Intels ME-Sicherheitslücke

[Gelöschtes Mitglied 63700]

BIOS-Sicherheitslngerfehler in AMT - Golem.de

Die Firma Tenable hat Details zur Sicherheitslücke in Intels Active Management Technology publiziert. Die sind reichlich peinlich für Intel: Mit einem leeren String als Passwort-Hash kann sich der Nutzer einloggen.

Tipps zur Intel-ME-Sicherheitslücke SA-00075 | c't Magazin
Intel ME-Firmware: Hersteller kr Intel-Exploit an - Golem.de

So wie ich das verstanden habe, betrifft diese Lücke nur Business-Rechner, die die wenigsten hier im Einsatz haben dürften. Einige von uns aber haben solche Rechner als Homeserver, weil komfortabel...

1. Hat wer nähere Informationen, was intel da eigentlich mal wieder verbockt hat?
2. Und wie groß ist das Risiko an einem IPv6 Anschluss, wo nicht geNATet wird?

Fragen über Fragen.

Sehe gerade, eine IPv6 Firewall gibt es im Router auch. Somit wären die Ports von außen nicht erreichbar gewesen, sofern aktiviert.

 

[DragonTear]

Glaube da gibt es schon einen Artikel dazu: Management Engine bei Intel mit offener Sicherheitslücke seit 2010
Deine verlinkten haben aber durchaus etwas mehr Info (insgesamt ist die Informationslage allerdings ziemlich dünn).
Laut den etwas erfahreneren Nutzern hier im Forum ist ein System damit unter umständen angreifbar, aber nur bei Netzwerk Zugang und wenn AMT überhaupt aktiv ist (was man als Privatuser doch eher selten hat) und überhaupt von außen erreichbar ist... Allein über die IP Adresse sollte da nichts gehen.
Gründe zur Panik bestehen eher keine.

 

[oooverclocker]

Generell finde ich, dass Hardwarehersteller nur quelloffene Software bereitstellen sollten. Schließlich verkaufen sie ja die Hardware dazu, und verdienen an der Software sowieso nichts, sie ist ja eh gratis. So könnte sich der Endnutzer auch sicher sein, dass keine Programme enthalten sind, die zur Spionage genutzt werden können, oder eben schwere Fehler wie in diesem Fall.

 

[DragonTear]

Seid wann kann man bei quelloffener Software automatisch davon ausgehen dass sie sicher ist o.ä?
Der Heartbleedbug war in etlichen open source Implementationen...

 

[oooverclocker]

Seid wann kann man bei quelloffener Software automatisch davon ausgehen dass sie sicher ist o.ä?

Seid wann kann man davon ausgehen, dass Closed Source sicher ist o.ä.?

 

[TCM]

Die Aussage, dass Open-Source automatisch sicher ist, ist falsch. Was richtig ist: bei OS hat man überhaupt die Möglichkeit, Untersuchungen zur Sicherheit anzustellen. Bei Closed-Source ist das für Außenstehende von vornherein nicht vernünftig möglich. Dort kann man nur Untersuchungen einer Blackbox anstellen, die zwar auch genug Lücken zutagefördert, aber von den Analysemöglichkeiten her extrem eingeschränkt ist.

 

[DragonTear]

Seid wann kann man davon ausgehen, dass Closed Source sicher ist o.ä.?

Kann man nicht aber immerhin hat man dort öfters Garantien und es haftet der Hersteller.
Wie es in diesem Fall mit Intel ist, wird sich zeigen müssen.

 

[TCM]

es haftet der Hersteller.

Wovon träumst du nachts? Zeig mir einen einzigen Fall, wo Microsoft für den Schaden durch eine Lücke aufkam.

 

[Shiga]

Ich frag mich, wer auf den PCs überhaubt diesen ME-Bullshit noch installiert?
Ist ja nicht die erste kritische Lücke in den letzten Jahren.