Intel® Active Management Technology: Tuyên bố về Quyền riêng tư Cập nhật Lần cuối: 12/8/2021
Intel Corporation cam kết bảo vệ quyền riêng tư của bạn. Tuyên bố này mô tả những chức năng và khả năng nhạy cảm với quyền riêng tư mà Công nghệ quản lý chủ động Intel® (Intel® AMT) cho phép, những gì Intel® AMT cho phép và không cho phép các quản trị viên CNTT thực hiện và cho biết những loại dữ liệu mà Intel AMT lưu trữ trên hệ thống của người dùng. Tuyên bố này được bổ sung vào Thông báo về quyền riêng tư trực tuyến của Intel và chỉ áp dụng cho Intel AMT.
Intel AMT là gì?
Intel AMT cho phép các quản trị viên CNTT hỗ trợ từ xa bằng phương pháp Out-Of-Band (OOB - sử dụng một kênh truyền tín hiệu riêng biệt để truy cập đến thiết bị) và quản lý các hệ thống máy tính được kết nối trong doanh nghiệp.
Các vấn đề có khả năng liên quan đến quyền riêng tư do Intel AMT là gì?
Chức năng quản lý từ xa là dịch vụ sẵn có của các nhà cung cấp phần mềm và đã được các bộ phận CNTT ở nhiều tổ chức sử dụng trong một thời gian đáng kể.
Tuy nhiên, Intel AMT cho phép các quản trị viên CNTT hỗ trợ từ xa và quản lý máy tính của người dùng, ngay cả khi người dùng không có mặt hoặc đã tắt máy.
Làm thế nào người dùng biết Intel AMT đã được kích hoạt trên hệ thống chưa?
Intel đã phát triển một biểu tượng khay để cho thấy sự minh bạch và thông báo cho người dùng cuối về trạng thái hiện tại của Intel AMT. Hiện tại, phần mềm Intel AMT tiêu chuẩn bao gồm một ứng dụng và biểu tượng khay Trạng thái quản lý và bảo mật Intel® (IMSS) được cài đặt cùng với trình điều khiển và dịch vụ. Biểu tượng khay IMSS biểu thị trạng thái hiện tại của Intel AMT trên hệ thống (bật hay tắt), đồng thời cung cấp hướng dẫn cách thức bật/tắt chức năng Intel AMT. Intel đề nghị mỗi nhà sản xuất thiết bị gốc (OEM) chạy ứng dụng IMSS. Tuy nhiên, các OEM có thể chọn không thực hiện theo đề nghị này của Intel, và các nhà quản lý CNTT người dùng cuối có thể chọn loại bỏ ứng dụng trước khi cung cấp hệ thống đã kích hoạt Intel AMT cho người dùng cuối. Người dùng cũng có thể kiểm tra trạng thái của Intel AMT trong BIOS máy tính của họ tùy thuộc vào cách thức tích hợp của OEM. Tuy nhiên, điều quan trọng cần lưu ý là một số bộ phận CNTT của doanh nghiệp có thể không cấp cho người dùng quyền truy cập theo yêu cầu vào BIOS hệ thống cần thiết để kích hoạt/vô hiệu hóa Intel AMT hoặc kiểm tra trạng thái của Intel AMT.
Intel AMT thu thập thông tin cá nhân nào của người dùng?
Intel AMT không thu thập bất kỳ thông tin cá nhân nào (ví dụ: tên, địa chỉ, số điện thoại, v.v.) của người dùng.
Những loại thông tin nào được Intel AMT gửi đến Intel Corporation và thông tin đó được sử dụng như thế nào?
Intel AMT không gửi bất kỳ dữ liệu nào đến Intel Corporation.
Intel AMT lưu trữ những loại thông tin nào?
Intel AMT lưu trữ thông tin trong bộ nhớ flash trên bảng mạch chính của hệ thống. Thông tin này bao gồm mã phần mềm điều khiển, dữ liệu kiểm kê phần cứng (ví dụ: dung lượng bộ nhớ, loại CPU, loại ổ cứng), nhật ký sự kiện trong đó ghi lại các sự kiện nền tảng (ví dụ: CPU nóng lên, Lỗi quạt, thông báo BIOS POST), sự kiện bảo mật Intel AMT (ví dụ: cảnh báo về sự kiện tấn công mật khẩu Intel AMT hoặc bộ lọc Bảo vệ hệ thống dừng hoạt động), cũng như dữ liệu cấu hình Intel AMT (ví dụ: cài đặt mạng, danh sách kiểm soát quyền truy cập và định danh phổ biến duy nhất (UUID), bao gồm dữ liệu dự phòng, địa chỉ LAN MAC, các từ khóa, mật khẩu Bàn phím-Video-Chuột (KVM), chứng nhận Bảo mật tầng giao vận (TLS) và hồ sơ mạng không dây được cấu hình CNTT). Tất cả các dữ liệu cấu hình được xem là nhạy cảm sẽ được lưu trữ dưới dạng mật mã trên bộ nhớ flash. Có thể được tìm thêm thông tin về UUID trong phần bên dưới.
Intel AMT phiên bản 11.0 và cũ hơn cho phép các ứng dụng của Nhà cung cấp phần mềm độc lập (ISV) đã đăng ký lưu trữ dữ liệu trên một vùng thuộc kho chứa bộ nhớ flash được gọi là lưu trữ dữ liệu của bên thứ ba (3PDS). Bắt đầu từ Intel AMT phiên bản 11.6, tính năng này được thay thế bằng Lưu trữ ứng dụng web (Web Application Hosting), cho phép Intel AMT lưu trữ các ứng dụng web trong Bộ nhớ bất biến (NVM) mà Intel AMT quản lý cục bộ trên nền tảng của máy khách.
Tuy Intel truyền đạt cho ISV những gì Intel tin là nguyên tắc tốt nhất về quyền riêng tư để có được khả năng quản lý dữ liệu có trách nhiệm, nhưng Intel không quyết định những dữ liệu nào có thể được lưu trữ trong vùng này của bộ nhớ flash cũng như không hỗ trợ các phương pháp mã hóa cho dữ liệu ISV. Do đó, các ISV được khuyến khích mã hóa dữ liệu trước khi lưu trữ trên bộ nhớ flash nếu cho rằng dữ liệu của mình có tính nhạy cảm. Nếu bạn lo lắng về các rủi ro tiềm tàng liên quan đến quyền riêng tư do dữ liệu được lưu trữ ở đây, vui lòng liên hệ với nhà phát triển phần mềm của bên thứ ba thích hợp để biết thêm chi tiết về loại thông tin mà họ đang lưu trữ trong NVM và nó được bảo vệ ra sao.
Intel AMT sử dụng các UUID như thế nào? UUID cho phép và không cho phép chức năng nào trên các nền tảng hỗ trợ Intel AMT?
Định danh phổ biến duy nhất (UUID) là các thành phần lạ là do Intel AMT sử dụng cho nhiều mục đích, bao gồm quy trình cấp phép, bảo mật của hệ thống (ví dụ: mật khẩu, từ khóa và các chứng nhận TLS), đồng thời để đảm bảo rằng các quản trị viên CNTT có thể kết nối chính xác và quản lý hệ thống của người dùng cụ thể trong một doanh nghiệp.
Nền tảng VPRO của Intel đi kèm với một UUID không đổi được gọi là Intel Unique Platform ID (UPID) để cho phép các trường hợp sử dụng yêu cầu UUID không đổi, chẳng hạn như dự phòng không chạm. Chức năng UPID phụ thuộc vào việc triển khai OEM. UUID xuất hiện ở hầu hết mọi máy tính hiện đại và được các OEM cài đặt phổ biến trên tất cả các nền tảng mà không liên quan đến Intel AMT. Thật vậy, UUID hiện đang được sử dụng bởi các ứng dụng xuất hiện trên nhiều máy tính để cách ly thông tin hệ thống duy nhất nhằm cung cấp chức năng mong muốn, chẳng hạn như cung cấp cập nhật hệ điều hành hoặc hệ thống kiểm soát virus. Intel AMT sử dụng UUID nền tảng theo một cách rất tương tự - điểm khác biệt chính là để cho phép Intel AMT truy cập UUID OOB, UUID được sao chép vào kho lưu trữ của bộ nhớ flash.
Điều quan trọng cần lưu ý là Intel không thể sử dụng các UUID trên hệ thống được kích hoạt Intel AMT, bao gồm UPID, để theo dõi người dùng hoặc máy tính của họ; UUID cũng không cho phép Intel truy cập vào hệ thống người dùng thông qua cửa sau vào nền tảng này, và cũng không cho phép Intel ép phần mềm điều khiển xuống thành nền tảng mà không có sự đồng ý của người dùng. Chỉ có quản trị viên CNTT được ủy quyền mới có thể truy cập vào các UUID do Intel AMT lưu trữ trong bộ nhớ flash để sử dụng nền tảng được kích hoạt Intel AMT cụ thể. Danh sách các quản trị viên CNTT được ủy quyền được tạo bởi CNTT của khách hàng cuối trong suốt quá trình được bảo vệ bằng cách sử dụng chứng nhận của doanh nghiệp hoặc có mặt trực tiếp tại hệ thống Intel AMT (thông qua menu BIOS hoặc khóa USB) để tạo dựng niềm tin, và do đó diễn ra hoàn toàn bằng bàn giao tiếp trên các máy chủ tin cậy được chỉ định bởi CNTT của khách hàng cuối. Nói cách khác, không có UUID hay bất kỳ thông tin nào khác có thể được truyền đạt đến hoặc từ bất kỳ bên nào ngoài khách hàng cuối qua Intel AMT trừ khi khách hàng cuối nói rõ việc này. Để xác định các quản trị viên được ủy quyền sử dụng một hệ thống cụ thể, xem tài liệu Bộ công cụ dành cho nhà phát triển phần mềm Intel AMT (SDK) có tại https://software.intel.com/en-us/business-client/manageability, trong đó cung cấp API để truy xuất các ACL hoặc tài khoản Kerberos được ủy quyền.
Công nghệ quản lý chủ động Intel® (Intel® AMT) gửi loại thông tin nào qua mạng?
Intel AMT gửi và nhận dữ liệu qua các cổng mạng IANA được xác định trước: cổng 16992 đối với SOAP/HTTP, cổng 16993 đối với SOAP/HTTPS, cổng 16994 đối với Chuyển hướng/TCP,và cổng 16995 đối với Chuyển hướng/TLS. Các hệ thống tương thích với DASH sẽ gửi và nhận dữ liệu qua cổng 623 đối với HTTP và 664 đối với HTTPS. Phiên Bàn phím-video-chuột (KVM) có thể chạy qua các cổng chuyển hướng bên trên (16994 hoặc 16995) hoặc qua cổng RFB thông thường (Máy chủ VNC) - 5900. Loại thông tin gửi qua mạng bao gồm lệnh Intel AMT và tin nhắn trả lời, lưu lượng chuyển hướng và các cảnh báo hệ thống. Dữ liệu truyền qua cổng 16993 và 16995 được bảo vệ bằng Bảo mật tầng truyền tải (TLS) nếu phương pháp này được kích hoạt trên hệ thống của người dùng.
Intel AMT có thể gửi dữ liệu qua mạng IPV4 hoặc IPV6 và tương thích với các chức năng mở rộng về quyền riêng tư của RFC 3041.
Công nghệ quản lý chủ động Intel® (Intel® AMT) tiết lộ thông tin có thể xác định được nào trên mạng?
Khi Intel® AMT được bật, các cổng mở sẽ hiển thị thông tin có thể được dùng để xác định máy tính cho những máy tính khác trong mạng. Thông tin này bao gồm chứng chỉ HTTPS, vùng băm HTTP, phiên bản Intel AMT và các thông tin khác có thể được dùng để ghi dấu máy tính. Thông tin này được gửi đi dưới dạng một phần hoạt động bình thường của các giao thức được Intel® AMT hỗ trợ. Tường lửa của hệ điều hành sẽ không chặn truy cập vào các cổng của Intel® AMT, tuy nhiên, các quản trị viên có thể dùng Phát hiện môi trường và Gọi trợ giúp nhanh (CIRA) để đóng cổng Intel® AMT cục bộ và hạn chế truy cập thông tin này.
Intel AMT cho phép quản trị viên CNTT đã xác thực làm những gì?
- Tăng nguồn điện, hạ nguồn điện và khởi động lại hệ thống để xử lý sự cố và sửa chữa từ xa.
- Xử lý sự cố hệ thống từ xa ngay cả khi hệ điều hành của máy chủ tắt hoặc bị hỏng.
- Xem và thay đổi cài đặt cấu hình BIOS trên hệ thống từ xa. Intel AMT có một lựa chọn cho phép quản trị viên CNTT vượt mật khẩu BIOS, nhưng không phải tất cả OEM tích hợp tính năng này.
- Cấu hình các bộ lọc lưu lượng mạng để bảo vệ hệ thống.
- Quản lý các ứng dụng đã đăng ký đang chạy trên hệ thống (ví dụ: phần mềm diệt virus có đang chạy không).
- Nhận cảnh báo do phần mềm điều khiển của Intel AMT gửi để báo các sự kiện trên hệ thống của người dùng vốn có thể cần được hỗ trợ kỹ thuật, như: CPU nóng lên, Lỗi quạt hay bộ lọc Bảo vệ hệ thống dừng hoạt động. Các ví dụ khác có sẵn công khai tạiwww.intel.com/software/manageability.
- Xử lý sự cố hệ thống của người dùng từ xa bằng cách chuyển hướng quá trình khởi động vào đĩa mềm, CD-ROM hoặc hình ảnh trên hệ thống của quản trị viên CNTT.
- Xử lý sự cố hệ thống từ xa bằng cách chuyển hướng dữ liệu đầu vào bàn phím và dữ liệu đầu ra video ở chế độ văn bản trên các hệ thống của người dùng đến hệ thống của quản trị viên CNTT.
- Xử lý sự cố hệ thống từ xa bằng cách chuyển hướng bàn phím, video và chuột giữa hệ thống của người dùng và hệ thống của quản trị viên CNTT (chuyển hướng KVM).
- Cấu hình xem chức năng điều khiển của Intel AMT có thể được truy cập trong những môi trường mạng nào (ví dụ: bằng cách xác định tên miền tin cậy).
- Sử dụng ứng dụng ISV đã đăng ký để ghi/xóa dữ liệu trên kho lưu trữ bộ nhớ flash (ví dụ: vùng 3PDS)
- Lưu trữ các ứng dụng web trong Bộ nhớ bất biến (NVM) mà Intel AMT quản lý cục bộ trên nền tảng của máy khách (Intel AMT 11.6 và mới hơn).
- Xác định hệ thống của người dùng trên mạng doanh nghiệp qua UUID.
- Không cung cấp Intel AMT và xóa nội dung trên bộ nhớ Flash.
- Kết nối từ xa đến các hệ thống ngay cả không nằm trong mạng Doanh nghiệp bằng cách sử dụng hồ sơ Truy cập từ xa do máy khách khởi tạo (CIRA) đã cấu hình trước.
Intel AMT có cho phép quản trị viên CNTT đã xác thực truy cập vào (các) ổ cứng cục bộ của người dùng không?
Trong phiên quản lý từ xa, quản trị viên CNTT có quyền truy cập vào ổ đĩa cứng cục bộ của người dùng. Điều này có nghĩa là quản trị viên CNTT có thể đọc/ghi tập tin từ ổ đĩa cứng của người dùng, ví dụ như để sửa chữa hệ thống của người dùng bằng cách khôi phục hoặc cài đặt lại ứng dụng hoặc hệ điều hành lỗi. Intel AMT hỗ trợ hai tính năng giúp giảm rủi ro tiềm năng liên quan đến quyền riêng tư xảy ra do cung cấp cho các quản trị viên CNTT quyền truy cập vào loại thông tin này: IMSS và Ghi nhật ký kiểm tra. Chức năng Ghi nhật ký kiểm tra cung cấp một tầng trách nhiệm giải trình của quản trị viên bằng cách ghi nhật ký các trường hợp quản trị viên CNTT truy cập vào hệ thống người dùng qua Intel AMT. Tuy nhiên, những sự kiện nào thực sự được ghi vào nhật ký sẽ do người kiểm tra xác định, trong đó doanh nghiệp thường không phải là người dùng. Tuy Intel khuyến cáo khách hàng rằng truy cập từ xa vào hệ thống Intel AMT là loại thông tin cần được ghi vào nhật ký, nhưng có thể người sử dụng sẽ không có được thông tin này trong một số môi trường doanh nghiệp. Thông tin liên quan đến cách IMSS có thể cung cấp cho người dùng thông báo về trường hợp các quản trị viên CNTT đã truy cập vào hệ thống của họ được cung cấp ngay bên dưới.
Chuyển hướng KVM của Intel AMT có cho phép quản trị viên CNTT đã xác thực kiểm soát từ xa máy tính của người dùng như thể họ đang thực sự ngồi ngay trước bàn phím không?
Trong phiên quản lý từ xa với chuyển hướng KVM, quản trị viên CNTT thực sự có quyền kiểm soát máy tính của người dùng như thể họ đang ngồi ngay trước bàn phím. Đối với phiên chuyển hướng KVM, Intel AMT chấp nhận một yêu cầu là không thể bắt đầu phiên KVM mà không có sự cho phép rõ ràng của người dùng, còn được biết là cho phép KVM từ người dùng. Để người dùng đồng ý chọn phiên chuyển hướng, một cửa sổ đầu ra an toàn (”hình sprit”) sẽ được hiển thị trên màn hình của người dùng, ở bên trên bất kỳ cửa sổ nào khác, trong đó người dùng sẽ được nhắc đọc cho quản trị viên CNTT một con số được tạo ngẫu nhiên. Chỉ khi quản trị viên CNTT nhập vào đúng mã số phiên thì phiên KVM mới bắt đầu. Một khi phiên KVM hợp lệ được kích hoạt, toàn bộ màn hình của người dùng sẽ được bao quanh bởi một viền màu đỏ và vàng chớp tắt – điều đó cho thấy quản trị viên CNTT đang tiến hành phiên sửa chữa KVM. Viền màu đỏ và vàng sẽ chớp tắt cho đến khi chấm dứt phiên. Lưu ý rằng bắt buộc phải có cho phép KVM từ người dùng khi hệ thống Intel AMT trong Chế độ điều khiển của khách nhưng không bắt buộc trong Chế độ điều khiển của quản trị viên.
Theo cấu hình của OEM, tính năng SOL/IDER hay KVM trong Intel AMT được bật hay tắt trong BIOS hay Bộ quản lý mở rộng BIOS Intel® Management Engine BIOS Extension (Intel® MEBX). Quản trị viên CNTT có thể thay đổi yêu cầu chọn KVM qua các cài đặt BIOS hay cài đặt cấu hình AMT. Intel khuyến nghị nên áp dụng nghĩa vụ đối với sự đồng ý của người dùng để đảm bảo quyền riêng tư của họ.
Làm thế nào để người dùng biết quản trị viên CNTT đã truy cập vào hệ thống qua Intel AMT?
Biểu tượng IMSS cho phép và hỗ trợ thông báo cho người dùng đối với một số sự kiện, bao gồm việc quản trị viên CNTT có đang truy cập hoặc đã truy cập vào hệ thống thông qua việc mở/đóng phiên chuyển hướng từ xa hay không (ví dụ: SOL/IDER), cũng như quản trị viên CNTT có kích hoạt Bảo vệ hệ thống và Khởi động từ xa hệ thống của người dùng hay không. Ngoài ra, biểu tượng chớp tắt phía trên bên phải màn hình sẽ xuất hiện trong phiên chuyển hướng từ xa đang hoạt động. Tuy nhiên, những sự kiện thực sự được kích hoạt bởi IMSS, trong phần cài đặt của doanh nghiệp, được xác định bởi quản trị viên CNTT, không phải là người dùng. Tuy Intel khuyến cáo các doanh nghiệp triển khai các hệ thống Intel AMT bật thông báo IMSS đã đề cập ở đây, nhưng không nhất thiết tất cả người dùng đều có thể sử dụng thông tin về các kết nối từ xa đến hệ thống Intel AMT.
Làm thế nào người dùng có thể xóa tất cả các dữ liệu cá nhân và cấu hình Intel AMT?
Intel AMT cung cấp các tùy chọn BIOS để không cung cấp một phần/hoàn toàn hệ thống Intel AMT. Intel khuyến nghị người dùng cuối hoàn toàn không cung cấp hệ thống trước khi bán lại/tái sử dụng và xác minh rằng Intel AMT hoàn toàn không được cung cấp nếu bạn mua hệ thống hỗ trợ Intel AMT đã qua sử dụng.
Các cập nhật về tuyên bố quyền riêng tư
Chúng tôi có thể thỉnh thoảng cập nhật tuyên bố về quyền riêng tư này. Khi cập nhật, chúng tôi sẽ sửa lại ngày cập nhật cuối cùng ở phía trên cùng của tuyên bố về quyền riêng tư.
Để biết thêm thông tin
Nếu bạn có bất kỳ thắc mắc hoặc muốn biết thêm thông tin về phần bổ sung của quyền riêng tư này, vui lòng sử dụng mẫu này để liên hệ với chúng tôi.