इस मुद्दे पर मैंने जो सबसे स्पष्ट पोस्ट देखी है वह मैथ्यू गैरेट की (टिप्पणी सहित) है।
मैथ्यू ने अब आपके सिस्टम को स्थानीय रूप से जांचने के लिए एक टूल जारी किया है : इसे बनाएं, इसे चलाएं
sudo ./mei-amt-check
और यह रिपोर्ट करेगा कि क्या एएमटी सक्षम और प्रावधान है, और यदि यह है, तो फर्मवेयर संस्करण (नीचे देखें)। README अधिक जानकारी के है।
संभावित रूप से कमजोर सिस्टम के लिए अपने नेटवर्क को स्कैन करने के लिए, पोर्ट 623, 624 और 16992 से 16993 पर स्कैन करें (जैसा कि इंटेल के स्वयं के शमन दस्तावेज में वर्णित है ); उदाहरण के लिए
nmap -p16992,16993,16994,16995,623,664 192.168.1.0/24
192.168.1 / 24 नेटवर्क को स्कैन करेगा, और सभी मेजबानों की स्थिति की रिपोर्ट करेगा जो प्रतिक्रिया देते हैं। पोर्ट 623 से कनेक्ट करने में सक्षम होना एक गलत सकारात्मक हो सकता है (अन्य आईपीएमआई सिस्टम उस पोर्ट का उपयोग करते हैं), लेकिन 16992 से 16995 तक कोई भी खुला पोर्ट सक्षम एएमटी का एक बहुत अच्छा संकेतक है (कम से कम यदि वे उचित रूप से जवाब देते हैं: एएमटी के साथ, इसका मतलब है कि) 16992 और 16993 पर एक HTTP प्रतिक्रिया, टीएलएस के साथ उत्तरार्द्ध)।
यदि आप पोर्ट 16992 या 16993 पर प्रतिक्रियाएँ देखते हैं, तो उन लोगों से कनेक्ट करना और /HTTP का उपयोग करने का अनुरोध Serverएएमटी सक्षम सिस्टम के साथ "Intel (R) एक्टिव मैनेजमेंट टेक्नोलॉजी" वाली लाइन के साथ प्रतिक्रिया देगा ; उसी लाइन में उपयोग में AMT फर्मवेयर का संस्करण भी होगा, जिसे तब यह निर्धारित करने के लिए इंटेल की सलाह में दी गई सूची के साथ तुलना की जा सकती है कि क्या यह कमजोर है।
उपरोक्त स्क्रिप्ट को स्वचालित करने के लिए लिंक के लिए CerberusSec का उत्तर देखें ।
"समस्या" को ठीक करने के दो तरीके हैं:
- फर्मवेयर को अपग्रेड करें, एक बार आपके सिस्टम का निर्माता एक अपडेट प्रदान करता है (यदि कभी भी);
- एएमटी प्रदान करने वाले नेटवर्क पोर्ट का उपयोग करने से बचें, या तो आपके सिस्टम पर एक गैर-एएमटी-सक्षम नेटवर्क इंटरफ़ेस का उपयोग करके या यूएसबी एडाप्टर (कई एएमटी वर्कस्टेशन जैसे कि i22 नेटवर्क पोर्ट के साथ C226 Xeon E3 सिस्टम) का उपयोग करके केवल एक एएमटी है। सक्षम नेटवर्क इंटरफ़ेस - बाकी सुरक्षित हैं; ध्यान दें कि एएमटी वाई-फाई पर काम कर सकता है, कम से कम विंडोज पर, इसलिए अंतर्निहित वाई-फाई का उपयोग करके समझौता भी हो सकता है)।
यदि इनमें से कोई भी विकल्प उपलब्ध नहीं है, तो आप शमन क्षेत्र में हैं। यदि आपकी एएमटी-सक्षम प्रणाली को एएमटी के लिए कभी भी प्रावधान नहीं किया गया है, तो आप यथोचित सुरक्षित हैं; उस मामले में एएमटी को सक्षम करना स्पष्ट रूप से केवल स्थानीय रूप से किया जा सकता है, और जहां तक मैं बता सकता हूं कि आपके सिस्टम के फर्मवेयर या विंडोज सॉफ्टवेयर का उपयोग करने की आवश्यकता है। यदि एएमटी सक्षम है, तो आप इसे निष्क्रिय करने के लिए फर्मवेयर को रीबूट और उपयोग कर सकते हैं ( CtrlPबूट के दौरान एएमटी संदेश प्रदर्शित होने पर दबाएं )।
असल में, जबकि विशेषाधिकार भेद्यता काफी बुरा है, ऐसा लगता है कि अधिकांश इंटेल सिस्टम वास्तव में प्रभावित नहीं होते हैं। लिनक्स या किसी अन्य यूनिक्स जैसे ऑपरेटिंग सिस्टम को चलाने वाले अपने सिस्टम के लिए, एस्केलेशन को पहले एएमटी को सक्षम करने के लिए सिस्टम तक भौतिक पहुंच की आवश्यकता होती है। (विंडोज एक और कहानी है।) कई नेटवर्क इंटरफेस वाले सिस्टम पर, जैसा कि रुई एफ रिबेरो ने बताया है , आपको एएमटी-सक्षम इंटरफेस को उसी तरह से व्यवहार करना चाहिए जैसे आप किसी भी प्रशासनिक इंटरफ़ेस (आईपीएमआई-सक्षम, या होस्ट इंटरफ़ेस को मानते हैं। VM हाइपरविजर के लिए) और इसे एक प्रशासनिक नेटवर्क (भौतिक या VLAN) पर अलग करें। आप स्वयं की सुरक्षा के लिए किसी मेजबान पर भरोसा नहीं कर सकते : iptablesआदि यहाँ अप्रभावी हैं, क्योंकि AMT ऑपरेटिंग सिस्टम के होने से पहले पैकेट देखता है (और AMT पैकेट को अपने पास रखता है)।
वीएम मामलों को जटिल कर सकते हैं, लेकिन केवल इस अर्थ में कि वे एएमटी को भ्रमित कर सकते हैं और इस प्रकार एएमटी सक्षम होने पर भ्रामक स्कैनिंग परिणाम उत्पन्न करते हैं। amt-howto(7)एक्सएम सिस्टम का उदाहरण देता है जहां एएमटी डीएचसीपी से अधिक डॉमू को दिए गए पते का उपयोग करता है, यदि कोई हो, जिसका अर्थ है कि एक स्कैन एएमटी को डॉमू पर नहीं, एएमयू पर सक्रिय दिखाएगा ...