110

Google想干掉服务器上的Intel ME和私有UEFI

 6 years ago
source link: http://www.solidot.org/story?sid=54291
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.

Google想干掉服务器上的Intel ME和私有UEFI

solidot新版网站常见问题，请点击这里查看。

Google想干掉服务器上的Intel ME和私有UEFI

pigsrollaroundinthem (39396)发表于 2017年10月28日 21时40分 星期六 新浪微博分享 豆瓣分享
来自
HardenedLinux 写道 " 近日在捷克布拉格举行的 Open Source Summit 上 Google 的工程师 Ron Minnich 谈到面对 Intel ME 和私有 UEFI 实现时 Google 感到很害怕，Google 目前和其他一些厂商以及自由软件社区合作开发基于自由固件 coreboot 一个叫 NERF 的项目，NERF 是一个基于 Linux 内核的变种作为 coreboot 的 payload 运行在固件启动阶段，借鉴了之前另外一个名为 HEADS 的 coreboot payload 实现，因此 NERF 在固件阶段可以非常灵活的定制各类操作。coreboot 是一个完全开放源代码的固件项目所以不存在不可审计的问题（闭源固件的二进制审计成本过高），另一方面，coreboot 相比私有 UEFI 大大降低了攻击平面。Intel ME 方面，虽然今天很多应用是运行于 ME 平台上，但其安全方面不仅存在漏洞的风险，更存在后门的风险，所以一般核运行核心业务的机器都会禁用，这也是为什么 NSA 在作为可信保障规划的 HAP 项目中也禁用了 Intel ME。HardenedLinux 社区的基础平台防御方案 Hardening the COREs 在最极端的场景下不仅开启 HAP bit（学习 NSA 的做法）禁用 Intel ME，同时也删除必要代码模块以外的所有模块包括 AMT 和 SGX，云计算场景中诱人的 feature 比如基础资产管理和 remote attestation 可以通过 OS 层面的实现和 meansuredboot+TPM 来实现，虚拟化层面则配合 PaX/Grsecurity 和定制 SMI 实现联动防御对抗逃逸和测信道，内核本身的加固可以参考 PaX/Grsecurity 的特性根据业务场景和威胁建模进行适配，只有当 RING 0 到 RING -3 的基础防御问题得到有效解决时我们才有精力真正意义上去 hacking RING -4 的世界，这次是真的应该给 Google 点个赞了;-)"
「星期六」 Hello Saturday

Google想干掉服务器上的Intel ME和私有UEFI

HardenedLinux 写道 " 近日在捷克布拉格举行的 Open Source Summit 上 Google 的工程师 Ron Minnich 谈到面对 Intel ME 和私有 UEFI 实现时 Google 感到很害怕，Google 目前和其他一些厂商以及自由软件社区合作开发基于自由固件 coreboot 一个叫 NERF 的项目，NERF 是一个基于 Linux 内核的变种作为 coreboot 的 payload 运行在固件启动阶段，借鉴了之前另外一个名为 HEADS 的 coreboot payload 实现，因此 NERF 在固件阶段可以非常灵活的定制各类操作。coreboot 是一个完全开放源代码的固件项目所以不存在不可审计的问题（闭源固件的二进制审计成本过高），另一方面，coreboot 相比私有 UEFI 大大降低了攻击平面。Intel ME 方面，虽然今天很多应用是运行于 ME 平台上，但其安全方面不仅存在漏洞的风险，更存在后门的风险，所以一般核运行核心业务的机器都会禁用，这也是为什么 NSA 在作为可信保障规划的 HAP 项目中也禁用了 Intel ME。HardenedLinux 社区的基础平台防御方案 Hardening the COREs 在最极端的场景下不仅开启 HAP bit（学习 NSA 的做法）禁用 Intel ME，同时也删除必要代码模块以外的所有模块包括 AMT 和 SGX，云计算场景中诱人的 feature 比如基础资产管理和 remote attestation 可以通过 OS 层面的实现和 meansuredboot+TPM 来实现，虚拟化层面则配合 PaX/Grsecurity 和定制 SMI 实现联动防御对抗逃逸和测信道，内核本身的加固可以参考 PaX/Grsecurity 的特性根据业务场景和威胁建模进行适配，只有当 RING 0 到 RING -3 的基础防御问题得到有效解决时我们才有精力真正意义上去 hacking RING -4 的世界，这次是真的应该给 Google 点个赞了;-)"

pigsrollaroundinthem 发表于

2017年10月28日 21时40分



已经集中起来的权力不会由于创造它的那些人的良好愿望而变为无害。--弗里德曼

本站提到的所有注册商标属于他们各自的所有人所有，评论属于其发表者所有，其余内容版权属于 solidot.org(2009-2022) 所有 。

京ICP证161336号    京ICP备15039648号-15 北京市公安局海淀分局备案号：11010802021500

举报电话：010-62641205-5060　涉未成年人举报专线：010-62641208 举报邮箱：[email protected]　网上有害信息举报专区：https://www.12377.cn


report

Recommend

About Joyk


Aggregate valuable and interesting links.
Joyk means Joy of geeK