跳至內容

 
 

英特爾? 主動管理技術:隱私聲明最后更新時間:5/23/2018

英特爾公司承諾保護您的個人隱私。此聲明介紹英特爾? 主動管理技術(英特爾? AMT)實現了哪些隱私敏感功能,英特爾 AMT 允許和不允許 IT 管理員執行哪些操作,以及英特爾 AMT 在用戶的系統上存儲的數據的類型。此聲明是對英特爾在線隱私聲明的補充,僅適用于英特爾 AMT。

什么是英特爾 AMT?

英特爾 AMT 使授權的 IT 管理員能夠對企業中聯網的計算機系統進行帶外 (OOB) 遠程支持和管理。

英特爾 AMT 引發的潛在隱私問題有哪些?

遠程管理功能已經可以從軟件供應商那里獲得,并且在許多組織的 IT 部門已使用了相當長的時間。

但是,有了英特爾 AMT,即使用戶不在或者關閉了計算機,IT 管理員也能夠遠程支持和管理用戶的計算機。

用戶如何判斷是否在系統上啟用了英特爾 AMT?

英特爾開發了一個系統托盤圖標,為最終用戶提供有關英特爾 AMT 當前狀態的透明性和通知。目前,標準英特爾 AMT 軟件包含隨驅動程序和服務安裝的英特爾? 管理和安全狀態 (IMSS) 應用程序和系統托盤圖標。IMSS 系統托盤圖標顯示英特爾 AMT 當前在系統上的狀態(已啟用或已禁用),還提供了有關如何啟用/禁用英特爾 AMT 功能的說明。英特爾建議每家原始設備制造商 (OEM) 都加載 IMSS 應用程序。但是,OEM 可選擇不遵照英特爾的這一建議,而且最終客戶 IT 經理也可以在為最終用戶提供已啟用英特爾 AMT 的系統前,先刪除該 IMSS 應用程序。根據 OEM 實施情況,用戶還可以在計算機的系統 BIOS 中檢查英特爾 AMT 的狀態。但是,值得注意的是,有些企業 IT 部門可能未授予用戶對系統 BIOS 的必要訪問權限,使得用戶無法啟用/禁用英特爾 AMT 或檢查英特爾 AMT 的狀態。

英特爾 AMT 從用戶那里收集哪些個人信息?

英特爾 AMT 不會從用戶那里收集任何個人信息(例如,姓名、地址、電話號碼等)。

英特爾 AMT 向英特爾公司發送哪種類型的信息,將如何使用該信息?

英特爾 AMT 不向英特爾公司發送任何數據。

英特爾 AMT 存儲哪種類型的信息?

英特爾 AMT 在系統主板上的閃存中存儲信息。此信息包括固件代碼、硬件庫存數據(例如內存大小、CPU 類型、硬盤類型)、記錄平臺事件(例如 CPU 高溫、風扇故障、BISO POST 消息)的事件日志、英特爾 AMT 安全事件(例如,英特爾 AMT 密碼攻擊事件或系統防御過濾器激活的警告),以及英特爾 AMT 配置數據(例如網絡設置、訪問控制列表和通用唯一標識符 (UUID),包括調配數據、LAN MAC 地址、密鑰、鍵盤-視頻-鼠標 (KVM) 密碼、傳輸層安全性 (TLS) 證書以及 IT 配置的無線網絡配置)。所有應視為敏感的配置數據都以加密形式存儲在閃存中。在以下部分可以找到有關 UUID 的更多信息。

英特爾 AMT 11.0 版及更早的版本允許注冊的獨立軟件供應商 (ISV) 應用程序在稱為第三方數據存儲區 (3PDS) 的閃存存儲庫區域存儲數據。從英特爾 AMT 11.6 版開始,此功能被 Web 應用程序托管所取代,它允許英特爾 AMT 在客戶端平臺上本地管理的非易失性存儲器 (NVM) 中,對 Web 應用程序進行托管。

雖然英特爾向它的 ISV 宣傳其采取了它認為最佳的隱私實踐來實現負責任的數據管理,但是最終英特爾仍無法判定哪些數據可以存儲在閃存的這一區域,也不支持對 ISV 數據使用加密方法。因此,當 ISV 認為他們的數據敏感時,鼓勵他們先對這些數據進行加密,然后再將其存儲到閃存上。如果您對此處存儲的數據可能導致的潛在隱私風險存有疑慮,請聯系相應的第三方軟件開發人員,深入了解與他們在 NVM 中存儲的信息類型和 web 應用程序,以及其保護方式相關的詳細信息。

英特爾 AMT 如何使用 UUID?在已啟用英特爾 AMT 的平臺上,UUID 應支持和不支持哪些功能?

通用唯一標識符 (UUID) 是英特爾 AMT 用于眾多用途的構件,包括調配流程、系統安全(例如,密碼、密鑰和 TLS 證書),以確保 IT 管理員能夠準確連接和管理企業內特定用戶的系統。

英特爾未創建用來支持英特爾 AMT 運行的任何 UUID,也沒有創建英特爾 AMT 所不熟悉的新 UUID。幾乎所有現代 PC 中都存在 UUID,通常由 OEM 安裝在所有平臺上,與英特爾 AMT 無關。事實上,當前很多 PC 上都有應用程序在利用 UUID 來隔離唯一的系統信息,以便提供期望的功能,如交付操作系統或病毒控制系統更新。英特爾 AMT 以非常類似的方式使用平臺 UUID – 主要區別在于為了使英特爾 AMT 能夠帶外 (OOB) 訪問 UUID,UUID 將復制到閃存存儲庫。

值得注意的是,已啟用英特爾 AMT 的系統上的 UUID 不能被英特爾用來跟蹤用戶或他們的 PC,不能允許英特爾通過平臺后門來訪問用戶系統,也不能允許英特爾未經用戶同意強制下載固件到平臺上。英特爾 AMT 在閃存中存儲的任何 UUID 僅供已啟用英特爾 AMT 的特定平臺的授權 IT 管理員訪問。授權 IT 管理員的列表由最終客戶 IT 在一個受保護的過程中配置,在此過程中將利用企業認證或英特爾 AMT 系統處的有形存在(通過 BIOS 菜單或加密 U 盤)建立信任,進而與最終客戶 IT 指定的受信任服務器上駐留的全部控制臺建立信任。換句話說,除非最終客戶明確配置,否則不得通過英特爾 AMT 與最終客戶外部的任何一方之間傳輸 UUID 以及其他任何信息。為識別特定系統的授權管理員,請參閱 https://software.intel.com/en-us/business-client/manageability 上的英特爾 AMT 軟件開發人員套件 (SDK) 文檔,其中提供了一個 API,可用于檢索 ACL 或 Kerberos 授權帳戶。

英特爾? 主動管理技術(英特爾? AMT)通過網絡發送哪種類型的信息?

英特爾 AMT 通過預定義的 IANA 網絡端口發送和接收數據:端口 16992 用于 SOAP/HTTP,端口 16993 用于 SOAP/HTTPS,端口 16994 用于重定向/TCP,端口 16995 用于重定向/TLS。DASH 兼容系統將通過端口 623(用于 HTTP)和端口 664(用于 HTTPS)發送和接收數據。鍵盤-視頻-鼠標 (KVM) 會話可在重定向端口(16994 或 16995)或慣用的 RFB(VNC 服務器)端口 (5900) 上運行。通過網絡發送的信息類型包括英特爾 AMT 命令和響應消息、重定向流量以及系統警報。通過端口 16993 和 16995 傳輸的數據使用傳輸層安全性 (TLS) 保護,前提是在用戶的系統上啟用了該選項。

英特爾 AMT 可通過 IPV4 或 IPV6 網絡發送數據,符合 RFC 3041 隱私擴展。

英特爾? 主動管理技術(英特爾? AMT)會在網絡上公開哪些可識別信息?

啟用 Intel? AMT 時,開放端口會將可用于識別計算機的信息提供給網絡上的其他人。其中包括 HTTPS 證書、HTTP 摘要領域、英特爾 AMT 版本,以及可用于對計算機進行指紋識別的其他信息。提供此信息是英特爾? AMT 支持的協議的常規操作的一部分。操作系統防火墻不會阻止對英特爾? AMT 端口的訪問,但是管理員可以使用環境檢測和快速求助呼叫 (CIRA),以關閉英特爾? AMT 本地端口并限制對該信息的訪問。

英特爾 AMT 允許經身份驗證的 IT 管理員執行什么操作?

  • 遠程開機、關機并重新啟動系統進行故障排除和修復。
  • 即使在主機操作系統關閉或損壞時也能遠程排除系統故障。
  • 遠程查看和更改系統上的 BIOS 配置設置。英特爾 AMT 有一個選項,可以讓 IT 管理員繞過 BIOS 密碼,但并非所有 OEM 都會實施此功能。
  • 配置網絡流量過濾器以保護系統。
  • 監視系統上正在執行的注冊應用程序(例如,防病毒軟件是否在運行)。
  • 接收英特爾 AMT 固件生成的警報,報告有關用戶系統上可能需要技術支持的事件,如:CPU 高溫、風扇故障或系統防御過濾器激活。在 www.intel.com/software/manageability 上公開提供了更多的示例。
  • 通過將啟動過程重定向到軟盤、CD-ROM 或 IT 管理員系統上的映像,遠程排除用戶系統的故障。
  • 通過將用戶系統上的鍵盤輸入和文本模式視頻輸出重定向到 IT 管理員的系統,遠程排除系統的故障。
  • 通過將鍵盤、視頻和鼠標重定向到用戶的系統和 IT 管理員的系統或者反過來重定向(KVM 重定向),遠程排除系統的故障。
  • 配置在什么網絡環境中可訪問英特爾 AMT 易管理性功能(例如,通過定義受信任域)。
  • 使用注冊的 ISV 應用程序在閃存存儲庫(也就是 3PDS 區域)中寫入/刪除數據
  • 在 Intel AMT 于客戶端平臺上本地管理的非易失性存儲器 (NVM) 中,對 Web 應用程序進行托管(英特爾 AMT 11.6 及更新版本)。
  • 通過 UUID 識別企業網絡上用戶的系統。
  • 取消配置英特爾 AMT 并刪除閃存內容。
  • 使用預配置的 Client-Initiated-Remote-Access(CIRA,客戶端發起的遠程訪問)配置文件,即使在企業網絡之外也能遠程連接到系統。

 

英特爾 AMT 是否允許經過身份驗證的 IT 管理員訪問用戶的本地硬盤驅動器?

在遠程管理會話期間,IT 管理員確實可以訪問用戶的本地硬盤驅動器。這意味著,IT 管理員可以在用戶的硬盤中讀取/寫入文件,例如,通過恢復或重新安裝故障應用程序或操作系統來修復用戶的系統。英特爾 AMT 提供兩種功能來幫助緩解由于為 IT 管理員提供了此類信息的訪問權限而引發的潛在隱私風險:IMSS 和審核日志記錄。審核日志記錄功能通過記錄 IT 管理員經由英特爾 AMT 訪問用戶系統的實例,提供了一層管理員問責機制。但是,實際記錄哪些事件由審核人員定義,在企業中通常不是用戶。雖然英特爾向它的客戶推薦對英特爾 AMT 系統的遠程訪問是應該記錄的信息類型,但是可能此信息對于某些企業環境中的用戶不可用。下面將提供有關 IMSS 如何在 IT 管理員訪問了用戶的系統時為用戶提供實例通知的信息。

英特爾 AMT KVM 重定向功能會允許經過身份驗證的 IT 管理員像實際坐在用戶的鍵盤旁邊一樣遠程控制用戶的 PC 嗎?

在通過 KVM 重定向功能進行的遠程管理會話中,IT 管理員確實能夠像坐在用戶的鍵盤旁邊一樣控制用戶的 PC。對于 KVM 重定向會話,英特爾 AMT 支持與未經用戶明確同意不得啟動 KVM 會話相關的要求(稱為 KVM 用戶同意)。要強制用戶同意加入重定向會話,將在用戶屏幕中的其他所有窗口上面顯示一個安全輸出窗口 ("sprite"),其中提示用戶向 IT 管理員讀出隨機生成的號碼。只有當 IT 管理員鍵入正確的會話號碼后,KVM 會話才會開始。在調用有效的 KVM 會話后,用戶的整個屏幕將有閃爍的紅色和黃色邊框環繞,這表示 IT 管理員正在進行 KVM 修復會話。只要會話處于活動狀態,閃爍的紅色和黃色邊框將持續存在。請注意,當英特爾 AMT 系統處于客戶端控制模式時,KVM 用戶同意是必須的,但當處于管理員控制模式時,KVM 用戶同意則是可選的。

根據 OEM 的設置,可在 BIOS 或英特爾? 管理引擎 BIOS 擴展 (Intel? MEBX) 中啟用或禁用英特爾 AMT 中的 SOL/IDER 或 KVM 功能。KVM 選擇加入的要求可由 IT 管理員通過 BIOS 設置或英特爾 AMT 配置設置來更改。英特爾推薦利用用戶同意的義務,以便維護用戶的隱私。

用戶如何分辨 IT 管理員是否通過英特爾 AMT 訪問了系統?

IMSS 系統托盤圖標將啟用和支持多個事件的用戶通知,包括 IT 管理員是否通過打開/關閉遠程重定向會話(也就是 SOL/IDER)正在訪問或已經訪問過用戶的系統,以及系統防御激活和 IT 管理員對用戶系統的遠程啟動。此外,在遠程重定向會話激活期間,屏幕右上方將顯示一個閃爍圖標。但是,在企業環境中實際由 IMSS 啟用的事件由 IT 管理員而非用戶定義。雖然英特爾推薦部署英特爾 AMT 系統的那些企業啟用本段落中所提到的 IMSS 通知,但是有關與英特爾 AMT 系統的遠程連接的信息不一定會提供給所有用戶。

用戶如何清除所有英特爾 AMT 配置和私有數據?

英特爾 AMT 提供了可部分/全部取消配置英特爾 AMT 系統的 BIOS 選項。英特爾建議最終用戶在轉賣/回收利用系統前先完全取消配置英特爾 AMT 系統;如果您購買了支持英特爾 AMT 功能的二手系統,請先驗證其是否已完全取消配置英特爾 AMT。

隱私聲明更新

我們可能偶爾會更新此隱私聲明。當我們更新時,我們會修改隱私聲明頂部的最后更新日期。

了解更多信息

如果您有任何疑問或需要有關此隱私聲明的更多信息,請使用此表單聯系我們。