TL;DR
Absolute Computrace — technológia, ktorá umožňuje zablokovať stroj (a nie), aj keď bol preinštalovaný operačný systém alebo dokonca bol vymenený pevný disk, za 15 dolárov ročne. Kúpil som si notebook na eBay, ktorý bol touto vecou uzamknutý. V článku popisujem svoju skúsenosť, ako som sa s ňou vyrovnával a snažil sa to isté urobiť na základe Intel AMT, ale zadarmo. Dohodnime sa hneď: neprenikám do otvorených dverí a nepíšem prednášku o týchto vzdialených veciach, ale rozprávam malý príbeh a o tom, ako rýchlo spustiť vzdialený prístup k svojmu zariadeniu v akejkoľvek situácii (ak je pripojené k sieti cez RJ-45) alebo, ak je pripojené cez Wi-Fi, tak len v OS Windows. Taktiež je možné zadať SSID, meno a heslo konkrétneho bodu priamo v Intel AMT a tým získať prístup cez Wi-Fi bez načítania systému. A ak nainštalujete ovládače pre Intel ME na GNU/Linux, malo by to fungovať aj tam. Výsledkom je, že nebude možné vzdialene zablokovať notebook a zobraziť správu o možnosti (nemohol som zistiť, či je to vôbec možné s využitím tejto technológie), ale prístup k vzdialenej pracovnej ploche a Secure Erase bude k dispozícii, a to je hlavné.
Taxikár odišiel s mojím notebookom a rozhodol som sa kúpiť nový na eBay. Čo sa mohlo pokaziť?
Z kupujúceho na zlodeja — za jedno spustenie
Keď som prišiel domov s notebookom z pošty, začal som dokončovať predinštaláciu Windows 10 a dokonca som stihol nainštalovať Firefox, keď zrazu:
Výborne som chápal, že nikto by nemodifikoval distribúciu Windows, a ak by aj, všetko by vyzeralo inak a blokovanie by sa určite udialo rýchlejšie. A nakoniec, nemalo by zmysel niečo blokovať, pretože všetko by sa dalo opraviť preinštalovaním. Dobre, reštartujeme.
Reštartovanie do BIOS-u, a už je všetko o niečo jasnejšie:
A nakoniec je to jasné:
Ako je možné, že ma obmedzuje vlastný notebook? Čo je to Computrace?
Presne povedané, Computrace je súbor modulov vo vašej EFI BIOS, ktoré po načítaní OS Windows vkladajú do nej svoje trójske kone, ktoré sa pripájajú na vzdialený server Absolute Software a umožňujú, ak je potrebné, zablokovať systém cez internet. Viac podrobností nájdete tu.
Prísne vzaté, Computrace je súbor modulov vo vašej EFI BIOS, ktoré, po načítaní OS Windows, vkladá do nej svoje trójske kone, ktoré komunikujú s vzdialeným serverom Absolute Software a umožňujú, ak je to potrebné, zablokovať systém cez internet. Viac podrobností si môžete prečítať tu . S operačnými systémami, ktoré nie sú Windows, Computrace nefunguje. Navyše, ak pripojíme médium s Windows, šifrované BitLocker alebo akýmkoľvek iným softvérom, Computrace opäť nebude fungovať — moduly jednoducho nebudú môcť skontrolovať naše súbory v systéme.
Na prvý pohľad sa tieto technológie môžu javiť ako vesmírne, ale to je len do chvíle, kým nezistíme, že všetko to beží na native UEFI s použitím niekoľkých pochybných modulov.
Zdá sa, že táto vec je mocná a studená, kým sa nepokúsime napríklad spustiť GNU/Linux:
Na tomto notebooku je práve teraz aktivovaná blokácia v Computrace.
Ako sa hovorí,
Čo robiť?
Existujú štyri očividné vektory pre vyriešenie vzniknutej problému:
- Napísať predajcovi na eBay
- Napísať do Absolute software, tvorcovi a vlastníkovi Computrace
- Urobiť dump z čipu BIOS, poslať ho pochybným typom, aby nám poslali dump s patchom, ktorý deaktívuje všetky zámky a mení ID zariadenia
- Zavolať do Lazard
Rozoberieme ich po poradí:
- My, ako všetci rozumní ľudia, najprv píšeme predajcovi, ktorý nám predal takýto tovar a diskutujeme o probléme s tým, kto je za to zodpovedný v prvom rade.
Hotovo:
- Podľa rady objavenej v hlbinách internetu,
Musíte kontaktovať Absolute software. Budú chcieť sériové číslo stroja a sériové číslo základnej dosky. Taktiež budete potrebovať poskytnúť „doklad o kúpe“, ako je príjmový doklad. Kontakujú vlastníka, ktorého majú v súboroch a získajú povolenie na jeho odstránenie. Pokiaľ to nie je ukradnuté, potom ho „označia na vymazanie“. Potom, pri ďalšom pripojení na internet alebo pri otvorenom internetovom spojení, nastane zázrak a bude to preč. Posielajte veci, ktoré som spomenul, na TechSupport@absolute.com.
môžeme okamžite napísať do Absolute a komunikovať s nimi priamo o odblokovaní. Neponáhľal som sa a rozhodol som sa pristúpiť k tomuto riešeniu len na konci.
- Brutálne riešenie problému už, našťastie, bolo dostupné. Títo a mnohí ďalší odborníci na počítačovú podporu na tom istom eBay a dokonca aj odborníci z Facebooku nám sľubujú, že odblokujú náš BIOS, ak im pošleme dump a počkáme pár minút.
Proces odblokovania sa popisuje takto:
Riešenie odblokovania je konečne dostupné a vyžaduje SPEG programátor na prepísanie BIOS.
Proces je:
- Čítanie BIOS-u a vytvorenie platného dumpu. V Thinkpade je BIOS spojený s interným TPM čipom a obsahuje jeho jedinečný podpis, takže je dôležité, aby pôvodný BIOS bol správne prečítaný pre úspech celej operácie a na obnovenie BIOS neskôr.
- Patchovanie binárnych súborov BIOS a injekcia malého UEFI programu allservice.ro. Tento program prečíta bezpečnú eeprom, resetuje certifikát a heslo TPM, napíše bezpečnú eeprom a rekonštruuje všetky údaje.
- Napíšte opravený BIOS dump (toto bude fungovať len v tej TP, mimochodom), zapnite notebook a vygenerujte Hardware ID. Pošleme vám jedinečný kľúč, ktorý aktivuje Allservice BIOS, zatiaľ čo sa BIOS načítava, vykoná routine pre odomknutie a odomkne SVP a TPM.
- Nakoniec napíšte pôvodný BIOS dump späť pre normálne fungovanie a užívajte si notebook.
Môžeme tiež zakázať Computrace alebo zmeniť SN/UUID a resetovať chybu RFID checksum pomocou nášho programu UEFI rovnakým spôsobom, ak je to potrebné.
Cena služby na odomknutie je za stroj (ako to robíme pre Macbook/iMac, HP, Acer atď.) Pre cenu a dostupnosť služby si prosím prečítajte nasledujúci príspevok nižšie. Môžete kontaktovať support@allservice.ro s akoukoľvek otázkou.
Vyzerá to legitímne! No, to je tiež, ako chápete, možnosť pre veľmi zúfalú situáciu, navyše všetka zábava stojí $80. Nechávame to na neskôr.
- Ak mi Lazard všetko pokazil a žiadajú, aby ste sa ozvali, netreba odmietať! Všetko je na ceste.
Zavolajme do Lazard aka "vedúca svetová poradenská a správcovská spoločnosť, ktorá radí v oblasti fúzií, akvizícií, reštrukturalizácií, kapitálovej štruktúry a stratégie"
kým predajca z eBay odpovedá, pár dolárov posielam na zadarma a teším sa na rozhovor s, pravdepodobne, najnecitlivejším partnerom na planéte — podporou obrovskej finančnej korporácie z New Yorku. Dievča rýchlo zdvihne telefón, vypočuje si moje skromné vysvetlenie, ako som kúpil tento notebook, zaznamená jeho sériové číslo a prisľúbi, že to odovzdá adminom, ktorí mi zavolajú. Tento proces presne zopakujem dvakrát s rozdielom v jeden deň. Na tretíkrát som sa špeciálne dočkal večera, kým v New Yorku bude 10 ráno a zavolal, rýchlo prečítal moju už obvyklú reč o kúpe. O dve hodiny mi znovu zavolala to isté dievča a začala diktovať inštrukcie:
— Stlačte escape.
Stlačím, ale nič sa nedeje.
— Niečo nefunguje, nič sa nemení.
— Stláčajte.
— Stláčam.
— Teraz zadajte: 72406917
Zadám. Nič sa nedeje.
— Viete, obávam sa, že to nemôžem... Počkajte...
Notebook sa náhle reštartuje, systém sa načítava, otravný biely obrazovka niekam zmizla. Pre istotu vstúpim do BIOSu, Computrace nie je aktívny. Zdá sa, že je to všetko. Ďakujem za podporu, píšem predajcovi, že som si všetky problémy vyriešil sám a uvoľňujem sa.
OpenMakeshift Computrace Intel AMT based
To, čo sa stalo, ma zaskočilo, ale myšlienka sa mi zapáčila. Moja phantomová bolesť z beznádejne strateného ma hľadala nejaký spôsob, ako chrániť svoj nový laptop, ako by mi to vrátilo ten starý. Ak niekto používa Computrace, tak ho môžem použiť aj ja, však? Veď tu bol Intel Anti-Theft, podľa popisu — skvelá technológia, ktorá fungovala tak, ako mala, ale zabila ju inertnosť trhu. No predsa by mala existovať alternatíva. Ukázalo sa, že táto alternatíva začínala tam, kde aj končila — na tejto úrovni sa usadila len Absolute Software.
Na začiatok si pripomeňme, čo je to Intel AMT: ide o súbor knižníc, ktorý je súčasťou Intel ME, zabudovaný v EFI BIOS, aby administrátor v nejakej kancelárii mohol bez toho, aby vstal zo stoličky, manipulovať s počítačmi v sieti, aj keď sa nenačítavajú, pripojil vzdialene ISO obrazy, spravoval cez vzdialenú plochu atď.
Všetko toto beží na Minix a zhruba na takejto úrovni:
Invisible Things Lab navrhla nazývať funkčnosť technológie Intel vPro / Intel AMT ochranným krúžkom -3. V rámci tejto technológie čipsety, ktoré podporujú technológiu vPro, obsahujú nezávislý mikroprocesor (architektúra ARC4), majú samostatné rozhranie k sieťovej karte, výlučný prístup k vyhradenému úseku RAM (16 MB), DMA prístup k hlavnej RAM. Programy na ňom sa vykonávajú nezávisle od centrálnych procesorov, firmware sa uchováva spolu s kódmi BIOS alebo na podobnej SPI flash pamäti (kód má kryptografický podpis). Súčasťou firmvéru je zabudovaný webový server. Predvolene je AMT vypnuté, ale časť kódu stále funguje v tomto režime, aj keď je AMT vypnuté. Kód krúžku -3 je aktívny aj v režime S3 Sleep.
Znie to lákavo, veď sa zdá, že ak dokážeme nastaviť spätné pripojenie k nejakej administratívnej panele prostredníctvom Intel AMT, získame prístup, ktorý nie je horší ako u Computrace (v skutočnosti nie).
Aktivujeme Intel AMT na našom zariadení.
Najprv, niektorým z vás sa určite chce s týmto AMT oboznámiť osobne, a tu sa začínajú odlišnosti. Po prvé, potrebujete procesor s jeho podporou. S tým, našťastie, nie sú problémy (ak nemáte AMD), pretože vPro je pridaný takmer do všetkých procesorov Intel i5, i7 a i9 (môžete si to skontrolovať. ) od roku 2006, ale normálny VNC bol zavedený až od roku 2010. Po druhé: ak máte desktop, potrebujete základnú dosku, ktorá podporuje túto funkciu, konkrétne s čipsetom Q. V notebookoch stačí poznať len model procesora. Ak ste zistili, že podporujete Intel AMT, je to dobré znamenie a môžete aplikovať nastavenia poskytnuté tu. Ak nie, mali ste buď smolu / zvolili ste úmyselne procesor alebo čipset bez podpory tejto technológie, alebo ste úspešne ušetrili výberom AMD, čo je tiež dôvod na radosť.
Podľa dokumentov
V nesecure režime zariadenia Intel AMT počúvajú na porte 16992.
V režime TLS zariadenia Intel AMT počúvajú na porte 16993.
Intel AMT prijíma pripojenia na portoch 16992 a 16993. Tam sa vyberieme.
Je potrebné skontrolovať, či je Intel AMT zapnuté v BIOS-e:
Ďalej sa musíme reštartovať a počas zavádzania stlačiť Ctrl + P
Štandardné heslo, ako zvyčajne, admin.
Ihneď meníme heslo v Intel ME General Settings. Potom v Intel AMT Configuration zapneme Activate Network Access. Hotovo. Teraz ste oficiálne prekonali zabezpečenie. Načítame systém.
Teraz dôležitý nuans: logicky môžeme získať prístup k Intel AMT z localhost aj vzdialene, ale nie. Intel hovorí, že miestne pripojenie a zmena nastavení je možné pomocou , ale tá sa mi vzpierala pripojiť, takže mi pripojenie fungovalo len vzdialene.
Zoberieme nejaké zariadenie a pripojíme sa cez :16992
Vyzerá to takto:
Vitajte v štandardnom rozhraní Intel AMT! Prečo "štandardné"? Pretože je obmedzené a na naše účely úplne zbytočné, a budeme používať niečo vážnejšie.
Zoznámenie sa s MeshCommander
Ako zvyčajne — veľké firmy niečo robia, a koncoví používatelia to prispôsobujú pre seba. Tak sa to stalo aj tu.
Tento skromný (nie preháňam: jeho meno na jeho stránke chýba, musel som vyhľadať) muž menom Ylian Saint-Hilaire vyvinul skvelé nástroje na prácu s Intel AMT.
Ihneď chcem upriamiť pozornosť na jeho , vo svojich videách jednoducho a jasne ukazuje v reálnom čase, ako vykonávať rôzne úlohy súvisiace s Intel AMT a jeho softvérom.
Začneme s . Stiahneme, nainštalujeme a pokúsime sa pripojiť k našej mašine:
Proces nie je okamžitý, ale nakoniec dostaneme takúto obrazovku:
Nie že by som bol paranoidný, ale sensitive data zamieňam, prepáčte mi toto koketovanie.
Rozdiel, ako sa hovorí, je zjavný. Neviem, prečo v ovládacom paneli Intel nie je taký súbor funkcií, ale fakt je fakt: Ylian Saint-Hilaire si užíva život znateľne viac. Navyše, môžete nainštalovať jeho webové rozhranie priamo do firmvéru, ktoré vám umožní využívať všetky funkcie bez nástroja.
Robí sa to takto:
Musím poznamenať, že túto funkčnosť (Custom web interface) som nepoužíval a nemôžem povedať nič o jej efektívnosti a funkčnosti, pretože pre moje potreby nie je potrebná.
Môžete si pohrať s funkciami, ťažko by ste to mohli pokaziť, pretože počiatočným a konečným východiskovým bodom celého tohto festivalu je BIOS, v ktorom môžete všetko vrátiť, ak budete chcieť vypnúť Intel AMT.
Rozbiehame MeshCentral a implementujeme BackConnect.
A tu to už začína byť úplná bomba. Ujo nielenže vytvoril klienta, ale aj celú admin panel k nášmu trójanskému koni! A nielen to, ale aj .
Začnite inštaláciou vlastného servera MeshCentral, alebo ak nie ste oboznámení s MeshCentral, môžete riskovať a vyskúšať verejný server na MeshCentral.com.
To pozitívne hovorí o spoľahlivosti jeho kódu, pretože sa mi nepodarilo nájsť žiadne správy o hackoch a únikoch počas prevádzky služby.
Osobne používam MeshCentral na svojom serveri, pretože neopodstatnene považujem, že je to bezpečnejšie, ale v tom nie je nič okrem zhonu a trápenia duše. Ak to chcete aj vy, sú tam dokumenty, a kontajner s MeshCentral. V dokumentoch sa píše, ako to všetko prepojiť s NGINX, takže implementácia sa ľahko integruje do vašich domácich serverov.
Zaregistrujeme sa na , prihlásime sa a vytvoríme Device Group, vyberieme možnosť „no agent“:
Prečo „no agent“? Pretože prečo by mal inštalovať niečo navyše, nejasné, ako to funguje a aké to bude mať správanie.
Klikneme na „Add CIRA“:
Stiahneme cira_setup_test.mescript a použijeme ho v našom MeshCommander takto:
Voilà! O chvíľu sa náš stroj pripojí k MeshCentral a môžeme s ním niečo urobiť.
Po prvé: mali by ste vedieť, že náš softvér sa sám neprepojí na vzdialený server. Je to spôsobené tým, že Intel AMT má dve možnosti pripojenia - cez vzdialený server a priamo lokálne. Tieto možnosti nefungujú súčasne. Náš skript už nastavil systém na vzdialenú prácu, ale možno sa budete musieť pripojiť lokálne. Aby ste sa mohli pripojiť lokálne, musíte sem
napísať riadok, ktorý predstavuje vašu lokálnu doménu (vezmite na vedomie, že náš skript tam UŽ vložil nejaký náhodný riadok, aby vzdialené pripojenie fungovalo) alebo úplne vymazať všetky riadky (ale potom nebude možné vzdialené pripojenie). Napríklad, v OpenWrt je moja lokálna doména lan:
Takže, ak tam napíšeme lan a ak je náš počítač pripojený k sieti s touto lokálnou doménou, vzdialené pripojenie nebude dostupné a lokálne porty 16992 a 16993 sa otvoria a budú prijímať pripojenia. Skrátka, ak tam je niečo nezmyselné, čo nemá súvislosť s vašou lokálnou doménou, softvér sa pripojí, ak nie, budete sa musieť pripojiť k nemu sami cez kábel, a to je všetko.
Po druhé:
Všetko je pripravené!
Spýtate sa - a kde je tu AntiTheft? Ako som už povedal na začiatku - Intel AMT nie je príliš prispôsobený na boj s zlodejmi. Spravovať kancelársku sieť - to prosím, ale bojovať proti nelegálnemu obohateniu cez internet - to nie je veľmi efektívne. Pozrime sa na nástroje, ktoré by nám teoreticky mohli pomôcť v boji za súkromné vlastníctvo:
- Samotné pripojenie k počítaču, ak je pripojený cez kábel, alebo ak je na ňom nainštalovaný Windows, tak aj cez WiFi. Áno, je to detinské, ale bežný človek už má problém používať takýto notebook, aj keď niekto len náhle prevezme kontrolu. A pritom, hoci som sa nepodarilo porozumieť skriptom, určite existuje možnosť graficky odstrániť nejakú funkčnosť pre blokovanie/vykazovanie upozornení.
- Remote Secure Erase with Intel Active Management Technology
S pomocou tejto možnosti môžete zmazať všetky informácie z počítača za sekundy. Nie je potvrdené, či to funguje na SSD iných výrobcov ako Intel. Tu si môžete prečítať viac o tejto funkcii. Môžete si pozrieť, ako to funguje. Kvalita je hrozná, no má len 10 megabajtov a podstata je jasná.
Problém odloženého vykonávania zostáva nevyriešený, inými slovami: je potrebné sledovať, kedy sa stroj pripojí na sieť, aby sa k nemu pripojil. Predpokladám, že aj na to existuje nejaké riešenie.
V ideálnom prípade by sa mal blokovať notebook a zobraziť nejaký nápis, ale v našom prípade máme len neodvrátiteľný prístup a ako ďalej postupovať — to je otázka fantázie.
Možno by sa vám podarilo nejakým spôsobom zablokovať stroj alebo aspoň zobraziť správu, napíšte, ak to viete. Ďakujem!
Nezabudnite nastaviť heslo na BIOS.
Ďakujem používateľovi za korektúru!
Zdroj: habr.com
