ptresearch/inteltxe-poc
インテル マネジメント・エンジン JTAG 概念実証
すべての情報は教育目的のみで提供されています。これらの手順は自己責任で実行してください。著者およびその雇用者は、このページに含まれる情報に基づいて行動した、または行動しなかった個人または組織から生じる直接的または結果的な損害または損失について、一切責任を負いません。
はじめに
必要なソフトウェア
ペイロードの生成
アンロックトークンの生成
SPIフラッシュイメージの準備
ファームウェアイメージへのファイルの統合
OEM署名の無効化
ファームウェアイメージの構築
メインCPUの起動
SPIフラッシュへのイメージ書き込み
USBデバッグケーブルの準備
OpenIPC設定ファイルのパッチ適用
OpenIPC設定ファイルの復号
設定へのLMTコアの追加
IPC_PATH環境変数の設定
JTAG動作確認の初期チェック
CPU MEスレッドの表示
コアの停止
MEデバッグ：クイックスタート
任意メモリの読み取り
ROMの読み取り
なぜTXEなのか？
テスト済みプラットフォーム一覧
著者
ライセンス
脆弱性 INTEL-SA-00086 により、Intel Management Engine コアの JTAG を有効化できます。私たちは Gigabyte Brix GP-BPCE-3350C プラットフォーム向けに [JTAG PoC][8] を開発しました。将来の研究者には同じプラットフォームを使用することをお勧めしますが、Intel Apollo Lake チップセットを搭載した他メーカーのプラットフォームでも（TXEバージョン 3.0.1.1107 で）PoC が動作するはずです。
脆弱性 INTEL-SA-00086 は、MFS（[内部MEファイルシステム][6]）に格納されたファイルを処理する際のバッファオーバーフローに関係します。完全なファイルパスは /home/bup/ct です。これを、Intel PCH チップセットをベースにしたハードウェアの OEM に Intel が提供する Intel システムツールの1つである Intel Flash Image Tool (FIT) を使用して、ME ファームウェアに統合する必要があります。 Intel System Tools パッケージのルートディレクトリの構造は次のとおりです:
Intel ME (TXE, SPS) System Tools ユーティリティはエンドユーザー向けではありません。そのため、公式 Intel Web サイトにはありません。ただし、一部の OEM はデバイスドライバとともにソフトウェアアップデートの一部として公開しています。したがって、PoC を統合するには、オンラインで入手できる Intel TXE System Tools バージョン 3.x が必要です。
Intel System Studio をインストールする必要があります。試用版は Intel のサイトからダウンロードできます。私たちの実験では、Intel System Studio 2018 を使用しました。
PoC は Intel TXE ファームウェアバージョン 3.0.1.1107 を対象としています。Gigabyte GB-BPCE-3350C バージョン F5 の SPI フラッシュイメージには、必要なファームウェアバージョンが含まれています。
私たちのスクリプトはすべて Python で書かれています。Python 2.7 を使用することをお勧めします。 また、スクリプトには pycrypto パッケージが必要です。pycrypto をインストールするには、次のコマンドを実行します:
pip install pycrypto
このユーティリティは、CPU を起動する必要がある場合にのみ必要です。
EFI Human Interface Infrastructure (HII) は、UEFI でユーザーインターフェースを作成し、ユーザー入力を処理・管理するための特別なメカニズムです。EFI HII は、非表示のオプションを含むすべてのオプションのデフォルト値を特定します。DCI に関連するオプションが見つかれば、それをデフォルト設定用に有効化でき、BIOS の工場出荷時設定を復元することで DCI を有効にできます。メイン CPU を起動するには、オンラインでも入手できる AMI BIOS Configuration Program バージョン 5.xx が必要です。
スクリプト me_exp_bxtp.py を実行します:
me_exp_bxtp.py -f <file_name>
このスクリプトは必要なデータを生成し、指定したファイルにエクスポートします（完全なファイルパス、またはカレントディレクトリ内であれば単に名前を指定します。デフォルトは ct.bin です）。このファイルは後で FIT によって使用されます。
スクリプト me_utok_bxtp.py を実行します:
me_utok_bxtp.py -f <file_name>
このスクリプトは必要なデータを生成し、指定したファイルにエクスポートします（完全なファイルパス、またはカレントディレクトリ内であれば単に名前を指定します。デフォルトは utok.bin です）。このファイルは後で FIT によって使用されます。
CPU を起動する必要がない場合は、この手順をスキップしてください。
DCI Enable オプションを有効にするには、AMIBCP ユーティリティを実行し、プラットフォームに付属の SPI ファームウェアイメージを開きます。Gigabyte Brix GP-BPCE-3350C の場合、上記の Gigabyte リンクからダウンロードしたファイルを開きます（アーカイブ内のイメージファイルのパス: F5/image.bin）。
次に、Setup Configuration タブで HDCIEN オプションを有効にする必要があります。
ct.bin ファイルと utok.bin ファイルを統合するには、FIT ユーティリティ（fit.exe）を実行し、SPI ファームウェアイメージを開きます。
他のハードウェアプラットフォームを使用していて TXE 3.0.1.1107 を利用できない場合は、Gigabyte GB-BPCE-3350C バージョン F5 の SPI Flash イメージをダウンロードし、FIT を使用して TXE セクションを抽出できます。FIT は、イメージを開くと SPI イメージ全体のさまざまなセクション（SPI デスクリプタ、UEFI/BIOS ファームウェア、Intel ME ファームウェア、アンロックトークン）を抽出し、*"image_name"/Decomp * フォルダに保存します。
これにより、必要な Intel TXE ファームウェアを含むファイルを /Decomp/TXE Region.bin で見つけることができます。
次に、FIT で特定のプラットフォーム用の SPI イメージを開き、Intel TXE ファームウェアを含むファイルを GB Brix 3350c イメージから取得したバージョンに置き換えます（Flash Layout タブの "Intel(R) TXE Binary File"）。
次に、FIT で、/home/bup/ct と Unlock Token 用に生成したファイルを指定する必要があります。FIT の Debug タブで、ファームウェアに統合する Trace Hub Binary と Unlock Token を指定できます。これらは、すでに生成したファイルである必要があります。
FIT から OEM Public Key Hash フィールドを削除するだけです:
Build メニューの Build Image を選択してイメージを構築します。
BootGuard 設定に関するメッセージは無視します（"Yes" をクリック）:
ここまでの手順がすべて正しく行われていれば、ビルドプロセスは成功し、FIT は次のようなコンソールメッセージを出力します:
CPU を起動する必要がない場合は、この手順をスキップしてください。
CPU を起動するには HAP モードを有効にする必要があります。オフセット +0x102 のバイトの 0 ビットをセットする必要があります:
SPIフラッシュにイメージを書き込むには、SPIプログラマの使用を強くお勧めします。
何か問題が発生した場合に復元できるよう、必ず元のファームウェアをバックアップしてください！
プラットフォームに接続するには、USB 3.0 デバッグケーブル が必要です。専用に作られたものを購入するか、USB 3.0 AM–AM ケーブルから D+、D-、Vcc の各コンタクトを絶縁して自作してください。
Intel は、プラットフォームとメイン CPU の JTAG デバッグに使用できる 2 つのソフトウェアパッケージ、DAL (DFx Abstraction Layer) と OpenIPC を開発し、ユーザーに提供しています。DAL と OpenIPC はどちらも Intel System Studio の一部です。Intel System Studio 2018 のインストール後、OpenIPC は次のディレクトリにあります:
Windows
C:\Intel\OpenIPC_1.1740.2381.100
Linux
/opt/intel/system_studio_2018/system_debugger_2018/debugger/openipc
OpenIPC の設定は暗号化されており、TXE コアをサポートしていません。したがって、設定を復号し、TXE の説明を追加してください。