研究人员找到禁用Intel ME组件的方法（乡村故事版）

本文试图以故事形式还原PositiveTechnologies公司找到禁用IntelME组件方法的消息，祝各位阅读愉快。

（1）清晨鸡鸣响彻天

喔喔喔~喔喔喔~

2017年8月的某天早上，不到6点，鸡鸣声就划破了位于鸡鸣山山脚下一个网络小镇的天空。今天，这个小镇似乎跟平时并无不同之处，除了村里的大喇叭在公鸡的三声打鸣之后也响了起来：

“网络小镇的各位村民朋友请注意，请大家相互转告，带上小板凳，6点半在村民委员会集合，有重要事情宣布……”

“叮——”大多数村民加入的手机兰心群里已此起彼伏。只见内容铺天盖地而来，不久就有几十条冒了出来，不过刷屏的基本是以下内容：

啥事儿啊

+1

不造

+1

呼叫群主

有贵宾呗，不然咱网络小镇还用得着用村委会大喇叭惊啊，快麻溜儿地起床奔赴现场

于是，这个网络小镇就被一阵喇叭声催得沸腾起来，就像平时每隔10天赶集那样热闹。不一会，PositiveTechnologies （以下简称“PT”）、英特尔、多名安全专家以及群主、大爷大妈大叔大婶小伙子姑娘纷纷往大队走去。一路上大家说说笑笑好不热闹，不过英特尔看上去似乎愁云密布。有人打趣道，“英特尔，你是不是又熬夜了？你在咱这网络小镇也算没有功劳也有苦劳了。能歇一会就歇一会，还是要保重啊。”英特尔没接话茬，这跟平时能说会道的表现不符。

而PT则喜上眉梢，眼睛泛光，欣喜之情藏都藏不住。他不时跟旁边的安全专家嘀嘀咕咕，好像在说什么悄悄话一样，有小伙儿就调皮地说，“真是好基友啊”。PT和安全专家们听了先是一楞，随后马上哈哈大笑。

（2）PT捷足先登

大家一落座，平时嘻嘻哈哈的村主任就轻拍了一下桌子，严肃地说，“今天这么早召集大家来是因为之前没有解决完的一件事最近有了新进展，希望大家一起探讨一下。”

于是大家又交头接耳起来。村主任说的是之前多名安全专家认为英特尔管理引擎(ME) 组件应被禁用的事。村主任看看PT，示意他站到前面。

于是，PT三步并作两步地走到前面，拼命抑制住内心的激动，快速而高昂地说道，“我找到禁用英特尔ME的方法了！”

PT的这句话丝毫不亚于“石破天惊逗秋雨”的效果。一多半人竟然激动地一边站起来一边鼓掌。而英特尔脸上掉下了豆大的汗珠，头发都被浸湿了，但没说话，似乎还在思索着什么。而也有一些人则是冷眼旁观，想看看PT到底有什么真把戏。

PT示意大家坐下，然后继续说道，“大家都知道，英特尔ME组件是一个内嵌在英特尔CPU中的单独处理器，它运行着自己的操作系统，其中进程、线程、内存管理器、硬件总线驱动、文件系统和其它组件一个也不少。

英特尔一直都宣称IntelME组件是让企业管理运行在内部网络中的计算机。Intel ME中的工具能让系统管理员远程中央单元监控、维护、更新、升级并修复计算机……”

（3）英特尔成众矢之的

“后门！后门！后门！”

PT的话还未说话，就从人群中传出一阵喧嚣。大家寻声望去，原来是多家公司听到PT这么一说正中下怀，再也沉不住气了。

“大家不要吵。”村主任慢悠悠但坚定有力地说道。然后朝铁青着脸的英特尔望去，眼光在询问是否要说些什么。

英特尔忽地站起来，神情似乎放松了一点，他轻轻呼了一口气，平静地说道，“在硬件层面，IntelME只是一个内嵌在平台控制单元(PCH) 芯片中的微控制器，处理真正的英特尔处理器和外部设备之间的所有通信。”

“因为位置的关系，所有的数据流都要经过IntelME，也就是系统管理员能够管理远程计算机。”又有人出来打岔了。

这一打岔可就控制不住了。瞬间又有人站起来，哼了一声说，“在了解这个组件可发挥何种重要作用的系统管理员小圈子外，IntelME的名声可是糟透了。”

“后门！后门！后门！”又有人在发声，这次引得除了英特尔和少数不明真相的群众外的一致鼓掌。“IntelME的固件没有记录而且被压缩了，好隐藏内容啊。”一波未平一波又起，又传来一句嘲弄。

这时，英特尔涨红了脸，不说话。纵使他想说也并没有机会了，在群里还聊得不显山不露水的人，到了实际生活中就真枪真炮地干起来了。

（4）很多专家尝试未果

村主任这时不得不站起身来，敲敲桌子，“静一下，大家不要着急。”并示意PT继续。

PT于是清了清嗓子，“我们并不知道IntelME里面到底有什么内容，所以很多安全专家都想方设法寻找禁用它的方法。”

“但是我们失败了，”一名坐在前排的安全专家接了话茬，“因为英特尔把ME组件交织到了启动进程中。IntelME负责初始化、电量管理和主处理机启动。”

“禁用IntelME会让计算机崩溃。正因如此，很多专家只能在不阻止启动进程的情况下尽量禁用能被禁用的部分，为ME组件瘦身。”PT继续说道，“但是——”

人们都伸长了脖子，等待令人期待的结果，或者说要看看PT到底卖的是什么关子。

（5）平地一声雷炸出NSA

PT兴奋得继续说，“但是，我们在固件代码中找到一个隐藏的比特！当把它设置为‘1’时，ME完成工作并启动主处理机后就会被禁用！”PT望着期待的目光，扶了扶眼镜，继续道，“这个比特的标签是’reserve_hap’，而从旁边的注释可看出它是‘高保证平台(HAP)启用’。”

“啊——”人群中发出一声声惊叹并扭头望向早已面红耳赤的英特尔。因为他们知道，HAP是老竞争对手NSA的一个计划，它为运行安全的计算平台描述一系列规则。

于是，安全专家确定英特尔是奉NSA之令增加了这个ME禁用比特！NSA想要一种禁用ME的方法以保证运行在高敏感环境中计算机的安全。ME或者固件中的任何漏洞都可能导致危险信息的泄露，显然NSA并不想冒这个风险。

（6）英特尔证实HAP禁用比特

英特尔这时看似是豁出去了，站起来异常平静地说，“为了响应具有特殊要求的客户请求，我们有时候会修改或禁用某些功能。这次我们所做的修改是为了响应设备厂商支持客户对美国政府HAP计划的支持。这些修改的验证周期有限并且并非是一个官方支持的配置。”

人们听完反而安静了下来。不少人怔怔地望着英特尔，内心如神情一般迷茫又无奈。有的人狠狠地掐灭烟头，放在地上狠命踩了几脚，像是要把烟头踩到地底下；有的人嘴里吸烟却从鼻子里冒了出来不置可否；还有的人瞬间石化，任凭烟头慢慢靠近已经发黄的手指头。各人心里都在盘算，听到有NSA的参与，听着英特尔毫不遮掩的话语，竟一时缓不过神来。

（7）道阻且长需等待

PT话锋一转，“虽然我们找到了禁用IntelME的方法，但是使用HAB禁用比特可能会带来风险，因为它并未经彻底测试。我们所描述的方法是有风险的，而且可能会损坏或毁坏计算机。想要这么做的人应该在有经验的硬件或固件专家的帮助下进行。”

“不过，我们的研究还是很及时的。”PT又充满信心地说到，“今年年初，研究人员在IntelME引擎中发现了一个漏洞，攻击者能够通过IntelME组件在远程计算机中执行代码。最近披露的CVE-2017-5689也让我们成就感满满！谢谢大家！”

PT话一说完，人群中就传来“好好好！”的呼叫声。但也有人还是对此云里雾里，瞬间感觉自己竟然像是个打酱油的；也有一些人特别高兴，毕竟之前自己虽然失败了，但是也是为PT铺路了啊。英特尔一个人默默地弹了弹身上的烟灰，趁人不注意悄悄地走出了村委会。

“好了，看来大家都明白了，也都有自己的看法。那就这样吧，大家散了吧。”村主任挥挥手，一低头不小心听到了自己的肚子叫，才想起还没吃早饭呢，就到中午了。

于是，鸡鸣山网络小镇又恢复了日常的安静和喧嚣。

参考链接：

https://www.bleepingcomputer.com/news/hardware/researchers-find-a-way-to-disable-much-hated-intel-me-component-courtesy-of-the-nsa/