Приступая к работе с технологией intel active management (amt)

Intel(R) Management Engine Interface Drivers. Характеристики драйвера

Драйвер чипсета Intel Management Engine Interface версии 10.0.0.1204. Предназначен для следующих ОС: Windows 10 32-64 bit, Windows 8.1 32-64 bit, Windows 7 32-64 bit, Windows Vista 32-64 bit, Windows XP. Скачивание по прямой ссылке.

Перед установкой установите Kernel-Mode Driver Framework 1.11 KB 2685811 (файл установки находится в архиве).

Поддерживаемые устройства (ID оборудований):

Intel(R) Management Engine Interface для Windows 8, , Windows 7 x64,

Special offer.
See more information about
Outbyte
and
uninstall instructions.
Please review Outbyte
EULA
and
Privacy policy.

Где скачать драйвер для IME

Компания «Intel» предоставляет возможность загрузить драйвер для IME под названием «Intel(R) Management Engine Interface» с официального сайта.

На ресурсе доступен свежий драйвер для всех современных версий ОС 32 и 64 бита (Виндовс 10, 8.1, 8, 7, Виста, XP). Для скачивания предлагается zip-архив, который после загрузки потребуется распаковать.

Затем:

1. Перейдите в папку «Consumer» распакованного архива.
2. Выберите там директорию «MEI-Only Installer MSI», и запустите в ней файл «MEISetup.exe» (это установит драйвера IME в вашей системе).
3. Если же вы хотите установить и драйвера, и связанные с ними приложения (ME Security Status application» и «Control panel»), тогда войдите в папку «ME_SW_MSI», и запустите в ней файл «SetupME.exe».

Папка «WINDOWSDriverPackages» содержит inf-файлы для IT-профессионалов.

Intel(R) Management Engine Interface для Windows 8, , Windows 7 x64,

Special offer.
See more information about
Outbyte
and
uninstall instructions.
Please review Outbyte
EULA
and
Privacy policy.

Our take on “enterprise”

While the highest profit margins in the PC industry come from large-volume purchases for businesses, this set up a downward spiral for user freedom. Business users are not the owners of their personal computer, which immediately divorces ultimate authority (“root”) from the end-user.

• In “enterprise” environments, when malicious software is found, the machine is just “wiped” and the end-user is protected by the IT department’s hard work to secure the machine. In that environment, locking 100% of users into a black-box tamper-proof Management Engine (ME) makes a lot of sense.
• Who is “root” gets even more complicated by using enterprise asset management and third-party tools.

Purism believes in end-user privacy, security, and freedom; users with full power over their computer can make a positive change for the future of computing. Therefore, we want users to choose to completely own their hardware instead of just getting to use it until its “end of life.”

Why there is no replacement for it yet

Replacing the ME firmware is not that easy because:

• The ME bootrom checks the firmware signature.
• On recent chipset its RAM region is locked while it is allocated.
• Power glitches(by the ec) while the ME is checking its firmware is probably not practically doable.

So even if some people partially documented some ME firmware format, there is very few probability of having a free software replacement for it one day.

However coreboot also support other systems than the ones with recent intel CPU/chipsets. The list some of them.

• Some of theses don’t have a management engine.
• Some ships without it enabled(that means that the hardware is not used).
• Some ships with it enabled, but it can be disabled not to use it at all, like on the Lenovo x200.

Можно ли отключить Intel ME?

Теперь стоит рассмотреть подробнее работу с Intel(R) Management Engine Components. Как отключить данную функцию? Обычному пользователю она абсолютно не нужна. Стоит сразу отметить, что полное отключение опции невозможно. Некоторые хакеры разработали методику блокирования отдельных элементов, но от этого никакого толка не будет. А если заняться этим самому, то ничего хорошего не выйдет. ПК просто откажется запускаться, ведь Intel ME контролирует работу центрального процессора.

Но что с драйверами Intel Management Engine Components? Можно ли отключить некоторые опции программно? Можно. Простым удалением драйвера вместе с сопутствующим программным обеспечением. Но в этом случае может упасть (и довольно существенно) общая производительность процессора. Также весьма вероятна неадекватная работа «камня» в режиме сна. Не стоит забывать и о гибернации. В общем, соответствующие драйверы можно удалить, но делать этого не рекомендуется.

Полное название — Intel Management Engine

Удалось выяснить — драйвер нужен для подсистемы, которая встроенная почти во все чипсеты процессоров Intel с 2008 года. Подсистема состоит из:

1. Прошивки. Микропрограмма, в которой заложен принцип работы устройства. При необходимости прошивку можно обновить.
2. Микропроцессор. Само устройство, работающее только при наличии прошивки.

Management Engine функционирует всегда, даже когда ПК выключен — в таком случае источником энергии служит:

1. Батарейка CMOS.
2. В ноутбуке дополнительно — аккумулятор.

Сама компания Интел заявляет — подсистема ME необходима для максимальной производительности. При этом принцип работы нигде не описан, а исходный код закодирован.

Компания AMD также создала свою технологию в 2013 году — AMD Secure Technology (ранее называлась Platform Security Proccessor).

Интересно — ME отключить никак нельзя в отличии AMT.

В теории, возможно что отказ от установки драйверов ME может отключить технологию, либо ограничить ее работу.

Оказывается, что ME отключить нельзя. Без этой технологии процессор НЕ сможет загрузиться. Все существующие методы отключения максимум что могут сделать — заставить технологию неправильно работать после включения. В таком состоянии функции не выполняются, однако встроенный микропроцессор дальше продолжает работать.

Все способы отключения не приветствуются и являются потенциально опасными.

Некоторые производители ноутбуков решили попробовать отключить ME. Так как корректного отключения все равно нет, то все это несет сомнительную пользу.

Интересно, но в некоторых современных биосах под материнки AMD уже есть опция отключения AMD Secure Technology (аналог Intel ME).

Функции

Intel AMT включает аппаратное удаленное управление, безопасность, управление питанием и функции удаленной настройки, которые обеспечивают независимый удаленный доступ к компьютерам с поддержкой AMT. Intel AMT — это технология безопасности и управления, встроенная в ПК с технологией Intel vPro .

Intel AMT использует аппаратный внеполосный (OOB) канал связи, который работает независимо от наличия работающей операционной системы. Канал связи не зависит от состояния питания ПК, наличия агента управления и состояния многих аппаратных компонентов, таких как жесткие диски и память .

Большинство функций AMT доступны вне зависимости от состояния питания ПК. Для других функций требуется включение ПК (например, перенаправление консоли через последовательный порт через LAN (SOL), проверка присутствия агента и фильтрация сетевого трафика). Intel AMT имеет возможность удаленного включения.

Аппаратные функции могут быть объединены со сценариями для автоматизации обслуживания и ремонта.

Аппаратные функции AMT на портативных и настольных ПК включают:

• Зашифрованный удаленный канал связи для сетевого трафика между ИТ-консолью и Intel AMT.
• Возможность для проводного ПК (физически подключенного к сети) вне брандмауэра компании в открытой локальной сети установить безопасный коммуникационный туннель (через AMT) обратно к ИТ-консоли. Примеры открытой локальной сети включают проводной портативный компьютер дома или на узле , на котором нет прокси-сервера.
• Удаленное включение / выключение / цикл питания через зашифрованный WOL .
• Удаленная загрузка через встроенное перенаправление электроники устройства (IDE-R).
• Перенаправление консоли через последовательный порт через LAN (SOL).
• .
• Аппаратные фильтры для мониторинга заголовков пакетов во входящем и исходящем сетевом трафике на предмет известных угроз (на основе программируемых таймеров ), а также для мониторинга известных / неизвестных угроз на основе эвристики, основанной на времени . Ноутбуки и настольные ПК имеют фильтры для отслеживания заголовков пакетов. Настольные ПК имеют фильтры заголовков пакетов и временные фильтры.
• Схема изоляции (ранее и неофициально называемая Intel «автоматическим выключателем») для блокировки портов, ограничения скорости или полной изоляции ПК, который может быть взломан или заражен.
• Проверка присутствия агента с помощью аппаратных программируемых таймеров на основе политик . «Промах» порождает событие; и это также может вызвать предупреждение.
• Оповещение OOB.
• Постоянный журнал событий, хранящийся в защищенной памяти (не на жестком диске).
• Доступ (предварительная загрузка) к универсальному уникальному идентификатору ПК (UUID).
• Доступ (Preboot) информация об аппаратных активов, таких как производитель и — модели компоненты, который обновляется каждый раз , когда система проходит через самоконтроль при включении питания (POST).
• Доступ (предварительная загрузка) к стороннему хранилищу данных (TPDS), защищенной области памяти, которую могут использовать поставщики программного обеспечения, в которой хранится информация о версии, файлах .DAT и другой информации.
• Варианты удаленной настройки, включая удаленную настройку без касания на основе сертификатов, настройку USB-ключа (легкое касание) и ручную настройку.
• Protected Audio / Video Pathway для защиты воспроизведения носителей, защищенных DRM .

Ноутбуки с AMT также включают беспроводные технологии:

• Поддержка беспроводных протоколов IEEE 802.11 a / g / n
• Совместимые с Cisco расширения для передачи голоса по WLAN
  

What can be done

Before Nehalem (ME version 6, 2008/2009) the ME firmware could be removed
completely from the flash chip by setting a couple of bits inside the flash
descriptor, effectively disabling it.

Starting from Nehalem the Intel ME firmware can’t be removed anymore: without a
valid firmware the PC shuts off forcefully after 30 minutes, probably as an
attempt to enforce the Intel Anti-Theft policies.

However, while Intel ME can’t be turned off completely, it is still possible to
modify its firmware up to a point where Intel ME is active only during the boot
process, effectively disabling it during the normal operation, which is what
me_cleaner tries to accomplish.

Что такое Intel ME Components?

Итак, Intel Managemet Engine Components. Что это такое? По сути, это небольшой микрочип, который внедряется в процессор и регулирует его работу. Сами драйверы нужны для того, чтобы обеспечивать адекватную работу этого компонента. Ранее эта микросхема внедрялась в материнские платы. Но с тех времен, как большинство компьютеров перешли на одночиповую систему, микросхема стала внедряться в сами центральные процессоры. По мнению «Интел», такое положение вещей должно было повысить безопасность компьютера.

Кстати, о безопасности: у «Интел» были все основания думать, что МЕ способна защитить компьютер от различных атак. Дело в том, что МЕ управляет работой центрального процессора в различных режимах, даже при полностью выключенном компьютере. И именно эта технология отвечает за удаленное управление процессором. Задумка хорошая, но проблема в том, что сам компонент оказался дырявым.

Метод 2: переустановите драйвер вручную

Ошибка с кодом 10 в диспетчере устройств обычно указывает на ошибку драйвера. В некоторых случаях ошибка драйвера может быть связана с установленным неправильным драйвером.. Чтобы исправить это:

1) На клавиатуре одновременно нажмите клавишу с логотипом Windows и X , нажмите Диспетчер устройств .

2) Щелкните, чтобы развернуть Системные устройства . Щелкните правой кнопкой мыши Intel (R) Management Engine Interface и выберите Удалить .

3) При появлении запроса на подтверждение удаления проверьте поле для Удалить программный драйвер для этого устройства , а затем нажмите OK , чтобы продолжить.

3) Перезагрузите компьютер. Windows автоматически поможет вам обновить правильный драйвер после перезагрузки.

Дизайн

Подсистема в основном состоит из проприетарного микропрограммного обеспечения, работающего на отдельном микропроцессоре, который выполняет задачи во время загрузки, когда компьютер работает, и когда он спит. Пока чипсет или SoC подключен к источнику тока (через батарею или источник питания), он продолжает работать, даже когда система выключена. Intel утверждает, что ME требуется для обеспечения полной производительности. Его точная работа в значительной степени недокументирована, а его код запутан с использованием конфиденциальных таблиц Хаффмана, хранящихся непосредственно в оборудовании, поэтому микропрограммное обеспечение не содержит информации, необходимой для декодирования его содержимого.

Аппаратное обеспечение

Начиная с ME 11, он основан на 32-битном процессоре Intel Quark x86 и работает под управлением операционной системы MINIX 3 . Состояние ME хранится в разделе флэш-памяти SPI с использованием встроенной файловой системы флэш-памяти (EFFS). Предыдущие версии были основаны на ядре ARC , а механизм управления работал под управлением ThreadX RTOS . Версии ME с 1.x по 5.x использовали ARCTangent-A4 (только 32-битные инструкции), тогда как версии 6.x по 8.x использовали более новый ARCompact (смешанная 32- и 16-битная архитектура набора команд ). Начиная с ME 7.1, процессор ARC может также выполнять подписанные апплеты Java .

ME имеет собственный MAC и IP-адрес для внеполосного интерфейса с прямым доступом к контроллеру Ethernet; одна часть трафика Ethernet перенаправляется на ME даже до того, как достигает операционной системы хоста, что поддерживается различными контроллерами Ethernet, экспортируется и становится настраиваемой через протокол передачи компонентов управления (MCTP). ME также связывается с хостом через интерфейс PCI. В Linux связь между хостом и ME осуществляется через / dev / mei или / dev / mei0 .

До выпуска Nehalem процессоров, МЭ не обычно встроен в материнскую плату в северный мост , после Memory Controller Hub макете (MCH). В более новых архитектурах Intel ( Intel серии 5 и выше) ME интегрирован в концентратор контроллера платформы (PCH).

Прошивка

Согласно текущей терминологии Intel по состоянию на 2017 год, ME является одним из нескольких наборов микропрограмм для конвергентного механизма безопасности и управления (CSME). До AMT версии 11 CSME назывался Intel Management Engine BIOS Extension (Intel MEBx).

• Management Engine (ME) — основные чипсеты
• Server Platform Services (SPS) — серверные чипсеты и SoC
• Trusted Execution Engine (TXE) — планшет / встроенный / с низким энергопотреблением

Российская компания Positive Technologies ( Дмитрий Скляров ) обнаружила, что версия 11 прошивки ME работает под управлением MINIX 3 .

Модули

• Технология активного управления (AMT)
• Intel Boot Guard (IBG) и безопасная загрузка
• Технология бесшумной системы (QST), ранее известная как Advanced Fan Speed ​​Control (AFSC), которая обеспечивает поддержку акустически оптимизированного управления скоростью вращения вентилятора, а также мониторинг датчиков температуры, напряжения, тока и скорости вращения вентилятора, которые имеются в наборе микросхем, ЦП и другие устройства, присутствующие на материнской плате. Связь с подсистемой прошивки QST задокументирована и доступна через официальный комплект средств разработки программного обеспечения (SDK).
• Защищенный путь аудио-видео
• Intel Anti-Theft Technology (AT), производство прекращено в 2015 году.
• Последовательный через LAN (SOL)
• Intel Platform Trust Technology (PTT), доверенный платформенный модуль (TPM) на основе микропрограмм
• Near Field Communication , промежуточное программное обеспечение для считывателей NFC и поставщиков для доступа к картам NFC и обеспечения безопасного доступа к элементам, обнаруженное в более поздних версиях MEI.

Последствия уязвимости в Intel ME

Естественно, скандал был неслыханный. «Интел» пришлось долго оправдываться, зализывать раны и извиняться. Но главное — эта оплошность заставила синих предоставить сменяемую документацию об Intel Management Engine Components. Что это за технология такая, стало понятно. Также стало понятно, почему получилось взломать систему защиты.

После эпического провала «Интел», ребята из АМД начали тестировать свою систему, ведь она была основана на наработках Intel Management Engine Components. Что это за уязвимость — они понятия не имели, но и в чипах от АМД со временем была обнаружена ровно такая же уязвимость. Но они успели ее оперативно заштопать и избежать скандала. Это позволило красному бренду занять лидирующие позиции на рынке процессоров. Главное — теперь можно понять, что представляет собой данный компонент.

Альтернативные варианты установки драйвера Intel(R) Management Engine

Кроме сайта Интел, где вы можете скачать драйвер для IME, существуют также другие варианты для вашего ПК:

• Установите все системные обновления для вашей ОС. В частности проследите, чтобы было установлено обновление KB2685811. Последнее доступно для загрузки с сайта Майкрософт;
• Используйте программы для установки драйверов уровня «ДрайверПак Солюшн». Последние устанавливают свежие драйвера к системным компонентам в полуавтоматическом режиме;
• Используйте специализированные драйвера IME, представленные для компьютеров Sony и Vaio, Lenovo, Dell.

Подготовка и интеграция

AMT поддерживает удаленную подготовку на основе сертификатов или PSK (полное удаленное развертывание), подготовку на основе USB- ключа (подготовка «одним касанием»), ручную подготовку и подготовку с использованием агента на локальном узле («Подготовка на основе узла»). OEM-производитель также может предварительно подготовить AMT.

Текущая версия AMT поддерживает удаленное развертывание как на портативных, так и на настольных ПК. (Удаленное развертывание было одной из ключевых функций, отсутствующих в более ранних версиях AMT и задерживавшей принятие AMT на рынке.) Удаленное развертывание до недавнего времени было возможно только в корпоративной сети. Удаленное развертывание позволяет системному администратору развертывать ПК, не «касаясь» систем физически. Это также позволяет системному администратору откладывать развертывание и вводить ПК в эксплуатацию на определенный период времени, прежде чем сделать функции AMT доступными для ИТ-консоли. По мере развития моделей доставки и развертывания AMT теперь можно развертывать через Интернет, используя как методы «нулевого касания», так и методы на основе хоста.

Компьютеры могут продаваться с включенной или отключенной AMT. OEM определяет , следует ли отправить AMT с возможностями готовы к установке (включено) или отключена. Процесс установки и настройки может отличаться в зависимости от сборки OEM.

AMT включает приложение Privacy Icon, называемое IMSS, которое уведомляет пользователя системы, если AMT включена. OEM-производитель должен решить, хотят ли они отображать значок или нет.

AMT поддерживает различные методы отключения технологий управления и безопасности, а также различные методы повторного включения технологии.

AMT можно частично отключить с помощью параметров конфигурации или полностью отключить путем удаления всех параметров конфигурации, учетных данных безопасности, а также рабочих и сетевых параметров. При частичной отмене инициализации компьютер остается в состоянии настройки. В этом состоянии ПК может самостоятельно инициировать автоматизированный процесс удаленной настройки. При полной отмене инициализации стираются профиль конфигурации, а также учетные данные безопасности и рабочие / сетевые настройки, необходимые для связи с Intel Management Engine. При полной отмене инициализации Intel AMT возвращается к заводскому состоянию по умолчанию.

После отключения AMT, чтобы снова включить AMT, авторизованный системный администратор может восстановить учетные данные безопасности, необходимые для выполнения удаленной настройки, одним из следующих способов:

• Использование процесса удаленной настройки (полная автоматизация, удаленная настройка с помощью сертификатов и ключей).
• Физический доступ к ПК для восстановления учетных данных безопасности либо с помощью USB-ключа, либо путем ввода учетных данных и параметров MEBx вручную.

Существует способ полностью сбросить AMT и вернуться к заводским настройкам по умолчанию. Это можно сделать двумя способами:

• Установка соответствующего значения в BIOS .
• Очистка памяти CMOS и / или NVRAM .

Установка и интеграция AMT поддерживается службой настройки и конфигурации (для автоматической настройки), инструментом веб-сервера AMT (входит в состав Intel AMT) и AMT Commander, неподдерживаемым и бесплатным проприетарным приложением, доступным на веб-сайте Intel.