La rebelión del Hardware. Un espía en tu portátil

"A medida que pase el tiempo, éstos, como todos los hombres, descubrirán que la independencia no fue hecha para el hombre, que es un estado antinatural, que puede sostenerse por un momento pero no puede mantenernos a salvo hasta el fin". - Extraído de "Un mundo Feliz" de Aldous Huxley, escrito en 1932.

Normalmente trabajo fuera de la oficina, visito a clientes y me resulta mucho más interesante utilizar un ordenador portátil. El mío, un Lenovo T570 de hace ya seis años. Era un auténtico maquinón entonces. Sigue siendo rápido y no tengo interés en un cambio rápido.

Cada poco vengo leyendo sobre nuevas funcionalidades y me llamó poderosamente la atención el Intel Management Engine, una herramienta que permite a los técnicos de IT actualizar remotamente los equipos sin la intervención del usuario. Leyendo más profundamente y, sobre todo, escuchando al mundo de los hackers que tienen una preocupación alta por la privacidad y por ende, de la seguridad, empecé a preocuparme: Intel Management Engine, AMD PSP: ¿Amenaza a la Privacidad?

El Intel Management Engine (ME) y su contraparte en AMD, el AMD Platform Security Processor (PSP), son tecnologías de administración de hardware que ofrecen potentes capacidades de gestión remota. Tienen un sistema Operativo propio que tiene prioridad sobre el Sistema Operativo de usuario (Windows o Linux). Aunque su propósito es facilitar la administración de sistemas a nivel empresarial, también permitiría a cualquier agencia gubernamental, tomar control remoto del equipo, sin que el usuario se diese cuenta. Este sistema tiene control total sobre el hardware y permite visualizar la cámara, escuchar por el micrófono, incluso poner o quitar archivos en el equipo sin que el usuario lo detectase.

El Intel Management Engine (IME) es un subsistema dentro de los procesadores Intel que ejecuta su propio sistema operativo, denominado Minix 3, un sistema operativo en tiempo real basado en UNIX, que es extremadamente ligero y diseñado para operar con un uso mínimo de recursos.

El AMD PSP (Platform Security Processor) es el equivalente de Intel ME en los procesadores AMD, y está basado en un núcleo ARM Cortex-A5 con un sistema operativo propietario y ligero que controla la seguridad del procesador y otros aspectos del hardware.

Riesgos de Seguridad en Intel ME y AMD PSP

Estas tecnologías funcionan a nivel de hardware, independientes del sistema operativo, lo que significa que tienen acceso privilegiado a la máquina, incluso si el sistema operativo no está operativo o ha sido comprometido, incluso apagado. Razones de la preocupación:

1. Acceso no autorizado: Intel ME y AMD PSP permiten la gestión remota de dispositivos sin intervención del usuario. En caso de ser explotadas por actores malintencionados, estas tecnologías podrían usarse para tomar control del equipo sin que el usuario lo detecte.

2. Puerta trasera oculta: Intel ME y AMD PSP operan como "cajas negras" en los sistemas, ya que su funcionamiento es en gran parte inaccesible para los usuarios comunes. Las vulnerabilidades en estas tecnologías, como ha ocurrido en el pasado, podrían crear puertas traseras (backdoors) para atacantes o para Agencias.

3. Supervisión fuera de banda (OOB): Estas tecnologías permiten monitoreo y control de dispositivos incluso cuando están apagados, lo que deja abierta la posibilidad de que las actividades de los usuarios sean monitoreadas sin su conocimiento, representando una grave violación a la privacidad.

4. Imposibilidad de deshabilitar completamente: En muchas plataformas, Intel ME y AMD PSP no pueden ser completamente deshabilitados por el usuario, lo que significa que estas tecnologías están siempre activas.

¿Es Posible Deshabilitar Intel ME y AMD PSP?

Aunque tanto Intel como AMD han habilitado ciertas configuraciones que permiten limitar el acceso de estas tecnologías, deshabilitarlas completamente es una tarea compleja. Para Intel, en ciertas placas base (principalmente enfocadas en entornos corporativos) es posible deshabilitar parcialmente ME a través de configuraciones BIOS, pero no se elimina completamente. En AMD PSP ocurre algo similar: no se puede deshabilitar por completo, aunque es posible limitar algunas de sus funcionalidades.

Existen métodos de mitigación como la herramienta ME Cleaner que puede reducir el tamaño y funcionalidad del Intel ME, pero no ofrece una eliminación completa, lo que implica que aún podría ser explotado.

Alternativas a Intel ME y AMD PSP

Dado que Intel ME y AMD PSP están integrados en la mayoría de las plataformas modernas de Intel y AMD, los usuarios que buscan mayor control y transparencia sobre su hardware deben buscar alternativas libres de estos componentes de administración remota.

Afortunadamente, hay varias opciones que ofrecen dispositivos con hardware más abierto y sin estas tecnologías de control remoto.

Alternativas de Mercado Libres de Intel ME y AMD PSP:

• Purism (Librem laptops): Los equipos Librem de Purism están diseñados con un enfoque centrado en la privacidad y la seguridad. Utilizan procesadores Intel, pero han logrado deshabilitar y neutralizar el Intel ME en sus dispositivos. Además, ofrecen interruptores físicos para desconectar la cámara, el micrófono y otras interfaces vulnerables. Gestión: Purism usa el sistema operativo PureOS, basado en Linux, y no implementa ninguna forma de administración remota a nivel de hardware, lo que significa que el control sobre el equipo recae totalmente en el usuario. También tienen otras alternativas libres para cámaras y para teléfonos móviles.

• System76 (Laptops y Desktops): System76 ofrece equipos con un enfoque en software y hardware de código abierto. Aunque también utilizan hardware Intel, han trabajado en la eliminación o neutralización del Intel ME en sus dispositivos. Su sistema operativo Pop!_OS está basado en Linux, y no contiene tecnologías de gestión remota fuera de banda. Gestión: Pop!_OS y otras distribuciones Linux permiten una administración total por parte del usuario sin backdoors o sistemas ocultos.

• Raptor Computing (Talos II): La serie Talos II de Raptor Computing utiliza procesadores POWER9 y se destacan por ser completamente abiertos, sin tecnologías propietarias como Intel ME o AMD PSP. No son equipos portátiles, sólo desktops y servidores. Además, el firmware y el BIOS en estas máquinas son de código abierto, lo que permite a los usuarios auditar y controlar completamente su hardware. Gestión: POWER9 permite una gestión completamente transparente, sin puertas traseras ni administración remota fuera de banda.

• Pine64 (PineBook Pro): El PineBook Pro es una opción económica y open-source, que no incluye Intel ME ni AMD PSP, ya que está basado en una arquitectura ARM de código abierto. Aunque sus especificaciones son más modestas, es una alternativa sólida para aquellos que priorizan la privacidad. Gestión: Los dispositivos Pine64 permiten el uso de sistemas operativos de código abierto como Manjaro ARM y otros basados en Linux, con gestión completamente en manos del usuario.

Gestión de Sistemas en Alternativas de Hardware Abierto

En estos sistemas, la gestión recae completamente en el usuario o el administrador del dispositivo, sin la intervención de procesos invisibles de administración remota. Además, muchos de estos equipos utilizan sistemas operativos basados en Linux, como Debian, Ubuntu, PureOS o Pop!_OS, que proporcionan un control total sobre el software y las configuraciones del sistema. Ventajas:

• Transparencia total: El hardware y software son audibles y configurables por el usuario, sin procesos ocultos que puedan comprometer la privacidad.

• Control total del sistema: No hay capacidades de gestión fuera de banda, lo que garantiza que los equipos solo pueden ser controlados localmente o por el propio usuario a través de herramientas de código abierto.

¿Es posible deshabilitar estos sistemas?

En el caso de las alternativas como Purism, System76 o Raptor, los usuarios tienen la capacidad de deshabilitar y gestionar todas las funciones del sistema operativo y del hardware. Dado que no incluyen tecnologías ocultas como Intel ME o AMD PSP, el control es completo y no dependen de servicios de administración remota.

Aunque tecnologías como Intel ME y AMD PSP pueden ofrecer grandes ventajas en términos de gestión empresarial, también representan graves riesgos para la seguridad y la privacidad de los usuarios, al proporcionar acceso fuera de banda que escapa al control del sistema operativo. Para quienes buscan evitar estas vulnerabilidades, existen alternativas de hardware libre que eliminan estas tecnologías de gestión remota y proporcionan a los usuarios mayor control y transparencia sobre sus dispositivos, asegurando que no existen puertas traseras a nivel de hardware.

En siguientes capítulos veremos elementos similares en las Smart-TV o Teléfonos móviles. La privacidad puede ser un poco más incómoda, pero es inmensamente más segura e impide a terceros, incluso Agencias Gubernamentales a mantener sus narices fuera de nuestros dispositivos.