El Intel Management Engine

"Contraseñas fuertes, defensas sólidas"

"Vigilancia constante, seguridad continua"

"Un clic puede cambiarlo todo. Sé consciente"

"Conexiones seguras, datos seguros"

"La seguridad no es opcional, es esencial"

"No temo a los ordenadores; lo que temo es quedarme sin ellos" - Isaac Asimov

"La ciberseguridad no es sólo tecnología, sino también personas" - Kevin Mitnick

"Si tu empresa gasta más en café que en seguridad TI, serás hackeado"

Tienes un portátil que compraste en un centro comercial, tienes antivirus (no siempre sinónimo de seguridad), utilizas una VPN, estás concienciado sobre la seguridad, el administrador del sistema actualiza regularmente los parches de seguridad. ¿Estoy seguro?. La respuesta es que no. Los propios fabricantes están jugando un juego peligroso imponiendo funcionalidades que permiten un control remoto apto para que cualquier organismo como CNI o NSA puedan tomar control remoto de tu cámara, de tu micrófono o del resto de tu hardware.

IME

El Intel Management Engine (IME) es un subsistema autónomo integrado en muchos procesadores Intel desde 2008. Está diseñado para facilitar la administración remota de equipos, principalmente en entornos empresariales, y proporciona una serie de características y servicios para la gestión de sistemas, incluso cuando el sistema operativo principal no está funcionando o el equipo está apagado.

Características del Intel Management Engine

Subsistema Autónomo: IME es un microcontrolador independiente que funciona de manera autónoma en el procesador principal. Ejecuta su propio sistema operativo, que históricamente ha sido una versión reducida de MINIX, un sistema operativo basado en Unix.

Acceso al Hardware: Tiene acceso directo a varios componentes de hardware, como la memoria, el almacenamiento, la red y el procesador, permitiéndole realizar funciones de gestión sin la intervención del sistema operativo principal.

Funciones de Gestión Remota: El IME permite a los administradores de TI realizar una variedad de tareas, como actualizar firmware, diagnosticar problemas de hardware, y controlar o recuperar sistemas de manera remota. Puede funcionar incluso cuando el equipo está apagado, siempre que esté conectado a una fuente de alimentación y a la red.

Implicaciones en la Vigilancia Remota y Privacidad

Control Remoto sin Intervención del Usuario: Debido a sus capacidades, el IME puede, en teoría, permitir que un tercero (con los privilegios adecuados) tome el control remoto de una computadora sin que el usuario lo sepa o pueda intervenir. Esto ha generado preocupaciones sobre la privacidad y la seguridad.

Privilegios sobre el Sistema Operativo: El IME opera de manera independiente del sistema operativo principal, lo que significa que tiene un nivel de acceso al hardware que es más privilegiado que el del propio sistema operativo. Esto incluye la capacidad de acceder a la red, manipular la memoria, y realizar operaciones de entrada/salida sin el conocimiento o el consentimiento del sistema operativo o del usuario.

Vulnerabilidades y Explotaciones: Dado que el IME tiene acceso de bajo nivel al hardware, cualquier vulnerabilidad en su software podría potencialmente ser explotada por atacantes para comprometer un sistema. Ha habido casos documentados de vulnerabilidades en el IME que podrían permitir a un atacante obtener acceso no autorizado a una máquina.

Gestión y Configuración del Intel Management Engine

Configuración: La configuración del IME generalmente se realiza a través del BIOS/UEFI del sistema. Los administradores pueden habilitar o deshabilitar ciertas características, aunque la desactivación completa del IME no siempre es posible, y en algunos casos, puede no ser viable sin afectar la funcionalidad del equipo.

Actualizaciones: El firmware del IME puede ser actualizado por Intel o por el fabricante del hardware a través de actualizaciones de BIOS/UEFI. Estas actualizaciones son críticas para corregir posibles vulnerabilidades.

Interacción con el Sistema Operativo: Aunque opera de manera independiente, el IME puede interactuar con el sistema operativo para proporcionar funciones de gestión. Sin embargo, el sistema operativo principal no tiene control sobre el IME ni puede deshabilitarlo o modificar su comportamiento.

Implicaciones y Preocupaciones

Privacidad y Seguridad: La existencia de un subsistema con acceso privilegiado que opera de manera independiente del usuario y del sistema operativo ha generado preocupaciones significativas sobre la privacidad. Teóricamente, esto podría ser explotado para vigilancia remota o para ejecutar código malicioso sin el conocimiento del usuario.

Control y Transparencia: Debido a que el IME es una tecnología cerrada de Intel, hay una falta de transparencia en cuanto a su funcionamiento interno, lo que ha llevado a críticas de parte de la comunidad de seguridad informática. Algunos usuarios avanzados y organizaciones han expresado su preocupación por la imposibilidad de auditar completamente el código que ejecuta el IME.

Alternativas y Desactivación: Aunque existen herramientas y métodos para intentar deshabilitar parcialmente el IME, estos no son oficialmente soportados por Intel y pueden comprometer la funcionalidad del sistema. La falta de una opción oficial para deshabilitar completamente el IME es una de las críticas más fuertes.

Eliminar, neutralizar o mitigar el Intel Management Engine

Algunas comunidades y proyectos han desarrollado métodos para "neutralizar" el IME, lo que significa reducir su funcionalidad al mínimo indispensable para que el sistema siga funcionando:

ME_Cleaner: Este es un proyecto de software de código abierto que modifica el firmware del IME para desactivar o reducir su funcionalidad. El proceso es complejo y requiere conocimientos técnicos avanzados.

Requiere programación: Necesitas reprogramar el chip de firmware del IME, lo que generalmente implica extraer el firmware, aplicar las modificaciones con ME_Cleaner y luego volver a cargar el firmware modificado.

Riesgos: Este proceso es arriesgado, pero se puede realizar eliminando este ·espía de serie.

Utilización de CPUs sin IME

En algunos casos, podrías considerar el uso de hardware que no incluya el IME, aunque estas opciones son limitadas:

• CoreBoot: Es un firmware de código abierto que puede reemplazar el BIOS propietario en algunas plataformas. En ciertas configuraciones, puede reducir la dependencia del IME.

• Procesadores Libres de ME: Algunas versiones especiales de procesadores Intel para servidores y sistemas embebidos, o procesadores de otros fabricantes (como AMD con PSP, aunque tiene un sistema similar) pueden ofrecer soluciones con menor o nula implementación de IME.

Sistemas Operativos Open Source

Utilizar sistemas operativos que ofrecen mayor control y transparencia sobre el hardware:

• Qubes OS o PureOS: Son sistemas operativos enfocados en la seguridad que buscan minimizar los riesgos de componentes de hardware no auditables, como el IME.

Advertencias y Consideraciones

No hay una desactivación completa: En la mayoría de los casos, el IME no puede ser completamente eliminado o desactivado sin comprometer la funcionalidad del sistema. La neutralización mediante herramientas como ME_Cleaner solo reduce su funcionalidad.

Riesgo de daño permanente: Las modificaciones en el firmware, si no se realizan correctamente, pueden "brickear" tu sistema, dejándolo inoperable.

Complejidad Técnica: Estas soluciones suelen requerir un alto nivel de conocimiento técnico. No son recomendadas para usuarios sin experiencia en firmware o hardware.

Compatibilidad: Incluso si logras reducir el IME, podrías enfrentarte a problemas de compatibilidad con algunas funciones de tu hardware, especialmente en entornos corporativos que dependen de la gestión remota.

Aunque puedes intentar reducir la funcionalidad del IME utilizando métodos como ME_Cleaner, estos procesos son arriesgados y complejos. Una eliminación completa o un control total sobre el IME no es práctico en la mayoría de las situaciones debido a su integración profunda en el hardware y su importancia para la funcionalidad básica del sistema.

Hago las advertencias, expongo los riesgos. Ahora, la opción es tuya.