Velký „bratr“


napsal Leo K

Motto:

…Ptal jsem se pak sám sebe, proč je to tak krásné. Proč je tanec krásný? Dá se odpovědět: protože to je nesvobodný pohyb, protože veškerý hluboký smysl tance je právě v absolutní estetické podřízenosti, v ideální nesvobodě. A je-li pravda, že se naši předkové oddávali tanci ve chvílích největšího zanícení (náboženské mystérie, vojenské přehlídky), znamená to jedině, že instinkt nesvobody je člověku odedávna vlastní, a my v našem dnešním životě jen uvědoměle… Budu muset dokončit později – cvakl numerátor. Zvedám oči. Ovšem, O-90. A za chviličku tu bude ona sama, abych s ní šel na vycházku.

Milá O! Vždycky mi připadalo, že se podobá svému jménu: deset centimetrů pod Mateřskou normu, a proto je celá do kulata vykroužená, a růžové O rtů se otvírá vstříc každému mému slovu. A má okrouhlý, kyprý záhyb na zápěstí, jako mívají děti.Když vstoupila, ještě ve mně naplno zvučel logický setrvačník a ze setrvačnosti jsem začal mluvit o své nejnovější definicí, která platí o nás všech, o strojích i o tanci.„To je krása, viďte?“ řekl jsem. „Ano. Jaro je překrásné,“ usmála se na mne růžově O-90. To se povedlo – jaro! Myslí, že jaro. Ty ženské! Nechal jsem toho.

Dole. Ulice je plná. Za takového počasí věnujeme obvykle odpolední Hodinu soukromí doplňkové vycházce. Jako vždycky vyhrával Hudební podnik všemi svými tlampači Pochod Jednotného státu. Ve vyrovnaných řadách, ve čtyřstupech si nadšeně do taktu vykračovala čísla, stovky, tisíce čísel v modrých uniformách se zlatými štítky na prsou – státním číslem každého a každé. A já – my čtyři – jsme jednou z nespočetných vln v tomto mohutném proudu. Po mém levém boku O-90 (kdyby to psal některý z mých chlupatých předků před tisíci lety, užil by o ní asi toho směšného slova „moje“); vpravo jakási dvě neznámá čísla, ženské a mužské…(Jevgenij Zamjatin, My)

Obvykle se k ilustraci dokonalé totality používá román George Orwella, 1984, který ho dopsal těsně před svou smrtí roku 1950. Víme, že byl ovlivněn Zamjatinovým románem My.

Orwell zemřel na tuberkulózu ve věku 46 let. Zvláštní na jeho postoji je to, že ačkoliv psal knihy o diktaturách komunistického typu, sám se cítil být socialistou, což dokazuje jeho citát: „Každou řádku, kterou jsem od roku 1936 napsal a která stojí za zmínku, jsem přímo či nepřímo psal proti totalitarismu a pro demokratický socialismus, jak jej chápu.

Mě fascinuje jeho o 30 let starší předobraz nejen pro svoji vyspělou literární úroveň, ale i uvěřitelnější stavbou. Orwellův příběh se odehrává v šedivém kasárenském prostředí, které je cizí dnešní konzumní společnosti, kdežto Zamjatinův se odehrává ve světě lesku, plných barev a (potlačovaných) emocí. Po vydání knihy My v zahraničí (anglicky 1925, česky 1927) byl doma perzekvován. V roce 1931 požádal v dopisu Stalinovi o povolení vystěhovat se, v roce 1932 mu to bylo za pomoci Maxima Gorkého umožněno. Odešel do Paříže. Obvykle se k těmto dílům přiřazuje Konec civilizace od Aldouse Huxleye a 451 stupňů Farenheita od Ray Bradburyho. Proč o těchto antiutopických dílech píšu?

24. března 2017 přinesl „proruský“ server AENews zprávu: Odin’s Eye: Víme, jak odposlouchávali Donalda Trumpa! – kde autor píše:

Procesory Intel používají vnitřní instrukční řadič, který se chová jako pseudointerpretr, který je nezávislý na vyšším operačním systému. Každá instrukce a stream package ze sběrnice je zdánlivě vykonán tak, jak je napsaný zkompilovaný program. Ve skutečnosti tomu tak není. Procesory Intel architektury Core “i” používají na úrovni procesoru vlastní operační systém umístěný na chipsetu. Nepředstavujte si ho jako operační systém Windows, spíše se podobá velmi ořezanému Linuxu a slouží k řízení chodu procesoru, svým založením je to řadič s programovací vrstvou a vlastním API sběrnice (microcontroller), slouží pro ovládání I/O prvků, můstků, ale hlavně se stará o vnitřní přerušení a zpracovávaní běžících programů. Nazývá se Intel Management Engine a je to nejnižší programovací vrstva, která běží na počítači platformy Intel. Vrstva je umístěna ještě níže, než leží BIOS, resp. BIOS běží právě přímo na vrstvě IME…

Hoax? Ne. Intel Management Engine (dále jenom IME) skutečně existuje a skutečně pije krev zvlášť té části linuxové komunity, která trvá na tom, že používané programy musí být svobodné a otevřené (to znamená, že mohou být uživatelem ve své funkčnosti upravované). Bezpečnostní expert Damien Zammit už v roce 2016 upozorňoval, že Intelovské procesory x86 mají tajná zadní vrátka, která nejsou přístupná a které nelze zrušit. Vše se točí kolem subsystému Intel IME využívajícího integrovaný 32bitový mikroprocesor ARC, jenž se nachází v čipové sadě a konkrétně v bývalém severním můstku, který je u moderních procesorů Intelu integrován přímo v CPU a provozuje firmware s uzavřeným kódem. Jde o obvod, který byl do procesorů Intel integrován v době prvních produktů řady Core iX. Zahrnuje vlastní procesor a operační systém (firmware) schopný fungovat i po vypnutí počítače a na nejnižší úrovni přistupovat k ostatním prostředkům počítače a to včetně komunikace po síti. Mezi oficiální důvody existence tohoto obvodu patří zabezpečení, správa úsporných režimů nebo možnost stahování aktualizací či mailů s „vypnutým“ počítačem.

Nikdo jiný než Intel k němu nemá mít přístup. Jde přitom o zcela nezávislý mikroprocesor a systém, který může pracovat i v době, kdy je hlavní procesor uspán a nachází se ve stavu S3 (čili suspend). V některých (většinou byznysových) počítačích firmware běžící na IME zahrnuje systém AMT, který je určený pro správu více počítačů přes síť a jejich akutalizaci, monitorování, opravy, atd. Tato technologie pracuje sama o sobě a zcela nezávisle na tom, jaký operační systém je na počítači provozován. Základní IME je tak schopný přistupovat k jakémukoliv místu v paměti, aniž by o tom hlavní procesor věděl a dokázal to ovlivnit a krom toho provozuje vlastní TCP/IP server na lokálním síťovém rozhraní a je logické, že přicházející a odcházející packety proudí neovlivněny jakýmkoliv nainstalovaným firewallem.

Firmware ME je chráněn zatím neprolomitelným šifrováním RS 2048, ale výzkumníci už byli schopni ve starších verzích tohoto firmwaru využít jeho slabin a částečně nad ním převzít kontrolu. Pokud by se to někomu podařilo nyní (těžko ale hrubou silou), získal by přístup k počítači a jeho datům, o čemž by uživatel sám nemohl vůbec nic tušit, leda z vedlejších příznaků jako z provozu na síti. Na systémech s procesorem novějším než Core 2 (to znamená cca od roku 2008) nemůže být IME deaktivován, přestože nástroj k tomu existuje.

V souvislosti s masivním odesíláním dat z Windows 10 se bezpečnostní experti začali zajímat o jejich údajně telemetrický obsah. Uvnitř zkompilovaných kódů a programů Windows 10 jsou zdánlivě liché segmenty se zakryptovaným obsahem. Pokud si program spustíte v debuggeru (softwarový nástroj – program –  který se používá při crackingu pro pochopení jak program pracuje, pak je možné odstranit například ochranu proti kopírování) a budete sledovat jeho práci, program tato místa přeskakuje. Zdánlivě jde o smetí. Vstupní body do programů jsou nastavené tak, že programy spuštěné zevnitř Windows 10 přeskakují zakryptované úseky, které se nikdy nedostanou do výkonného cyklu. Když ale program běží na úrovni procesoru, IME detekuje nefunkční zakryptované části v paměti přes full DMA, provede vnitřní přerušení, dekryptuje úseky, vykoná úsek a poté vrátí řízení běhu původnímu úseku programu poslaného do mateřského CPU). Debuggerem ve Windows nemá analytik šanci nic poznat, protože IME pracuje ve vnitřním přerušení a běží na odděleném vnitřním procesoru chipsetu IME mimo mateřský procesor CPU bez asistence OS Windows. Tomuto skrytému běhu se mezi programátory říká „ghost mode.“

IME běží mimo režii mateřského CPU. Nedá se debugovat, protože neexistuje pro vyšší vrstvy systému. Rozhraní IME kontroluje nejen CPU, ale veškeré periférie v počítači a běží dokonce i během hibernace stroje. Velmi zákeřné je zpracovávání datových paketů pro síťovou kartu. IME má plný přístup k TCP/IP stacku a dokáže detekovat síťový debugging, např. pokud si nastavíte vlastní SSL certifikát na lokálním stroji v LAN síti a simulujete cizí doménu nebo server, IME nemůže být obelháno, protože používá vlastní ověřování certifikátů a pevné IP adresy. Windows 10 odesílají nasbíraná data pouze ve chvíli, kdy je bezpečné spojení na originální servery Microsoftu a partnerů. Pokud do cesty nastavím sniffer pro zachytávání paketů (MITM simulace + podvržený certifikát), přenosy okamžitě poklesnou, jejich objem se sníží. To ukazuje na implementaci IME a mechanismů pro tichá spojení. IME tudíž umí vytvářet „kerberizované spojení“ s vybranými servery, na což běžné prostředky pro sledování síťového provozu už nestačí. Výkonné kódy jsou definovány v zakryptovaných částech programů a rutin Windows 10. Tato technologie v procesorech Intel je natolik silná a mocná, že teoreticky zcela nuluje veškerou softwarovou ochranu dnešních počítačů.

Intel se snaží z očividných důvodů držet informace o této technologii v tajnosti a uživatelům vůbec neumožňuje se jí zbavit, neboť z prostředí x86 firmwaru či snad operačního systému na ni vůbec nedosáhneme. Někteří experti si tak vzali za úkol prolomit ochranu firmwaru IME a vytvořit pro ni otevřený firmware, který budou moci společně spravovat. Ten by byl samozřejmě jen pro ty uživatele, kteří se nebudou chtít spolehnout na výchozí firmware od Intelu. Nicméně kvůli ochraně pomocí RSA 2048 nemohou na příslušném hardwaru (procesoru ARC) spustit svůj kód, neboť ten neprojde ověřením a nevypadá to, že by tomu mohlo v blízké budoucnosti být jinak. Dokonce ani za pomoci nejrychlejších superpočítačů, ani kdybychom jim dali desítky let. Musíme tak Intelu věřit, neboť kvůli integraci jednotlivých částí do procesoru už není ani možné, aby byl takový hardware fyzicky oddělen.

Maně vzpomínáme na Edwarda Snowdena a jeho tvrzení, že takto nejsou „napíchnuty“ jenom telefony a počítače, ale také některé na internet připojené televize od Samsungu, které jsou schopny přenášet informace i ve „vypnutém“ stavu, tedy ve stand-bay. A také to, že toho jsou účastny všechny velké technologické společnosti nevyjímaje Google, Apple, Microsoft, Intel a další. To vyvolalo bouří odporu a všechny takto napadené společnosti přesvědčovaly společnost, že toho mimo soudní příkaz nejsou účastni a že jde o konkurenční boj a pod.

Jenže 29. srpna 2017 vyšla bomba. Řada serverů přinesla zprávu, že IME lze bezpečně vypnout – díky NSA! Ze všech se mi zdá být nejserioznější server linuxové komunity root.

Výzkumníci z Positive Technologies našli způsob, jak vypnout nechvalně známý Intel Management Engine (IME) 11. Ten najdete ve všech počítačích s procesorem Intel Skylake a novějších. Odstranění IME není jednoduchá záležitost, protože po zapnutí inicializuje procesor a PCH southbridge. Projekt me_cleaner například také odstraňuje nepotřebné části IME. Bohužel počítač s upraveným IME funguje jen asi půl hodiny a poté se vypne. Důvodem je, že po chybách se IME přepne do „recovery mode“ ve kterém počítač může běžet jen určitý čas.

Výzkumníci z Positive Technologies našli v IME nedokumentovaný přepínač reserve_hap s komentářem „High Assurance Platform (HAP) enable“. Zdá se, že za programem HAP stojí NSA a pokud je reserve_hap nastaven, IME se po nabootování sám vypne.

Pic kozu do vazu!
Intel vložil do mikrokódu IME přepínač, který NSA může nastavit tak, aby zajistila své vlastní počítače proti odposlechu. Kdo asi Intel o to požádal? Kde jsou ta ujištění, že se řídí výhradně zákony své země? Do obrazu tak spadá i překvapivé zjištění, že na Motorole RAZR s procesorem Intel Atom (Medfield) nebylo možné nainstalovat webový prohlížeč Chrome. Naplnily se tak obavy, že procesor platformy x86 může přinést budoucím majitelům řadu problémů – především nekompatibilitu s některými aplikacemi. Google reagoval aktualizací. Verze, označovaná také jako M18.1,  přinesla řadu vylepšení zabezpečení a stability. Kromě toho také přidala podporu platformy x86, tedy zařízení postavených na procesorech Intel – to jsou kromě RAZRu i také ZTE Orange San Diego a ZTE Grand X IN. Mimo jiné opravy došlo k optimalizaci, aby IME(!) lépe pracoval s Chromem.

Jak se k firmwaru IME Google dostal? Nebylo to spíše dílo NSA potažmo Intelu? Ať tomu bylo jakkoliv, ujišťování Googlu, Intelu, Applu, Microsoftu o bezpečnosti jimi spravovaných dat a o neexistenci backdoorů (zadních dvířek) v jejich produktech dostalo povážlivé trhliny, stejně jako ujištění, že s NSA mimo případy vyžádané soudem, nespolupracují. Zkrátka pravda se vždycky dostane na povrch!

Advertisements
Příspěvek byl publikován v rubrice Země Lea K. se štítky , , . Můžete si uložit jeho odkaz mezi své oblíbené záložky.