TL;DR
Absolute Computrace — une technologie qui permet de bloquer une machine (et non pas seulement celle-ci), même si le système d'exploitation a été réinstallé ou si le disque dur a été remplacé, pour 15 $ par an. J'ai acheté un ordinateur portable sur eBay qui était verrouillé par ce système. Cet article décrit mon expérience, comment j'ai essayé de lutter contre cela et comment j'ai tenté de faire la même chose avec Intel AMT, mais gratuitement. Convenons-en tout de suite : je ne m'introduis pas par effraction dans des portes ouvertes et je ne fais pas de cours sur ces choses à distance, mais je raconte une petite histoire et comment rapidement établir un accès à distance à ma machine dans n'importe quelle situation (si elle est connectée au réseau via RJ-45) ou, si elle est connectée par Wi-Fi, seulement sous Windows. De plus, il serait possible d'inscrire le SSID, le login et le mot de passe d'un point d'accès directement dans Intel AMT, et ainsi obtenir l'accès par Wi-Fi sans avoir à charger le système. Et si vous installez les pilotes pour Intel ME sous GNU/Linux, cela devrait également fonctionner. Au final, il ne sera pas possible de bloquer à distance l'ordinateur portable et d'afficher un message d'erreur (je n'ai pas réussi à comprendre s'il était vraiment possible de faire cela avec cette technologie), mais l'accès au bureau à distance et à Secure Erase sera là, c'est l'essentiel.
Un chauffeur de taxi est parti avec mon ordinateur portable et j'ai décidé d'en acheter un nouveau sur eBay. Que pouvait-il mal arriver ?
De client à voleur — en un seul démarrage
Une fois rentré chez moi avec l'ordinateur portable provenant du bureau de poste, j'ai commencé à finaliser l'installation de Windows 10, et après avoir même réussi à installer Firefox, tout à coup :
Je savais très bien que personne ne modifierait le distributeur de Windows, et même si quelqu'un le faisait, tout aurait eu l'air moins brouillon et, de toute façon, le blocage se serait produit plus rapidement. Et puis, au final, il n'y aurait eu aucun sens à bloquer quoi que ce soit, car tout aurait été résolu par une réinstallation. Ok, redémarrons.
Redémarrer dans le BIOS, et voilà, tout devient un peu plus clair :
Et enfin, il est définitivement clair :
Comment se fait-il que mon propre ordinateur portable me fasse du tort ? Qu'est-ce que Computrace ?
À proprement parler, Computrace est un ensemble de modules dans votre EFI BIOS qui, après le démarrage de Windows, insèrent leurs chevaux de Troie qui se connectent à un serveur distant d'Absolute Software et permettent, si nécessaire, de bloquer le système via Internet. Vous pouvez en lire plus ici.
En réalité, Computrace est un ensemble de modules dans votre BIOS EFI qui, après le chargement de l'OS Windows, introduisent des chevaux de Troie qui se connectent à un serveur distant d'Absolute Software et permettent, si nécessaire, de bloquer le système via Internet. Pour plus de détails, vous pouvez lire ici. . Avec des systèmes d'exploitation autres que Windows, Computrace ne fonctionne pas. De plus, si nous connectons un support Windows, crypté par BitLocker ou tout autre logiciel, Computrace ne fonctionnera à nouveau pas — les modules ne pourront simplement pas injecter leurs fichiers dans notre système.
À première vue, ces technologies peuvent sembler futuristes, mais cela ne sera vrai que jusqu'à ce que nous découvrions que tout cela s'effectue via le UEFI d'origine avec l'aide de modules quelque peu douteux.
On a l'impression que cette chose est froide et omnipotente, jusqu'à ce que nous essayions, par exemple, de démarrer sous GNU/Linux :
Sur cet ordinateur portable, Computrace est actuellement activé.
Comme on dit,
Que faire ?
Il y a quatre vecteurs évidents pour résoudre le problème :
- Contacter le vendeur sur eBay
- Contacter Absolute Software, le créateur et propriétaire de Computrace
- Faire un dump de la puce BIOS, l'envoyer à des personnes peu recommandables pour qu'elles nous renvoient un dump patché désactivant tous les locks et changeant l'ID de l'appareil
- Appeler Lazard
Analysons-les dans l'ordre :
- Nous, comme toutes les personnes sensées, commençons d'abord par écrire au vendeur qui nous a vendu cet article et discutons du problème avec la personne responsable en premier lieu.
Fait :
- Selon un conseil trouvé dans les profondeurs d'Internet,
Vous devez contacter Absolute Software. Ils auront besoin du numéro de série de la machine et du numéro de série de la carte mère. Vous devrez également fournir une «preuve d'achat», comme un reçu. Ils contacteront le propriétaire qu'ils ont dans leurs archives et obtiendront le feu vert pour le retirer. Supposant qu'il n'est pas volé, ils le «marqueront pour suppression». Après cela, la prochaine fois que vous vous connectez à Internet ou que vous avez une connexion Internet ouverte, un miracle se produira et il sera supprimé. Envoyez les informations que j'ai mentionnées à TechSupport@absolute.com.
Nous pouvons également contacter directement Absolute et discuter de la déblocage avec eux. Je n'ai pas voulu me précipiter et j'ai décidé d'opter pour cette solution seulement vers la fin.
- Une solution brutale au problème était également, heureusement, déjà disponible. Voici ces et de nombreux autres experts en support informatique, sur le même eBay et même des Indiens sur Facebook, nous promettent de débloquer notre BIOS si nous leur envoyons un dump et que nous attendons quelques minutes.
Le processus de déverrouillage est décrit comme suit :
La solution de déverrouillage est enfin disponible et nécessite un programmateur SPEG pour pouvoir flasher le BIOS.
Le processus est :
- Lire le BIOS et créer un dump valide. Dans un Thinkpad, le BIOS est lié à la puce TPM interne et contient une signature unique de celle-ci, donc il est important que le BIOS original soit correctement lu pour garantir le succès de toute l'opération et pour restaurer le BIOS par la suite.
- Patchage des binaires du BIOS et injection d'un petit programme allservice.ro UEFI. Ce programme lira l'eeprom sécurisée, réinitialisera le certificat et le mot de passe TPM, écrira l'eeprom sécurisée et reconstruira toutes les données.
- Écrivez le dump BIOS patché (cela ne fonctionnera que dans ce TP), démarrez l'ordinateur portable et générez un ID matériel. Nous vous enverrons une clé unique qui activera le BIOS Allservice, pendant le chargement du BIOS, cela exécutera la routine de déblocage et débloquera le SVP et le TPM.
- Enfin, écrivez à nouveau le dump BIOS original pour les opérations normales et profitez de l'ordinateur portable.
Nous pouvons également désactiver Computrace ou changer le SN/UUID et réinitialiser l'erreur de somme de contrôle RFID en utilisant notre programme UEFI de la même manière, si nécessaire.
Le prix du service de déblocage est par machine (comme nous le faisons pour le Macbook/iMac, HP, Acer, etc.). Pour le prix du service et la disponibilité, veuillez lire le prochain post ci-dessous. Vous pouvez contacter support@allservice.ro pour toute demande.
Ça semble legit ! Mais c'est aussi, pour des raisons évidentes, une option pour une situation désespérée, de plus, tout cela coûte 80 $. Nous le gardons pour plus tard.
- Si Lazard m'a tout cassé et demande que je rappelle, il ne faut pas refuser ! C'est pour l'affaire.
Appelons Lazard alias «la principale société mondiale de conseil financier et de gestion d'actifs, qui conseille sur les fusions, acquisitions, restructurations, structure du capital et stratégie»
Pendant que le vendeur d'eBay répond, je mets quelques dollars sur zadarma et j'anticiperais une conversation avec, sans doute, l'interlocuteur le plus inhumain du monde — le support d'une grande corporation financière de New York. La femme décroche rapidement, écoute mes explications timides sur l'achat de cet ordinateur portable, note son numéro de série et promet de le transmettre aux administrateurs, qui me rappelleront. Ce processus se répète exactement deux fois à un jour d'intervalle. Lors de mon troisième appel, j'ai attendu le soir, pour que ce soit 10 heures du matin à New York, et j'ai appelé, lisant rapidement le discours déjà familier sur mon achat. Deux heures plus tard, la même femme m'a rappelé et a commencé à lire les instructions :
— Appuyez sur échap.
J'appuie, mais rien ne se passe.
— Quelque chose ne fonctionne pas, rien ne change.
— Continuez à appuyer.
— J'appuie.
— Maintenant, saisissez : 72406917
Je saisis. Rien ne se passe.
— Vous savez, j'ai peur que cela ne puisse pas… Un instant…
L'ordinateur portable redémarre soudainement, le système se charge, l'écran blanc insupportable a disparu. Pour être sûr, je vais dans le BIOS, Computrace n'est pas activé. Il semble que tout soit en ordre. Je remercie le support, j'informe le vendeur que j'ai résolu tous les problèmes moi-même et je me détends.
OpenMakeshift Computrace basé sur Intel AMT
Ce qui s'est passé m'a déconcerté, mais j'ai aimé l'idée, ma douleur fantôme concernant la perte sans valeur cherchait une issue, j'avais envie de protéger mon nouvel ordinateur portable, comme si cela pouvait me ramener l'ancien. Si quelqu'un utilise Computrace, je peux aussi l'utiliser, n'est-ce pas ? Après tout, il y avait Intel Anti-Theft, qui, selon sa description, était une technologie formidable, fonctionnant comme il se doit, mais qui a été tuée par l'inertie du marché ; cependant, il devrait y avoir une alternative. Il s'est avéré que cette alternative commençait là où tout s'arrêtait — dans ce domaine, seule la société Absolute Software a pu s'imposer.
Pour commencer, rappelons ce qu'est Intel AMT : c'est un ensemble de bibliothèques, faisant partie d'Intel ME, intégré dans le BIOS EFI, permettant à un administrateur, assis à son bureau, de gérer des machines sur le réseau, même si elles ne démarrent pas, en connectant à distance des ISO, en gérant par bureau à distance, etc.
Tout cela tourne sur Minix et à peu près à ce niveau :
Invisible Things Lab a proposé de nommer la fonctionnalité de la technologie Intel vPro / Intel AMT comme un anneau de protection -3. Dans le cadre de cette technologie, les chipsets prenant en charge la technologie vPro contiennent un microprocesseur indépendant (architecture ARC4), ont une interface séparée vers la carte réseau, un accès exclusif à une section dédiée de la RAM (16 Mo), et un accès DMA à la RAM principale. Les programmes s'exécutent indépendamment du processeur central, le firmware étant stocké conjointement avec les codes BIOS ou sur une mémoire flash SPI similaire (le code a une signature cryptographique). Une partie du firmware inclut un serveur web embarqué. Par défaut, AMT est désactivé, mais une partie du code fonctionne encore en mode désactivé. Le code de l'anneau -3 est actif même en mode de veille S3.
C'est séduisant, car il semble que si nous pouvons établir une connexion inversée à un panneau d'administration via Intel AMT, nous pourrions avoir un accès aussi bon que celui de Computrace (en réalité, ce n'est pas le cas).
Activation d'Intel AMT sur notre machine
Tout d'abord, certains d'entre vous souhaitent sans doute toucher ce AMT de leurs propres mains, et c'est là que les nuances commencent. Premièrement : vous avez besoin d'un processeur qui le prend en charge. Heureusement, il n'y a pas de problème à ce sujet (si vous n'avez pas d'AMD), car vPro est ajoutée à presque tous les processeurs Intel i5, i7 et i9 (vous pouvez le vérifier). ) à partir de 2006, et un VNC normal a été introduit seulement en 2010. Deuxièmement : si vous avez un ordinateur de bureau, vous avez besoin d'une carte mère prenant en charge cette fonctionnalité, c'est-à-dire avec un chipset Q. Pour les ordinateurs portables, il nous suffit de connaître le modèle du processeur. Si vous avez découvert que vous disposez de la prise en charge d'Intel AMT, c'est un bon signe et vous pourrez appliquer les configurations que vous avez obtenues ici. Si ce n'est pas le cas, soit vous n'avez pas eu de chance / vous avez délibérément choisi un processeur ou un chipset sans prise en charge de cette technologie, soit vous avez eu la bonne idée d'économiser en choisissant un AMD, ce qui est également une raison de se réjouir.
Selon les documents
En mode non sécurisé, les appareils Intel AMT écoutent sur le port 16992.
En mode TLS, les appareils Intel AMT écoutent sur le port 16993.
Intel AMT accepte les connexions sur les ports 16992 et 16993. C'est là que nous allons.
Il est nécessaire de vérifier que Intel AMT est activé dans le BIOS :
Ensuite, nous devons redémarrer et appuyer pendant le démarrage sur Ctrl + P
Le mot de passe standard, comme d'habitude, admin.
Changeons immédiatement le mot de passe dans les paramètres généraux d'Intel ME. Ensuite, dans la configuration d'Intel AMT, activez l'accès réseau. C'est fait. Vous êtes maintenant officiellement hackés. Démarrons dans le système.
Maintenant, un point important : logiquement, nous pouvons accéder à Intel AMT localement et à distance, mais non. Intel dit que l'accès local et le changement de paramètres peuvent se faire via , mais il a catégoriquement refusé de se connecter, donc ma connexion n'a fonctionné qu'à distance.
Prenons un appareil et connectons-nous via :16992
Cela ressemble à ceci :
Bienvenue dans l'interface standard d'Intel AMT! Pourquoi « standard »? Parce qu'elle est limitée et totalement inutile pour nos objectifs, nous allons utiliser quelque chose de plus sérieux.
Familiarisons-nous avec MeshCommander.
Comme d'habitude - les grandes entreprises font quelque chose, et les utilisateurs finaux l'adaptent à leurs besoins. C'est ce qui s'est passé ici.
Cet homme modeste (pas une exagération : son nom est absent de son propre site, j'ai dû le rechercher) nommé Ylian Saint-Hilaire a développé d'excellents outils pour travailler avec Intel AMT.
Je tiens à souligner ses , dans ses vidéos, il montre de manière simple et claire en temps réel comment accomplir les tâches liées à Intel AMT et à son logiciel.
Commençons par . Téléchargeons, installons et essayons de nous connecter à notre machine :
Le processus n'est pas instantané, mais finalement nous obtiendrons cet écran :
Ce n'est pas que je sois paranoïaque, mais je ferai attention aux données sensibles, excusez-moi pour cette légèreté.
La différence, comme on dit, est évidente. Je ne sais pas pourquoi le panneau de contrôle Intel n'a pas un tel ensemble de fonctionnalités, mais il faut reconnaître que Ylian Saint-Hilaire tire nettement plus de la vie. De plus, vous pouvez installer son interface web directement dans le firmware, ce qui vous permettra d'accéder à toutes les fonctionnalités sans utilitaire.
Cela se fait comme ceci :
Je dois noter que je n'ai pas utilisé cette fonctionnalité (interface web personnalisée) et je ne peux rien dire sur son efficacité et sa fonctionnalité, car elle n'est pas nécessaire pour mes besoins.
Vous pouvez expérimenter avec la fonctionnalité, il est peu probable que vous fassiez des dégâts, puisque le point de départ et d'arrivée de tout ce festival est le BIOS, que vous pouvez réinitialiser ensuite en désactivant Intel AMT.
Déployons MeshCentral et mettons en œuvre BackConnect.
Et c'est ici que ça devient vraiment incroyable. L'oncle n'a pas seulement créé un client, mais aussi un véritable panneau d'administration pour notre cheval de Troie ! Et pas seulement cela, mais .
Commencez par installer votre propre serveur MeshCentral ou, si vous ne connaissez pas MeshCentral, vous pouvez essayer le serveur public à vos risques et périls sur MeshCentral.com.
Cela parle positivement de la fiabilité de son code, car je n'ai pas réussi à trouver d'actualités sur des hacks ou des fuites durant le fonctionnement du service.
Personnellement, je fais fonctionner MeshCentral sur mon serveur car je pense à tort que c'est plus fiable, mais cela ne repose sur rien d'autre qu'une agitation et un tourment de l'esprit. Si vous voulez aussi le faire, il y a des documents disponibles, et un conteneur avec MeshCentral. Les documents expliquent comment intégrer le tout dans NGINX, ce qui facilite l'intégration à vos serveurs domestiques.
Inscrivez-vous sur , connectez-vous et créez un groupe d'appareils en choisissant l'option « no agent » :
Pourquoi « no agent » ? Parce que nous ne voulons pas qu'il installe quelque chose d'inutile, on ne sait pas comment cela se comporte et comment cela fonctionne.
Cliquez sur « Ajouter CIRA » :
Téléchargez cira_setup_test.mescript et utilisez-le dans notre MeshCommander de cette manière :
Voilà ! Après un certain temps, notre machine se connectera à MeshCentral et nous pourrons faire quelque chose avec.
Tout d'abord, vous devez savoir que notre logiciel ne se connectera pas à un serveur distant sans raison. Cela est dû au fait qu'Intel AMT dispose de deux options de connexion : via un serveur distant ou directement en local. Les deux ne fonctionnent pas en même temps. Notre script a déjà configuré le système pour le fonctionnement à distance, mais vous pourriez avoir besoin de vous connecter localement. Pour cela, vous devez ici
écrire la ligne qui correspond à votre domaine local (notez que notre script a déjà inséré une chaîne aléatoire pour permettre la connexion à distance) ou nettoyer toutes les chaînes (mais dans ce cas, la connexion à distance ne sera pas disponible). Par exemple, dans OpenWrt, mon domaine local est lan :
Par conséquent, si nous écrivons lan, et si notre machine est connectée à un réseau avec ce domaine local, la connexion à distance ne sera pas disponible, tandis que les ports locaux 16992 et 16993 seront ouverts et accepteront les connexions. En résumé, si vous avez une chaîne aléatoire qui n’a aucun rapport avec votre domaine local, le logiciel se connecte; sinon, vous devez vous y connecter vous-même par câble, c'est tout.
Deuxièmement :
C'est prêt !
Vous vous demandez — où est alors l'AntiVol ? Comme je l'ai dit au départ — Intel AMT n'est pas vraiment conçu pour lutter contre les voleurs. Administer un réseau de bureau, c'est un jeu d'enfant, mais combattre les personnes qui ont illégalement pris possession de biens via Internet, c’est moins efficace. Examinons les outils qui, en théorie, peuvent nous aider dans la protection de la propriété privée :
- Le simple fait d'avoir accès à la machine, si elle est connectée par câble, ou si elle a Windows installé, peut également se faire via WiFi. Oui, c'est enfantin, mais il est déjà très difficile pour une personne normale d'utiliser un tel ordinateur portable si quelqu'un prend soudainement le contrôle. De plus, même si je n'ai pas réussi à comprendre les scripts, il existe certainement une possibilité de retirer fonctionnellement certaines fonctionnalités pour bloquer/faire apparaître des notifications.
- Effacement sécurisé à distance avec Intel Active Management Technology
Avec cette option, vous pouvez supprimer toutes les informations de la machine en quelques secondes. Il n'est pas clair si cela fonctionne sur d'autres SSD que ceux d'Intel. Voici vous pouvez lire plus en détail sur cette fonction. Vous pouvez admirer son fonctionnement. La qualité est horrible, mais seulement 10 mégaoctets et l'essentiel est clair.
Le problème de l'exécution différée reste non résolu, en d'autres termes : il faut surveiller quand la machine se connecte au réseau pour établir une connexion. Je suppose qu'il existe aussi une solution à cela.
Dans une exécution idéale, il faudrait bloquer l'ordinateur portable et afficher un message, mais dans notre cas, nous avons simplement un accès irréversible, et la suite des actions dépend de notre imagination.
Peut-être que vous pouvez bloquer la machine d'une manière ou d'une autre ou au moins afficher un message, faites-le moi savoir si vous savez comment. Merci !
N'oubliez pas de mettre un mot de passe sur le BIOS.
Merci à l'utilisateur pour la relecture !
Source : habr.com
