.svg/1280px-Intel_vPro_(logo,_2021).svg.png)
La tecnología Intel vPro es un término de marketing general utilizado por Intel para una gran colección de tecnologías de hardware informático , entre las que se incluyen VT-x , VT-d , Trusted Execution Technology (TXT) e Intel Active Management Technology (AMT). [1] Cuando se lanzó la marca vPro (circa 2007), se la identificó principalmente con AMT, [2] [3] por lo que algunos periodistas aún consideran que AMT es la esencia de vPro. [4]
Intel vPro es una marca que se utiliza para designar un conjunto de características de hardware para PC. Las PC que admiten vPro tienen un procesador habilitado para vPro, un chipset habilitado para vPro y un BIOS habilitado para vPro como sus elementos principales. [2] [3] [5] [6] [7] [8]
Una PC vPro incluye:
La 12.ª generación de procesadores Intel Core introdujo cuatro plataformas distintas: vPro Essentials, vPro Enterprise para Windows, vPro Enterprise para Chrome y vPro Evo Design. [21] La diferencia de vPro Essentials es que no admite algunas funciones: control remoto KVM fuera de banda, Intel® AMT inalámbrico, llamada rápida de ayuda, Intel® Remote Secure Erase con Intel® SSD Pro. [22] Los procesadores Intel que admiten vPro Essentials utilizan Intel Standard Manageability (un subconjunto de Intel AMT) [23] que admite la administración fuera de banda y se puede monitorear con la función "Access Monitor". [24] [25]
Intel AMT es el conjunto de funciones de administración y seguridad integradas en las PC vPro que facilitan a un administrador de sistemas monitorear, mantener, proteger y reparar las PC. [11] Intel AMT (la tecnología de administración) a veces se confunde con Intel vPro (la "plataforma" de la PC), porque AMT es una de las tecnologías más visibles de una PC basada en Intel vPro.
Intel AMT incluye:
La gestión basada en hardware ha estado disponible en el pasado, pero se ha limitado a la configuración automática (de computadoras que la solicitan) utilizando DHCP o BOOTP para la asignación dinámica de direcciones IP y estaciones de trabajo sin disco, así como wake-on-LAN para encender sistemas de forma remota. [26]
A partir de vPro con AMT 6.0, las PC con procesadores i5 o i7 y gráficos Intel integrados ahora contienen un servidor VNC integrado propietario de Intel . Puede conectarse fuera de banda mediante tecnología de visor compatible con VNC dedicada y tener capacidad KVM completa (teclado, video, mouse) durante todo el ciclo de energía, incluido el control ininterrumpido del escritorio cuando se carga un sistema operativo. Los clientes como VNC Viewer Plus de RealVNC también brindan funcionalidad adicional que puede facilitar la realización (y la visualización) de ciertas operaciones de Intel AMT, como apagar y encender la computadora, configurar el BIOS y montar una imagen remota (IDER).
No todos los procesadores i5 e i7 con vPro admiten la capacidad KVM. Esto depende de la configuración del BIOS del OEM y de si hay una tarjeta gráfica independiente. Solo los gráficos HD integrados de Intel admiten la capacidad KVM. [27] [ Se necesita una mejor fuente ]
Intel vPro admite comunicación inalámbrica encriptada por cable e inalámbrica para todas las funciones de administración remota para PC dentro del firewall corporativo . [11] Intel vPro admite comunicación encriptada para algunas funciones de administración remota para PC con LAN inalámbrica y cableada fuera del firewall corporativo . [11] [28]
Las computadoras portátiles con vPro incluyen una conexión de red gigabit y admiten protocolos inalámbricos IEEE 802.11 a / g / n . [11] [28] [29]
Las PC Intel vPro admiten la comunicación inalámbrica con las funciones AMT. [11] [29]
En el caso de las computadoras portátiles inalámbricas que funcionan con batería , la comunicación con las funciones de AMT puede ocurrir cuando el sistema está activo y conectado a la red corporativa . Esta comunicación está disponible si el sistema operativo está inactivo o faltan agentes de administración . [11] [28]
La comunicación fuera de banda AMT y algunas funciones AMT están disponibles para computadoras portátiles inalámbricas o cableadas conectadas a la red corporativa a través de una red privada virtual (VPN) basada en el sistema operativo host cuando las computadoras portátiles están activas y funcionando correctamente. [11]
Una conexión inalámbrica funciona en dos niveles: la interfaz de red inalámbrica (WLAN) y el controlador de interfaz que se ejecuta en el host de la plataforma. La interfaz de red administra la conexión de comunicaciones RF.
Si el usuario apaga el transmisor/receptor inalámbrico mediante un interruptor de hardware o software, Intel AMT no puede usar la interfaz inalámbrica bajo ninguna condición hasta que el usuario encienda el transmisor/receptor inalámbrico.
Intel AMT Release 2.5/2.6 puede enviar y recibir tráfico de administración a través de la WLAN solo cuando la plataforma está en el estado de energía S0 (la computadora está encendida y funcionando). No recibe tráfico inalámbrico cuando el host está inactivo o apagado. Si el estado de energía lo permite, Intel AMT Release 2.5/2.6 puede continuar enviando y recibiendo tráfico fuera de banda cuando la plataforma está en un estado Sx, pero solo a través de una conexión LAN cableada, si existe una.
La versión 4.0 y las versiones posteriores admiten la administración inalámbrica fuera de banda en estados Sx, según la configuración de energía y otros parámetros de configuración.
La versión 7.0 admite la administración inalámbrica en plataformas de escritorio.
Cuando se establece una conexión inalámbrica en una plataforma host, se basa en un perfil inalámbrico que configura nombres, contraseñas y otros elementos de seguridad utilizados para autenticar la plataforma en el punto de acceso inalámbrico. El usuario o la organización de TI definen uno o más perfiles utilizando una herramienta como Intel PROSet/Wireless Software. En la versión 2.5/6, Intel AMT debe tener un perfil inalámbrico correspondiente para recibir tráfico fuera de banda a través del mismo enlace inalámbrico. La API de interfaz de red permite definir uno o más perfiles inalámbricos utilizando los mismos parámetros que Intel PROSet/Wireless Software. Consulte Parámetros de perfil inalámbrico. Al encender el host, Intel AMT se comunica con el controlador de LAN inalámbrica en el host. Cuando el controlador e Intel AMT encuentran perfiles coincidentes, el controlador enruta el tráfico dirigido al dispositivo Intel AMT para su procesamiento de capacidad de administración. Con ciertas limitaciones, Intel AMT versión 4.0/1 puede enviar y recibir tráfico fuera de banda sin un perfil inalámbrico configurado por Intel AMT, siempre que el controlador del host esté activo y la plataforma se encuentre dentro de la empresa.
En las plataformas inalámbricas de la versión 4.2 y de la versión 6.0, la red WLAN está habilitada de manera predeterminada tanto antes como después de la configuración. Esto significa que es posible configurar Intel AMT a través de la red WLAN, siempre que el controlador de red WLAN del host tenga una conexión activa. Intel AMT se sincroniza con el perfil de host activo. Supone que un servidor de configuración configura un perfil inalámbrico que Intel AMT utiliza en estados de energía distintos de S0.
Cuando hay un problema con el controlador inalámbrico y el host aún está encendido (solo en un estado de energía S0), Intel AMT puede continuar recibiendo tráfico de administración fuera de banda directamente desde la interfaz de red inalámbrica.
Para que Intel AMT funcione con una LAN inalámbrica, debe compartir direcciones IP con el host. Esto requiere la presencia de un servidor DHCP para asignar direcciones IP y Intel AMT debe estar configurado para utilizar DHCP.
Las PC Intel vPro admiten comunicación cifrada durante el roaming . [11] [29] [30]
Las versiones 4.0 o superiores de las PC vPro admiten la seguridad de las comunicaciones móviles estableciendo un túnel seguro para la comunicación AMT cifrada con el proveedor de servicios administrados durante el roaming (operando en una LAN abierta y cableada fuera del firewall corporativo ). [11] Se puede establecer una comunicación segura con AMT si la computadora portátil está apagada o el sistema operativo está deshabilitado. [11] El túnel de comunicación cifrada AMT está diseñado para permitir que los administradores de sistemas accedan a una computadora portátil o de escritorio en oficinas satélite donde no hay un servidor proxy en el sitio o un dispositivo de servidor de administración .
Las comunicaciones seguras fuera del firewall corporativo dependen de la incorporación de un nuevo elemento (un servidor de presencia de administración, al que Intel denomina "puerta de enlace habilitada para vPro") a la infraestructura de red. [11] Esto requiere la integración con fabricantes de conmutadores de red , proveedores de firewall y proveedores que diseñan consolas de administración para crear una infraestructura que admita comunicaciones de roaming cifradas . Por lo tanto, aunque la comunicación de roaming cifrada está habilitada como una característica en las PC con vPro versión 4.0 y superiores, la característica no será completamente utilizable hasta que la infraestructura esté instalada y en funcionamiento.
Las tecnologías y metodologías de seguridad de vPro están diseñadas en el chipset de la PC y en otro hardware del sistema. Durante la implementación de las PC con vPro, las credenciales de seguridad, las claves y otra información crítica se almacenan en una memoria protegida (no en el disco duro ) y se borran cuando ya no se necesitan.
Según Intel, es posible desactivar AMT a través de la configuración del BIOS, sin embargo, aparentemente no hay manera de que la mayoría de los usuarios detecten el acceso externo a su PC a través de la tecnología basada en hardware vPro. [31] Además, Sandy Bridge y los chips futuros tendrán "... la capacidad de matar y restaurar remotamente una PC perdida o robada a través de 3G... si esa computadora portátil tiene una conexión 3G" [32]
El 1 de mayo de [2017], Intel publicó un aviso de seguridad sobre una vulnerabilidad de firmware en ciertos sistemas que utilizan Intel Active Management Technology (Intel AMT), Intel Standard Manageability (Intel ISM) o Intel Small Business Technology (Intel SBT). La vulnerabilidad es potencialmente muy grave y podría permitir que un atacante de red obtenga acceso remoto a PC y estaciones de trabajo empresariales que utilicen estas tecnologías. Instamos a las personas y empresas que utilizan PC y dispositivos empresariales que incorporan Intel AMT, Intel ISM o Intel SBT a que apliquen una actualización de firmware del fabricante de su equipo cuando esté disponible o a que sigan los pasos detallados en la guía de mitigación. [33] [34]
Muchas de las características de vPro, incluida la AMT, se implementan en el Intel Management Engine (ME), un procesador específico en el chipset que ejecuta MINIX 3 , que se ha descubierto que tiene numerosas vulnerabilidades de seguridad . A diferencia de la AMT, generalmente no existe una forma oficial y documentada de deshabilitar el Management Engine (ME); siempre está activado a menos que el OEM no lo habilite en absoluto. [35] [36]
Intel vPro admite metodologías y protocolos estándar de la industria , así como funciones de seguridad de otros proveedores: [6] [11] [13] [37]
Intel Boot Guard es una función del procesador que evita que la computadora ejecute imágenes de firmware ( UEFI ) no publicadas por el fabricante del sistema ( OEM u ODM ). Cuando se activa, el procesador verifica una firma digital contenida en la imagen de firmware antes de ejecutarla, utilizando la clave pública del par de claves , la clave pública OEM/ODM se fusiona en el concentrador de controlador de plataforma (PCH) del sistema [a] por el fabricante del sistema (no por Intel). Como resultado, Intel Boot Guard, cuando se activa, hace que sea imposible para los usuarios finales instalar firmware de reemplazo (como Coreboot ) o BIOS modificado . [40] [41]
Intel Boot Guard se lanzó por primera vez en los procesadores Haswell en junio de 2013.
Intel vPro utiliza varias tecnologías y metodologías de seguridad estándar de la industria para proteger el canal de comunicación remoto de vPro . Estas tecnologías y metodologías también mejoran la seguridad para acceder a los datos críticos del sistema de la PC, las configuraciones del BIOS , las funciones de administración de Intel AMT y otras funciones o datos confidenciales; y protegen las credenciales de seguridad y otra información crítica durante la implementación (configuración de Intel AMT) y el uso de vPro. [11] [42]
La primera versión de Intel vPro se creó con un procesador Intel Core 2 Duo. [6] Las versiones actuales de Intel vPro están integradas en sistemas con procesadores Intel Core i5 e i7 de décima generación de 10 nm .
Las PC con Intel vPro requieren chipsets específicos . Las versiones de Intel vPro suelen identificarse por su versión AMT. [6] [11]
Las computadoras portátiles con Intel vPro requieren:
Tenga en cuenta que la versión 2.5 de AMT para computadoras portátiles con cable o inalámbricas y la versión 3.0 de AMT para computadoras de escritorio son versiones simultáneas.
Las computadoras de escritorio con vPro (llamadas "Intel Core 2 con tecnología vPro") requieren:
Tenga en cuenta que la versión 2.5 de AMT para computadoras portátiles con cable o inalámbricas y la versión 3.0 de AMT para computadoras de escritorio son versiones simultáneas.
Existen numerosas marcas de Intel. Sin embargo, las diferencias clave entre vPro (un término de marketing general), AMT (una tecnología bajo la marca vPro), Intel Core i5 e Intel Core i7 (una marca de un paquete de tecnologías) y Core i5 y Core i7 (un procesador) son las siguientes:
El Core i7, el primer modelo de la serie i, se lanzó en 2008, y los modelos i5 e i3, menos potentes, se introdujeron en 2009 y 2010, respectivamente. La microarquitectura de la serie Core i recibió el nombre en código Nehalem, y la segunda generación de la línea recibió el nombre en código Sandy Bridge.
Intel Centrino 2 era una marca de un paquete de tecnologías que incluía Wi-Fi y, originalmente, el Intel Core 2 Duo. [5] La marca Intel Centrino 2 se aplicó a PC móviles, como portátiles y otros dispositivos pequeños. Core 2 y Centrino 2 han evolucionado para utilizar los últimos procesos de fabricación de 45 nm de Intel, tienen procesamiento multinúcleo y están diseñados para multihilo .
Intel vPro es una marca para un conjunto de características de tecnología Intel que se pueden integrar en el hardware de la computadora portátil o de escritorio. [11] El conjunto de tecnologías está dirigido a empresas, no a consumidores. Una PC con la marca vPro a menudo incluye Intel AMT , Intel Virtualization Technology (Intel VT), Intel Trusted Execution Technology (Intel TXT), una conexión de red gigabit , etc. Puede haber una PC con un procesador Core 2, sin funciones vPro integradas. Sin embargo, las funciones vPro requieren una PC con al menos un procesador Core 2. Las tecnologías de las versiones actuales de vPro están integradas en PC con algunas versiones de procesadores Core 2 Duo o Core 2 Quad (45 nm), y más recientemente con algunas versiones de procesadores Core i5 y Core i7.
Intel AMT es parte del Intel Management Engine que está integrado en las PC con la marca Intel vPro. Intel AMT es un conjunto de funciones de hardware de seguridad y administración remota que permiten a un administrador de sistemas con privilegios de seguridad AMT acceder a la información del sistema y realizar operaciones remotas específicas en la PC. [6] Estas operaciones incluyen encendido y apagado remoto (a través de wake-on-LAN ), arranque remoto/redireccionado (a través de redirección de electrónica de dispositivo integrada o IDE-R), redirección de consola (a través de serial over LAN ) y otras funciones de seguridad y administración remota.