聽說英特爾處理器上“隱藏”的一個秘密，據(jù)了解原來英特爾現(xiàn)代處理器都會有一個小型的MINIX系統(tǒng)。不看不知道，一看嚇一跳，MINIX現(xiàn)在可能是世界上使用最廣泛的x86電腦操作系統(tǒng)了，可以堪稱是名副其實的全球第一系統(tǒng)。

　　可能你從未聽過說過MINIX，但只要你有一顆Intel近些年出的CPU處理器，其中就有它。

　　Intel現(xiàn)代處理器都有一個ME（Management Engine）管理引擎，相當(dāng)于一個小型、低功耗的電腦系統(tǒng)，它由一個或者多個內(nèi)核、內(nèi)存、系統(tǒng)時鐘、總線及用于加密引擎的保留內(nèi)存組成，還有自己的獨立操作系統(tǒng)及程序，可以讀取系統(tǒng)主內(nèi)存，可以通過Intel網(wǎng)絡(luò)控制器連接網(wǎng)絡(luò)。

　　MINIX正是ME管理引擎當(dāng)中的這個獨立操作系統(tǒng)，用來管理協(xié)調(diào)內(nèi)部的諸多模塊，尤其是眾多芯片組整合在一起之后，處理器已經(jīng)差不多成了SoC單芯片系統(tǒng)，更需要一個“總管”。

　　MINIX是一個類似Unix的超迷你系統(tǒng)，開發(fā)者是行業(yè)大牛Andrew Tanenbaum（ast），本來是個教育工具，用來展示操作系統(tǒng)編程，Intel將它拿過來整合在了每一塊處理器中。

　　隨后開發(fā)者Andrew在個人網(wǎng)站上發(fā)布了公開信，澄清了自己和這事沒什么關(guān)系。

　　Andrew強調(diào)自己沒有直接參與這個項目，如果這個系統(tǒng)有后門的話，這與他無關(guān)。

　　Andrew稱，MINIX 3在2000年決定采用BSD授權(quán)，原因是企業(yè)不喜歡GPL許可證，認(rèn)為GPL會讓他們花費許多時間精力金錢去修改代碼，然后免費提供競爭對手。

　　Andrew說Intel的一個工程師團隊幾年前接觸了他，詢問了關(guān)于MINIX的大量技術(shù)問題，Andrew很高興對此進行作答。

　　Intel工程師團隊要求他對MINIX 3進行修改調(diào)整，例如為了減少內(nèi)存占用，選擇性的禁用一些并不總是需要的功能（如浮點支持）等。

　　不過隨后雙方就沒有再產(chǎn)生什么交集，直到現(xiàn)在媒體報道所有Intel處理器都運行了MINIX 3。

　　Andrew對此感到吃驚，但并不在意，因為操作系統(tǒng)是BSD授權(quán)，Intel不需要付錢給他。

　　對Andrew來說，唯一感覺不錯的一點是，MINIX現(xiàn)在可能是世界上使用最廣泛的x86電腦操作系統(tǒng)了。

　　MINIX可以運行Intel的各種技術(shù)，包括AMT主動管理技術(shù)、啟動防護（Boot Guard）、音頻/視頻數(shù)字版權(quán)管理等。雖然有些技術(shù)是為了保護及方便用戶，但ME程序要求用戶放棄電腦控制權(quán)，這些控制是有利于Intel、商業(yè)伙伴或者大型媒體公司的。

　　MINIX在處理器內(nèi)部擁有自己的CPU內(nèi)核和專屬固件，完全獨立于其他部分，而且完全隱形，操作系統(tǒng)和用戶均不可見，運行權(quán)限更是達到了Ring -3。正是這種超級權(quán)限也使得MINIX的存在成了巨大的安全隱患。

　　要知道，我們?nèi)粘５某绦驒?quán)限級別都是Ring 3，操作系統(tǒng)內(nèi)核運行在Ring 0，這也是一般用戶能夠接觸到的最低權(quán)限，MINIX則竟然深入到了Ring -3。

　　MINIX可以完全控制用戶的電腦，它可以控制開機、關(guān)機，讀取所有開放文件、檢查所有已運行的程序、追蹤用戶的鍵盤、鼠標(biāo)動作，甚至還能截屏。此外，它還有個被證明不那么安全的網(wǎng)絡(luò)接口，攻擊者可以通過它植入Rootkit程序或者入侵電腦。

　　事實上，即便是在休眠乃至關(guān)機狀態(tài)下，MINIX可能都在不間斷運行，因為ME管理引擎要在處理器啟動的同時就開始執(zhí)行管理工作，還要負責(zé)芯片級的安全功能。

　　這就使得MINIX擁有至高無上的地位，而且不管你的電腦里裝的是Windows、Linux、macOS，都有一個它在默默運行，使之成為名副其實的全球第一系統(tǒng)。

　　Google研究后也發(fā)現(xiàn)，MINIX Ring -3權(quán)限級別擁有完整的網(wǎng)絡(luò)堆棧、文件系統(tǒng)、USB/網(wǎng)絡(luò)等大量驅(qū)動程序、Web服務(wù)器。

　　這就意味著，MINIX本身就是個獨立于計算機系統(tǒng)之外的完整小王國，想干什么都行，甚至是在你關(guān)機狀態(tài)下架設(shè)一個聯(lián)網(wǎng)服務(wù)器！也就是說，每一款I(lǐng)ntel處理器當(dāng)中都有可能會存在后門！

　　不難預(yù)見，如果這樣的系統(tǒng)被外部攻擊，或者比如植入Rootkit惡意軟件什么的，用戶是百分之百沒有任何辦法的，因為誰都沒有途徑去訪問它。

　　據(jù)稱，Google就正在努力從自家內(nèi)部服務(wù)器上移除MINIX，但尚未成功。

　　其實早在2016年6月，美國自由軟件基金會FSF就曾刊文討伐Intel ME引擎會完全控制用戶電腦，而且用戶很可能完全不知情。

　　當(dāng)時，Intel安全部門的首席技術(shù)員Steve Grobman回應(yīng)稱，所謂的“后門”子虛烏有。這只是Intel借助推送固件升級的接口而已。此外，Steve Grobman還表示，及時推送固件升級有助于Intel和OEM廠商為處理器增強防護，這樣反而更安全了。

　　至于AMD處理器是否也有類似功能，尤其是最新的Zen架構(gòu)產(chǎn)品，目前還不得而知。