プライバシー重視のデバイス開発を目指すスタートアップ企業Purismは、Intelのマネジメント・エンジン（ME）を無効化したと発表しました。同社や多くのプライバシー活動家は、IntelのMEはユーザーにとってブラックボックスであるため、特定の諜報機関のバックドアを隠蔽できる可能性があると考えています。あるいは、Intel自身も気づいていない脆弱性が存在する可能性があり、高度な攻撃者がOSのセキュリティを回避するために悪用する可能性があります。
Intel MEを無効にする
Intel MEは、電源がオフの状態でもコンピューターを制御できる独立したCPUとファームウェアです。また、低レベルのシステムであるため、オペレーティングシステムの保護を完全に回避することもできます。
MEチップは2008年にIntelのプロセッサに導入されました。このチップに脆弱性が発見された場合、通常、その日付に遡るすべてのIntel CPUに影響を与える可能性があります。最近、そのような脆弱性が明らかになりました。
研究者たちは長年、MEシステムの無効化を試みてきました。検証可能な方法で無効化するのは容易ではなかったからです。さらに、MEシステムなしではチップの他の部分が機能しなくなる危険性もありました。Intelは今のところ、研究者によるMEプロセッサへの不正アクセスを積極的に阻止しようとしているようには見えませんが、もし望むなら、将来のCPUをMEシステムなしでは動作しないようにする取り組みを強める可能性もあるでしょう。
Libremラップトップは、Linux用のBIOSとUEFIに代わるオープンソースのファームウェアであるCorebootを使用しています。同社によると、Corebootの使用こそが、そもそもIntel MEを無効化できた主な理由の一つです。Corebootを使用することで、プロセッサがこのファームウェアやオペレーティングシステムとどのように相互作用するかを詳細に調査することができました。
Purismは既にLibremラップトップのIntel MEシステムを「無効化」しており、これは実質的にIntel MEのミッションクリティカルなコンポーネントが削除されたことを意味します。しかし、Intel MEはCorebootによる無効化の試みと「戦い」続けるため、依然としてエラーが発生する可能性があります。この新しい無効化方法により、Intel MEを安全にシャットダウンできます。
Purism のラップトップは、Intel ME が無効化された後に何らかの方法で「起動」できる場合に備えて、セキュリティを強化するために両方の方法を引き続きサポートします。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
新しい「MEコア」
Purismによると、以前のIntel BroadwellベースのLibremラップトップは、MEバージョン10.xとARC Internationalが設計したARC RISCプロセッサを搭載していました。Skylakeマイクロアーキテクチャを搭載したMEバージョン11.x以降、Intelはx86 MEプロセッサに切り替えたようです。これにより、これらのプロセッサのハードウェアとファームウェアは大きく異なります。Purismチーム（および他の研究者）が、他の部分に支障をきたすことなくMEモジュールを削除するのに時間がかかったのも、このためです。
MEファームウェアのバージョン10.xと11.xの両方において、一部のコードは読み取り専用メモリ（ROM）に書き込まれていたため、以前はそのコードを削除する方法がありませんでした。しかし、Intel ME 10.xファームウェアではROMコードのほとんどがフラッシュメモリに移動されたため、バージョン11.xではより多くのMEコードを削除できるようになりました。
Purismの開発者たちは、Intel MEシステムを完全にリバースエンジニアリングするにはまだ多くの作業が必要だと述べており、他の研究者の協力を得て、最終的にはそれが可能になることを期待しています。最終的な目標は、IntelシステムからIntel MEファームウェアを完全に削除することのようです。削除すれば、MEプロセッサとファームウェアはいかなる時も何も実行できなくなるでしょう。
Librem ラップトップでは Intel ME がデフォルトで無効
Librem 13およびLibrem 15の両モデルは、Intel MEがデフォルトで無効の状態で出荷されます。旧モデルのLibremノートPCをご購入いただいたお客様にも、システム上でIntel MEを無効にするアップデートが提供されます。
「Purismは、ハードウェアの最下層における解放という長期的な目標を掲げていますが、まだやるべきことが残っています」と、Purismのハードウェア有効化開発者であるYouness Alaoui氏は述べています。「管理エンジンを完全に削除することは、単に無効化する以上の次のステップです。Corebootには、Intel FSPという別のバイナリも含まれています。これはそれほど心配する必要はないものの、解放すべき重要なバイナリです。無料のvBIOSを組み込むことは、Purismが計画しているもう一つのステップです。現在のIntel CPU上で完全に自由なシステムへの道はまだ終わっていませんが、管理エンジンを無効化するという最大のステップは、おそらく越えるべき最大のマイルストーンと言えるでしょう」と彼は付け加えました。
Purismは、自社のノートパソコンでIntel MEを無効にする方法を模索する一方で、プライバシーを重視したスマートフォン「Librem 5」の開発も開始した。クラウドファンディングキャンペーンは残り3日で、すでに目標額の24%を達成している。
ルシアン・アルマスは、Tom's Hardware USの寄稿ライターです。ソフトウェア関連のニュースやプライバシーとセキュリティに関する問題を取り上げています。
