки.
Ты вообще чел в теме я смотрю. Не простой какой-то
> Видимо в ICH7 была первая реализация AMT
Да, АМТ 1.0
> И я не думаю, что оно может быть в не-интеловской сетевой карте
> к тому же в доке же написано, что AMT requirement – Intel PRO 82573E GbE Controller
Я примерно так же думаю. Просто надо было чтобы кто-нибудь шарящий подтвердил или опровергнул мои догадки.
> У меня вообще много приватных доков
Ты вообще чел в теме я смотрю. Не простой какой-то
>>46148
@isoniaziddd
@isoniaziddd
Я тут подумал
А что насчёт чипсетов сторонних производителей?
Такие раньше были вплоть до 775 включительно, а может и позже
Там всё это тоже присутствует?
>>46156
Чипсетов нвидиа было много и на 775 тоже. Но я не об этом. Я о том что, если чипсет стороннего производителя, то по идее там всех этих АМТ и МЕ быть не должно. Я прав?
Чипсетов нвидиа было много и на 775 тоже. Но я не об этом. Я о том что, если чипсет стороннего производителя, то по идее там всех этих АМТ и МЕ быть не должно. Я прав?
156 Кб, 800x759>>46164
Например какие?
Например какие?
>>46164
Где вообще про это почитать?
Где вообще про это почитать?
>>46164
Или ты про хуананы всякие? Я так думаю что если даже они интел ме отключают, то какой-нибудь китай ме включают
Или ты про хуананы всякие? Я так думаю что если даже они интел ме отключают, то какой-нибудь китай ме включают
>>46162
Ок
Ок
90 Кб, 500x500>>46174
Я уже выбрал гнилобайт с G41/ICH7 без МЕ/AMT
Я уже выбрал гнилобайт с G41/ICH7 без МЕ/AMT
![Screenshot-2020-7-30 В подсистеме Intel ME обнаружена возмо[...].png](https://2ch.life//crypt/src/19102/16081424578550.png)
>>46177
В фуфыксах тоже нет. Написано же: последние нормальные это вишеры
Но в АМД самой по себе много подводных
В фуфыксах тоже нет. Написано же: последние нормальные это вишеры
Но в АМД самой по себе много подводных
>>19115
ну не выгодно обычного пользователя вязать
ну не выгодно обычного пользователя вязать
Время пришло
16 Кб, 372x212Active Management Technology
Pentium и 2005 год
https://overclockers.ru/hardnews/print/18057/iAMT_i_VT_dve_novyh_tehnologii_dlya_platformy_Lyndon
Pentium и 2005 год
https://overclockers.ru/hardnews/print/18057/iAMT_i_VT_dve_novyh_tehnologii_dlya_platformy_Lyndon
>>46206
Intel ME ещё не существует, а удаленный доступ к компьютеру и управление уже есть
Intel ME ещё не существует, а удаленный доступ к компьютеру и управление уже есть
>>46205
Так он в меню настроек БСВВ виден, если есть.
Так он в меню настроек БСВВ виден, если есть.
>>21317
А, на них я могу брутфорсить, дудосить посредством ботнета?
>Короче надо в инет ходить со старых компов начала 2000х
А, на них я могу брутфорсить, дудосить посредством ботнета?
775-е матери-то раскупают
>>46316
Ну волшебства не бывает. Прошивка ME ведь не может содержать драйвера для всех на свете сетевых карт (например, тех, которые вышли после того, как продали плату). Если не будет драйверов, значит сети не будет.
Только сам ME-то при этом никуда не девается. Ну пропал у него доступ в сеть, и что? Это по прежнему самый привелигерованный код на платформе, ring -2. Можно вообразить много других способов его зловредного применения.
Ну волшебства не бывает. Прошивка ME ведь не может содержать драйвера для всех на свете сетевых карт (например, тех, которые вышли после того, как продали плату). Если не будет драйверов, значит сети не будет.
Только сам ME-то при этом никуда не девается. Ну пропал у него доступ в сеть, и что? Это по прежнему самый привелигерованный код на платформе, ring -2. Можно вообразить много других способов его зловредного применения.
>>46318
И все. Пусть следит. Слить не сможет, получить сигнал из сети для каких-то действий не сможет
> Только сам ME-то при этом никуда не девается. Ну пропал у него доступ в сеть, и что?
И все. Пусть следит. Слить не сможет, получить сигнал из сети для каких-то действий не сможет
>>46318
А не получится так, что не только у него, но и вообще в компе не будет?
> Если не будет драйверов, значит сети не будет.
А не получится так, что не только у него, но и вообще в компе не будет?
Смотрите че нашел
Значит на этой модели МЕ можно отключить без пердолинга?
>>46337
Конечно не оффлайновый, ты же зачем-то на нём хочешь установить сетевую карту вместо сломанной.
Конечно не оффлайновый, ты же зачем-то на нём хочешь установить сетевую карту вместо сломанной.
>>46385
Тогда вообще непонятно про какой кабель ты говоришь. Интернет кабель? Ну так он подключается во что-то. Чтобы его подключить нужна внешняя сетевуха, родной контролер выпаян же по условиям
Тогда вообще непонятно про какой кабель ты говоришь. Интернет кабель? Ну так он подключается во что-то. Чтобы его подключить нужна внешняя сетевуха, родной контролер выпаян же по условиям
>>46386
А какая разница, через какой контроллер передаются данные, через встроенный или через внешний?
А какая разница, через какой контроллер передаются данные, через встроенный или через внешний?
>>46387
Не знаю. В треде говорят что это отрубает intel ME возможность выходить в сеть. --> >>46318
А вот тут
https://github.com/ThinkPadThink/Thinkpadthinkpad
пишут так:
Что думаешь по этому поводу?
Не знаю. В треде говорят что это отрубает intel ME возможность выходить в сеть. --> >>46318
А вот тут
https://github.com/ThinkPadThink/Thinkpadthinkpad
пишут так:
> Достаточно не пользоваться ethernet-портом работая только через Wi-Fi. При этом Wi-Fi адаптер от Intel надо заменить на адаптер от другого вендора. Например, Qualcomm Atheros, на который есть открытый драйвер. С посторонней карточкой Intel ME не сможет связаться с внешним миром.
Что думаешь по этому поводу?
>>46392
Intel ME имеет полный доступ к TCP/IP-стеку и может посылать и принимать пакеты независимо от того, какой сетевой адаптер используется.
Intel ME имеет полный доступ к TCP/IP-стеку и может посылать и принимать пакеты независимо от того, какой сетевой адаптер используется.
>>46395
Intel ME имеет прямой доступ к контроллеру сети. Каждый пакет трафика переадресуется в Intel ME до достижения операционной системы хоста.
Intel ME имеет прямой доступ к контроллеру сети. Каждый пакет трафика переадресуется в Intel ME до достижения операционной системы хоста.
>>46396
Что такое "контроллер сети", где ты такое взял? Возьмем условный ноутбук, в котором есть GbE контроллер и есть Wi-Fi модуль воткнутый в mPCIe порт. Какой ещё такой третий "контроллер сети"?
Каким образом? Пруфы? ME это отдельный сопроцессор (в разных поколениях разные), у них даже частота насколько я помню в несколько раз меньше чем у CPU в среднем, оно было тупо тормозило всё.
> Intel ME имеет прямой доступ к контроллеру сети
Что такое "контроллер сети", где ты такое взял? Возьмем условный ноутбук, в котором есть GbE контроллер и есть Wi-Fi модуль воткнутый в mPCIe порт. Какой ещё такой третий "контроллер сети"?
> Каждый пакет трафика переадресуется в Intel ME до достижения операционной системы хоста.
Каким образом? Пруфы? ME это отдельный сопроцессор (в разных поколениях разные), у них даже частота насколько я помню в несколько раз меньше чем у CPU в среднем, оно было тупо тормозило всё.
>>46397
Это и есть контроллеры сети. Intel ME обычно интегрируется в Platform Controller Hub материнской платы. Между процессором и контроллером Ethernet, PCI, в которую ты вставляешь Wi-Fi-адаптер и даже SATA.
Это и есть контроллеры сети. Intel ME обычно интегрируется в Platform Controller Hub материнской платы. Между процессором и контроллером Ethernet, PCI, в которую ты вставляешь Wi-Fi-адаптер и даже SATA.
>>46396
Так речь была о том чтобы его выпаять с материнской платы
>Intel ME имеет прямой доступ к контроллеру сети
Так речь была о том чтобы его выпаять с материнской платы
>>46406
Которая подключается по PCI. А на материнской плате между PCI и процессором что? Правильно, Intel ME.
Которая подключается по PCI. А на материнской плате между PCI и процессором что? Правильно, Intel ME.
>>46410
Нет, просто имел возможность сравнить. А ты амд-шизик?
Для этого много ума не надо.
А вот как наебать систему - устроить этому МЕ взлом жопы - это крайне интересная задача.
> Ты фанатик Intel?
Нет, просто имел возможность сравнить. А ты амд-шизик?
> Пользуйся процессорами с Intel ME
Для этого много ума не надо.
А вот как наебать систему - устроить этому МЕ взлом жопы - это крайне интересная задача.
>>46411
Пока ты пытаешься наебать Intel ME, я пользуюсь AMD. Какая разница, кто делает процессор, если в нём нет Intel ME?
Пока ты пытаешься наебать Intel ME, я пользуюсь AMD. Какая разница, кто делает процессор, если в нём нет Intel ME?
>>46415
Нет, Sempron - это что-то уровня Xeon, тоже с 4 ядрами, но со в два раза большим кэшем L2, встроенной графикой, TDP 25 Вт, а не 80 Вт, и без Intel ME.
Не хочу обидеть, но обсуждать производительность уместнее в /hw. Какая разница, какова производительность процессора, если она используется не тобою, а владельцем Intel ME? Если интересует производительность, в /hw посоветуют какой-нибудь AMD EPYC 7702 (или Intel Xeon Gold 6258R, меньше ядер, но дешевле). А в этом разделе обсуждают защиту приватности и личной свободы.
Нет, Sempron - это что-то уровня Xeon, тоже с 4 ядрами, но со в два раза большим кэшем L2, встроенной графикой, TDP 25 Вт, а не 80 Вт, и без Intel ME.
Не хочу обидеть, но обсуждать производительность уместнее в /hw. Какая разница, какова производительность процессора, если она используется не тобою, а владельцем Intel ME? Если интересует производительность, в /hw посоветуют какой-нибудь AMD EPYC 7702 (или Intel Xeon Gold 6258R, меньше ядер, но дешевле). А в этом разделе обсуждают защиту приватности и личной свободы.
>>46416
Частотой 3 Ггц?
У моего 12 Мб
Как и любой процессор. МЕ в чипсете
Есть L54хх серия. Там 40-50 TDP
У меня нет Intel ME. G31 чипсет
> тоже с 4 ядрами
Частотой 3 Ггц?
> в два раза большим кэшем L2
У моего 12 Мб
>без Intel ME
Как и любой процессор. МЕ в чипсете
>TDP 25 Вт, а не 80 Вт
Есть L54хх серия. Там 40-50 TDP
>если она используется не тобою, а владельцем Intel ME
У меня нет Intel ME. G31 чипсет
>>46417
Не хочу огорчать, но у тебя есть Intel ME.
https://www.kernel.org/doc/Documentation/misc-devices/mei/mei.txt
Не хочу огорчать, но у тебя есть Intel ME.
https://www.kernel.org/doc/Documentation/misc-devices/mei/mei.txt
21 Кб, 480x344>>46418
МЕ есть начиная с ICH8. У меня ICH7
Пердолики обосрались. Никогда не было и вот опять.
> линукс
МЕ есть начиная с ICH8. У меня ICH7
Пердолики обосрались. Никогда не было и вот опять.
>>46418
Для МЕ обязательно наличие гигабитного эзернета. У меня 100-мегабитный
Для МЕ обязательно наличие гигабитного эзернета. У меня 100-мегабитный
24 Кб, 480x344>>46420
Есть она у тебя. В твоём старом чипсете Intel ME встроена в сетевую карту. Посмотри отметки на рисунке, где. А в ICH8 Intel ME переместилась в северный мост.
Есть она у тебя. В твоём старом чипсете Intel ME встроена в сетевую карту. Посмотри отметки на рисунке, где. А в ICH8 Intel ME переместилась в северный мост.
>>46421
Не обязательно. Посмотри на материнскую плату Esonic H110NCL3, например. Ethernet 100 Мбит/с, а версия Intel ME у её чипсета Intel H110 аж одиннадцатая.
Не обязательно. Посмотри на материнскую плату Esonic H110NCL3, например. Ethernet 100 Мбит/с, а версия Intel ME у её чипсета Intel H110 аж одиннадцатая.
39 Кб, 1069x460>>46423
Intel ME обязателен с 5-й серии чипсетов. У меня 3-я
Intel ME обязателен с 5-й серии чипсетов. У меня 3-я
>>46430
Экий ты пердолик. Впрочем, это многое объясняет. Вот только четырёхядерный AMD Sempron 3850 (2014 г., TDP 25 Вт) будет гораздо производительнее Intel Xeon E5430 (2007 г., TDP 80 Вт). А ещё Sempron можно купить и сейчас, а то говно уже не продаётся.
Экий ты пердолик. Впрочем, это многое объясняет. Вот только четырёхядерный AMD Sempron 3850 (2014 г., TDP 25 Вт) будет гораздо производительнее Intel Xeon E5430 (2007 г., TDP 80 Вт). А ещё Sempron можно купить и сейчас, а то говно уже не продаётся.
>>46431
Сомневаюсь. Все помнят как амд наебала с ядрами в фуфыксах.
И это,
это значит amd psp у тебя есть. Это аналог МЕ. Он обязателен с 2013 во всех чипсетах amd
> четырёхядерный AMD Sempron 3850 ( 2014 г., TDP 25 Вт) будет гораздо производительнее Intel Xeon E5430
Сомневаюсь. Все помнят как амд наебала с ядрами в фуфыксах.
И это,
> 2014 г
это значит amd psp у тебя есть. Это аналог МЕ. Он обязателен с 2013 во всех чипсетах amd
>>46439
У меня всё хорошо.
У меня всё хорошо.
>>46435
Твой Sempron 3850 в разы менее производителен чем Е5430.
И самое главное - это APU. Значит в нем есть AMD PSP (аналог Intel ME)
Обман системы уровня "хуй украл и в жопу спрятал"
Твой Sempron 3850 в разы менее производителен чем Е5430.
И самое главное - это APU. Значит в нем есть AMD PSP (аналог Intel ME)
Обман системы уровня "хуй украл и в жопу спрятал"
>>46431
Тактовая частота, МГц:
Sempron 3850 - 1,3
Xeon e5430 - 2,66
Объем кэш-памяти второго уровня L2:
Sempron 3850 - 2048
Xeon e5430 - 12288
У Sempron 3850 ещё и память одноканальная
>четырёхядерный AMD Sempron 3850 (2014 г., TDP 25 Вт) будет гораздо производительнее Intel Xeon E5430 (2007 г., TDP 80 Вт)
Тактовая частота, МГц:
Sempron 3850 - 1,3
Xeon e5430 - 2,66
Объем кэш-памяти второго уровня L2:
Sempron 3850 - 2048
Xeon e5430 - 12288
У Sempron 3850 ещё и память одноканальная
>>46456
Ты сравниваешь частоту, но даже ничего не знаешь про новые инструкции, появившиеся в процессорах за эти семь лет. Про другие архитектурные изменения не знаешь. Нет, я не буду тебе про это рассказывать.
Ты сравниваешь частоту, но даже ничего не знаешь про новые инструкции, появившиеся в процессорах за эти семь лет. Про другие архитектурные изменения не знаешь. Нет, я не буду тебе про это рассказывать.
>>46458
Синтетические рейтинги такие синтетические. На скорость майнинга биткойнов хотя бы посмотри.
Синтетические рейтинги такие синтетические. На скорость майнинга биткойнов хотя бы посмотри.
>>19102 (OP)
Это правда что на китайских материнках интел ме можно отключить?
Это правда что на китайских материнках интел ме можно отключить?
>>45013
А это стало возможно? С любой матплаты? Поподробнее с этого момента
> 1 пик
> Если не хотите возиться с выпиливанием МЕ с брендовых материнок
А это стало возможно? С любой матплаты? Поподробнее с этого момента
>>46575
Да есть функция в софтине coffetime
Иногда прошивать программатором надо так как области ME в SPI flash защищены
Да есть функция в софтине coffetime
Иногда прошивать программатором надо так как области ME в SPI flash защищены
>>46603
А она на каких поколениях работает?
А что насчет coreboot, он же вроде тоже прошивку Интел МЕ выпиливает? Там вроде как до ивика включительно можно прошивку МЕ очень сильно вырезать, а потом уже чуть-чуть только
>coffetime
А она на каких поколениях работает?
А что насчет coreboot, он же вроде тоже прошивку Интел МЕ выпиливает? Там вроде как до ивика включительно можно прошивку МЕ очень сильно вырезать, а потом уже чуть-чуть только
...начиная с 2010 года ... подсистему Intel ME стали встраивать во все чипсеты производства Intel. При этом ME-контроллер остался в корпусе чипсета – в Platform Controller Hub (PCH). Это чипсеты 5 серии и выше...
https://habr.com/ru/company/dsec/blog/278549/
Я правильно понимаю что МЕ стал обязательным компонентом начиная с платформы 1156?
https://habr.com/ru/company/dsec/blog/278549/
Я правильно понимаю что МЕ стал обязательным компонентом начиная с платформы 1156?
>>19132
Есть, называется amd PSP.
мимо
>Ты думаешь у амд своих бекдоров нет? Я когда-то погулил про аналог и что-то нашёл, а сейчас вся выдача по "AMD management engine" интелом забита.
Есть, называется amd PSP.
мимо
>>46691
Про это я не знаю, хе-хе. Но зато знаю, что у амуде это вроде как можно как-то отключить в биосе, но это не точно.
В плане, опция появилась, но про то, отключается ли при этом эта хрень - неясно. На словах да, на деле - хуй знает.
Гуглите "отключение AMD Secure Technology"
Про это я не знаю, хе-хе. Но зато знаю, что у амуде это вроде как можно как-то отключить в биосе, но это не точно.
В плане, опция появилась, но про то, отключается ли при этом эта хрень - неясно. На словах да, на деле - хуй знает.
Гуглите "отключение AMD Secure Technology"
>>46692
Меня именно интел и именно 1366 сокет интересует
На хабре и на линуксорг говорят что нельзя. Системные функции реализованы через PSP. Говорят что отключается только её интерфейс
Меня именно интел и именно 1366 сокет интересует
> у амуде это вроде как можно как-то отключить в биосе
На хабре и на линуксорг говорят что нельзя. Системные функции реализованы через PSP. Говорят что отключается только её интерфейс
>>46696
Ну а я спизданул это опять же для поднятия обсуждения, так что пардон, но про 1366 сокет я знаю точно не больше тебя, анонче.
Вероятно они правы. Надеемся на наши эльбрусы которые возможно сделают без бэкдора, если они замахнутся на пользовательские процессоры, офк.
>Меня именно интел и именно 1366 сокет интересует
Ну а я спизданул это опять же для поднятия обсуждения, так что пардон, но про 1366 сокет я знаю точно не больше тебя, анонче.
>На хабре и на линуксорг говорят что нельзя. Системные функции реализованы через PSP. Говорят что отключается только её интерфейс
Вероятно они правы. Надеемся на наши эльбрусы которые возможно сделают без бэкдора, если они замахнутся на пользовательские процессоры, офк.
>>46697
И в документации интел ясности нет.
Считается что МЕ обязательной стала с появления однокорпусных чипсетов. Но Х58 двухкорпусной. Там классический южный мост еще (ICH10).
Так-то считается что последняя платформа где МЕ ещё не в каждом чипсете (а в тех где он есть он убивается) это 775.
Так вот я подумал что может в 1366 этой херни нет ещё. Все же 1366 заметно производительнее 775-го
Вероятно
Ну хз. Эльбрус вроде для госконтор делают. А для обычных людей Байкалы.
Вероятно там могут быть отечественные сюрпризы, что те же яйца только в профиль.
>про 1366 сокет я знаю точно не больше тебя
И в документации интел ясности нет.
Считается что МЕ обязательной стала с появления однокорпусных чипсетов. Но Х58 двухкорпусной. Там классический южный мост еще (ICH10).
Так-то считается что последняя платформа где МЕ ещё не в каждом чипсете (а в тех где он есть он убивается) это 775.
Так вот я подумал что может в 1366 этой херни нет ещё. Все же 1366 заметно производительнее 775-го
>Вероятно они правы
Вероятно
>Надеемся на наши эльбрусы
Ну хз. Эльбрус вроде для госконтор делают. А для обычных людей Байкалы.
Вероятно там могут быть отечественные сюрпризы, что те же яйца только в профиль.
>>46698
Разве не наоборот? Я думал Байкалы делали специально под какой-то военный проект, а Эльбрусы для масштабного производства.
Ну, учитывая то, что главная из конкурентоспособных фишек это как раз таки отсутствие бэкдора, то не исключено что такой возможностью воспользуются.
>Ну хз. Эльбрус вроде для госконтор делают. А для обычных людей Байкалы.
Разве не наоборот? Я думал Байкалы делали специально под какой-то военный проект, а Эльбрусы для масштабного производства.
>Вероятно там могут быть отечественные сюрпризы, что те же яйца только в профиль.
Ну, учитывая то, что главная из конкурентоспособных фишек это как раз таки отсутствие бэкдора, то не исключено что такой возможностью воспользуются.
>>46699
А может я перепутал
Посмотрим
А пока происходит это: https://www.asiaone.com/digital/tracetogether-token-or-app-required-june-1-all-malls-workplaces-schools#xtor=CS2-4
Пока не у нас
>Разве не наоборот?
А может я перепутал
>Ну, учитывая то, что главная из конкурентоспособных фишек это как раз таки отсутствие бэкдора, то не исключено что такой возможностью воспользуются
Посмотрим
А пока происходит это: https://www.asiaone.com/digital/tracetogether-token-or-app-required-june-1-all-malls-workplaces-schools#xtor=CS2-4
Пока не у нас
Итак, как я понял, есть два основных способа обезопаситься от Intel ME или AMD PSP. Создать полностью зашифрованную систему(причём метод шифрования должен быть подходящим) и/или сделать файрволл сторонним устройством и фильтровать абсолютно все свои подключения. И фарйволл по прежнему не гарантирует тебе, что сигнал для бэкдора не замаскируется под доверенное подключение.
Насчёт шифрования я так же не уверен на 100%.
В любом случае, если я правильно понял своим ламерским мозгом, данные которые будут обрабатывать процессор будут поступать в дешифрованном виде и он их сможет по прежнему отправлять куда угодно. Впрочем, на время выполнения подобных задач можно отключать интернет, например. Но не со всеми програмамми это сработает.
Дискасс.
Насчёт шифрования я так же не уверен на 100%.
В любом случае, если я правильно понял своим ламерским мозгом, данные которые будут обрабатывать процессор будут поступать в дешифрованном виде и он их сможет по прежнему отправлять куда угодно. Впрочем, на время выполнения подобных задач можно отключать интернет, например. Но не со всеми програмамми это сработает.
Дискасс.
>>46722
Не поможет. От МЕ невозможно зашифроваться - у него прямой доступ ко всем данным и всему оборудованию глубже ОС. Зашифровать ты можешь только от доступа на уровне ОС.
>Создать полностью зашифрованную систему
Не поможет. От МЕ невозможно зашифроваться - у него прямой доступ ко всем данным и всему оборудованию глубже ОС. Зашифровать ты можешь только от доступа на уровне ОС.
>>46722
Это здравая идея. Только вот никто так и не смог поймать пакеты трафика МЕ. Хотя возможно особо не ловили
>сделать файрволл сторонним устройством и фильтровать абсолютно все свои подключения
Это здравая идея. Только вот никто так и не смог поймать пакеты трафика МЕ. Хотя возможно особо не ловили
>>46722
Существует какая-то "инкапсуляция трафика". Как-то так по-моему. Пакеты в пакетах крч
>И фарйволл по прежнему не гарантирует тебе, что сигнал для бэкдора не замаскируется под доверенное подключение
Существует какая-то "инкапсуляция трафика". Как-то так по-моему. Пакеты в пакетах крч
>>46729
Можно просто сделать не чёрный список трафика, а белый. То есть запретить вообще все соединения по умолчанию и самостоятельно разрешить соединения которые нужны, а все подозрительные слать нахуй.
>>46730
Вот это главная проблема.
>>46728
В конце концов, есть ещё малопопулярные arm процессоры без бэкдора, если не ошибаюсь.
>>46731
Я в курсе. Но со своей целью эти бампы справились: подняли тред в топ и мне ответили аж 4 человека на дохлой доске.
Можно просто сделать не чёрный список трафика, а белый. То есть запретить вообще все соединения по умолчанию и самостоятельно разрешить соединения которые нужны, а все подозрительные слать нахуй.
>>46730
>Существует какая-то "инкапсуляция трафика". Как-то так по-моему. Пакеты в пакетах крч
Вот это главная проблема.
>>46728
В конце концов, есть ещё малопопулярные arm процессоры без бэкдора, если не ошибаюсь.
>>46731
Я в курсе. Но со своей целью эти бампы справились: подняли тред в топ и мне ответили аж 4 человека на дохлой доске.
7 Кб, 310x189Есть уже готовые решения в плане этого файрволла: межсетвые экраны.
Есть весьма компактные, есть размером с роутер. Просто устанавливаешь эту хренотень на роутер и фильтруешь все пакеты подключения.
Интересный вопрос, может ли эта хрень работать в общественных сетях: тут главный вопрос в том, есть ли такие сетевые экраны, которые подключаются к роутеру не через кабель, а через вай фай.
Если такую штуку можно даже просто в рюкзаке таскать вместе с ноутбуком по макдакам, то вообще идеально выходит.
Да и просто если к кому то в гости отправляешься тоже хочется себя обезопасить и не лишаться интернета на это время.
Есть весьма компактные, есть размером с роутер. Просто устанавливаешь эту хренотень на роутер и фильтруешь все пакеты подключения.
Интересный вопрос, может ли эта хрень работать в общественных сетях: тут главный вопрос в том, есть ли такие сетевые экраны, которые подключаются к роутеру не через кабель, а через вай фай.
Если такую штуку можно даже просто в рюкзаке таскать вместе с ноутбуком по макдакам, то вообще идеально выходит.
Да и просто если к кому то в гости отправляешься тоже хочется себя обезопасить и не лишаться интернета на это время.
>>46732
Ну-да. Но для этого придется сильно заморочится. Заебешься каждое соединение проверять. Зато обретешь известность если все получится
Одна из, я бы сказал
Там тоже есть свои приколы
ЛОЛ. Это я один отвечал. Решил заглянуть в тред в котором 10 дней не был а тут кто-то бампает
>Можно просто сделать не чёрный список трафика, а белый
Ну-да. Но для этого придется сильно заморочится. Заебешься каждое соединение проверять. Зато обретешь известность если все получится
>Вот это главная проблема
Одна из, я бы сказал
>В конце концов, есть ещё малопопулярные arm процессоры без бэкдора, если не ошибаюсь
Там тоже есть свои приколы
>со своей целью эти бампы справились: подняли тред в топ и мне ответили аж 4 человека
ЛОЛ. Это я один отвечал. Решил заглянуть в тред в котором 10 дней не был а тут кто-то бампает
>>46735
Сука лол. Ну тогда ты прав.
Ладно, пойду разбираться с делами, а после начну развиваться в плане компьютерной грамотности и кодинга. Может у меня и реально что-то получится.
>ЛОЛ. Это я один отвечал. Решил заглянуть в тред в котором 10 дней не был а тут кто-то бампает
Сука лол. Ну тогда ты прав.
Ладно, пойду разбираться с делами, а после начну развиваться в плане компьютерной грамотности и кодинга. Может у меня и реально что-то получится.
>>46735
Так, стопэ, если на AMD это можно отключить хотя бы формально, то это значит, что важные функции туда по крайней мере официально не перенесены, как это сделано с процессорами Intel. Это раз.
Два, intel ME не находится в процессоре, это плата на материнке с собственным процессором и ОС. Не значит ли это, что банальная шифровка спасает от неё без особых проблем?
Так, стопэ, если на AMD это можно отключить хотя бы формально, то это значит, что важные функции туда по крайней мере официально не перенесены, как это сделано с процессорами Intel. Это раз.
Два, intel ME не находится в процессоре, это плата на материнке с собственным процессором и ОС. Не значит ли это, что банальная шифровка спасает от неё без особых проблем?
Главный вопрос состоит в том, имеет ли intel ME прямой доступ к процессору и может ли она каждый бит который в него поступает отправлять по интернету куда надо или выцеплять важную информацию из этих битов.
Диск можно зашифровать так, что никакая плата не сможет получить доступ к нему.
Диск можно зашифровать так, что никакая плата не сможет получить доступ к нему.
И ещё: если эта микросхема находится на материнской плате, тогда разве нельзя просто найти плату без Intel SoC? Какую нибудь китайскую материнку купить и ставить уже всё на неё.
>>47010
Нет, это особый процессор встроенный в чипсет
Не значит. У МЕ прямой доступ к данным до уровня шифрования
>это плата на материнке с собственным процессором
Нет, это особый процессор встроенный в чипсет
>Не значит ли это, что банальная шифровка спасает от неё без особых проблем?
Не значит. У МЕ прямой доступ к данным до уровня шифрования
>>47011
ME имеет свой MAC-адрес и IP-адрес для своего дополнительного интерфейса с прямым доступом к контроллеру Ethernet. Каждый пакет Ethernet-трафика переадресуется в ME даже до достижения операционной системы хоста
https://ru.wikipedia.org/wiki/Intel_Management_Engine
>имеет ли intel ME прямой доступ к процессору и может ли она каждый бит который в него поступает отправлять по интернету куда надо или выцеплять важную информацию из этих битов
ME имеет свой MAC-адрес и IP-адрес для своего дополнительного интерфейса с прямым доступом к контроллеру Ethernet. Каждый пакет Ethernet-трафика переадресуется в ME даже до достижения операционной системы хоста
https://ru.wikipedia.org/wiki/Intel_Management_Engine
>>47012
ШТА?
Чипсеты и процессоры все равно интел или амд
>разве нельзя просто найти плату без Intel SoC
ШТА?
>Какую нибудь китайскую материнку купить
Чипсеты и процессоры все равно интел или амд
>>47140
Но хватает ли ему мощностей этот трафик анализировать? Не будет же он весь трафик отправлять на какие-то сервера, это палевно.
>>47137
Ну то есть если он не имеет доступ к вычислительным мощностям основного процессора, то ему будет не хватать своих чтобы анализировать данные на пк, нет?
Как ему понять, что мусор, а что ценная информация которую нужно отправить на сервер?
>>47142
Забей, затупил.
Но хватает ли ему мощностей этот трафик анализировать? Не будет же он весь трафик отправлять на какие-то сервера, это палевно.
>>47137
>Нет, это особый процессор встроенный в чипсет
Ну то есть если он не имеет доступ к вычислительным мощностям основного процессора, то ему будет не хватать своих чтобы анализировать данные на пк, нет?
Как ему понять, что мусор, а что ценная информация которую нужно отправить на сервер?
>>47142
Забей, затупил.
>>47168
Имеет. Management Engine означает управляющая машина.
Наверно он просто шлет твой трафик а анализируют уже там. Может еще какие триггеры есть
>Ну то есть если он не имеет доступ к вычислительным мощностям основного процессора
Имеет. Management Engine означает управляющая машина.
>ак ему понять, что мусор, а что ценная информация которую нужно отправить на сервер?
Наверно он просто шлет твой трафик а анализируют уже там. Может еще какие триггеры есть
>>47173
Ну весь трафик слать палевно. А если есть тригеры, то для того чтобы их заметить нужно каждый бит информации проверять же.
Ну весь трафик слать палевно. А если есть тригеры, то для того чтобы их заметить нужно каждый бит информации проверять же.
>>47178
Вполне возможно, если он отправляется с большой скоростью. Даже банальный фильм весит несколько гигабайт в лучшем случае, так что нужно уметь распознавать, что делает юзер, общается с другом в мессенджере или смотрит фильм. Если первое, то переписку можно отправить, фильм же будет лишней тратой ресурсов и увеличивает риск спалиться.
Так она имеет к ним доступ или нет, епт? В этом и мой вопрос по сути.
>Его практически невозможно отследить
Вполне возможно, если он отправляется с большой скоростью. Даже банальный фильм весит несколько гигабайт в лучшем случае, так что нужно уметь распознавать, что делает юзер, общается с другом в мессенджере или смотрит фильм. Если первое, то переписку можно отправить, фильм же будет лишней тратой ресурсов и увеличивает риск спалиться.
>Все вычислительные ресурсы компьютера к услугам МЕ
Так она имеет к ним доступ или нет, епт? В этом и мой вопрос по сути.
>>46733
Любой домашний роутер, который сейчас ставят в квартирах для раздачи вайфая уже имеет встроенный фаервол, который из коробки настроен на дроп всех входящих соединений, чаще всего это даже изменить нельзя. Пропускается только ответный трафик на соединения, которые инициированы изнутри локалки. Отдельный МСЭ нахуй дома не нужен, если нет задачи разделять и закрывать несколько внутренних сетей друг от друга.
МСЭ с подключением по вайфаю нет, и носить его с собой это полный бред. Гораздо проще развернуть дома ВПН-сервер, типа wireguard или openvpn, и подключаться к нему, когда ты где-то ходишь и сидишь через публичные вай фай сети или LTE. Тогда весь твой трафик внутри шифрованного туннеля VPN идет сначала к твоему домашнему серверу, а только оттуда уже вылетает в интернет в обычном виде. Я лично держу такой сервер в Германии на частном хостинге, это позволяет обходить цензуру РКН и не палить свои данные админам публичных вайфай сеток.
Любой домашний роутер, который сейчас ставят в квартирах для раздачи вайфая уже имеет встроенный фаервол, который из коробки настроен на дроп всех входящих соединений, чаще всего это даже изменить нельзя. Пропускается только ответный трафик на соединения, которые инициированы изнутри локалки. Отдельный МСЭ нахуй дома не нужен, если нет задачи разделять и закрывать несколько внутренних сетей друг от друга.
МСЭ с подключением по вайфаю нет, и носить его с собой это полный бред. Гораздо проще развернуть дома ВПН-сервер, типа wireguard или openvpn, и подключаться к нему, когда ты где-то ходишь и сидишь через публичные вай фай сети или LTE. Тогда весь твой трафик внутри шифрованного туннеля VPN идет сначала к твоему домашнему серверу, а только оттуда уже вылетает в интернет в обычном виде. Я лично держу такой сервер в Германии на частном хостинге, это позволяет обходить цензуру РКН и не палить свои данные админам публичных вайфай сеток.
>>47178
Поверь, отследить очень легко. С большими объемами данных все и так понятно, невозможно не заметить, что если ты скачал 20гб центральных процессоров, то внезапно у тебя те же 20гб куда-то пошли в исходящем трафике. Что касается небольших объемов, то есть специальные системы предотвращения вторжений, который выдают предупреждения даже при одном единственном пакете отправленном на подозрительный адрес. Дома такое мало у кого стоит, но на предприятиях почти повсеместно. Если бы трафик дублировался и отправлялся куда-то на левые сервера гебни даже в малыъ объемах, это бы уже давно заметили админы из сферы инфобеза.
Поверь, отследить очень легко. С большими объемами данных все и так понятно, невозможно не заметить, что если ты скачал 20гб центральных процессоров, то внезапно у тебя те же 20гб куда-то пошли в исходящем трафике. Что касается небольших объемов, то есть специальные системы предотвращения вторжений, который выдают предупреждения даже при одном единственном пакете отправленном на подозрительный адрес. Дома такое мало у кого стоит, но на предприятиях почти повсеместно. Если бы трафик дублировался и отправлялся куда-то на левые сервера гебни даже в малыъ объемах, это бы уже давно заметили админы из сферы инфобеза.
>>47180
Так intel ME это исходящее соединение же.
Уверен, что к нему можно присобачить вай-фай адаптер, было бы желание. Да лол, его и по кабелю подключить можно.
Я уже сказал, проблема в Intel ME, а не в входящих соединениях от кулхацкеров.
К тому же, против кулхацкеров существует такая штука как HTTPS. Все твои пароли в любом случае будут в порядке кроме совсем уж запущенных сайтов.
>Любой домашний роутер, который сейчас ставят в квартирах для раздачи вайфая уже имеет встроенный фаервол, который из коробки настроен на дроп всех входящих соединений
Так intel ME это исходящее соединение же.
>МСЭ с подключением по вайфаю нет
Уверен, что к нему можно присобачить вай-фай адаптер, было бы желание. Да лол, его и по кабелю подключить можно.
>Гораздо проще развернуть дома ВПН-сервер, типа wireguard или openvpn, и подключаться к нему, когда ты где-то ходишь и сидишь через публичные вай фай сети или LTE.
Я уже сказал, проблема в Intel ME, а не в входящих соединениях от кулхацкеров.
К тому же, против кулхацкеров существует такая штука как HTTPS. Все твои пароли в любом случае будут в порядке кроме совсем уж запущенных сайтов.
>>47181
Так а с чего ты взял, что эти админы из сферы инфобеза уже этого не заметили, просто мы об этом не знаем? Не говоря уже о том, что пакеты могут отправляться на обычные для посещения сервера вроде ВК или сосача того же, лул. Достаточно просто с ними договориться, а это не составляет особых проблем учитывая что и вк и сосач под мэйлсру.
В итоге каждый раз когда ты заходишь на эти сайты вместе с обычными пакетами по тихому закидывается пакет из intel ME с данными, сколько бы ты не пердолился с линуксом и не вырезал на ПК зонды.
Можно ещё этот пакет прокинуть в другой пакет, не помню как это называется.
Так а с чего ты взял, что эти админы из сферы инфобеза уже этого не заметили, просто мы об этом не знаем? Не говоря уже о том, что пакеты могут отправляться на обычные для посещения сервера вроде ВК или сосача того же, лул. Достаточно просто с ними договориться, а это не составляет особых проблем учитывая что и вк и сосач под мэйлсру.
В итоге каждый раз когда ты заходишь на эти сайты вместе с обычными пакетами по тихому закидывается пакет из intel ME с данными, сколько бы ты не пердолился с линуксом и не вырезал на ПК зонды.
Можно ещё этот пакет прокинуть в другой пакет, не помню как это называется.
>>19102 (OP)
Не сочтите полудурком, но есть ли какой-либо бекдор в чипсетах nvidia nforce на 775 сокет? Не нашёл ничего подобного.
Не сочтите полудурком, но есть ли какой-либо бекдор в чипсетах nvidia nforce на 775 сокет? Не нашёл ничего подобного.
>>47184
Нашёл информацию о некоем NVIDIA nForce System Management Controller, это оно? Чипсеты интел без ME не могут поддерживать ничего новее core 2 duo на 65 нанометрах, что достаточно уныло всё-таки.
Нашёл информацию о некоем NVIDIA nForce System Management Controller, это оно? Чипсеты интел без ME не могут поддерживать ничего новее core 2 duo на 65 нанометрах, что достаточно уныло всё-таки.
>>47184
Бэкдор может быть и в любом накопителе по сути, но т.к. только intel me имеет доступ к интернету, то только его в основном и необходимо ликвидировать.
>>47185
Все чипсеты амд до FM2(включая сам fm2, но не fm2+) так же не имеют бэкдора. В этом плане амуде даёт с проглотом пососать интелу, можно собрать средненький комп с процессором 2012 года. А они довольно неплохие если сравнивать с интеловскими 2006ого.
Бэкдор может быть и в любом накопителе по сути, но т.к. только intel me имеет доступ к интернету, то только его в основном и необходимо ликвидировать.
>>47185
>Чипсеты интел без ME не могут поддерживать ничего новее core 2 duo на 65 нанометрах, что достаточно уныло всё-таки.
Все чипсеты амд до FM2(включая сам fm2, но не fm2+) так же не имеют бэкдора. В этом плане амуде даёт с проглотом пососать интелу, можно собрать средненький комп с процессором 2012 года. А они довольно неплохие если сравнивать с интеловскими 2006ого.
>>47185
С чего ты взял?
На хабре пишут что на 775 сокете интел МЕ был только в Q-чипсетах, за редким исключением. Что за исключение я не раскопал, возможно чипсет В43
>Чипсеты интел без ME не могут поддерживать ничего новее core 2 duo на 65 нанометрах
С чего ты взял?
На хабре пишут что на 775 сокете интел МЕ был только в Q-чипсетах, за редким исключением. Что за исключение я не раскопал, возможно чипсет В43
>>47186
До AM3+ включительно. Это если CPU.
В APU от AMD (не знаю какие там сокеты) есть аналог МЕ за долго до 2013 года
Инфа с хабра и с линус.орг
> до FM2
До AM3+ включительно. Это если CPU.
В APU от AMD (не знаю какие там сокеты) есть аналог МЕ за долго до 2013 года
Инфа с хабра и с линус.орг
>>47186
Как раз платформа FM2 с зондами, т.к. это APU
Как раз платформа FM2 с зондами, т.к. это APU
Гораздо интереснее другое.
А где собственно располагался этот МЕ на 775 сокете?
Считается что в северном мосту.
Но ведь начиная с 1056 сокета северный мост уехал в процессор.
Не может так получится, что после 775 уже прямо в процессорах вставлен зонд?
А где собственно располагался этот МЕ на 775 сокете?
Считается что в северном мосту.
Но ведь начиная с 1056 сокета северный мост уехал в процессор.
Не может так получится, что после 775 уже прямо в процессорах вставлен зонд?
>>47209
Хотя может их стало несколько.
Интел МЕ располагался там же где встроенное видео (для контроля видеопотока, ДРМ)
Ну так встройка сейчас тоже в процессоре. Может есть что-то в чипсете - для незаметной работы при выключенном компьютере, и есть что-то в процессоре для мониторинга видеопотока и оперативной памяти
Хотя может их стало несколько.
Интел МЕ располагался там же где встроенное видео (для контроля видеопотока, ДРМ)
Ну так встройка сейчас тоже в процессоре. Может есть что-то в чипсете - для незаметной работы при выключенном компьютере, и есть что-то в процессоре для мониторинга видеопотока и оперативной памяти
>>47210
Например в SoC интел МЕ интегрирован под крышку процессора. Но SoC мало жрут, в отличие от классических CPU и это не помешает работе зонда при выключенном компе.
Например в SoC интел МЕ интегрирован под крышку процессора. Но SoC мало жрут, в отличие от классических CPU и это не помешает работе зонда при выключенном компе.
>>47211
С другой стороны в Хасвеллах внедрили какие-то режимы сверхнизкого потребления энергии процессором. Вполне вероятно что для возможности его работы от дежурного питания.
И TDP у хасвеллов вырос на 16-20% по сравнению с иви бридж (для процессоров без видео). Несмотря на более современную архитектуру
На вики пишут про какой-то интегрированный векторный сопроцессор
С другой стороны в Хасвеллах внедрили какие-то режимы сверхнизкого потребления энергии процессором. Вполне вероятно что для возможности его работы от дежурного питания.
И TDP у хасвеллов вырос на 16-20% по сравнению с иви бридж (для процессоров без видео). Несмотря на более современную архитектуру
На вики пишут про какой-то интегрированный векторный сопроцессор
>>47204
Ты путаешь с v-pro. ME был во всех чипсетах новее p965 включительно, а до него он уже какое-то время встраивался во встроенные сетевые карты.
Ты путаешь с v-pro. ME был во всех чипсетах новее p965 включительно, а до него он уже какое-то время встраивался во встроенные сетевые карты.
![Screenshot-2021-8-11 Intel AMT - история появления и развит[...].png](https://2ch.life//crypt/src/19102/16286587741300.png)
![Screenshot-2021-8-11 Безопасность прошивок на примере подси[...].png](https://2ch.life//crypt/src/19102/16286587741301.png)
>>47214
Нет, не так. МЕ появился сразу с версии МЕ 2.0 в южном мосту ICH8
МЕ 1.0 не существовал, это условное обозначение. Под условным МЕ 1.0 понимается нечто во встроенной сетевой карте под кодовым именем Tekoa. Пик1
Обязательным этот зонд стал начиная с 5-й серии чипсетов
А до этого был только в Q. Пик2
И в любом случае на 775 прошивка МЕ удаляется полностью без следа. На более поздних платформах удаляется только часть прошивки, некоторые модули остаются
>ME был во всех чипсетах новее p965 включительно
>а до него он уже какое-то время встраивался во встроенные сетевые карты
Нет, не так. МЕ появился сразу с версии МЕ 2.0 в южном мосту ICH8
МЕ 1.0 не существовал, это условное обозначение. Под условным МЕ 1.0 понимается нечто во встроенной сетевой карте под кодовым именем Tekoa. Пик1
>>ME был во всех чипсетах новее p965 включительно
Обязательным этот зонд стал начиная с 5-й серии чипсетов
А до этого был только в Q. Пик2
И в любом случае на 775 прошивка МЕ удаляется полностью без следа. На более поздних платформах удаляется только часть прошивки, некоторые модули остаются
![Screenshot-2021-8-11 Безопасность прошивок на примере подси[...].png](https://2ch.life//crypt/src/19102/16286645778490.png)
>>47216
Обнадёживает, спасибо за пояснение. Сам капчую с g41, хотел уже на fm2 перекатываться. Хотя так или иначе из-за аппаратного aes рано или поздно придётся.
Обнадёживает, спасибо за пояснение. Сам капчую с g41, хотел уже на fm2 перекатываться. Хотя так или иначе из-за аппаратного aes рано или поздно придётся.
>>47222
Почитал про этот fm2. Процессоры под fm2 встают в матери с сокетом fm2+. Такие матери до сих пор есть в продаже в магазинах, новые.
На этих мамках есть usb3 и, что важнее, sata3. Скорость ssd не будет резаться sata2-портом
По производительности процы fm2 вроде даже превосходят 771 зионы, но тут все условно
Так что возможно это не плохой варик.
Надо только чтобы проц был или Richland или Trinity
>хотел уже на fm2
Почитал про этот fm2. Процессоры под fm2 встают в матери с сокетом fm2+. Такие матери до сих пор есть в продаже в магазинах, новые.
На этих мамках есть usb3 и, что важнее, sata3. Скорость ssd не будет резаться sata2-портом
По производительности процы fm2 вроде даже превосходят 771 зионы, но тут все условно
Так что возможно это не плохой варик.
Надо только чтобы проц был или Richland или Trinity
>>47223
Так ME встроен в мать, а не в процессор. Нам нужна как раз древняя материнка на fm2, у них чипсеты на пятёрку заканчиваются, иначе ME быть!
Так ME встроен в мать, а не в процессор. Нам нужна как раз древняя материнка на fm2, у них чипсеты на пятёрку заканчиваются, иначе ME быть!
>>47228
Чел, МЕ это на интел. На АМД зонд в процессоре.
В нашем случае на FM2/FM2+ в FM2 его ещё нет, а в FM2+ уже есть.
Последние чистые процессоры это Вишеры (FX на AM3+) и Ричланды.
Чел, МЕ это на интел. На АМД зонд в процессоре.
В нашем случае на FM2/FM2+ в FM2 его ещё нет, а в FM2+ уже есть.
Последние чистые процессоры это Вишеры (FX на AM3+) и Ричланды.
>>19132
Почему непонятно? Понятно как:
https://habr.com/ru/company/pt/blog/336242/
>А в старых якобы можно отключить, только не понятно как.
Почему непонятно? Понятно как:
https://habr.com/ru/company/pt/blog/336242/
>>47288
У него один хуй вроде как нет свободной замены биоса.
А вообще, кури это.
https://github.com/corna/me_cleaner
Слышал, что при помощи этой штуки все процессоры интел до 2015 года можно освободить от интела ме при помощи программатора, останется только часть на где-то 50кб без доступа к интернету и используется она только в процессе инициализации процессора.
У него один хуй вроде как нет свободной замены биоса.
А вообще, кури это.
https://github.com/corna/me_cleaner
Слышал, что при помощи этой штуки все процессоры интел до 2015 года можно освободить от интела ме при помощи программатора, останется только часть на где-то 50кб без доступа к интернету и используется она только в процессе инициализации процессора.
Доброй ночки. В свете последних новостей о Xiaomi, Samsung и иже с ними, хочу акцентировать внимание не на возможной слежке со стороны спецслужб, а на вероятной возможности прихода от них некоего фрейма с информацией (или закодированной в последовательности фреймов и их метаданных информации), которая может быть истолкована IME как kill switch, команду на вывод аппаратного обеспечения из строя, перед этим веерно и волной распространив это со всех доступных интерфейсов (сидящих на чипсете или PCI). Эдакий блекаут, Rest-in-Peace-on-LAN, оружие массового поражения XXI века, возможно, при поддержке заложенных на уровнях выше бекдоров.
У меня, например, локалка с NAS и прочим, что не имеет выхода в Интернет. Но в ней слабое звено: ПК, который одним MAC смотрит в сторону сети роутера и большой сети, а другим в эту локалку. Допустим, я скачал дистрибутив Linux и хочу закинуть его на NAS, не создавая риск прохода такого RIPoL в неё. Как это сделать?
Кроме физического разрыва флоппи-нета: записать ISO на диск, отключить от ПК, подключить к NAS в локалке. Это неудобно в обиходе. Нужен какой-то шлюз, где создаётся разрыв канального уровня. DAS, может, с одновременным доступом по SCSI от обеих сторон? Такое вообще возможно? Весь в раздумьях.
У меня, например, локалка с NAS и прочим, что не имеет выхода в Интернет. Но в ней слабое звено: ПК, который одним MAC смотрит в сторону сети роутера и большой сети, а другим в эту локалку. Допустим, я скачал дистрибутив Linux и хочу закинуть его на NAS, не создавая риск прохода такого RIPoL в неё. Как это сделать?
Кроме физического разрыва флоппи-нета: записать ISO на диск, отключить от ПК, подключить к NAS в локалке. Это неудобно в обиходе. Нужен какой-то шлюз, где создаётся разрыв канального уровня. DAS, может, с одновременным доступом по SCSI от обеих сторон? Такое вообще возможно? Весь в раздумьях.
>>47313
Единственный правильный вариант
Кто сказал что будет легко. За безопасность приходиться платить. Например удобством
>записать ISO на диск, отключить от ПК, подключить к NAS в локалке
Единственный правильный вариант
>Это неудобно
Кто сказал что будет легко. За безопасность приходиться платить. Например удобством
А что если свою мат плату создать? Китайцы, например, могут любую плату расчитать и сделать. Надо только чем-то заменить чипсет и написать биос.
Какой-нибудь ARM без Trust Zone не подойдет в качестве чипсета?
Какой-нибудь ARM без Trust Zone не подойдет в качестве чипсета?
>>47324
Куда проще будет либо обойти защиту которая выключает комп каждые полчаса если прошивка повреждена или удалена.
Это можно сделать двумя способами: понять как её отключить и сделать это либо понять как её наебать и сделать это.
Первое сделать понятия не имею как, второе можно сделать попытавшись декомпилировать прошивку и понять, есть ли в ней что-то опасное и что вообще даёт понять проверяющему контроллеру удалён он или нет. Может, он подписан какой-то подписью.
Куда проще будет либо обойти защиту которая выключает комп каждые полчаса если прошивка повреждена или удалена.
Это можно сделать двумя способами: понять как её отключить и сделать это либо понять как её наебать и сделать это.
Первое сделать понятия не имею как, второе можно сделать попытавшись декомпилировать прошивку и понять, есть ли в ней что-то опасное и что вообще даёт понять проверяющему контроллеру удалён он или нет. Может, он подписан какой-то подписью.
>>47342
Никто не даст гарантию что она обратно сама не включится. Например получив какой-то мейджик-пакет по сети.
А в случае стороннего чипсета без МЕ можно быть полностью спокойным
Никто не даст гарантию что она обратно сама не включится. Например получив какой-то мейджик-пакет по сети.
А в случае стороннего чипсета без МЕ можно быть полностью спокойным
>>47348
Гарантию тебе даёт программатор, которым ты проверяешь есть ли внутри код вообще.
Если научиться обходить эту защиту с выключением раз в полчаса, можно затереть всё нулями и при помощи программатора выяснить это. Ему тупо нечем будет загружать по идее.
Хотя нет, остаётся ещё эта защита которая может это сделать.
А может и не сможет.
Надо изучать вопрос перед тем как ударяться в крайности вроде твоей.
Можно сидеть на ARM без TrustedZone или на старых процессорах AMD. Там есть 4ядерники без зонда.
Но это будет куда менее производительным, чем очистка процессора intel от ME.
>Никто не даст гарантию что она обратно сама не включится. Например получив какой-то мейджик-пакет по сети.
Гарантию тебе даёт программатор, которым ты проверяешь есть ли внутри код вообще.
Если научиться обходить эту защиту с выключением раз в полчаса, можно затереть всё нулями и при помощи программатора выяснить это. Ему тупо нечем будет загружать по идее.
Хотя нет, остаётся ещё эта защита которая может это сделать.
А может и не сможет.
Надо изучать вопрос перед тем как ударяться в крайности вроде твоей.
>А в случае стороннего чипсета без МЕ можно быть полностью спокойным
Можно сидеть на ARM без TrustedZone или на старых процессорах AMD. Там есть 4ядерники без зонда.
Но это будет куда менее производительным, чем очистка процессора intel от ME.
>>47349
Конечно есть, без МЕ комп не стартует если это не 775. Полностью удалить код МЕ можно только на 775, на тех чипсетах где он есть.
Все что позднее будет уже только с частично удаленным кодом.
А начиная с 100-й серии чипсетов вообще удаляется только небольшая часть кода, большая остаётся
Не научится. Это невозможно. Очень умные жиды работали над тем чтобы было невозможно
Всё уже изучено. Единственно что доступно на сегодня это использовать НАР бит и заняться самовнушением что всё хорошо, я всё обезопасил
Это был бы мат интелу
А вот это совсем плохая идея, ты современный веб видел?
Какого ещё процессора
>есть ли внутри код вообще
Конечно есть, без МЕ комп не стартует если это не 775. Полностью удалить код МЕ можно только на 775, на тех чипсетах где он есть.
Все что позднее будет уже только с частично удаленным кодом.
А начиная с 100-й серии чипсетов вообще удаляется только небольшая часть кода, большая остаётся
>Если научиться
Не научится. Это невозможно. Очень умные жиды работали над тем чтобы было невозможно
>Надо изучать вопрос
Всё уже изучено. Единственно что доступно на сегодня это использовать НАР бит и заняться самовнушением что всё хорошо, я всё обезопасил
> ударяться в крайности
Это был бы мат интелу
>Можно сидеть на ARM
А вот это совсем плохая идея, ты современный веб видел?
>очистка процессора intel от ME
Какого ещё процессора
>>47352
Умные жиды не будут работать и ебать себе мозг, умные жиды просто внушат гоям мысль, что борьба невозможна.
У меня даже есть пруф что всё на самом деле так и есть.
Просто зайди в реп me_cleaner и почитай их FAQ.
Они на одной же страничке будут заявлять, что оставшийся блоб это "код инициализации процессора", а потом заявят, что можно полностью удалить код, процессор и система запустится, но умрёт через 30 минут.
На лицо тупейшая защита с проверкой хэша.
И внезапно, так оно есть. Насколько я понял, там есть какой-то контроллер который тупо проверяет хэш и всё. Правда хэш подписан цифровой подписью, но при этом при измении блоба меняется только хэш, но не подпись. Так и не понял как это работает, но мне кажется, наебать эту хрень очень легко.
Для этого нужны ресурсы которыми мы не обладаем. Зато попенсорс сообщество имеет множество программистов которые могли бы разобраться с этой проблемой программно.
Вроде как intel ME располагается прямо на процессоре. Точнее в его шине, но как я понял, не в чипсете.
Не уверен в этом на 100% конечно, но учитывая что в одних процессорах есть vPro, а в других стоит простой Intel ME, то как бы логично предположить, что эта шняга сидит в процессоре.
>Не научится. Это невозможно. Очень умные жиды работали над тем чтобы было невозможно
Умные жиды не будут работать и ебать себе мозг, умные жиды просто внушат гоям мысль, что борьба невозможна.
У меня даже есть пруф что всё на самом деле так и есть.
Просто зайди в реп me_cleaner и почитай их FAQ.
Они на одной же страничке будут заявлять, что оставшийся блоб это "код инициализации процессора", а потом заявят, что можно полностью удалить код, процессор и система запустится, но умрёт через 30 минут.
На лицо тупейшая защита с проверкой хэша.
И внезапно, так оно есть. Насколько я понял, там есть какой-то контроллер который тупо проверяет хэш и всё. Правда хэш подписан цифровой подписью, но при этом при измении блоба меняется только хэш, но не подпись. Так и не понял как это работает, но мне кажется, наебать эту хрень очень легко.
>Это был бы мат интелу
Для этого нужны ресурсы которыми мы не обладаем. Зато попенсорс сообщество имеет множество программистов которые могли бы разобраться с этой проблемой программно.
>Какого ещё процессора
Вроде как intel ME располагается прямо на процессоре. Точнее в его шине, но как я понял, не в чипсете.
Не уверен в этом на 100% конечно, но учитывая что в одних процессорах есть vPro, а в других стоит простой Intel ME, то как бы логично предположить, что эта шняга сидит в процессоре.
>>19102 (OP)
Так. А нельзя подключить зондированный комп через сниффер и тщательно изучить все пакеты? Если идёт коннект к непонятным серверам, то мы его поймали. Если идут пакеты на сервера мейл ру, но протокол не стандартный и расшифровать данные нельзя, мы его поймали.
Потом в СМИ катим бочку на Интел, звоним Сноудену и т.д.
Кстати, информация в комп может передаваться в стеганографичнском виде. Картинка на главной странице гугла, например. Или видео, пропихиваемое ютубом. Да даже просто сходил на сайт в даркнете - поймал метку на комп. А потом при обыске у них вся история в чипе.
Так. А нельзя подключить зондированный комп через сниффер и тщательно изучить все пакеты? Если идёт коннект к непонятным серверам, то мы его поймали. Если идут пакеты на сервера мейл ру, но протокол не стандартный и расшифровать данные нельзя, мы его поймали.
Потом в СМИ катим бочку на Интел, звоним Сноудену и т.д.
Кстати, информация в комп может передаваться в стеганографичнском виде. Картинка на главной странице гугла, например. Или видео, пропихиваемое ютубом. Да даже просто сходил на сайт в даркнете - поймал метку на комп. А потом при обыске у них вся история в чипе.
>>47873
Обфусцированы скорее, а не зашифрованы. Но да, прочитать нельзя.
Понять что делает код можно только по уже сделанным реверсам которые основываются на слитых документах, плюс технические названия и т.д.
Что делает блоб который остаётся после очистки - никто не знает. Знаю только то, что он на самом деле не участвует в процессе инициализации, т.к. запустить компьютер можно с полностью удалённым блобом, но по идее он выключится через полчаса из-за защитного механизма.
>>47872
Тот пакет который заметит роутер будет содержать информацию о твоём адресе, компьютер в этот же момент сгорает, а к тебе выезжают парни в форме.
Если бы можно это было бы без опаски рассказать массам - это бы уже 100% кто-то сделал.
Обфусцированы скорее, а не зашифрованы. Но да, прочитать нельзя.
Понять что делает код можно только по уже сделанным реверсам которые основываются на слитых документах, плюс технические названия и т.д.
Что делает блоб который остаётся после очистки - никто не знает. Знаю только то, что он на самом деле не участвует в процессе инициализации, т.к. запустить компьютер можно с полностью удалённым блобом, но по идее он выключится через полчаса из-за защитного механизма.
>>47872
Тот пакет который заметит роутер будет содержать информацию о твоём адресе, компьютер в этот же момент сгорает, а к тебе выезжают парни в форме.
Если бы можно это было бы без опаски рассказать массам - это бы уже 100% кто-то сделал.
Из всего треда я сделал вывод, что можно обезопасить себя от этого бекдора выходом в инет через ноунейм USB-сетевуху. Я прав или долбаеб?
>>47902
думаю нет.
У тя железный бекдор, который может постучать в интернет по любому Интернету, в зависимости то что туда вложили и что уже докачал бекдор.
думаю нет.
У тя железный бекдор, который может постучать в интернет по любому Интернету, в зависимости то что туда вложили и что уже докачал бекдор.
>>47902
Либребут объясняет как обезопасить. Не пользоваться компами новее 775 сокета у интел и новее вишеры (FXы) и ричланда (APU на FM2) у амд.
Причем на 775 надо удалять код МЕ на тех чипсетах где он есть, он там удаляется полность.
Либребут объясняет как обезопасить. Не пользоваться компами новее 775 сокета у интел и новее вишеры (FXы) и ричланда (APU на FM2) у амд.
Причем на 775 надо удалять код МЕ на тех чипсетах где он есть, он там удаляется полность.
>>47909
Но как? Там же другой уровень абстракции. Через встройку он может постучать по понятным причинам, потому что имеет низкоуровневый доступ к железу.
Через левую сетевуху работа с сетью будет возможно только при наличии драйверов под осью. Но кода зонда нет в ОСи.
Дополнительно можно навернуть еще один уровень абстракции - сетевуху через ЮСБ например.
>может постучать в интернет по любому Интернету
Но как? Там же другой уровень абстракции. Через встройку он может постучать по понятным причинам, потому что имеет низкоуровневый доступ к железу.
Через левую сетевуху работа с сетью будет возможно только при наличии драйверов под осью. Но кода зонда нет в ОСи.
Дополнительно можно навернуть еще один уровень абстракции - сетевуху через ЮСБ например.
Ну что пердолики, все зонды победили?
Как узнать в каких процессорах есть AMD PSP?
Известно что эту хрень стали пихать начиная с Kaveri и Godаvari
Но не во все процессоры а только в некоторые
Или может какой список есть?
>>47294
Тогда тем более можно. Главное чтобы не младше: скаленки там всякие и т.п.
Тогда тем более можно. Главное чтобы не младше: скаленки там всякие и т.п.
И чо?
>>48143
Во всех Kaveri/Godаvari есть зонд (ARM Cortex A5). В некоторых моделях он вроде деактивирован.
Во всех Kaveri/Godаvari есть зонд (ARM Cortex A5). В некоторых моделях он вроде деактивирован.
>>47872
Интел: Это для вашей же безопасности. Для борьбы с терористами и педофилами.
Ты что, педофил что-ли?
>в СМИ катим бочку на Интел
Интел: Это для вашей же безопасности. Для борьбы с терористами и педофилами.
Ты что, педофил что-ли?
Может ли Intel ME использоваться как хардварный уникальный идентификатор который пробивает виртуалку? Если да, то как?
>>47872
Главное чтобы из компа не передавалась
>информация в комп может передаваться в стеганографичнском виде
Главное чтобы из компа не передавалась
>>48674
Может
Уровни привелегий
https://ru.wikipedia.org/wiki/Intel_Management_Engine
>Может ли Intel ME
Может
>как?
Уровни привелегий
https://ru.wikipedia.org/wiki/Intel_Management_Engine
>>47923
У iME прямой доступ к сетевому стеку ОС. Т.о. если на компе есть интернет, то у iМЕ он тоже есть
У iME прямой доступ к сетевому стеку ОС. Т.о. если на компе есть интернет, то у iМЕ он тоже есть
>>49150
Не помогает. Либребут ещё может, только потому что он поддерживает только очень строе железо. А корбут ставится на машины с МЕ
>core boot/libre boot
Не помогает. Либребут ещё может, только потому что он поддерживает только очень строе железо. А корбут ставится на машины с МЕ
>>48674
Гугли технологию Identity Protection
Гугли технологию Identity Protection
![Screenshot2019-05-01 Новости - В Windows 10 внедрили еще 1[...].png](https://2ch.life//crypt/src/19102/16441518691700.png)
![Screenshot2019-05-01 Новости - В Windows 10 внедрили еще 1[...].png](https://2ch.life//crypt/src/19102/16441518913200.png)
![Screenshot2019-05-02 Новости - В Windows 10 внедрили еще 1[...].png](https://2ch.life//crypt/src/19102/16441519232920.png)
Есть инфа что на каких-то платах с чипсетом 50-й серии МЕ тоже удаляется полностью как на 775.
Кто нибудь что-то про это слышал?
Кто нибудь что-то про это слышал?
>>49293
На Р55 бывают три типа прошивки intel me: 1,5mb, 5mb и ignition firmware only. Вот последняя удаляется полностью также как на 775
Пруфы в гугле
На Р55 бывают три типа прошивки intel me: 1,5mb, 5mb и ignition firmware only. Вот последняя удаляется полностью также как на 775
Пруфы в гугле
А ещё на 1366 то-ли вообще нет intel me, то-ли такая же ignition only и так же полностью удаляется
Там выше кто-то спрашивал про 1366
Там выше кто-то спрашивал про 1366
>>47181
Это если для связи с ме не используюся недокументированные протоколы. Такое только осцилографом можно обнаружить.
Это если для связи с ме не используюся недокументированные протоколы. Такое только осцилографом можно обнаружить.
Делайте перекат, аноны. Тема важная и интересная
>>51224
Перекат делай, хули бамп
Перекат делай, хули бамп
Так