暗藏后门、远程监控、漏洞频出! 中国网络空间安全协会:建议审查英特尔!

发布时间:2024-10-17 14:08:19  

10月16日,中国网络空间安全协会在微信公号上发文称,英特尔产品漏洞频发、故障率高,建议系统排查英特尔产品网络安全风险。

以下是中国网络空间安全协会微信公众号原文:

1.安全漏洞问题频发

2023年8月,英特尔CPU被曝存在Downfall漏洞,该漏洞是一种CPU瞬态执行侧信道漏洞,利用其AVX2或者AVX-512指令集中的Gather指令,获取特定矢量寄存器缓冲区之前存储的密钥、用户信息、关键参数等敏感数据。该漏洞影响英特尔第6代至第11代酷睿、赛扬、奔腾系列CPU,以及第1代至第4代至强处理器。实际上,早在2022年,就有研究者向英特尔报告过该漏洞,但英特尔在明知漏洞存在的情况下,既不予承认,也未采取有效行动,还持续销售有漏洞的产品,直至漏洞被公开报道,英特尔才被迫采取漏洞修复措施。已有五位受害者以自身及“全美CPU消费者”代表的名义,于2023年11月在美国北加州联邦地方法院圣何塞分院,针对上述情况向英特尔发起集体诉讼。

无独有偶,2023年11月谷歌研究人员,又披露英特尔CPU存在高危漏洞Reptar。利用该漏洞,攻击者不仅可以在多租户虚拟化环境中获取系统中的个人账户、卡号和密码等敏感数据,还可以引发物理系统挂起或崩溃,导致其承载的其他系统和租户出现拒绝服务现象。

2024年以来,英特尔CPU又先后曝出GhostRace、NativeBHI、Indirector等漏洞,英特尔在产品质量、安全管理方面存在的重大缺陷,表明其对客户极不负责任的态度。

2.可靠性差,漠视用户投诉

从2023年底开始,大量用户反映,使用英特尔第13、14代酷睿i9系列CPU玩特定游戏时,会出现崩溃问题。游戏厂商甚至在游戏中添加了弹窗处理,警告使用这些CPU的用户。视觉特效工作室ModelFarm的虚幻引擎主管和视觉特效负责人Dylan Browne发帖说,其所在公司采用英特尔处理器的电脑故障率高达50%。

在用户反映集中、无法遮掩的情况下,英特尔公司最终不得不承认产品存在稳定性问题,给出所谓初步调查报告,将问题归咎于主板厂商设置了过高的电压。但随即遭到主板厂商的驳斥,表示其生产的主板是按照英特尔提供的数据进行BIOS程序开发,崩溃原因不在主板厂商。2024年7月,英特尔才发布声明,对于CPU频繁崩溃事件给出了解释,承认由于错误的微代码算法向处理器发出过高的电压请求,导致了部分第13、14代处理器出现不稳定现象。

2023年底就频现崩溃问题,半年以后英特尔公司方才确定问题并给出更新程序,且半年内给出的缓解措施也不奏效,充分反映出英特尔在面对自身产品缺陷时,不是积极坦诚面对问题,而是一味漠视、推诿和拖延。有专业人士推测,其根本原因是英特尔为了获得性能提升,重获竞争优势,而主动牺牲产品稳定性。另据报道,美国“Abington Cole + Ellery”律师事务所,已开始调查英特尔第13、14代处理器不稳定的问题,并将代表最终用户提起集体诉讼。

3.假借远程管理之名,行监控用户之实

英特尔联合惠普等厂商,共同设计了IPMI(智能平台管理接口)技术规范,声称是为了监控服务器的物理健康特征,技术上通过BMC(基板管理控制器)模块对服务器进行管理和控制。BMC模块允许用户远程管理设备,可实现启动计算机、重装操作系统和挂载ISO镜像等功能。该模块也曾被曝存在高危漏洞(如CVE-2019-11181),导致全球大量服务器面临被攻击控制的极大安全风险。

除此之外,英特尔还在产品中集成存在严重漏洞的第三方开源组件。以英特尔M10JNPSB服务器主板为例,该产品支持IPMI管理,目前停止售后,2022年12月13日发布了最后一次固件更新包,分析可知其web服务器为lighttpd,版本号为1.4.35,竟然是2014年3月12日的版本,而当时lighttpd的最新版本已升级至1.4.66,两者竟然相差9年之久,时间跨度之大令人惊讶。这种不负责任的行为,将广大服务器用户的网络和数据安全,置于巨大的风险之中。

4.暗设后门,危害网络和信息安全

英特尔公司开发的自主运行子系统ME(管理引擎),自2008年起被嵌入几乎所有的英特尔CPU中,是其大力推广的AMT(主动管理技术)的一部分,允许系统管理员远程执行任务。只要该功能被激活,无论是否安装了操作系统,都可以远程访问计算机,基于光驱、软驱、USB等外设重定向技术,能够实现物理级接触用户计算机的效果。硬件安全专家Damien Zammit指出ME是一个后门,可以在操作系统用户无感的情况下,完全访问存储器,绕过操作系统防火墙,发送和接收网络数据包,并且用户无法禁用ME。基于ME技术实现的英特尔AMT(主动管理技术),曾在2017年被曝存在高危漏洞(CVE-2017-5689),攻击者可通过设置登录参数中响应字段为空,实现绕过认证机制,直接登录系统,获得最高权限。

2017年8月,俄罗斯安全专家Mark Ermolov和Maxim Goryachy通过逆向技术找到了疑似NSA(美国国家安全局)设置的隐藏开关,该开关位于PCHSTERP0字段中的HAP位,但此次标志位并没有在官方文档中记录。戏剧性的是,HAP全称为High Assurance Platform(高保障平台),属于NSA发起的构建下一代安全防御体系项目。

如果NSA通过开启HAP位隐藏开关直接关闭ME系统,与此同时全球其他英特尔CPU都默认运行ME系统,这就相当于NSA可以构建一个只有其自己有防护,其他所有人都在“裸奔”的理想监控环境。这对于包括中国在内世界各国的关键信息基础设施来说,都构成极大的安全威胁。目前,ME上的软硬件是闭源的,其安全保障主要靠英特尔公司的单方面承诺,但事实表明英特尔的承诺苍白无力,难以令人信服。使用英特尔产品,给国家安全带来了严重隐患。

5.建议启动网络安全审查

据报道,英特尔公司500多亿美元的全球年收入,近四分之一来自中国市场。2021年英特尔公司的CPU占国内台式机市场约77%,在笔记本市场占约81%;2022年英特尔在中国的x86服务器市场份额约91%。可以说英特尔在中国赚得盆满钵满,但这家公司反而不断做出损害中国利益、威胁中国国家安全的事情。

此前, 美政府通过所谓《芯片和科学法案》,对中国半导体产业进行无端排挤和打压,英特尔公司就是这一法案的最大受益者。 英特尔公司首席执行官帕特∙基辛格成功地将英特尔与美国政府绑定在一起,成为美国芯片战略的最大合作公司,不仅得到了85亿美元的直接补助,还有110亿美元的低息贷款。

为讨好美国政府,英特尔在所谓涉疆问题上积极站位打压中国 ,要求其供应商不得使用任何来自于新疆地区的劳工、采购产品或服务,在其财报中更是将台湾省与中国、美国、新加坡并列,还主动对华为、中兴等中国企业断供停服,这是典型的“端起碗来吃饭,放下碗就砸锅”。

建议对英特尔在华销售产品启动网络安全审查,切实维护中国国家安全和中国消费者的合法权益。

文章来源于:电子工程师笔记    原文链接
本站所有转载文章系出于传递更多信息之目的,且明确注明来源,不希望被转载的媒体或个人可与我们联系,我们将立即进行删除处理。

相关文章

    应用: ●   USB报警器 ●   入侵检测 ●   网络摄像机 ●   局域网监控器 ●   私人......
    交换机的工作原理 交换机的主要功能;  交换机是一种计算机网络设备,用于在局域网或广域网中转发数据包。它的主要功能是将来自一台计算机的数据包转发到另外一台计算机,以实现计算机之间的通信。交换......
    机只需通过以太网线连接到路由器上即可上传数据到中控室,现场调试人员只需把网线连接到内部局域网上即可对PLC进行上下载程序监控 关键词 矿井提升机 电控远程诊断系统 引言 矿井提升机是煤矿安全生产的关键设备之一,其作......
    家居、智慧城市的发展,推动了智能监控技术的革新,也驱动了IPC(网络摄像机)的需求。相比于传统摄像机,IPC不仅能够提供更高清晰度的视频效果,还具有网络输出接口,可直接将摄像机接入本地局域网。这些特性使其在联网监控......
    能够提供更高清晰度的视频效果,还具有网络输出接口,可直接将摄像机接入本地局域网。这些特性使其在联网监控与附加值功能上有着绝对的优势。 基于IPC需求快速增长的趋势,大联大友尚基于CVITEK......
    家居、智慧城市的发展,推动了智能监控技术的革新,也驱动了IPC(网络摄像机)的需求。相比于传统摄像机,IPC不仅能够提供更高清晰度的视频效果,还具有网络输出接口,可直接将摄像机接入本地局域网。这些特性使其在联网监控......
    网的发展已经历了4个阶段:以太网→快速以太网→千兆以太网→10G以太网(10GE)阶段 10G以太网作为传统以太网技术的一次较大的升级,在原有的千兆以太网的基础上将传输速率提高了10倍,传输距离也大大增加,摆脱了传统以太网只能应用于局域网......
    、zigbee模块可轻松实现局域网网关的应用,完美取代总线或点对点形式的RS485/232通信方式。 图3  无线局域网 M6G2C已完成主流4G模块的调试应用,几步简单的操作即可完成数据直接上云服务器。 图......
    互联网、智能家居、智慧城市的发展,推动了智能监控技术的革新,也驱动了IPC(网络摄像机)的需求。相比于传统摄像机,IPC不仅能够提供更高清晰度的视频效果,还具有网络输出接口,可直接将摄像机接入本地局域网......
    加贺富仪艾电子推出支持Wi-Fi 6和蓝牙的无线局域网/蓝牙组合模块; 【导读】近日,加贺富仪艾电子(KAGA FEI)宣布推出“WKI611AA1”,这是一款支持Wi-Fi 6和蓝牙的嵌入式设备的无线局域网......

我们与500+贴片厂合作,完美满足客户的定制需求。为品牌提供定制化的推广方案、专属产品特色页,多渠道推广,SEM/SEO精准营销以及与公众号的联合推广...详细>>

利用葫芦芯平台的卓越技术服务和新产品推广能力,原厂代理能轻松打入消费物联网(IOT)、信息与通信(ICT)、汽车及新能源汽车、工业自动化及工业物联网、装备及功率电子...详细>>

充分利用其强大的电子元器件采购流量,创新性地为这些物料提供了一个全新的窗口。我们的高效数字营销技术,不仅可以助你轻松识别与连接到需求方,更能够极大地提高“闲置物料”的处理能力,通过葫芦芯平台...详细>>

我们的目标很明确:构建一个全方位的半导体产业生态系统。成为一家全球领先的半导体互联网生态公司。目前,我们已成功打造了智能汽车、智能家居、大健康医疗、机器人和材料等五大生态领域。更为重要的是...详细>>

我们深知加工与定制类服务商的价值和重要性,因此,我们倾力为您提供最顶尖的营销资源。在我们的平台上,您可以直接接触到100万的研发工程师和采购工程师,以及10万的活跃客户群体...详细>>

凭借我们强大的专业流量和尖端的互联网数字营销技术,我们承诺为原厂提供免费的产品资料推广服务。无论是最新的资讯、技术动态还是创新产品,都可以通过我们的平台迅速传达给目标客户...详细>>

我们不止于将线索转化为潜在客户。葫芦芯平台致力于形成业务闭环,从引流、宣传到最终销售,全程跟进,确保每一个potential lead都得到妥善处理,从而大幅提高转化率。不仅如此...详细>>