Intel Active Management Technology ( AMT ) es hardware y firmware para la administración remota fuera de banda de computadoras empresariales seleccionadas, [1] [2] que se ejecuta en Intel Management Engine , un subsistema de microprocesador no expuesto al usuario, destinado a monitorear, mantener, actualizar y reparar sistemas. [1] La administración fuera de banda (OOB) o basada en hardware es diferente de la administración basada en software (o en banda) y los agentes de administración de software. [1]
La gestión basada en hardware funciona en un nivel diferente al de las aplicaciones de software y utiliza un canal de comunicación (a través de la pila TCP/IP ) que es diferente de la comunicación basada en software (que es a través de la pila de software en el sistema operativo). La gestión basada en hardware no depende de la presencia de un sistema operativo o de un agente de gestión instalado localmente. La gestión basada en hardware ha estado disponible en ordenadores basados en Intel/AMD en el pasado, pero se ha limitado en gran medida a la configuración automática mediante DHCP o BOOTP para la asignación dinámica de direcciones IP y estaciones de trabajo sin disco , así como a wake-on-LAN (WOL) para encender sistemas de forma remota. [3] AMT no está pensado para utilizarse por sí solo; está pensado para utilizarse junto con una aplicación de gestión de software. [1] Da a una aplicación de gestión (y, por tanto, al administrador del sistema que la utiliza) acceso a la PC a través de la red, para realizar de forma remota tareas que son difíciles o, a veces, imposibles cuando se trabaja en una PC que no tiene funcionalidades remotas integradas. [1] [4] [5]
AMT está diseñado en un procesador de servicio ubicado en la placa base y utiliza comunicación segura TLS y cifrado fuerte para proporcionar seguridad adicional. [6] AMT está integrado en PC con tecnología Intel vPro y se basa en Intel Management Engine (ME). [6] AMT ha avanzado hacia una mayor compatibilidad con los estándares DMTF Desktop y mobile Architecture for System Hardware (DASH) y AMT Release 5.1 y versiones posteriores son una implementación de los estándares DASH versión 1.0/1.1 para la gestión fuera de banda. [7] AMT proporciona una funcionalidad similar a IPMI , aunque AMT está diseñado para sistemas informáticos de cliente en comparación con el IPMI típicamente basado en servidor.
Actualmente, AMT está disponible en computadoras de escritorio, servidores, ultrabooks, tabletas y portátiles con la familia de procesadores Intel Core vPro , incluidos Intel Core i5, Core i7, Core i9 y la familia de productos Intel Xeon E3-1000, Xeon E, Xeon W-1000. [1] [8] [9] AMT también requiere una tarjeta de red Intel y la versión corporativa del binario Intel Management Engine. [10]
Intel confirmó un error de Elevación remota de privilegios ( CVE - 2017-5689, SA-00075) en su Tecnología de administración el 1 de mayo de 2017. [11] Cada plataforma Intel con Intel Standard Manageability, Active Management Technology o Small Business Technology, desde Nehalem en 2008 hasta Kaby Lake en 2017 tiene un agujero de seguridad explotable de forma remota en el ME. [12] [13] Algunos fabricantes, como Purism [14] y System76 [15] ya están vendiendo hardware con Intel Management Engine deshabilitado para evitar la explotación remota. Intel confirmó el 20 de noviembre de 2017 (SA-00086) otras fallas de seguridad importantes en el ME que afectan a una gran cantidad de computadoras que incorporan firmware Management Engine, Trusted Execution Engine y Server Platform Services , desde Skylake en 2015 hasta Coffee Lake en 2017.
Si bien iAMT puede incluirse de forma gratuita en dispositivos vendidos al público y a pequeñas empresas, las capacidades completas de iAMT, incluido el acceso remoto cifrado a través de un certificado de clave pública y el aprovisionamiento remoto automático de dispositivos clientes iAMT no configurados, no son accesibles de forma gratuita para el público en general o para los propietarios directos de dispositivos equipados con iAMT. iAMT no se puede utilizar en todo su potencial sin comprar software adicional o servicios de administración de Intel u otro proveedor de software independiente (ISV) o revendedor de valor agregado (VAR) externo .
Intel proporciona un paquete de software de herramientas para desarrolladores que permite un acceso básico a iAMT, pero no está pensado para utilizarse normalmente para acceder a la tecnología. [16] Solo se admiten modos básicos de acceso, sin acceso completo a las comunicaciones cifradas del sistema de gestión completo adquirido. [17]
Intel AMT incluye funciones de administración remota, seguridad, administración de energía y configuración remota basadas en hardware que permiten el acceso remoto independiente a PC con AMT habilitado. [5] Intel AMT es una tecnología de seguridad y administración que está integrada en PC con tecnología Intel vPro . [1]
Intel AMT utiliza un canal de comunicación fuera de banda (OOB) basado en hardware [1] que funciona independientemente de la presencia de un sistema operativo en funcionamiento. El canal de comunicación es independiente del estado de energía de la PC, la presencia de un agente de administración y el estado de muchos componentes de hardware, como unidades de disco duro y memoria .
La mayoría de las funciones de AMT están disponibles OOB, independientemente del estado de energía de la PC. [1] Otras funciones requieren que la PC esté encendida (como la redirección de la consola a través de serial over LAN (SOL), la verificación de presencia del agente y el filtrado del tráfico de red). [1] Intel AMT tiene capacidad de encendido remoto.
Las funciones basadas en hardware se pueden combinar con secuencias de comandos para automatizar el mantenimiento y el servicio. [1]
Las funciones AMT basadas en hardware en computadoras portátiles y de escritorio incluyen:
Las computadoras portátiles con AMT también incluyen tecnologías inalámbricas:
Las actualizaciones de software proporcionan actualizaciones a la próxima versión menor de Intel AMT. Las nuevas versiones principales de Intel AMT están integradas en un nuevo chipset y se actualizan mediante nuevo hardware. [6]
Casi todas las funciones de AMT están disponibles incluso si la PC está apagada pero con el cable de alimentación conectado, si el sistema operativo ha fallado, si falta el agente de software o si el hardware (como un disco duro o una memoria) ha fallado. [1] [6] La función de redirección de consola ( SOL ), la verificación de presencia del agente y los filtros de tráfico de red están disponibles después de encender la PC. [1] [6]
Intel AMT admite estas tareas de administración:
A partir de la versión principal 6, Intel AMT incorpora un servidor VNC propietario para el acceso fuera de banda mediante tecnología de visualización dedicada compatible con VNC, y tiene capacidad KVM (teclado, video, mouse) completa durante todo el ciclo de energía, incluido el control ininterrumpido del escritorio cuando se carga un sistema operativo. Los clientes como VNC Viewer Plus de RealVNC también brindan funcionalidad adicional que puede facilitar la realización (y la visualización) de ciertas operaciones de Intel AMT, como apagar y encender la computadora, configurar el BIOS y montar una imagen remota (IDER).
AMT admite el aprovisionamiento remoto basado en certificados o PSK (implementación remota completa), el aprovisionamiento basado en clave USB (aprovisionamiento "one-touch"), el aprovisionamiento manual [1] y el aprovisionamiento mediante un agente en el host local ("aprovisionamiento basado en host"). Un OEM también puede aprovisionar AMT con anterioridad. [19]
La versión actual de AMT admite la implementación remota tanto en computadoras portátiles como de escritorio. (La implementación remota era una de las características clave que faltaban en las versiones anteriores de AMT y que retrasaron la aceptación de AMT en el mercado). [5] La implementación remota, hasta hace poco, solo era posible dentro de una red corporativa. [22] La implementación remota permite que un administrador de sistemas implemente PC sin "tocar" físicamente los sistemas. [1] También permite que un administrador de sistemas retrase las implementaciones y ponga las PC en uso durante un período de tiempo antes de que las características de AMT estén disponibles para la consola de TI. [23] A medida que evolucionan los modelos de entrega e implementación, AMT ahora se puede implementar a través de Internet, utilizando métodos "Zero-Touch" y basados en host. [24]
Las PC se pueden vender con AMT habilitado o deshabilitado. El OEM determina si envía AMT con las capacidades listas para la configuración (habilitadas) o deshabilitadas. El proceso de instalación y configuración puede variar según la versión del OEM. [19]
AMT incluye una aplicación de ícono de privacidad, llamada IMSS, [25] que notifica al usuario del sistema si AMT está habilitado. El OEM es quien decide si desea mostrar el ícono o no.
AMT admite diferentes métodos para deshabilitar la tecnología de administración y seguridad, así como diferentes métodos para volver a habilitar la tecnología. [1] [23] [26] [27]
Es posible deshabilitar parcialmente AMT mediante los Ajustes de configuración, o deshabilitar completamente el aprovisionamiento borrando todos los ajustes de configuración, credenciales de seguridad y ajustes operativos y de red. [28] Un deshabilitamiento parcial deja la PC en el estado de configuración. En este estado, la PC puede iniciar por sí misma su proceso de configuración remota automatizada. Un deshabilitamiento completo borra el perfil de configuración, así como las credenciales de seguridad y los ajustes operativos y de red necesarios para comunicarse con Intel Management Engine. Un deshabilitamiento completo devuelve Intel AMT a su estado predeterminado de fábrica.
Una vez que se deshabilita AMT, para habilitarlo nuevamente, un administrador de sistemas autorizado puede restablecer las credenciales de seguridad necesarias para realizar la configuración remota de una de las siguientes maneras:
Hay una manera de restablecer por completo el AMT y volver a los valores predeterminados de fábrica. Esto se puede hacer de dos maneras:
La instalación y la integración de AMT están respaldadas por un servicio de configuración e instalación (para configuración automatizada), una herramienta de servidor web AMT (incluida con Intel AMT) y AMT Commander, una aplicación patentada, gratuita y sin soporte disponible en el sitio web de Intel.
Todo acceso a las funciones de Intel AMT se realiza a través del motor de administración Intel en el hardware y firmware de la PC. [1] La comunicación AMT depende del estado del motor de administración, no del estado del sistema operativo de la PC.
Como parte del motor de administración Intel, el canal de comunicación OOB de AMT se basa en la pila de firmware TCP/IP diseñada en el hardware del sistema. [1] Debido a que se basa en la pila TCP/IP, la comunicación remota con AMT se produce a través de la ruta de datos de red antes de que la comunicación se transmita al sistema operativo.
Intel AMT admite redes cableadas e inalámbricas . [1] [8] [20] [29] En el caso de las computadoras portátiles inalámbricas que funcionan con batería, la comunicación OOB está disponible cuando el sistema está activo y conectado a la red corporativa, incluso si el sistema operativo no funciona. La comunicación OOB también está disponible para computadoras portátiles inalámbricas o cableadas conectadas a la red corporativa a través de una red privada virtual (VPN) basada en el sistema operativo host cuando las computadoras portátiles están activas y funcionan correctamente.
La versión 4.0 de AMT y superiores pueden establecer un túnel de comunicación seguro entre una PC cableada y una consola de TI fuera del firewall corporativo. [1] [30] En este esquema, un servidor de presencia de administración (Intel lo llama una "puerta de enlace habilitada para vPro") autentica la PC, abre un túnel TLS seguro entre la consola de TI y la PC y media la comunicación. [1] [31] El esquema está destinado a ayudar al usuario o a la propia PC a solicitar mantenimiento o servicio cuando se encuentran en oficinas satélite o lugares similares donde no hay un servidor proxy o dispositivo de administración en el sitio.
La tecnología que protege las comunicaciones fuera de un firewall corporativo es relativamente nueva. También requiere que exista una infraestructura , incluido el soporte de consolas de TI y firewalls.
Una PC AMT almacena información de configuración del sistema en una memoria protegida. Para las PC versión 4.0 y superiores, esta información puede incluir el nombre o los nombres de los servidores de administración de la " lista blanca " apropiados para la empresa. Cuando un usuario intenta iniciar una sesión remota entre la PC con cable y un servidor de la empresa desde una LAN abierta , AMT envía la información almacenada a un servidor de presencia de administración (MPS) en la "zona desmilitarizada" ("DMZ") que existe entre el firewall corporativo y los firewalls del cliente (la PC del usuario). El MPS utiliza esa información para ayudar a autenticar la PC. Luego, el MPS media la comunicación entre la computadora portátil y los servidores de administración de la empresa. [1]
Como la comunicación está autenticada, se puede abrir un túnel de comunicación seguro mediante el cifrado TLS . Una vez que se establecen comunicaciones seguras entre la consola de TI e Intel AMT en la PC del usuario, un administrador de sistemas puede utilizar las características típicas de AMT para diagnosticar, reparar, mantener o actualizar la PC de forma remota. [1]
El motor de administración (ME) es un coprocesador aislado y protegido, integrado como una parte no opcional [32] en todos los chipsets Intel actuales (a partir de 2015 [actualizar]). [33]
A partir de ME 11, se basa en la CPU de 32 bits basada en Intel Quark x86 y ejecuta el sistema operativo MINIX 3. El estado de ME se almacena en una partición de la flash SPI , utilizando el sistema de archivos Flash integrado (EFFS). [34] Las versiones anteriores se basaban en un núcleo ARC , con el motor de gestión ejecutando el RTOS ThreadX de Express Logic . Las versiones 1.x a 5.x de ME usaban ARCTangent-A4 (solo instrucciones de 32 bits), mientras que las versiones 6.x a 8.x usaban el más nuevo ARCompact ( arquitectura de conjunto de instrucciones mixta de 32 y 16 bits ). A partir de ME 7.1, el procesador ARC también podía ejecutar applets Java firmados .
El ME comparte la misma interfaz de red y la misma IP que el sistema host. El tráfico se enruta en función de los paquetes a los puertos 16992–16995. Existe soporte en varios controladores Ethernet de Intel, exportados y configurables a través del Protocolo de transporte de componentes de gestión (MCTP). [35] [36] El ME también se comunica con el host a través de la interfaz PCI. [34] En Linux, la comunicación entre el host y el ME se realiza a través de /dev/mei[33] o, más recientemente, [37] /dev/mei0 . [38]
Hasta el lanzamiento de los procesadores Nehalem , el ME generalmente estaba integrado en el puente norte de la placa base , siguiendo el diseño del concentrador del controlador de memoria (MCH). [39] Con las arquitecturas Intel más nuevas ( Intel Serie 5 en adelante), el ME se incluye en el concentrador del controlador de plataforma (PCH). [40] [41]
Debido a que AMT permite el acceso a la PC por debajo del nivel del sistema operativo, la seguridad de las funciones de AMT es una preocupación clave.
La seguridad de las comunicaciones entre Intel AMT y el servicio de aprovisionamiento o la consola de administración se puede establecer de diferentes maneras según el entorno de red. La seguridad se puede establecer mediante certificados y claves (infraestructura de clave pública TLS o TLS-PKI), claves precompartidas ( TLS-PSK ) o contraseña de administrador. [1] [6]
Las tecnologías de seguridad que protegen el acceso a las funciones de AMT están integradas en el hardware y el firmware. Al igual que con otras funciones de AMT basadas en hardware, las tecnologías de seguridad están activas incluso si la PC está apagada, el sistema operativo falla, faltan agentes de software o falla el hardware (como un disco duro o una memoria). [1] [6] [42]
Dado que el software que implementa AMT existe fuera del sistema operativo, el mecanismo de actualización normal del sistema operativo no lo mantiene actualizado. Por lo tanto, los defectos de seguridad en el software AMT pueden ser particularmente graves, ya que permanecerán mucho tiempo después de que se hayan descubierto y sean conocidos por los posibles atacantes.
El 15 de mayo de 2017, Intel anunció una vulnerabilidad crítica en AMT. Según la actualización, "la vulnerabilidad podría permitir que un atacante de red obtenga acceso remoto a PCs empresariales o dispositivos que utilicen estas tecnologías". [43] Intel anunció la disponibilidad parcial de una actualización de firmware para corregir la vulnerabilidad en algunos de los dispositivos afectados.
Si bien algunos protocolos para la administración remota en banda utilizan un canal de comunicación de red seguro (por ejemplo, Secure Shell ), otros protocolos no lo son. Por lo tanto, algunas empresas han tenido que elegir entre tener una red segura o permitir que el departamento de TI utilice aplicaciones de administración remota sin comunicaciones seguras para realizar el mantenimiento y servicio técnico de las PC. [1]
Las tecnologías de seguridad modernas y los diseños de hardware permiten la administración remota incluso en entornos más seguros. Por ejemplo, Intel AMT es compatible con IEEE 802.1x , Preboot Execution Environment (PXE), Cisco SDN y Microsoft NAP . [1]
Todas las funciones de AMT están disponibles en un entorno de red seguro. Con Intel AMT en el entorno de red seguro:
Intel AMT puede incorporar credenciales de seguridad de red en el hardware, a través del Agente de confianza integrado de Intel AMT y un complemento de postura de AMT . [1] [6] El complemento recopila información de postura de seguridad, como la configuración del firmware y los parámetros de seguridad de software de terceros (como software antivirus y antispyware ), BIOS y memoria protegida . El complemento y el agente de confianza pueden almacenar los perfiles de seguridad en la memoria no volátil protegida de AMT, que no está en la unidad de disco duro .
Debido a que AMT tiene un canal de comunicación fuera de banda, puede presentar la postura de seguridad de la PC a la red incluso si el sistema operativo o el software de seguridad de la PC están comprometidos. Como AMT presenta la postura fuera de banda, la red también puede autenticar la PC fuera de banda, antes de que se carguen el sistema operativo o las aplicaciones y antes de que intenten acceder a la red. Si la postura de seguridad no es correcta, un administrador de sistema puede enviar una actualización fuera de banda (a través de Intel AMT) o reinstalar software de seguridad crítico antes de permitir que la PC acceda a la red.
La compatibilidad con diferentes posturas de seguridad depende de la versión de AMT :
AMT incluye varios esquemas, tecnologías y metodologías de seguridad para proteger el acceso a las funciones de AMT durante la implementación y durante la administración remota. [1] [6] [42] Las tecnologías y metodologías de seguridad de AMT incluyen:
Al igual que con otros aspectos de Intel AMT, las tecnologías y metodologías de seguridad están integradas en el chipset.
Invisible Things Lab demostró un rootkit de anillo −3 para el chipset Q35; no funciona para el chipset Q45 posterior, ya que Intel implementó protecciones adicionales. [46] El exploit funcionó reasignando la región de memoria normalmente protegida (los 16 MB superiores de RAM) reservada para el ME. El rootkit ME se podía instalar independientemente de si el AMT estaba presente o habilitado en el sistema, ya que el chipset siempre contiene el coprocesador ARC ME. (Se eligió la designación "−3" porque el coprocesador ME funciona incluso cuando el sistema está en el estado S3 , por lo que se consideró una capa por debajo de los rootkits del modo de administración del sistema . [39] ) Para el chipset Q35 vulnerable, Patrick Stewin demostró un rootkit basado en ME con registrador de pulsaciones de teclas . [47] [48]
Otra evaluación de seguridad realizada por Vassilios Ververis mostró serias debilidades en la implementación del chipset GM45. En particular, criticó a AMT por transmitir contraseñas no cifradas en el modo de aprovisionamiento SMB cuando se utilizan las funciones de redirección IDE y Serial over LAN. También descubrió que el modo de aprovisionamiento "zero touch" (ZTC) sigue estando habilitado incluso cuando AMT parece estar deshabilitado en BIOS. Por unos 60 euros, Ververis compró a Go Daddy un certificado que es aceptado por el firmware ME y permite el aprovisionamiento remoto "zero touch" de máquinas (posiblemente desprevenidas), que transmiten sus paquetes HELLO a posibles servidores de configuración. [49]
En mayo de 2017, Intel confirmó que muchas computadoras con AMT tenían una vulnerabilidad crítica de escalada de privilegios sin parchear ( CVE - 2017-5689). [13] [50] [11] [51] [52] La vulnerabilidad, que fue apodada " Silent Bob is Silent" por los investigadores que la habían informado a Intel, [53] afecta a numerosas computadoras portátiles, de escritorio y servidores vendidos por Dell , Fujitsu , Hewlett-Packard (más tarde Hewlett Packard Enterprise y HP Inc. ), Intel, Lenovo y posiblemente otros. [53] [54] [55] [56] [57] [58] [59] Esos investigadores afirmaron que el error afecta a los sistemas fabricados en 2010 o después. [60] Otros informes afirmaron que el error también afecta a los sistemas fabricados en 2008. [12] [13] La vulnerabilidad fue descrita como dando a los atacantes remotos:
Control total de las máquinas afectadas, incluida la capacidad de leer y modificar todo. Puede utilizarse para instalar malware persistente (posiblemente en el firmware) y leer y modificar cualquier dato.
— Tatu Ylönen, ssh.com [53]
El proceso de autorización de usuario remoto incluyó un error de programación: comparó el hash del token de autorización proporcionado por el usuario ( user_response) con el valor verdadero del hash ( computed_response) usando este código:
strncmp(respuesta_calculada, respuesta_del_usuario, longitud_de_respuesta)
La vulnerabilidad era response_lengthla longitud del token proporcionado por el usuario y no del token real.
Dado que el tercer argumento de strncmpes la longitud de las dos cadenas que se van a comparar, si es menor que la longitud de computed_response, solo se comprobará la igualdad de una parte de la cadena. En concreto, si user_responsees la cadena vacía (con longitud 0), esta "comparación" siempre devolverá verdadero y, por tanto, validará al usuario. Esto permitía a cualquier persona iniciar sesión en la admincuenta de los dispositivos editando el paquete HTTP enviado para utilizar la cadena vacía como responsevalor del campo.
En junio de 2017, el grupo de ciberdelincuencia PLATINUM se hizo conocido por explotar las capacidades de serial over LAN (SOL) de AMT para realizar exfiltración de datos de documentos robados. [61] [62] [63] [64] [65] [66] [67] [68]
En noviembre de 2017, la empresa de seguridad Positive Technologies detectó graves fallos en el firmware del Management Engine (ME), afirmando haber desarrollado un exploit funcional de este sistema para que alguien tuviera acceso físico a un puerto USB. [69] El 20 de noviembre de 2017, Intel confirmó que se habían encontrado varios fallos graves en el Management Engine, Trusted Execution Engine y Server Platform Services y lanzó una "actualización crítica del firmware". [70] [71]
Las PC con AMT suelen ofrecer una opción en el menú BIOS para desactivar AMT, aunque los OEM implementan las características de BIOS de forma diferente [72] y, por lo tanto, el BIOS no es un método fiable para desactivar AMT. Se supone que las PC basadas en Intel que se entregan sin AMT no pueden tener AMT instalado más tarde. Sin embargo, mientras el hardware de la PC sea potencialmente capaz de ejecutar AMT, no está claro cuán efectivas son estas protecciones [73] [74] [75] Actualmente, existen guías de mitigación [76] y herramientas [77] para desactivar AMT en Windows, pero Linux solo ha recibido una herramienta para verificar si AMT está habilitado y aprovisionado en sistemas Linux [78] La única forma de corregir realmente esta vulnerabilidad es instalar una actualización de firmware. Intel ha puesto a disposición una lista de actualizaciones [79] A diferencia de AMT, generalmente no existe una forma oficial y documentada de desactivar el Motor de administración (ME); siempre está activado, a menos que el OEM no lo habilite en absoluto [80] [81]
En 2015, un pequeño número de proveedores competidores comenzaron a ofrecer PC basadas en Intel diseñadas o modificadas específicamente para abordar posibles vulnerabilidades de AMT y problemas relacionados. [82] [83] [84] [85] [10] [86] [87]
{{cite web}}: CS1 maint: copia archivada como título ( enlace ){{cite web}}: CS1 maint: copia archivada como título ( enlace ){{cite web}}: CS1 maint: copia archivada como título ( enlace ){{cite web}}: CS1 maint: copia archivada como título ( enlace )