System76, ein amerikanischer Anbieter für Rechner mit vorinstalliertem Linux, will bei seinen Kunden per Firmware-Update Intels Management Engine deaktivieren.
System76 bietet Laptops und Desktops mit vorinstalliertem Linux an. Auf Github bietet die amerikanische Firma nun ein Tool an, mit dem Kunden aus eigener Initiative die Management Engine (ME) von Intel abschalten. Zugleich arbeitet die Firma schon länger an einem eigenen Weg, um automatische Firmware-Updates für die verkauften Geräte zu ermöglichen. Dieses System sei nun laut System76 weitgehend einsatzbereit. Es erlaube es, per Firmware-Update die ME für Intel-Chipsätze der sechsten, siebten und achten Generation abzuschalten. Die Updates will System76 nach und nach ausrollen, Kunden will die Firma im Vorfeld per Mail über diesen Schritt informieren.
Als Anlass für das Update nennt System76 unter anderem die jüngst in der Management Engine gefundenen Sicherheitslücken. Diese ermöglichen es entfernten und lokalen Angreifern, Malware und Spionagesoftware auf den Rechner zu schleusen. Die Management Engine verwendet mit Minix ein eigenes Betriebssystem, das wohl Teil des Sicherheitsproblems ist. Die ME und die ihr übergeordnete Active Management Technology (AMT) arbeiten noch unterhalb der Betriebssystem-Ebene. Das macht es so gut wie unmöglich, solche manipulierte Software zu entdecken. Zugleich versagen die in Linux und seine Distributionen eingebauten Sicherheitschecks.
ME außer Gefecht
Die Entdecker der Sicherheitslücken, Positive Technologies, hatten kürzlich herausgefunden, wie Entwickler vollen Zugriff auf die Management Engine erhalten und wie sich diese abschalten lässt, ohne den Rechner zu beschädigen. Von ihren Erkenntnissen profitiert nun auch System76 und macht damit auch Boden gegenüber dem Konkurrent Purism gut. Der bietet seine Hardware bereits seit Mitte Oktober mit der abgeschalteten ME an. Bestehende Kunden, die sich für die neuen Firmware-Updates interessieren, müssen laut Unternehmen nicht nur Ubuntu 16.04 LTS, Ubuntu 17.04, Ubuntu 17.10, Pop OS 17.10 oder ein Ubuntu-Derivat auf dem Gerät laufen haben, sondern benötigen auch die System-76-Treiber aus einem externen Repository.
Mehr Informationen zu seinen Erkenntnissen im Umgang mit der Management Engine und AMT kündigte Positive Technologies für die Black Hat Europe an, die diese Woche in London startet. Das Linux-Magazin wird vor Ort darüber berichten.
