Si e bleva një laptop të bllokuar në eBay dhe përpiqesha të krijoja AntiTheft të bazuar në IntelAMT

TL;DR

Absolute Computrace — një teknologji që lejon bllokimin e makinerive (edhe nëse janë instaluar sërish sistemin operativ ose janë ndërruar diskët e ngurtë) për 15 $ në vit. Unë bleva një laptop në eBay, i cili ishte bllokuar nga kjo teknologji. Artikulli flet për përvojën time se si e luftova këtë dhe përpjekjet për ta bërë të njëjtën gjë me Intel AMT, por falas. vetëmLe të dakordohemi menjëherë: unë nuk po hyj në dyer të hapura dhe nuk po shkruaj një leksion për këto teknologji të largëta, por po tregoj një histori të vogël dhe si të krijosh shpejt akses të largët në makinerinë tënde në çdo situatë (nëse është e lidhur me rrjetin përmes RJ-45) ose, nëse është e lidhur përmes Wi-Fi, atëherë vetëm në OS Windows. Gjithashtu, është e mundur të regjistrosh SSID, emrin e përdoruesit dhe fjalëkalimin e një pike specifike në vetë Intel AMT dhe atëherë aksesin përmes Wi-Fi mund ta merrni pa u ngarkuar në sistem. Po ashtu, nëse instaloni drejtuesit për Intel ME në GNU/Linux, gjithashtu duhet të funksionojë. Si rezultat, të bllokoni laptopin nga distanca dhe të dërgoni një mesazh mundësisht nuk do të jetë e mundur (nuk arrita të kuptoj nëse diçka e tillë është e mundur nga kjo teknologji), por do të ketë akses në desktopin e largët dhe Secure Erase, e cila është më e rëndësishme.

Takside u largua me laptopin tim dhe unë vendosa të blej një të ri në eBay. Çfarë mund të shkonte keq?

Nga blerës në hajdut — me një fillim të vetëm

Duke sjellë laptopin nga zyra postare, fillova përfundimin e parainstallimit të Windows 10, dhe madje arrita të instaloja Firefox, sapo ndodhi:

E dija shumë mirë që askush nuk do të modifikonte distribucionin e Windows, dhe nëse do ta bënte, gjithçka do të dukej ndryshe dhe bllokimi do të ndodhte më shpejt. Po ashtu, në fund të fundit, nuk kishte kuptim të bllokohej ndonjë gjë, pasi gjithçka mund të rregullohej me një rinovim. Ok, rilidhim.

Rilidhja në BIOS, dhe tani gjithçka është më e qartë:

Dhe, përfundimisht është e qartë:

Si kisha arritur të më nervozojë laptopi im? Çfarë është Computrace?

Të flasësh me saktësi, Computrace është një grup modulash në EFI BIOS tuaj, të cilat, pasi sistemi operativ Windows ngarkohet, dërgojnë Trojanët në të, të cilët njoftojnё një server të largët të Absolute Software dhe lejojnë, nëse është e nevojshme, të bllokohet sistemi përmes internetit. Më shumë informacion mund të lexoni këtu

. Me sistemet operative të tjera përveç Windows, Computrace nuk funksionon. Më shumë, nëse lidhim një medium me Windows, të enkriptuar me BitLocker, ose ndonjë program tjetër, atëherë Computrace sërish nuk do të funksionojë — modulit thjesht nuk do t'iu lejë të dërgojnë dosjet në sistemin tonë. këtuTë tillë teknologji mund të duken si kozmike nga distanca, por vetëm deri sa të kuptojmë se gjithçka bëhet në UEFI-in tonë të natyrshëm me ndihmën e disa moduleve të dyshimta.

Duket sikur kjo gjë është e ftohtë dhe e fuqishme, derisa ta provojmë, për shembull, të ngarkohemi në GNU/Linux:

Кажется, будто эта штука холодна и всесильна, пока мы не попробуем, например, загрузиться в GNU/Linux:

Në këtë laptop është aktivizuar tani bllokimi në Computrace

Siç thotë populli,

Çfarë të bëjmë?

Ka katër drejtime të qarta për të zgjidhur problemin e shfaqur:

1. Të shkruajmë shitësit në eBay
2. Të shkruajmë në Absolute software, krijuesi dhe pronari i Computrace
3. Të marrë një dump nga çipi i BIOS-it, ta dërgojmë te njerëz të dyshimtë, në mënyrë që ata të na dërgojnë një të dhënë me patch, që dezaktivizon të gjitha bllokimet dhe ndryshon ID-në e aparatit
4. Të telefonojmë në Lazard

Le të i shqyrtojmë një nga një:

1. Ne, si çdo njeri normal, përpara gjithçka shkruajmë shitësit që na e ka shitur këtë produkt dhe diskutojmë problemin me atë që është përgjegjës për të.

   E realizuar:

   

2. Sipas një këshille të zbuluar në thellësitë e internetit,
   

   Duhet të kontaktoni software absolut. Ata do të duan numrin e seri të makinës dhe numrin e seri të bordit të nënës. Ju gjithashtu do të duhet të ofroni "provën e blerjes", si një faturë. Ata do të kontaktojnë pronarin që kanë në regjistër dhe do të marrin autorizimin për ta hequr atë. Nëse nuk është e vjedhur, atëherë ata do ta "flagojnë për fshirje". Pas kësaj, herën tjetër kur të lidheni në internet ose keni një lidhje të hapur në internet, do të ndodhë një mrekulli dhe ajo do të largohet. Dërgoni materialet që përmenda në TechSupport@absolute.com.

   mund të shkruajmë menjëherë në Absolute dhe të diskutojmë për bllokimin me ta drejtpërsëdrejti. Unë vendosa të mos nxitohem dhe të përdor këtë zgjidhje vetëm më afër fundit.

3. Një zgjidhje brutale për problemin gjithashtu, për fat, tashmë ishte e pranishme. Ja këta djem dhe shumë mjeshtër të tjerë të mbështetjes kompjuterike në eBay dhe madje indianët në Facebook na premtojnë që do të na zbllokojnë BIOS-in, nëse ne u dërgojmë një dump dhe presim pak minuta.

   Procesi i zhbllokimit përshkruhet kështu:

   Zgjidhja e zhbllokimit është përfundimisht e disponueshme dhe kërkon programuesin SPEG për të mundësuar flash-in e BIOS-it.

   Procesi është:

   1. Leximi i BIOS-it dhe krijimi i një dump-i të vlefshëm. Në një Thinkpad, BIOS-i është i martuar me çipin e brendshëm TPM dhe përmban një nënshkrim unik të tij, kështu që është e rëndësishme që BIOS-i origjinal të jetë një lexim i saktë për suksesin e të gjithë operacionit dhe për të rikthyer BIOS-in më vonë.
   2. Patchimi i binarëve të BIOS-it dhe injektimi i një programi të vogël UEFI të allservice.ro. Ky program do të lexojë eeprom-in e sigurt, do të rivendosë çertifikatën dhe fjalëkalimin TPM, do të shkruajë eeprom-in e sigurt dhe do të rindërtojë të gjitha të dhënat.
   3. Shkruani dump-in e patchuar të BIOS-it (kjo do të funksionojë vetëm në atë TP, përveç kësaj), filloni laptopin dhe gjeneroni një ID Hardueri. Ne do t'ju dërgojmë një çelës unik që do të aktivizojë BIOS-in Allservice, ndërsa BIOS-i është duke u ngarkuar, do të ekzekutojë rutinën e zhbllokimit dhe do të zhbllokojë SVP-në dhe TPM-në.
   4. Së fundi, shkruaj përsëri dump-in origjinal të BIOS-it për operacionet normale dhe shijo laptopin.

   Ne gjithashtu mund të çaktivizojmë Computrace ose të ndryshojmë SN/UUID dhe të rindërtojmë gabimin e checksum-it RFID duke përdorur programin tonë UEFI në të njëjtën mënyrë, nëse është e nevojshme.

   Çmimi i shërbimit të çeljes është për makinë (siç bëjmë për Macbook/iMac, HP, Acer, etj). Për çmimin e shërbimit dhe disponueshmërinë, ju lutemi lexoni postimin tjetër më poshtë. Mund të kontaktoni support@allservice.ro për çdo kërkesë.

   Duket legjitim! Por ky është gjithashtu, për arsye të kuptueshme, një variant për situatën më të dëshpëruar, për më tepër, gjithë kënaqësia kushton $80. E lëmë për më vonë.

4. Nëse Lazard më ka prishur gjithçka dhe kërkon të ringjall në telefon, nuk duhet të heq dorë! Në punë.

Ne kontaktojmë Lazard aka «firma kryesore e këshillimit financiar dhe menaxhimit të aseteve në botë, jep këshilla për bashkëngjitje, blerje, ristrukturim, strukturë kapitale dhe strategji»

Përsa kohë shitësi në eBay përgjigjet, unë ngarkoj disa dollarë në zadarma dhe pres me padurim bisedën me, ndoshta, personin më tê pashpirt në planet — mbështetje e një korporate të madhe financiare nga Nju Jorku. Vajza e përgjigjet shpejt, dëgjon shpjegimin tim me hezitim se si e bleva këtë laptop, regjistron numrin e tij serial dhe premton ta kalojë tek administratorët, të cilët do të më telefonojnë. Ky proces përsëritet gjithashtu dy herë me ndarje një ditë. Në herën e tretë, unë e prisja veçanërisht mbrëmjen, kur të ishte ora 10 në Nju Jork dhe telefonova, duke e thënë pa u tronditur përsëritjen tashmë të njohur mbi blerjen time. Pas dy orësh, e njëjta grua më telefonoi dhe filloi të lexonte udhëzimet:
— Shtypni escape.
E shtyp, por nuk ndodh asgjë.
— Diçka nuk funksionon, asgjë nuk ndryshon.
— Shtypni sërish.
— Po e bëj.
— Tani shkruani: 72406917
E shkruaj. Asgjë nuk ndodh.
— E dini, kam frikë se kjo nuk do të ndihmojë… Po një moment…
Laptopi papritmas rindez, sistemi ngarkohet, ekrani irritues i bardhë është zhdukur diku. Për të qënë i sigurt, hyj në BIOS, Computrace nuk është aktivizuar. Duket se gjithçka është në rregull. Faleminderit për mbështetje, i shkruaj shitësit që e kam zgjidhur vetë çështjen dhe relaksohem.

OpenMakeshift Computrace Intel AMT based

Ngjarja më çmendi, por ideja më pëlqeu, dhimbja ime fantazmë për diçka të humbur donte një dalje, dëshiroja të mbroja laptopin tim të ri, sikur të më kthente të vjetrin. Nëse dikush përdor Computrace, atëherë mund ta përdor edhe unë, apo jo? Sepse ka qenë Intel Anti-Theft, përshkrimi — një teknologji e shkëlqyer, që funksionon ashtu siç duhet, por e vrau inercia e tregut, por duhet të ketë një alternativë. Doli se kjo alternativë filloi atje ku edhe përfundohej — në këtë fushë vetëm Absolute software mundi të qëndronte.

Së pari, le të kujtojmë se çfarë është Intel AMT: një grup bibliotekash, i cili është pjesë e Intel ME, i integruar në EFI BIOS, që admini në një zyrë mund të operojë makinat në rrjet, madje edhe nëse ato nuk ngarkohen, duke u lidhur në distancë me ISO-të, menaxhuar përmes desktopit të largët, etj.

Të gjitha këto funksionojnë mbi Minix dhe përafërsisht në këtë nivel:

Invisible Things Lab propozon ta quajë funksionalitetin e teknologjisë Intel vPro / Intel AMT si unazën e mbrojtjes -3. Në kuadër të kësaj teknologjie, çipsetet që mbështesin teknologjinë vPro përmbajnë një mikroprocesor të pavarur (arkitektura ARC4), kanë një ndërfaqe të veçantë me kartën rrjet dhe qasje ekskluzive në një pjesë të dedikuar të RAM-it (16 MB), qasje DMA në RAM-in kryesor. Programet në të ekzekutohen në mënyrë të pavarur nga procesori qendror, firmware ruhet së bashku me kodet e BIOS-it ose në një memorie flash SPI të ngjashme (kodi ka një nënshkrim kriptografik). Një pjesë e firmware-it është një server i përfshirë në internet. Nga e drejta, AMT është i çaktivizuar, por një pjesë e kodit ende punon në këtë mënyrë edhe kur AMT është i fikur. Kodi i unazës -3 është aktiv edhe në modalitetin S3 Sleep.

Kjo duket tërheqëse, sepse besohet se nëse arrijmë të krijojmë një lidhje të kundërt me ndonjë admin përmes Intel AMT, atëherë mund të kemi qasje të ngjashme me atë të Computrace (në të vërtetë jo).

Aktivizojmë Intel AMT në makinën tonë

Nga fillimi, disa nga ju sigurisht do të dëshironit ta provoni këtë AMT me duar, por këtu fillojnë nuancat. Së pari: ju nevojitet një procesor që e mbështet atë. Me këtë, fatmirësisht, nuk ka probleme (nëse nuk keni AMD), pasi vPro është shtuar në pothuajse të gjithë procesorët Intel i5, i7 dhe i9 (mund ta kontrolloni) që nga viti 2006, dhe një VNC normal u përcoll që në vitin 2010. Së dyti: nëse keni një desktop, ju nevojitet një pllakë amë që mbështet këtë funksionalitet, me një çipset Q. Ndërsa në laptopë, mjafton të dini vetëm modelin e procesorit. Nëse keni zbuluar mbështetje për Intel AMT, atëherë është një shenjë e mirë dhe do të mund të aplikoni konfigurimet e marra këtu. Nëse jo, ndoshta nuk keni fat/në mënyrë që keni zgjedhur me qëllim një procesor ose çipset pa mbështetje për këtë teknologji, ose keni kursyer me fat, duke marrë një AMD, që gjithashtu është një arsye gëzimi. këtuSipas dokumenteve

Sipas dokumenteve

Në modalitetin jo të sigurt, pajisjet Intel AMT dëgjojnë në portin 16992.
Në modalitetin TLS, pajisjet Intel AMT dëgjojnë në portin 16993.

Intel AMT pranon lidhjet në portet 16992 dhe 16993. Aty do të shkojmë.

Duhet të verifikoni që Intel AMT është aktivizuar në BIOS:

Më pas na nevojitet të rikthehemi dhe të shtypim gjatë ngarkimit Ctrl + P

Fjalëkalimi standard, si zakonisht, admin.

Menjëherë e ndryshojmë fjalëkalimin në Intel ME General Settings. Më pas në Intel AMT Configuration aktivizojmë Aktivizimin e Qasjes në Rrjet. Gati. Tani jeni zyrtarisht të pasur.

Tani një nuancë e rëndësishme: sipas logjikës, ne mund të kemi qasje në Intel AMT nga localhost dhe në distancë, por jo. Intel thotë që të lidhemi lokal dhe të ndryshojmë parametrat, mund të përdorim Intel AMT Configuration Utility, por kjo më refuzonte kategoriesh të lidhesha, kështu që lidhja ime funksionoi vetëm në distancë.

Merrni një pajisje dhe lidheni nëpërmjet yourIP:16992

Duket kështu:

Mirësevini në ndërfaqen standarde të Intel AMT! Pse "standard"? Sepse është e kufizuar dhe për qëllimet tona krejt e panevojshme, ndërsa ne do të përdorim diçka më të rëndësishme.

Njohuni me MeshCommander

Siç ndodh zakonisht — kompanitë e mëdha bëjnë diçka, dhe përdoruesit e fundit e adaptojnë për veten e tyre. Kështu ndodhi edhe këtu.

Ky njeri modest (nuk është ekzagjerim: emri i tij mungon në vetë sajtin e tij, duhej të kërkoja në Google) quhet Ylian Saint-Hilaire dhe ka zhvilluar mjete të shkëlqyera për të punuar me Intel AMT.

Menjëherë dua të theksoj se ai Kanali YouTube, në videot e tij, shpjegon thjesht dhe qartë në kohë reale se si të realizoni kështu e ashtu detyrat që lidhen me Intel AMT dhe softin e tij.

Le të fillojmë me MeshCommander. E shkarkojmë, e instalojmë dhe përpiqemi të lidhim me makinën tonë:

Procesi nuk është i menjëhershëm, por si rezultat ne do të marrim këtë ekran:

S’është se jam paranojak, por do të fshij të dhëna sensitive, më falni për këtë arrogancë

Dallimi, siç thonë, është i dukshëm. Nuk e di pse në panelin e kontrollit të Intel nuk ka një grup të tillë funksionesh, por fakti është fakt: Ylian Saint-Hilaire merr nga jeta ndjeshëm më shumë. Për më tepër, mund ta instaloni ndërfaqen e tij të uebit direkt në firmware, do t'ju japë mundësinë të përdorni të gjitha funksionet pa utilitar.

Kjo bëhet kështu:

Dua të theksoj se këtë funksionalitet (ndërfaqja e personalizuar të uebit) nuk e kam përdorur dhe nuk mund të them asgjë për efektivitetin dhe funksionalitetin e saj, pasi për nevojat e mia nuk është e nevojshme.

Mund të luani me funksionalitetin, nuk besoj se do t'ju ndodhi ta dëmtoni gjithçka, sepse pika fillestare dhe përfundimtare e gjithë këtij festivali është BIOS-i, ku më pas mund të ç'bllokoni gjithçka, duke çaktivizuar Intel AMT.

Zhvilloni MeshCentral dhe realizoni BackConnect

Dhe këtu fillon një surprizë totale. Ai nuk bëri thjesht një klient, por gjithashtu krijoi një administratë të plotë për Trojan-in tonë! Dhe jo thjesht e krijoi, por e lançoi atë për të gjithë në serverin e tij..

Filloni duke instaluar një server MeshCentral tuajin ose nëse nuk jeni të njohur me MeshCentral, mund të provoni serverin publik me rrezik në MeshCentral.com.

Kjo tregon pozitivisht për besueshmërinë e kodit të tij, pasi nuk arrita të gjej ndonjë informacion rreth thyerjeve dhe rrjedhjeve gjatë punës së shërbimit.

Personalish, unë e drejtoj MeshCentral në serverin tim sepse e konsideroj të pamatë për më shumë të besueshëm, por në të vërtetë nuk ka asgjë tjetër përveç zhurmës dhe frikës. Nëse dëshironi gjithashtu, këtu ka dokumente, dhe këtu kontejnerin me MeshCentral. Në dokumente shkruhet se si ta lidhni gjithçka me NGINX, kështu që realizimi integrohet lehtësisht në serverat tuaj shtëpiakë.

Regjistrohuni në meshcentral.com, hyni dhe krijoni një Grup Pajisjesh, duke zgjedhur opsionin "no agent":

Pse "no agent"? Sepse pse na duhet ndonjë gjë që instalon diçka të panevojshme, nuk dihet se si do të veprojë dhe si do të punojë.

Klikoni "Add CIRA":

Shkarkoni cira_setup_test.mescript dhe përdorni atë në MeshCommander tonë kështu:

Ja! Pas një kohë të caktuar, makina jonë do të lidhet me MeshCentral dhe do të jetë e mundur të bëni diçka me të.

Së pari: duhet të dini se softueri ynë nuk do të lidhet me serverin e largët thjesht ashtu. Kjo është për shkak se Intel AMT ka dy mundësi lidhjeje — përmes serverit të largët dhe drejtpërdrejt lokal. Ato nuk funksionojnë njëkohësisht. Skripti ynë tashmë e ka konfiguruar sistemin për punë të largët, por ju mund të nevojitet të lidheni lokal. Për ta bërë këtë, ju duhet të

shkruani një varg që është domeni juaj lokal (kuptoni që skripti ynë aty KANË VËNË një varg rastësor për të mundësuar lidhjen e largët) ose ta pastroni të gjitha vargjet krejt (por atëherë lidhja e largët nuk do të jetë e mundur). Për shembull, unë në OpenWrt kam domenin lokal si lan:

Prandaj, nëse shkruajmë lan atje, dhe nëse makina jonë është e lidhur në një rrjet me këtë domen lokal, lidhja nga larg do të jetë e pamundur, ndërsa portet lokale 16992 dhe 16993 do të hapen dhe do të pranojnë lidhje. Në përmbledhje, nëse aty ka diçka që nuk ka lidhje me domenin tuaj lokal, atëherë software-i do të punojë, përndryshe ju duhet të lidheni me të vetë përmes kabllit, ky është gjithë qëndrim.

Së dyti:

Gati!

Ju do të pyesni – ku është AntiTheft këtu? Siç e thashë nga fillimi – Intel AMT nuk është shumë i përshtatshëm për të luftuar me hajdutët. Të menaxhosh një rrjet zyrar – është gjithçka në rregull, por të luftosh me individë që kanë marrë pa të drejtë pronën përmes internetit – nuk është shumë efektiv. Le të shqyrtojmë mjetet që, në teori, mund të na ndihmojnë në mbrojtjen e pronës private:

1. Vetë fakti i qasshmërisë së një makine, nëse është e lidhur me kabllo, ose, nëse ka instaluar Windows, atëherë edhe përmes WiFi. Po, është fëmijëri, por përdorimi i një laptopi të tillë nga një person i zakonshëm është shumë i vështirë, edhe nëse dikush papritur merr kontrollin. Megjithatë, pavarësisht se unë nuk arrita të kuptoj skriptet, ka shumë mundësi për të krijuar ndonjë funksionalitet për bllokimin/notifyrimin.
2. Shlyerja e sigurt me Intel Active Management Technology

   
   
   Me këtë opsion mund të fshini të gjitha informacionet nga makina për sekonda. Nuk është sqaruar nëse është e mundur për SSD të ndryshme nga Intel. Ja këtu mund të lexoni më në detaje për këtë funksion. Mund ta shihni punën e saj këtu. Cilësia është e keqe, por vetëm 10 megabajt dhe kuptimi është i qartë.

Problemi i ekzekutimit të vonuar mbetet i pazgjidhur, në fjalë tjetër: duhet të monitoroni kur makina të hyjë në rrjet për të realizuar lidhjen me të. Mendoj se gjithashtu duhet të ketë një zgjidhje për këtë.

Në një realizim ideal duhet të bllokoni laptopin dhe të shfaqni një mesazh, por në rastin tonë, ne thjesht kemi akses të pakontestueshëm, dhe si të veprojmë më tej – është çështje fantazie.

Ndoshta ju do të mund ta bllokoni makinën ose të paktën të shfaqni një mesazh, na shkruani nëse e dini. Faleminderit!

Mos harroni të vendosni një password në BIOS.

Faleminderit përdoruesit berez për rishikimin!

Burimi: habr.com