Intel vPro

La tecnología Intel vPro es un término de marketing general utilizado por Intel para una gran colección de tecnologías de hardware informático , entre las que se incluyen VT-x , VT-d , Trusted Execution Technology (TXT) e Intel Active Management Technology (AMT). ^[1] Cuando se lanzó la marca vPro (circa 2007), se la identificó principalmente con AMT, ^{[2] [3]} por lo que algunos periodistas aún consideran que AMT es la esencia de vPro. ^[4]

Intel vPro es una marca que se utiliza para designar un conjunto de características de hardware para PC. Las PC que admiten vPro tienen un procesador habilitado para vPro, un chipset habilitado para vPro y un BIOS habilitado para vPro como sus elementos principales. ^{[2] [3] [5] [6] [7] [8]}

Una PC vPro incluye:

• Procesadores Xeon o Core multinúcleo y multiproceso. ^{[9] [10]}
• Intel Active Management Technology (Intel AMT), un conjunto de características basadas en hardware dirigidas a empresas, permite el acceso remoto a la PC para tareas de administración y seguridad, cuando un sistema operativo está inactivo o la PC está apagada. ^{[6] [11]} Tenga en cuenta que AMT no es lo mismo que Intel vPro; AMT es solo un elemento de una PC vPro.
• Tecnología de configuración remota para AMT, con seguridad basada en certificados . La configuración remota se puede realizar en sistemas "básicos", antes de instalar el SO y/o los agentes de gestión de software. ^{[6] [11] [12]}
• Conexión de red cableada e inalámbrica (portátil). ^[11]
• Intel Trusted Execution Technology (Intel TXT), ^{[11] [13] [14] [15]} que verifica un entorno de lanzamiento y establece la raíz de confianza, lo que a su vez permite que el software construya una cadena de confianza para entornos virtualizados . Intel TXT también protege los secretos durante las transiciones de energía tanto para apagados ordenados como desordenados (un período tradicionalmente vulnerable para las credenciales de seguridad).
• Compatibilidad con IEEE 802.1X , Cisco Self Defending Network (SDN) y Microsoft Network Access Protection (NAP) en computadoras portátiles, y compatibilidad con 802.1x y Cisco SDN en computadoras de escritorio. ^{[16] [17]} La ​​compatibilidad con estas tecnologías de seguridad permite que Intel vPro almacene la postura de seguridad de una PC para que la red pueda autenticar el sistema antes de que se carguen el sistema operativo y las aplicaciones, y antes de que se permita a la PC acceder a la red. ^[13]
• Tecnología de virtualización Intel, que incluye Intel VT-x para CPU y memoria, e Intel VT-d para E/S , para soportar entornos virtualizados (estas características también son compatibles sin vPro ^[18] ). Intel VT-x acelera la virtualización de hardware , lo que permite crear regiones de memoria aisladas para ejecutar aplicaciones críticas en máquinas virtuales de hardware con el fin de mejorar la integridad de la aplicación en ejecución y la confidencialidad de los datos confidenciales. ^{[13] [19]} Intel VT-d expone espacios de direcciones de memoria virtual protegidos a periféricos DMA conectados a la computadora a través de buses DMA , lo que mitiga la amenaza que plantean los periféricos maliciosos.
• Se ejecuta el bit de desactivación que, cuando lo admite el sistema operativo, puede ayudar a prevenir algunos tipos de ataques de desbordamiento de búfer. ^[20]

La 12.ª generación de procesadores Intel Core introdujo cuatro plataformas distintas: vPro Essentials, vPro Enterprise para Windows, vPro Enterprise para Chrome y vPro Evo Design. ^[21] La diferencia de vPro Essentials es que no admite algunas funciones: control remoto KVM fuera de banda, Intel® AMT inalámbrico, llamada rápida de ayuda, Intel® Remote Secure Erase con Intel® SSD Pro. ^[22] Los procesadores Intel que admiten vPro Essentials utilizan Intel Standard Manageability (un subconjunto de Intel AMT) ^[23] que admite la administración fuera de banda y se puede monitorear con la función "Access Monitor". ^{[24] [25]}

Intel AMT es el conjunto de funciones de administración y seguridad integradas en las PC vPro que facilitan a un administrador de sistemas monitorear, mantener, proteger y reparar las PC. ^[11] Intel AMT (la tecnología de administración) a veces se confunde con Intel vPro (la "plataforma" de la PC), porque AMT es una de las tecnologías más visibles de una PC basada en Intel vPro.

Intel AMT incluye:

• Encendido/apagado/reinicio remoto cifrado (a través de Wake-on-LAN o WOL) ^{[6] [11]}
• Arranque remoto/redireccionado (a través de la redirección electrónica del dispositivo integrado o IDE-R) ^{[6] [11]}
• Redirección de consola (vía serial sobre LAN , o SOL) ^{[6] [11]}
• Acceso previo al arranque a la configuración del BIOS ^{[6] [11]}
• Filtrado programable para tráfico de red entrante y saliente ^{[6] [11] [13]}
• Comprobación de presencia del agente ^{[6] [11] [13]}
• Alerta basada en políticas fuera de banda ^{[6] [11]}
• Acceso a información del sistema, como el identificador único universal (UUID) de la PC, información de activos de hardware, registros de eventos persistentes y otra información que se almacena en una memoria dedicada (no en el disco duro) donde es accesible incluso si el sistema operativo está inactivo o la PC está apagada. ^{[6] [11]}

La gestión basada en hardware ha estado disponible en el pasado, pero se ha limitado a la configuración automática (de computadoras que la solicitan) utilizando DHCP o BOOTP para la asignación dinámica de direcciones IP y estaciones de trabajo sin disco, así como wake-on-LAN para encender sistemas de forma remota. ^[26]

A partir de vPro con AMT 6.0, las PC con procesadores i5 o i7 y gráficos Intel integrados ahora contienen un servidor VNC integrado propietario de Intel . Puede conectarse fuera de banda mediante tecnología de visor compatible con VNC dedicada y tener capacidad KVM completa (teclado, video, mouse) durante todo el ciclo de energía, incluido el control ininterrumpido del escritorio cuando se carga un sistema operativo. Los clientes como VNC Viewer Plus de RealVNC también brindan funcionalidad adicional que puede facilitar la realización (y la visualización) de ciertas operaciones de Intel AMT, como apagar y encender la computadora, configurar el BIOS y montar una imagen remota (IDER).

No todos los procesadores i5 e i7 con vPro admiten la capacidad KVM. Esto depende de la configuración del BIOS del OEM y de si hay una tarjeta gráfica independiente. Solo los gráficos HD integrados de Intel admiten la capacidad KVM. ^{[27] [ Se necesita una mejor fuente ]}

Intel vPro admite comunicación inalámbrica encriptada por cable e inalámbrica para todas las funciones de administración remota para PC dentro del firewall corporativo . ^[11] Intel vPro admite comunicación encriptada para algunas funciones de administración remota para PC con LAN inalámbrica y cableada fuera del firewall corporativo . ^{[11] [28]}

Las computadoras portátiles con vPro incluyen una conexión de red gigabit y admiten protocolos inalámbricos IEEE 802.11 a / g / n . ^{[11] [28] [29]}

Las PC Intel vPro admiten la comunicación inalámbrica con las funciones AMT. ^{[11] [29]}

En el caso de las computadoras portátiles inalámbricas que funcionan con batería , la comunicación con las funciones de AMT puede ocurrir cuando el sistema está activo y conectado a la red corporativa . Esta comunicación está disponible si el sistema operativo está inactivo o faltan agentes de administración . ^{[11] [28]}

La comunicación fuera de banda AMT y algunas funciones AMT están disponibles para computadoras portátiles inalámbricas o cableadas conectadas a la red corporativa a través de una red privada virtual (VPN) basada en el sistema operativo host cuando las computadoras portátiles están activas y funcionando correctamente. ^[11]

Una conexión inalámbrica funciona en dos niveles: la interfaz de red inalámbrica (WLAN) y el controlador de interfaz que se ejecuta en el host de la plataforma. La interfaz de red administra la conexión de comunicaciones RF.

Si el usuario apaga el transmisor/receptor inalámbrico mediante un interruptor de hardware o software, Intel AMT no puede usar la interfaz inalámbrica bajo ninguna condición hasta que el usuario encienda el transmisor/receptor inalámbrico.

Intel AMT Release 2.5/2.6 puede enviar y recibir tráfico de administración a través de la WLAN solo cuando la plataforma está en el estado de energía S0 (la computadora está encendida y funcionando). No recibe tráfico inalámbrico cuando el host está inactivo o apagado. Si el estado de energía lo permite, Intel AMT Release 2.5/2.6 puede continuar enviando y recibiendo tráfico fuera de banda cuando la plataforma está en un estado Sx, pero solo a través de una conexión LAN cableada, si existe una.

La versión 4.0 y las versiones posteriores admiten la administración inalámbrica fuera de banda en estados Sx, según la configuración de energía y otros parámetros de configuración.

La versión 7.0 admite la administración inalámbrica en plataformas de escritorio.

Cuando se establece una conexión inalámbrica en una plataforma host, se basa en un perfil inalámbrico que configura nombres, contraseñas y otros elementos de seguridad utilizados para autenticar la plataforma en el punto de acceso inalámbrico. El usuario o la organización de TI definen uno o más perfiles utilizando una herramienta como Intel PROSet/Wireless Software. En la versión 2.5/6, Intel AMT debe tener un perfil inalámbrico correspondiente para recibir tráfico fuera de banda a través del mismo enlace inalámbrico. La API de interfaz de red permite definir uno o más perfiles inalámbricos utilizando los mismos parámetros que Intel PROSet/Wireless Software. Consulte Parámetros de perfil inalámbrico. Al encender el host, Intel AMT se comunica con el controlador de LAN inalámbrica en el host. Cuando el controlador e Intel AMT encuentran perfiles coincidentes, el controlador enruta el tráfico dirigido al dispositivo Intel AMT para su procesamiento de capacidad de administración. Con ciertas limitaciones, Intel AMT versión 4.0/1 puede enviar y recibir tráfico fuera de banda sin un perfil inalámbrico configurado por Intel AMT, siempre que el controlador del host esté activo y la plataforma se encuentre dentro de la empresa.

En las plataformas inalámbricas de la versión 4.2 y de la versión 6.0, la red WLAN está habilitada de manera predeterminada tanto antes como después de la configuración. Esto significa que es posible configurar Intel AMT a través de la red WLAN, siempre que el controlador de red WLAN del host tenga una conexión activa. Intel AMT se sincroniza con el perfil de host activo. Supone que un servidor de configuración configura un perfil inalámbrico que Intel AMT utiliza en estados de energía distintos de S0.

Cuando hay un problema con el controlador inalámbrico y el host aún está encendido (solo en un estado de energía S0), Intel AMT puede continuar recibiendo tráfico de administración fuera de banda directamente desde la interfaz de red inalámbrica.

Para que Intel AMT funcione con una LAN inalámbrica, debe compartir direcciones IP con el host. Esto requiere la presencia de un servidor DHCP para asignar direcciones IP y Intel AMT debe estar configurado para utilizar DHCP.

Las PC Intel vPro admiten comunicación cifrada durante el roaming . ^{[11] [29] [30]}

Las versiones 4.0 o superiores de las PC vPro admiten la seguridad de las comunicaciones móviles estableciendo un túnel seguro para la comunicación AMT cifrada con el proveedor de servicios administrados durante el roaming (operando en una LAN abierta y cableada fuera del firewall corporativo ). ^[11] Se puede establecer una comunicación segura con AMT si la computadora portátil está apagada o el sistema operativo está deshabilitado. ^[11] El túnel de comunicación cifrada AMT está diseñado para permitir que los administradores de sistemas accedan a una computadora portátil o de escritorio en oficinas satélite donde no hay un servidor proxy en el sitio o un dispositivo de servidor de administración .

Las comunicaciones seguras fuera del firewall corporativo dependen de la incorporación de un nuevo elemento (un servidor de presencia de administración, al que Intel denomina "puerta de enlace habilitada para vPro") a la infraestructura de red. ^[11] Esto requiere la integración con fabricantes de conmutadores de red , proveedores de firewall y proveedores que diseñan consolas de administración para crear una infraestructura que admita comunicaciones de roaming cifradas . Por lo tanto, aunque la comunicación de roaming cifrada está habilitada como una característica en las PC con vPro versión 4.0 y superiores, la característica no será completamente utilizable hasta que la infraestructura esté instalada y en funcionamiento.

Las tecnologías y metodologías de seguridad de vPro están diseñadas en el chipset de la PC y en otro hardware del sistema. Durante la implementación de las PC con vPro, las credenciales de seguridad, las claves y otra información crítica se almacenan en una memoria protegida (no en el disco duro ) y se borran cuando ya no se necesitan.

Según Intel, es posible desactivar AMT a través de la configuración del BIOS, sin embargo, aparentemente no hay manera de que la mayoría de los usuarios detecten el acceso externo a su PC a través de la tecnología basada en hardware vPro. ^[31] Además, Sandy Bridge y los chips futuros tendrán "... la capacidad de matar y restaurar remotamente una PC perdida o robada a través de 3G... si esa computadora portátil tiene una conexión 3G" ^[32]

El 1 de mayo de [2017], Intel publicó un aviso de seguridad sobre una vulnerabilidad de firmware en ciertos sistemas que utilizan Intel Active Management Technology (Intel AMT), Intel Standard Manageability (Intel ISM) o Intel Small Business Technology (Intel SBT). La vulnerabilidad es potencialmente muy grave y podría permitir que un atacante de red obtenga acceso remoto a PC y estaciones de trabajo empresariales que utilicen estas tecnologías. Instamos a las personas y empresas que utilizan PC y dispositivos empresariales que incorporan Intel AMT, Intel ISM o Intel SBT a que apliquen una actualización de firmware del fabricante de su equipo cuando esté disponible o a que sigan los pasos detallados en la guía de mitigación. ^{[33] [34]}

Muchas de las características de vPro, incluida la AMT, se implementan en el Intel Management Engine (ME), un procesador específico en el chipset que ejecuta MINIX 3 , que se ha descubierto que tiene numerosas vulnerabilidades de seguridad . A diferencia de la AMT, generalmente no existe una forma oficial y documentada de deshabilitar el Management Engine (ME); siempre está activado a menos que el OEM no lo habilite en absoluto. ^{[35] [36]}

Intel vPro admite metodologías y protocolos estándar de la industria , así como funciones de seguridad de otros proveedores: ^{[6] [11] [13] [37]}

• Cifrado de memoria total de Intel (Intel TME)
• Tecnología Intel Trusted Execution (Intel TXT) ^{[11] [14] [15]}
• Módulo de plataforma confiable (TPM) estándar de la industria ^[11]
• Intel Platform Trust Technology (Intel PTT), un fTPM TPM 2.0 que se introdujo en Skylake ^[38]
• Compatibilidad con IEEE 802.1x , entorno de ejecución de prearranque (PXE) y Cisco SDN en computadoras de escritorio, y además con Microsoft Network Access Protection (NAP) en computadoras portátiles ^{[11] [16] [17]}
• Ejecutar bit de desactivación ^[11]
• Tecnología de virtualización de Intel (Intel VT-x y VT-d) ^[11]
• Intel VMCS: estructura de control de máquinas virtuales Intel
• Tecnología de protección de datos de Intel
• Tecnología de protección de identidad Intel
• Clave segura de Intel ( RDRAND )
• Tecnología antirrobo de Intel
• Protección de arranque de Intel
• Protección del sistema operativo Intel
• Tecnología de gestión activa Intel (Intel AMT)
• Programa de plataforma de imagen estable de Intel (SIPP)
• Ventaja para pequeñas empresas de Intel (Intel SBA)

Intel Boot Guard es una función del procesador que evita que la computadora ejecute imágenes de firmware ( UEFI ) no publicadas por el fabricante del sistema ( OEM u ODM ). Cuando se activa, el procesador verifica una firma digital contenida en la imagen de firmware antes de ejecutarla, utilizando la clave pública del par de claves , la clave pública OEM/ODM se fusiona en el concentrador de controlador de plataforma (PCH) del sistema ^[a] por el fabricante del sistema (no por Intel). Como resultado, Intel Boot Guard, cuando se activa, hace que sea imposible para los usuarios finales instalar firmware de reemplazo (como Coreboot ) o BIOS modificado . ^{[40] [41]}

Intel Boot Guard se lanzó por primera vez en los procesadores Haswell en junio de 2013.

Intel vPro utiliza varias tecnologías y metodologías de seguridad estándar de la industria para proteger el canal de comunicación remoto de vPro . Estas tecnologías y metodologías también mejoran la seguridad para acceder a los datos críticos del sistema de la PC, las configuraciones del BIOS , las funciones de administración de Intel AMT y otras funciones o datos confidenciales; y protegen las credenciales de seguridad y otra información crítica durante la implementación (configuración de Intel AMT) y el uso de vPro. ^{[11] [42]}

• Protocolo de seguridad de la capa de transporte (TLS), que incluye TLS de clave precompartida ( TLS-PSK ) para proteger las comunicaciones a través de la interfaz de red fuera de banda. La implementación de TLS utiliza cifrado AES de 128 bits y claves RSA con longitudes de módulo de 2048 bits. ^{[43] [44] [45]}
• Protocolo de autenticación de resumen HTTP según se define en RFC 2617. La consola de administración autentica a los administradores de TI que administran PC con Intel AMT. ^[44]
• Inicio de sesión único en Intel AMT con autenticación de dominio de Microsoft Windows , basado en los protocolos Microsoft Active Directory y Kerberos . ^[11]
• Un generador de números pseudoaleatorios (PRNG) en el firmware de la PC AMT, que genera claves de sesión de alta calidad para una comunicación segura. ^[11]
• Sólo se permite cargar y ejecutar imágenes de firmware firmadas digitalmente (firmadas por Intel). ^[11]
• Almacenamiento a prueba de manipulaciones y con acceso controlado de datos de gestión críticos, a través de un almacén de datos protegido y persistente (no volátil) (un área de memoria que no está en el disco duro ) en el hardware Intel AMT. ^[11]
• Listas de control de acceso para dominios Intel AMT y otras funciones de gestión. ^[11]

La primera versión de Intel vPro se creó con un procesador Intel Core 2 Duo. ^[6] Las versiones actuales de Intel vPro están integradas en sistemas con procesadores Intel Core i5 e i7 de décima generación de 10 nm .

Las PC con Intel vPro requieren chipsets específicos . Las versiones de Intel vPro suelen identificarse por su versión AMT. ^{[6] [11]}

Las computadoras portátiles con Intel vPro requieren:

• Para Intel AMT versión 9.0 (Intel Core i5 y Core i7 de cuarta generación):
  • Procesadores móviles Intel Core i7 de cuarta generación de 22 nm ^[46]
  • Procesadores móviles Intel Core i5 de cuarta generación de 22 nm ^[47]
  • Conjuntos de chips QM87 para dispositivos móviles ^[48]
• Para Intel AMT versión 8.0 (Intel Core i5 y Core i7 de tercera generación):
  • Procesadores móviles Intel Core i7 de tercera generación de 32 y 45 nm ^[49]
  • Procesadores móviles Intel Core i5 de tercera generación de 32 y 45 nm ^[50]
  • Conjuntos de chips móviles QM77 y Q77 ^[48]
• Para Intel AMT versión 4.1 (Intel Centrino 2 con tecnología vPro): ^[51]
  • Procesador Intel Core2 Duo de 45 nm, serie T, P 8400, 8600, 9400, 9500, 9600; serie P, L, U de factor de forma pequeño 9300 y 9400, y procesador Quad Q9100
  • Chipsets móviles Intel GS45, GM47, GM45 y PM45 Express de 45 nm (Montevina con tecnología Intel Anti-Theft ) con FSB 1066, caché L2 de 6 MB, ICH10M mejorado
• Para Intel AMT versión 4.0 (Intel Centrino 2 con tecnología vPro): ^{[7] [11]}
  • Procesador Intel Core2 Duo de 45 nm, serie T, P 8400, 8600, 9400, 9500, 9600; serie P, L, U de factor de forma pequeño 9300 y 9400, y procesador Quad Q9100
  • Chipsets móviles Intel GS45, GM47, GM45 y PM45 Express de 45 nm (Montevina) con FSB 1066, caché L2 de 6 MB, ICH9M mejorado
• Para Intel AMT versión 2.5 y 2.6 (Intel Centrino con tecnología vPro): ^{[6] [8] [52]}
  • Procesador Intel Core2 Duo T, L y U 7000 secuencia3, procesador Intel Core2 Duo T8000 y T9000 de 45 nm
  • Conjunto de chips Intel 965 (Broadwater-Q) Express para dispositivos móviles con tecnología ICH8M mejorada

Tenga en cuenta que la versión 2.5 de AMT para computadoras portátiles con cable o inalámbricas y la versión 3.0 de AMT para computadoras de escritorio son versiones simultáneas.

Las computadoras de escritorio con vPro (llamadas "Intel Core 2 con tecnología vPro") requieren:

• Para la versión 5.0 de AMT: ^[53]
  • Procesador Intel Core2 Duo E8600, E8500 y E8400; procesador Intel Core2 Quad Q9650, Q9550 y Q9400 de 45 nm
  • Conjunto de chips Intel Q45 (Eaglelake-Q) Express con ICH10DO
• Para las versiones 3.0, 3.1 y 3.2 de AMT: ^{[6] [7] [11]}
  • Procesador Intel Core2 Duo E6550, E6750 y E6850; procesador Intel Core2 Duo de 45 nm E8500, E8400, E8300 y E8200; procesador Intel Core2 Quad de 45 nm Q9550, Q9450 y Q9300
  • Conjunto de chips Intel Q35 (Bearlake-Q) Express con ICH9DO

Tenga en cuenta que la versión 2.5 de AMT para computadoras portátiles con cable o inalámbricas y la versión 3.0 de AMT para computadoras de escritorio son versiones simultáneas.

• Para las versiones 2.0, 2.1 y 2.2 de AMT: ^{[6] [8] [52]}
  • Procesador Intel Core 2 Duo E6300, E6400, E6600 y E6700
  • Conjunto de chips Intel Q965 (Averill) Express con ICH8DO

Existen numerosas marcas de Intel. Sin embargo, las diferencias clave entre vPro (un término de marketing general), AMT (una tecnología bajo la marca vPro), Intel Core i5 e Intel Core i7 (una marca de un paquete de tecnologías) y Core i5 y Core i7 (un procesador) son las siguientes:

El Core i7, el primer modelo de la serie i, se lanzó en 2008, y los modelos i5 e i3, menos potentes, se introdujeron en 2009 y 2010, respectivamente. La microarquitectura de la serie Core i recibió el nombre en código Nehalem, y la segunda generación de la línea recibió el nombre en código Sandy Bridge.

Intel Centrino 2 era una marca de un paquete de tecnologías que incluía Wi-Fi y, originalmente, el Intel Core 2 Duo. ^[5] La marca Intel Centrino 2 se aplicó a PC móviles, como portátiles y otros dispositivos pequeños. Core 2 y Centrino 2 han evolucionado para utilizar los últimos procesos de fabricación de 45 nm de Intel, tienen procesamiento multinúcleo y están diseñados para multihilo .

Intel vPro es una marca para un conjunto de características de tecnología Intel que se pueden integrar en el hardware de la computadora portátil o de escritorio. ^[11] El conjunto de tecnologías está dirigido a empresas, no a consumidores. Una PC con la marca vPro a menudo incluye Intel AMT , Intel Virtualization Technology (Intel VT), Intel Trusted Execution Technology (Intel TXT), una conexión de red gigabit , etc. Puede haber una PC con un procesador Core 2, sin funciones vPro integradas. Sin embargo, las funciones vPro requieren una PC con al menos un procesador Core 2. Las tecnologías de las versiones actuales de vPro están integradas en PC con algunas versiones de procesadores Core 2 Duo o Core 2 Quad (45 nm), y más recientemente con algunas versiones de procesadores Core i5 y Core i7.

Intel AMT es parte del Intel Management Engine que está integrado en las PC con la marca Intel vPro. Intel AMT es un conjunto de funciones de hardware de seguridad y administración remota que permiten a un administrador de sistemas con privilegios de seguridad AMT acceder a la información del sistema y realizar operaciones remotas específicas en la PC. ^[6] Estas operaciones incluyen encendido y apagado remoto (a través de wake-on-LAN ), arranque remoto/redireccionado (a través de redirección de electrónica de dispositivo integrada o IDE-R), redirección de consola (a través de serial over LAN ) y otras funciones de seguridad y administración remota.