En af de relativt få virksomheder, der leverer højtydende laptops med Linux som standard-styresystem, vil nu udrulle en opdatering, som deaktiverer Intel Management Engine på enhederne.
Det drejer sig om System76, der gør klar til at rulle ny firmware ud, der slår Intel-systemet fra. Tiltaget sker i kølvandet på flere historier om sårbarheder i Intels Management Engine.
System76 fortæller mere om planerne og baggrunden for tiltaget her i et blogindlæg.
Sårbarhederne er bekræftede af Intel, der har frigivet et værktøj, der kan bruges til at teste, om et system er sårbart. Intel oplyser desuden, at virksomheden har leveret patchede udgaver af den sårbare software til forskellige laptop-leverandører.
Ville det ikke give mening for folk at have disse ekstra lag af styresystemet deaktiveret? Privilegierne er meget høje og sikkerheden ikke er tilstrækkelig høj. Hvorfor ikke begynde at deaktivere det aktivt hos forskellige producenter?
Synes det er fedt System76 gør det. Jeg ville ønske det var muligt at købe en bærbar med Linux i Danmark. Har kun selv kunnet finde Dells XPS hvor det er muligt.
Hvis de kan deaktiveres kan det også re-aktiveres.
Jeg tror det der menes er fjernes. Dvs. så funktionaliteten er flashed væk, og det eneste chipsettet kan er at boote operativ systemet.
Ligesom i gamle dage.
Du er voldsomt optimistisk. Siden ACPI kom til, så kan chipsettet meget, meget mere end at boote. "BIOS" kan lægge ting ind som kører i system management mode, hvor de bare stjæler CPU-cykler fra computeren uden at operativsystemet kan se det. Eneste måde for operativsystemet at opdage det på er at se at der pludselig er gået nogle CPU-clocks uden at der er udført et passende antal OS- eller brugerkode-instruktioner. System management mode har fuld adgang til alt uden at bekymre sig om memory protection osv.
Og det har ikke noget med Intel Management Engine at gøre, desværre.
Den positive nyhed er at Dell også er begyndt at sælge laptops med IME slået fra. Men altså stadig med system management mode.
SMM er dog væsentligt mindre skræmmende end IME - det kører på din standard-CPU, og bliver sat op af BIOS/UEFI... dvs. kode som din motherboardproducent har indflydelse på.
Det er trods alt lidt mindre i scope end et styresystem der kører på en separat CPU med adgang til alt, der kan køre mens main CPU er i standby, og som kun Intel har indflydelse på.