System76 schakelt Intel Management Engine op eigen systemen uit via patch

Het Amerikaanse computerbedrijf System76 heeft bekendgemaakt dat het de Intel Management Engine op zijn systemen via een patch wil uitschakelen. De aankondiging volgt op kwetsbaarheden die Intel vond in een audit van de ME-code.

In een blogpost schrijft System76 dat de patches zijn antwoord zijn op de bekendmaking van de kwetsbaarheden door Intel. Het uitschakelen van de Management Engine zou op zijn systemen niet voor problemen moeten zorgen, omdat deze daar geen functie vervult. Gebruikers komen voor de patch in aanmerking als ze Ubuntu of de door System76 ontwikkelde Linux-distributie Pop!_OS draaien. Ze moeten de update zelf goedkeuren; deze wordt niet automatisch doorgevoerd. Het verwijderen gebeurt aan de hand van de tool me_cleaner, zo legt een medewerker van het bedrijf uit op Reddit.

Het verwijderen is mogelijk doordat onderzoekers van het beveiligingsbedrijf Positive Technologies ontdekten dat het mogelijk is om de Management Engine uit te schakelen via een ongedocumenteerde functie. System76-klanten met desktops krijgen een e-mail van het bedrijf met instructies; gebruikers met een laptop krijgen de update automatisch binnen.

Het Amerikaanse bedrijf is niet de eerste partij die een dergelijke stap onderneemt. Purism, dat onder meer opensourcelaptops levert, kondigde in oktober aan dat het de aankomende Librem 13- en 15-laptops zal leveren met de Management Engine uitgeschakeld. Ook komen er patches voor bestaande modellen. De Intel Management Engine is een aparte microcontroller die deel uitmaakt van de Platform Controller Hub, oftewel pch, van Intel-cpu's, die toegang heeft tot de communicatie tussen cpu en randapparaten. Deze aparte processor werkt los van de cpu zelf en is daarom toegankelijk als de cpu zelf is uitgeschakeld.

Door kwetsbaarheden in de engine kunnen aanvallers bijvoorbeeld code uitvoeren op een systeem zonder dat het doelwit dit merkt. Er is al langer kritiek op de Intel-functie waarover weinig documentatie bestaat. Voor de recentelijk gevonden kwetsbaarheden komen de meeste patches pas in 2018 beschikbaar, zo bleek onlangs.

Reacties (36)

[xmenno]

Voor wie zich afvraagt wat het (onder andere) doet:

7 PCH Intel® SPS Firmware Plan of Record
Intel Motherboard V4.0 uses an Intel® chipset. Its Management Engine (Intel® ME) runs Intel® Server Platform Services (Intel® SPS) firmware. Intel® SPS firmware is required for system operation.
Intel® SPS 4.0 Firmware (FW) consists of two parts:
o Intel® SPS Silicon Enabling FW – required to boot the platform and have a fullyfunctional platform.
o Intel® SPS Node Manager FW – provides power, thermal and compute utilization statistics, P/T‐state control, simple and multi‐policy power limiting at platform, memory, processor and core level with
assistance from a BMC. Both parts are required for Tioga Pass.

14.2 Hot-Swap Controller (HSC) Circuit
PMBUS interface to enable PCH Intel® ME and BMC following actions:
o Report server input power and log event if it triggers upper critical threshold.
o Report input voltage (up to 1 decimal point) and log event if it triggers either lower or upper critical threshold.
o Log status event based on hot-swap controller’s status register.

bron: https://cdn.circleb.eu/pdf-tioga-pass-r0-30/


Inmiddels mijn systemen kunnen patchen:

root@tioga-pass:~# ./intel_sa00086.py
INTEL-SA-00086 Detection Tool
Copyright(C) 2017, Intel Corporation, All rights reserved

Application Version: 1.0.0.128
Scan date: 2017-12-01 14:48:10 GMT

*** Host Computer Information ***
Name: tioga-pass
Manufacturer: Wiwynn
Model: SV7220G3
Processor Name: Intel(R) Xeon(R) Gold 6130 CPU @ 2.10GHz
OS Version: Ubuntu 16.04 xenial (4.10.0-40-generic)

*** Intel(R) ME Information ***
Engine: Intel(R) Server Platform Services
Version: 10 4.0.4.288 10 4.0.4.288

*** Risk Assessment ***
Based on the analysis performed by this tool: This system is not vulnerable. It has already been patched.

For more information refer to the SA-00086 Detection Tool Guide or the Intel security advisory Intel-SA-00086 at the following link:
https://security-center.i...SA-00086&languageid=en-fr

[millman]

Wat voor problemen kan dit opleveren als je dit op een windows OS uitschakelt? Of kan je dit niet uitschakelen op een Windows OS?

Gebruikers komen voor de patch in aanmerking als ze Ubuntu of de door System76 ontwikkelde Linux-distributie Pop!_OS draaien. Ze moeten de update zelf goedkeuren; deze wordt niet automatisch doorgevoerd

[PhilipsFan]

Geen. Windows is zich niet bewust van de IME. De IME is als het ware een soort minicomputer aan boord van je CPU. Met een eigen besturingssysteem en drivers waarmee ook de netwerkkaarten kunnen worden aangesproken. In theorie kan Intel via de IME alle computers ter wereld op afstand besturen en afluisteren (indien voorzien van een CPU met IME) zonder dat het OS op de PC er ook maar iets van merkt. Een gigantisch beveiligingslek dus.

Dit bestaat al jaren, maar is de laatste tijd in opspraak omdat er blijkbaar zwakheden inzitten die door buitenstaanders kunnen worden uitgebuit. Geen idee waarom Intel dit ooit heeft geintroduceerd, vermoedelijk voor een anti-diefstal functie van de pc, maar dat wordt volgens mij nergens gebruikt. En aangezien de IME volledig ongedocumenteerd is kan niemand er software vooor schrijven.

[burne]

Geen idee waarom Intel dit ooit heeft geintroduceerd, vermoedelijk voor een anti-diefstal functie van de pc,

Geen idee waarom je niet begrijpt hoe handig IPMI, ILO en IME zijn. Ik heb een heleboel servers in een serverruimte ver weg hangen. Als er een systeem crasht hoef ik niet meer in de auto te stappen, ik log gewoon remote in op m'n OOB en verhelp het probleem. Keyboard, video, muis en storage (ik kan booten van USB-sticks of virtuele CDROM's)

De varianten die ik gebruik hebben een apart netwerk-poortje voor remote access en dat is natuurlijk meer dan goed beveiligd.

[supersnathan94]

Voor servers zie ik het nu dan ook wel degelijk.

Het probleem is dat dit bij consumenten spul ook standaard aanwezig is (of het aan staat durf ik niet te zeggen). Daarom komt het ni in de media.

[PhilipsFan]

Voor servers begrijp ik het inderdaad wel. Maar waarom zit het dan ook in gewone desktops en laptops? Het lijkt me niet dat iemand dat ooit gebruikt. Misschien hele grote bedrijven die hun IT serieus goed voor elkaar hebben, maar ik heb nog nooit gezien dat het nuttig werd toegepast. En waarom kan de gebruiker/eigenaar het dan niet uitschakelen? Ik zit er niet op te wachten dat er remote iemand op mijn systeem gaat knoeien, maar ik kan de IME niet uitzetten.

[Noeandee]

Bijvoorbeeld WOL (Wake on Lan). Stel dat ik snachts alle client computers wil voorzien van windows updates. Ik stel mijn GPO zo in, dat dit om 12 uur gebeurd. Echter zijn de meeste client’s dan uitgeschakeld. Dus dan kan ik een WOL call uitsturen en de computer wekken, om deze te updaten.

Ander voorbeeld is het inspoelen van client computers middels PXE boot. Of Citrix Provision Services. Allemaal technieken, die afhankelijk zijn van de BMC.

[Noeandee]

Vergeet overigens niet, dat ondanks dat je met remote management wel toegang kan krijgen tot de KVM. Maar om in te loggen op jouw account heb je nog altijd een account en wachtwoord nodig voor het OS.

[Noeandee]

De Intel ME chip is een OOB (Out-Of-Band) oplossing. Intel AMT is daar onderdeel van. Alle base management controllers maken gebruik van de Intel's ME/AMT API om remote management, monitoring, etc uit te voeren. Je kunt Intel AMT in de BIOS uitschakelen (ik geloof niet dat het default aanstaat), maar de ME chip blijft gewoon actief. Er zijn wel vendor's, die deze chip uitschakelen op hun OEM systemen. Mij is onduidelijk, hoe ze dan zaken als remote management e.d. kunnen leveren. Misschien dat zij een eigen chip erop solderen.

ME is niet uit te schakelen, omdat je dan toegang tot ILO, iDrac, iBMC, etc onmogelijk maakt. En dat zou voor bedrijven een groter probleem vormen, omdat je bij hardware problemen, reboots, server maintenance geen remote toegang meer hebt tot het systeem.

Onder Intel ME vallen gigantisch veel functionaliteiten, zoals SOL, WOL, alle IPMI functies etc. Het is een zeer gevaarlijke backdoor. Echter moet je wel toegang tot dit VLAN hebben en voorbij alle firewalls, IPS systemen etc komen

[PostHEX]

Dus je bent genaaid als je een router hebt met IME?

[dmantione]

Daar valt het één en ander op af te dingen: De BMC zoals op veel serverborden gebruikt, is gecombineerd met de VGA-controller en is voor de computer zichtbaar als een aantal USB-apparaten. Daarmee kan de BMC beeldscherm lezen en toetsenbord- en muisacties geven. De VGA-controller zit op de PCI-bus. Verder heeft de BMC een verbinding met de I2C-bus voor monitoring van temperatuur- en ventilatorsnelheden.

In dat alles is geen ME betrokken. Dat ILO, iDrac, iBMC en de hele rataplan onmogelijk worden is dus niet juist. Het enige waarvan ik me kan bedenken waar sprake is van samenwerking met de ME, is het delen van de netwerkpoort. De netwerkpoort van de server zit in de chipset, dus kan zijn dat communicatie met de ME nodig is om dat werkend te krijgen.

Maar ja... de BMC heeft meestal ook een eigen netwerkpoort en het delen van de netwerkpoort van de server is ouder dan de Intel ME. Als Intel de ME uit hun chipsets sloopt, dan betekent dat dus niets voor BMC's.

[Verwijderd]

Het probleem is dat windows gewoon 'vreet' wat de IME aan windows doorgeeft, gaat de IME dus bijvoorbeeld andere id's aan hardware toewijzen dan is het wel handig als dat zo blijft, zet je IME uit dan krijgt je hardware weer de originele id's, en is het niet gek als windows vervolgens bepaalde hardware niet meer kan vinden, omdat windows opgeslagen heeft dat (om maar wat te noemen) de geluidskaart id 4 is, en de videokaart id 6, en als die id's dan opeens veranderen en de geluidskaart id 6 krijgt, dan probeert windows grafische data naar je geluidskaart te pushen, en dat gaat natuurlijk niet werken. (kan je trouwens dan ook gewoon zelf weer oplossen door devicemanager te vertellen te zoeken naar nieuwe hardware, en dan vind ie de 'oude' ids)

En je claim over op afstand besturen en afluisteren is niet helemaal waar, dit is iets wat door wat sensationele nieuws sites in de wereld is geholpen, maar wat daar allemaal even (voor het gemak?) word vergeten te vermelden is dat dit wel aan moet staan in IME.

Die anti diefstal functionaliteit word trouwens al jaren aangeboden, alleen vrijwel niet door Intel zelf, want zoals je zelf ook al zegt, vrijwel niemand stelt dat in.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 04:48]

[Verwijderd]

Heel moeilijk te zeggen want het ligt aan allerlei factoren, denk aan het merk moederbord, de gebruikte chipset, de gebruikte cpu, de overige hardware, de windows/osx/linux versie, en meer, Intel Management Engine is een low level interface voor de CPU en sommige hardware (vooral moederbord ondersteuning nodig)

Uiteindelijk blijft dat ding een beetje een 'black box' met allerlei features maar welke precies is nog steeds niet helemaal bekend (en dat is waarom er zo over geklaagd word de laatste tijd, en hoe uiteindelijk die bug gevonden is)

Als voorbeeld een paar van de dingen die het kan:
- Hardware een meer directe verbinding geven naar onderdelen van de CPU
- Bepalen welke taak naar welke core gaat
- Overige hardware signalen geven dat dit systeem snelheid x of y ook aankan
- Als dat geactiveerd is (kan alleen lokaal) kun je op afstand low lvl cpu functies aanroepen
Zoals je ziet is het dus een behoorlijk uiteenlopende lijst aan features, en dit zijn dan 4 willekeurige die bekend zijn, maar er zitten waarschijnlijk een stuk of 30 functies in, en 'we' kennen er misschien 10.

Om je uiteindelijke vraag te proberen te beantwoorden, je kan IME waarschijnlijk uitschakelen als je PC ouder dan een paar jaar is, hou vervolgens goed in de gaten hoe alles werkt (device manager & system logs checken, maar ook bijv snelheid van filetransfers tussen schijven/hardware) als er opeens hardware niet meer goed gedetecteerd word of langzamer werkt dan weet je dat je IME nodig hebt, blijft alles werken dan heb je het niet nodig

Andere manier hoe je ernaar kan kijken: heb je 'oude' hardware dan heb je het niet nodig (dan doet het niets) heb je recente hardware dan word het waarschijnlijk wel gebruikt om verbinding tussen cpu en hardware te optimaliseren, zet je dat uit dan raakt het systeem 'in de war' en zullen er hardware problemen verschijnen.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 04:48]

[Verwijderd]

Volgens mij een beetje een kwestie 'patchen omdat het kan', met de hoop natuurlijk wat naamsbekendheid te krijgen.

Begrijp me niet verkeerd, natuurlijk is dat verhaal rond IME niet leuk, maar het is ook zo dat iemand wel heel erg goed bekend moet zijn met dat systeem (wat dus vanwege tekort aan documentatie al bijna niet te doen is) en vervolgens moet je fysiek toegang hebben tot de PC, dus al met al valt het uiteindelijk nog best mee, en persoonlijk stoor ik me er dan ook niet aan dat de officiële patches pas rond 2018 uitkomen.

[jbhc]

Ik stoor me er wel aan dat er hardware in mijn pc zit waar ik geen idee van heb wat het doet. Ik kan dus niet wachten totdat ik op een normale manier die engine voorgoed uit kan schakelen.

[Titan_Fox]

Precies, voor mij heeft dit IME geen enkel nut en moet daarom worden uitgeschakeld. Hoewel ik zelf nooit Intel heb gekocht heb ik wel twee Intel machines in mijn bezit.

[The Zep Man]

Volgens mij een beetje een kwestie 'patchen omdat het kan', met de hoop natuurlijk wat naamsbekendheid te krijgen.

Het is geen "patchen omdat het kan". Je moet het gewoon zien als een security update, die een onnodige functie uitschakelt om de beveiliging te verbeteren.

Begrijp me niet verkeerd, natuurlijk is dat verhaal rond IME niet leuk, maar het is ook zo dat iemand wel heel erg goed bekend moet zijn met dat systeem (wat dus vanwege tekort aan documentatie al bijna niet te doen is) en vervolgens moet je fysiek toegang hebben tot de PC,

ME kan ook gebruik maken van interne netwerkkaarten, bijvoorbeeld van notebooks. Nieuwere versies kunnen mogelijk zelfs gebruik maken van een meegeleverde draadloze netwerkkaart. Gecombineerd met dat het een systeem is dat altijd aan staat als er stroom beschikbaar is geeft mij dit geen vertrouwen.

De eerste stap in system hardening is het uitschakelen van ongebruikte functies. System76 geeft zelf aan dat er voor hun systemen geen enkele use case is voor Intel ME. Aangezien men inderdaad niet weet wat ME allemaal kan doen is uitschakelen het verstandigst.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 04:48]

[Mr777]

Volgens mij een beetje een kwestie 'patchen omdat het kan', met de hoop natuurlijk wat naamsbekendheid te krijgen.

Het is eerder van Intels kant "integreren omdat het kan". Ze weten dat ze ermee weg kunnen komen, want elk stuk soft- of hardware bevat tegenwoordig achterdeurtjes of andere spionagefaciliteiten. De gebruiker maalt er niet meer om, die is de eindeloze stroom onthullingen en berichten over privacyschendingen al lang moe. Ze weten bij Intel (en ongetwijfeld ook bij de NSA) maar al te goed dat ze een dergelijke chip kunnen ontwikkelen waarmee ze schaamteloos elke pc te wereld kunnen inkijken, want er komt toch geen massaal protest, daarvoor is de gebruiker al te veel gewend geraakt aan Big Brother.

Het is dus ook een beetje een kwestie van "de gelegenheid maakt de dief". Als we als maatschappij wat meer om privacy zouden geven, zou dit soort praktijken massaal verworpen worden en zou Intel hier nooit mee weg kunnen komen. Maar helaas... Verder dan wat gemor hier en daar komt het toch nooit, dus waarom zouden ze het laten...

[Reactie gewijzigd door Mr777 op 23 juli 2024 04:48]

[desalniettemin]

Beter te wachten met het kopen van een laptop of PC met Intel tot volgend jaar? Ik geloof dat Coffeelake er geen last van heeft?

[PureTryOut]

Van deze vulnerabilities misschien niet, maar wel van de volgende die ontdekt gaan worden. Het beste is om het gewoon volledig uit te zetten of een laptop kopen waar het al uit staat.
En dan natuurlijk niet Windows of iets dergelijks gaan draaien, dat helpt niet bepaald voor je privacy.

[desalniettemin]

Windows nee, Peppermint 8 ja.

[lodew]

Ik blijf constant onzin lezen over dat de me of pch onderdeel is van de cpu. Dat is dus niet zo. De chipset op het mobo is de pch.

Dat de me een out of band oplossing is, is deels waar. Het is een feature van de me, net zoals de bugged anti-theft feature dat ook was. Die is middels een actuele bios update met bijgewerkte me firmware uitgeschakeld. Echter regelt de me nog veel meer low level initialisatie. Hij kan is het systeem uitschakelen bij critische temp, zelfs de fans regelen indien een vendor dat kiest. Bclk regelen, alsook de min en max baseclk staan daar ingesteld. Dat en nog een hoop andere zooi.

[Tetraquark]

wie geloof ik eerder, jou of Bruce Schneier....... mmmm moeilijk hoor..........
https://www.schneier.com/blog/archives/2013/01/the_eavesdroppi.html

[lodew]

Heb je dat zelf wel gelezen? Daar staat duidelijk dat de BMC onderdeel is van het moederbord zoals ik al zei. Trouwens daar gaat het over servers. En die gebruiken veel meer dan de me van Intel zelf. Hp en Dell waar ik zelf ervaring mee hebben, gebruiken bovendien een apparte BMC die bij op het bord zit, dewelke duidelijk te zien is aan de apparte chip en de flash chip met firmware die er langs zit. Dus waarom je die er nu bij haalt is me een vraag.

Weet ook niet wat je wou proberen te ontkrachten aan mijn vorige post.

[Tetraquark]

Ik blijf constant onzin lezen over dat de me of pch onderdeel is van de cpu. Dat is dus niet zo.

Misschien omdat Intel zelf in hun Whitepapers zegt dat "PCH chip is a highly integrated device providing accelerators for which may be present on the processor itself"
dus soms wel en soms niet.

Om dat als "onzin" te verklaren noemt men in de volksmond ook wel muggeziften.

[lodew]

Bij de atom c3000 serie is dat bvb het geval ja. Maar dat is geen cpu, dat is een system on a chip (soc). Daar zit pch en cpu op 1 package.

En ik vind dat onzin omdat in zelf constant in management engines van oa laptops zit te klooien om te overclocken. Mocht je dan de cpu swappen zou alles ongedaan gemaakt zijn. Wat absoluut het geval niet is. Er wordt hier gewoon vaak foutieve info overgenomen. En onwetenden roepen dat gewoon na. Typisch staaltje kuddegedrag.

[Reactie gewijzigd door lodew op 23 juli 2024 04:48]

[Nozmordre]

Voor wie nu al wil patchen, laatse versie van Intel ME, MEI en de tools om up te daten zijn beschikbaar op: https://www.win-raid.com/...are-amp-System-Tools.html

[jan99999]

Dacht dat dit in het nieuws kwam, omdat het nu mogelijk is om via een usb stick in een pc te drukken, je dit kan hacken, dus een paar seconde erin en klaar, wat eerst niet ging.
En bijv in de firmware kunt gaan zitten, en daarna de updates kunt beïnvloeden voor de volgende updates, door bijv zo te programmeren, dat de virus niet meer gewist kan worden.
Zeker met UEFI waar je veel in kunt programmeren.
En voordat windows gaat werken, zouden er al 2 tot 3 operating systems lopen, waar windows niks van weet, en dit zou minix zijn.

[computerjunky]

Wat mij betreft hoord die meuk er helemaal niet in te zitten.
Gewoon afschaffen in de volgende serie.
Hopendat amd tegen de tijd dat mijn systeem aan vervanging toe is eindelijk alles goed voor elkaar heeft.

[jj71]

De Intel ME is handig voor beheerders van servers of PC's in een bedrijf. Die kunnen daarmee op afstand de computers beheren.

Het slechte is dat het blijkbaar op vrijwel alle computers zit met Intel chipsets van de laatste paar jaar en dat er geen officiële manier is om de ME uit te schakelen. Voor gewone thuisgebruikers is de ME niet zinvol, maar het is dus wel een beveiligingsrisico.

Wat mij betreft zou Intel in de UEFI / BIOS instellingen gewoon een optie moeten toevoegen om de ME uit te zetten, zodat er geen moeilijke patches nodig zijn die de ME met hacks of ongedocumenteerde functies uitschakelen.

[computerjunky]

Maar er zijn zat tools om dit sokrt hardware op afstand te beheren.
Dus het is niet zo dat je niet zonder kan.
Maarja dat is een beetje zo met alle bedrijven he.
Ze willen hun standaard peoberen door te drukken om zo geld te kunnen vangen voor een feature waar eigenlijk betere of goedkopere alternatieven voor waren maar waar we nu aan vast zitten.

[jj71]

Het bijzondere van de ME is dat 'ie helemaal om de gewone CPU en het OS heen gaat, dus als er iets mis is met een computer waardoor het OS bijvoorbeeld niet meer kan booten dan kun je er via de ME nog steeds in. De ME kan zelfs als de computer uit staat (maar nog wel in het stopcontact zit) werken en dan lezen en schrijven naar de harddisk. Zo kun je met de ME bijvoorbeeld een hele nieuwe image op de harddisk zetten als het OS zodanig corrupt is geraakt dat het niet meer werkt. En dat allemaal op afstand, omdat de ME zelf om het gewone OS heen via het netwerk kan werken.

Dat soort dingen kun je niet zomaar met andere tools doen, daarvoor heb je speciale hardware zoals de ME nodig.

Superhandig voor beheerders van computers van bedrijven, maar een thuisgebruiker met een privécomputer heeft dat helemaal niet nodig. Maar als die ME altijd aan staat en niet uit te schakelen is, dan vormt het dus alleen maar een extra beveiligingsrisico. Stel dat er een bug in de firmware van de ME zit, zoals onlangs het geval was - dan hebben hackers mooi een mogelijkheid om heel diep in je computer in te breken, waarvan je niets merkt, maar die wel heel ernstig is, want als de hacker zijn malware bijvoorbeeld in de firmware van de ME zet dan is het bijna onmogelijk om er vanaf te komen. Windows opnieuw installeren zal niet werken.

[computerjunky]

Ja kan dan idd handig zijn al zou ik zelf voor een hdd hot swap gaan zodat je de 'defecte' schijf mee kan nemen en eventueel data terug kan halen als er al wat boeiends opstaat.
Dut kan zelf uitgevoerd worden maar als echte beheerder kost dit je natuurlijk inkomen omdat ze werk zelf kunnen doen en je niet direct met spoed nodig hebben haha.

[Sfynx]

De Intel ME is handig voor beheerders van servers of PC's in een bedrijf. Die kunnen daarmee op afstand de computers beheren.

Er zijn serverborden voor het Intel ME tijdperk waarmee dat kan via een BMC, wat dat betreft voegt Intel ME niets toe.

[Sandor_Clegane]

Goedzo, maak er even een mooie patch van. Plemp ik die ook nog even op mijn servertje.

Edit: zit net even die github te lezen, vanaf Skylake is het weer beduidend moeilijker geworden hem uit te schakelen. Man, wat is dat toch met die fabrikanten, take a hint. Jemig.

[Reactie gewijzigd door Sandor_Clegane op 23 juli 2024 04:48]

[Verwijderd]

Op de websites van o.a. MSI kan men tevens al een patch downloaden om het probleem grotendeels af te dekken. Binnenkort komt er dan nog een bios update.