Dit voldoet niet aan de eisen van een “trusted computer platform” Dit is een van te voren gedocumenteerd lek, dat met een firewall is af te sluiten.
Zoals ik schreef: Blockchain, een oplossing op zoek naar een probleem.
Symbolisch voor het probleem is dat het voor Intel juist onderdeel van hun Trusted Computing Platform is omdat hun TPM implementatie erin zit.
Doordat er geen transparantie is over die Management Engine is er ook niet bekend wat voor (vieze?) trucs er uitgehaald worden om met de buitenwereld te communiceren, dat maakt blokkeren met een firewall ook lastig. Je kan moeilijk een client PC toegang tot internet ontzeggen omdat er een management engine in zit.
Volgens mij wordt dit dan voor 1 versie van de software vast gelegd en is het een fabrikant daarna weer vrij om andere wijzigingen aan te brengen omdat die dat nodig acht. Dit kunnen beveiligings-verbeteringen of verslechteringen zijn, maar of het goed of slecht is kan je denk ik niet met een blockchain opmerken.
1 like
Bewijsvoering dat iets betrouwbaar is, is a hell of a job. Moeten we daarom de handdoek in de ring gooien, en Intel en Huawei maar hun gang laten gaan?
Nee, wat mij betreft niet.
Hoe dit goed aangepakt kan worden weet ik niet, maar ik verwacht niet dat blockchain hierin zal helpen.
In de basis is het volgens mij heel simpel: Voor bedrijven zitten er blijkbaar meer voordelen aan om dit soort “features” toe te voegen dan nadelen. Zelfs de sh*tstorm die Intel en AMD over zich heen hebben gehad rondom de management engine was blijkbaar niet groot genoeg op te wegen tegen de voordelen die het de bedrijven geeft. Daarmee handelen ze dus niet in het belang van de klant die de producten koopt maar in belang van iets anders (en wat dat dan is daar kan je natuurlijk uuuuren over speculeren 
).
Dit is denk ik wel iets Chinese bedrijven anders zijn dan bedrijven uit andere landen omdat ze simpelweg dit soort dingen moeten doen om aan hun lokale wetgeving te voldoen, dan wegen de voordelen al snel op tegen de nadelen.
Bewijzen dat iets deugt is inderdaad erg lastig, vooral omdat de instantie die moet bewijzen dat het deugt ook de instantie is die je niet vertrouwd. Als je het echt goed wil doen zou er een onafhankelijke stichting moeten zijn die hardware binnenstebuiten keert en eventueel een certificering kan uitgeven als er geen narigheid is aangetroffen.
Probleem is dat dat veel tijd en geld kost en ook geen volledige zekerheid geeft (want wie zegt dat deze stichting vertrouwd kan worden?).
2 likes