Возможно ли защититься от гипервизора в материнской плате?

4

4

С целью получения полного контроля над вычислительной системой может быть использована технология аппаратной виртуализации.

В составе задач гипердрайвера:

сохранить работоспособность в любой программной среде;
остаться незамеченным для любых программных средств, загруженных на вычислительную установку;
постоянно контролировать выбранные аппаратные и программные объекты в вычислительной среде.

Во все серверные материнские платы Intel встроен блок менеджмента системы. В его составе присутствуют три отдельных микросхемы Flash-памяти, аппаратура для шифрования их содержимого. Таким образом, программы для сервисного процессора зашифрованы.

Малый объем кода гипердрайвера обеспечивает возможность сохранения в BIOS, при этом он может быть обнаружен только на внешнем программаторе, в большинстве случаев при условии выпаивания микросхемы Flash-памяти из материнской платы. Найти программный код гипердрайвера не представляется возможным без применения криптографических методов.

Возможно ли защититься от гипервизора в материнской плате?
Если возможно, то каким образом?

Ссылка

←	Безопаснее ли иметь собственный linux from scratch?

подозрительная активновсть cron & root

→

В Хацкере была статья якобы от имени мужика, который якобы обнаружил подобное в каких-то материнках. В конце этой статьи были вполне здраво выглядящие советы по обнаружению гипервизора.

tailgunner ★★★★★
(06.03.13 00:15:21 MSK)

Ответ на: комментарий от tailgunner 06.03.13 00:15:21 MSK

Китайские закладки: непридуманная история о виртуализации, безопасности и шпионах

~~science~~ ★★☆
(06.03.13 00:21:14 MSK)

Ответ на: комментарий от science 06.03.13 00:21:14 MSK

Да, она.

tailgunner ★★★★★
(06.03.13 00:32:16 MSK)

Ссылка

Ответ на: комментарий от science 06.03.13 00:21:14 MSK

science
Китайские закладки: непридуманная история о виртуализации, безопасности и шпионах

Ссылка на данную статью была указана мною в самом начале:

Cypher
Во все серверные материнские платы Intel встроен блок менеджмента системы.

Deleted
(06.03.13 00:54:33 MSK)

Ответ на: комментарий от Deleted 06.03.13 00:54:33 MSK

Ссылка на данную статью была указана мною в самом начале:

Ага, как будто кто-то по этим ссылкам ходит. По теме: тебе сюда. Там нет вражеских закладок. Только отечественные, одобренные.

i-rinat ★★★★★
(06.03.13 01:01:30 MSK)

Ссылка

Емнип, читал про такую уязвимость. Дескать зловред получает режим гипервизора в процессоре и запускает основную систему в качестве виртуальной машины. При этом система об этом никак догадаться не может, а зловред может копаться в любых данных

marvin_yorke ★★★
(06.03.13 01:08:30 MSK)

Ответ на: комментарий от marvin_yorke 06.03.13 01:08:30 MSK

получает режим гипервизора

от рута запускать?

punya ★★
(06.03.13 01:15:49 MSK)
Последнее исправление: punya 06.03.13 01:16:07 MSK (всего исправлений: 1)

Ответ на: комментарий от punya 06.03.13 01:15:49 MSK

от рута запускать?

http://ru.wikipedia.org/wiki/System_Management_Mode

i-rinat ★★★★★
(06.03.13 01:33:44 MSK)

Ответ на: комментарий от i-rinat 06.03.13 01:33:44 MSK

http://ru.wikipedia.org/wiki/System_Management_Mode

make menuconfig -> Supervisor Mode Access Prevention

Darkman ★★★
(06.03.13 13:10:10 MSK)

Ответ на: комментарий от Darkman 06.03.13 13:10:10 MSK

make menuconfig -> Supervisor Mode Access Prevention

И как это защитит от кода в firmware, который выполняется до загрузчика?

i-rinat ★★★★★
(06.03.13 13:34:47 MSK)

Ответ на: комментарий от marvin_yorke 06.03.13 01:08:30 MSK

При этом система об этом никак догадаться не может

Вроде как есть эвристики типа «украденного время».

gag ★★★★★
(06.03.13 14:43:12 MSK)

Ссылка

Ответ на: комментарий от marvin_yorke 06.03.13 01:08:30 MSK

Рутковска наше все, ага

leave ★★★★★
(06.03.13 15:15:31 MSK)

Ссылка

Ответ на: комментарий от i-rinat 06.03.13 13:34:47 MSK

И как это защитит от кода в firmware, который выполняется до загрузчика?

От этого, никак. Оно не даст пролезть потом, естественно.

Darkman ★★★
(06.03.13 15:27:04 MSK)

Ссылка

Ответ на: комментарий от marvin_yorke 06.03.13 01:08:30 MSK

То есть двойная виртуализация возможна?

Rosko ★
(06.03.13 15:28:06 MSK)

Ответ на: комментарий от Rosko 06.03.13 15:28:06 MSK

в смысле запустить виртуальную машину в виртуализированной системе? не знаю, не берусь заявлять

marvin_yorke ★★★
(06.03.13 16:02:15 MSK)

Ответ на: комментарий от marvin_yorke 06.03.13 16:02:15 MSK

В теме это описывается. Читал, что это невозможно. Интересный поворот, теперь все будут искать материнки с закладками, ломать их чтобы получить двойную виртуализацию.

Rosko ★
(06.03.13 16:06:32 MSK)

Ссылка

Ответ на: комментарий от Rosko 06.03.13 15:28:06 MSK

То есть двойная виртуализация возможна?

nested virtualization? Уже некоторое время такое должно работать.

gag ★★★★★
(06.03.13 16:24:19 MSK)

Ссылка

Крайне сомнительная статья.
Нет абсолютно никакой конкретики. Не названы даже модели материнских плат, о чем его неоднократно просили в комментариях.
Вот он пишет «Далее я узнал из документации, что программы на флеш-микросхеме блока ВМС зашифрованы». Хорошо, BMC firmware можно скачать с интеловского сайта. Бегло просмотрев, не обнаружил там ничего зашифрованного. Зашифрованные данные обычно очень рандомные и их легко заметить. Там же больше похоже на обычный код загрузчика, сжатое Линуксовое ядро и initrd в виде сжатой romfs.
Ладно, допускаем, что в прошивках на интеловском сайте нет зашифрованного кода, а он был только в экземпляре платы, оказавшейся у автора. Тогда почему автор не выложил образ? Наверняка, мог бы его считать в программаторе. Ладно, допускаю, что не мог - возможно, там такая хитрая железка, что не считаешь даже в программаторе, если только не знаешь, что конкретно делать. Тогда на каком основании он пишет, что код зашифрован?
Далее автор делает вывод, что там задействован неизвестный механизм виртуализации. И вместо того. чтобы сделать все, чтобы его раскопать (а этим можно снискать гораздо большую известность, чем печатая сомнительные статейки в Ксакепе), автор, наоборот, опускает руки. Видите ли, его остановило шифрование, про которое он прочитал в документации.

К тому же, если автор статьи о китайских закладках в Ксакепе тот же самый, что и в статьях про красную пилюлю на vmgu.ru, то возникает сомнение в его профессионализме: какие-то идиотские программки без исходников на Турбо-Паскале, которые работают только на AMD, а на Intel просто виснут...

bigbit ★★★★★
(07.03.13 20:10:10 MSK)

Ссылка

Возможно ли защититься от гипервизора в материнской плате?

Главное не забыть про гипервизоры в процессоре, ram, hdd, сетевой карте wai oh shi------~~~~NO CARRIER

anonymous
(07.03.13 20:27:57 MSK)

Ссылка

Don't use intel, Luke.

anonymous
(08.03.13 05:23:25 MSK)

Ссылка

вот тут более полная история. оказалось, что тут замешаны и сша, и фсб. +1 в копилку параноиков

Andersen ★★
(08.03.13 08:38:24 MSK)

Ссылка

остаться незамеченным для любых программных средств, загруженных на вычислительную установку;

постоянно контролировать выбранные аппаратные и программные объекты в вычислительной среде.

вот почему новые атомы по производительности как третий пень!

PS: а я думал - потому-что жрут мало. А оно вот ведь как.

~~drBatty~~ ★★
(08.03.13 09:37:29 MSK)
Последнее исправление: drBatty 08.03.13 09:41:17 MSK (всего исправлений: 1)

Ссылка

И еще к вопросу о профессионализме автора.
В начале статьи он пишет, что «система, в которой аппаратура виртуализации применялась бы для высокопроизводительных вычислений, не создана до сих пор».
Вообще-то создана, уже лет 10 тому как. С масштабированием там не все хорошо, но это уже другой вопрос.
http://www.scalemp.com

Если бы аффтар был спецом в области высокопроизводительных вычислений, которого он из себя пытается строить, он бы об этом знал.

bigbit ★★★★★
(08.03.13 15:12:25 MSK)

Ответ на: комментарий от bigbit 08.03.13 15:12:25 MSK

http://www.scalemp.com

узнал об этой технологии только в 2012 прочитав пару тонн страниц поиска гугла. Нужно быть упоротым с кучей свободного времени, чтобы все знать.

Rosko ★
(08.03.13 15:19:55 MSK)

Ответ на: комментарий от bigbit 08.03.13 15:12:25 MSK

И еще к вопросу о профессионализме автора.

может ты мне расскажешь, каким образом скажем мой секретный пароль будет считан гипервизором с клавиатуры, и отправлен прямиком в ZOG?

~~drBatty~~ ★★
(08.03.13 15:22:48 MSK)

Ссылка

Ответ на: комментарий от Rosko 08.03.13 15:19:55 MSK

узнал об этой технологии только в 2012 прочитав пару тонн страниц поиска гугла. Нужно быть упоротым с кучей свободного времени, чтобы все знать.

можно быть просто «спецом в области высокопроизводительных вычислений». Они такое _должны_ знать. Я в своей области тоже много такого знаю, о чём ты даже на первых 100 страницах гугла не найдёшь. Ибо ты не умеешь задавать правильных вопросов, а на метод тыка не хватит и всей жизни.

~~drBatty~~ ★★
(08.03.13 15:25:30 MSK)