インテル vPro

Intel vProテクノロジーは、 VT-x、VT-d、Trusted Execution Technology（TXT）、Intel Active Management Technology（AMT）を含む、コンピュータハードウェアテクノロジーの大規模なコレクションに対してIntelが使用する包括的なマーケティング用語です。 ^[1] vProブランドが発売されたとき（2007年頃）、それは主にAMTと識別されていました。^{[2] [3]}そのため、一部のジャーナリストは今でもAMTがvProの本質であると考えています。^[4]

Intel vProは、PCハードウェア機能セットのブランド名です。vProをサポートするPCは、vPro対応プロセッサ、vPro対応チップセット、vPro対応BIOSを主な要素としています。^{[2] [3] [5] [6] [7] [8]}

vPro PC には以下が含まれます。

• マルチコア、マルチスレッドXeonまたはCoreプロセッサ。^{[9] [10]}
• インテル アクティブ マネジメント テクノロジー (インテル AMT) は、企業向けのハードウェア ベースの機能セットであり、OS がダウンしている場合や PC の電源がオフになっている場合でも、管理およびセキュリティ タスクのために PC にリモート アクセスすることを可能にします。^{[6] [11]} AMT はインテル vPro と同じではないことに注意してください。AMT は vPro PC の 1 つの要素にすぎません。
• 証明書ベースのセキュリティを備えたAMTのリモート構成テクノロジ。リモート構成は、OSやソフトウェア管理エージェントがインストールされる前に、「ベアボーン」システムで実行できます。^{[6] [11] [12]}
• 有線および無線（ラップトップ）ネットワーク接続。^[11]
• Intel Trusted Execution Technology (Intel TXT) ^{[11] [13] [14] [15]}は起動環境を検証し、信頼のルートを確立します。これにより、ソフトウェアは仮想化環境の信頼チェーンを構築できます。Intel TXT は、秩序だったシャットダウンと無秩序なシャットダウンの両方の電源遷移中に秘密を保護します (これは、セキュリティ認証情報にとって従来脆弱な期間です)。
• ノート PC ではIEEE 802.1X、Cisco Self Defending Network (SDN)、Microsoft Network Access Protection (NAP)をサポートし、デスクトップ PC では 802.1x と Cisco SDN をサポートします。^{[16] [17]}これらのセキュリティ技術をサポートすることで、Intel vPro は PC のセキュリティ状態を保存し、OS やアプリケーションがロードされる前、および PC がネットワークにアクセスする前に、ネットワークがシステムを認証できるようにします。^[13]
• インテル仮想化テクノロジーには、 CPUとメモリ用のインテルVT-x、I/O用のインテルVT-dが含まれており、仮想化環境をサポートします（これらの機能はvProなしでもサポートされます^[18]）。インテルVT-xはハードウェア仮想化を加速し、ハードウェア仮想マシンで重要なアプリケーションを実行するための分離されたメモリ領域を作成して、実行中のアプリケーションの整合性と機密データの機密性を強化します。^{[13] [19]} インテルVT-dは、保護された仮想メモリアドレス空間をDMAバス経由でコンピューターに接続されたDMA周辺機器に公開し、悪意のある周辺機器による脅威を軽減します。
• 実行無効化ビットはOSによってサポートされている場合、ある種のバッファオーバーフロー攻撃を防ぐのに役立ちます。^[20]

第12世代のIntel Coreプロセッサーでは、vPro Essentials、vPro Enterprise for Windows、vPro Enterprise for Chrome、vPro Evo Designという4つの異なるプラットフォームが導入されました。^[21] vPro Essentialsの違いは、アウトオブバンドKVMリモートコントロール、ワイヤレスIntel® AMT、Fast call for help、Intel® Remote Secure Erase with Intel® SSD Proなどの一部の機能をサポートしていないことです。^[22] vPro EssentialsをサポートするIntelプロセッサーは、アウトオブバンド管理をサポートし、「アクセスモニター」機能で監視できるIntel Standard Manageability（Intel AMTのサブセット）^[23]を使用しています。^{[24] [25]}

Intel AMT は、vPro PC に組み込まれた管理およびセキュリティ機能のセットであり、システム管理者が PC を監視、保守、保護、およびサービスするのを容易にします。^[11] Intel AMT (管理テクノロジ) は、Intel vPro (PC「プラットフォーム」) と同じであると誤解されることがあります。これは、AMT が Intel vPro ベースの PC の最も目立つテクノロジの 1 つであるためです。

Intel AMT には以下が含まれます。

• 暗号化されたリモート電源オン/オフ/リセット（Wake-on-LAN、またはWOL経由）^{[6] [11]}
• リモート/リダイレクトブート（IDE-R経由）^{[6] [11]}
• コンソールリダイレクト（シリアルオーバーLANまたはSOL経由）^{[6] [11]}
• BIOS設定へのプリブートアクセス^{[6] [11]}
• 受信および送信ネットワークトラフィックのプログラム可能なフィルタリング^{[6] [11] [13]}
• エージェントの存在確認^{[6] [11] [13]}
• 帯域外ポリシーベースのアラート^{[6] [11]}
• PCのユニバーサルユニーク識別子（UUID）、ハードウェア資産情報、永続的なイベントログ、OSがダウンしたりPCの電源がオフになったりしてもアクセスできる専用メモリ（ハードドライブ上ではない）に保存されているその他の情報などのシステム情報へのアクセス。^{[6] [11]}

ハードウェアベースの管理はこれまでも利用可能でしたが、動的IPアドレス割り当てやディスクレスワークステーション用のDHCPまたはBOOTPを使用した（それを要求するコンピュータの）自動構成、およびリモートでシステムの電源をオンにするためのWake-on-LANに限定されていました。^[26]

AMT 6.0 搭載の vPro から、i5 または i7 プロセッサと組み込みの Intel グラフィックスを搭載した PC に、Intel 独自の組み込みVNC サーバーが含まれるようになりました。専用の VNC 互換ビューア テクノロジを使用して帯域外接続し、電源サイクル全体にわたって完全な KVM (キーボード、ビデオ、マウス) 機能を利用できます。これには、オペレーティング システムのロード時にデスクトップを中断することなく制御することも含まれます。RealVNC の VNC Viewer Plus などのクライアントは、コンピューターの電源のオフとオン、BIOS の構成、リモート イメージ (IDER) のマウントなど、特定の Intel AMT 操作を簡単に実行 (および監視) できる追加機能も提供します。

vPro 搭載の i5 および i7 プロセッサーのすべてが KVM 機能をサポートしているわけではありません。これは OEM の BIOS 設定と、ディスクリート グラフィック カードの有無によって異なります。KVM 機能をサポートしているのは Intel 統合 HD グラフィックのみです。^{[27] [より適切なソースが必要]}

Intel vProは、企業ファイアウォール内のPCのすべてのリモート管理機能に対して、暗号化された有線および無線LAN無線通信をサポートしています。^{[11] Intel vProは、企業}ファイアウォールの外側にある有線および無線LAN PCの一部のリモート管理機能に対して、暗号化された通信をサポートしています。^{[11] [28]}

vProを搭載したノートパソコンにはギガビットネットワーク接続が含まれており、IEEE 802.11 a / g / nワイヤレスプロトコルをサポートしています。^{[11] [28] [29]}

Intel vPro PCはAMT機能へのワイヤレス通信をサポートしています。^{[11] [29]}

バッテリー駆動のワイヤレスラップトップの場合、システムが起動し、企業ネットワークに接続されているときにAMT機能との通信が行われることがあります。この通信は、 OSがダウンしている場合や管理エージェントが見つからない場合に利用できます。 ^{[11] [28]}

AMT帯域外通信と一部のAMT機能は、ラップトップが起動して正常に動作している場合、ホストOSベースの仮想プライベートネットワーク（VPN）を介して企業ネットワークに接続された無線または有線のラップトップで利用できます。^[11]

ワイヤレス接続は、ワイヤレス ネットワーク インターフェイス (WLAN) とプラットフォーム ホスト上で実行されるインターフェイス ドライバーの 2 つのレベルで動作します。ネットワーク インターフェイスは RF 通信接続を管理します。

ユーザーがハードウェアまたはソフトウェア スイッチを使用してワイヤレス送信機/受信機をオフにした場合、ユーザーがワイヤレス送信機/受信機をオンにするまで、Intel AMT はいかなる状況でもワイヤレス インターフェイスを使用できません。

Intel AMT リリース 2.5/2.6 は、プラットフォームがS0電源状態 (コンピューターがオンで実行中) の場合にのみ、WLAN 経由で管理トラフィックを送受信できます。ホストがスリープ状態またはオフのときは、ワイヤレス トラフィックを受信しません。電源状態が許可する場合、Intel AMT リリース 2.5/2.6 は、プラットフォームが Sx 状態にあるときに、有線 LAN 接続 (存在する場合) 経由でのみ、帯域外トラフィックを送受信し続けることができます。

リリース 4.0 以降のリリースでは、電源設定やその他の構成パラメータに応じて、Sx 状態でのワイヤレス アウトオブバンド管理がサポートされます。

リリース 7.0 は、デスクトップ プラットフォームでのワイヤレス管理機能をサポートします。

ホスト プラットフォームでワイヤレス接続が確立されると、ワイヤレス アクセス ポイントに対してプラットフォームを認証するために使用される名前、パスワード、およびその他のセキュリティ要素を設定するワイヤレス プロファイルに基づいて接続が確立されます。ユーザーまたは IT 組織は、Intel PROSet/Wireless ソフトウェアなどのツールを使用して、1 つ以上のプロファイルを定義します。リリース 2.5/6 では、同じワイヤレス リンクを介して帯域外トラフィックを受信するには、Intel AMT に対応するワイヤレス プロファイルが必要です。ネットワーク インターフェイス API を使用すると、Intel PROSet/Wireless ソフトウェアと同じパラメータを使用して、1 つ以上のワイヤレス プロファイルを定義できます。ワイヤレス プロファイル パラメータを参照してください。ホストの電源投入時に、Intel AMT はホスト上のワイヤレス LAN ドライバと通信します。ドライバと Intel AMT が一致するプロファイルを見つけると、ドライバは管理処理のために Intel AMT デバイス宛てのトラフィックをルーティングします。一定の制限はありますが、ホスト ドライバがアクティブでプラットフォームが企業内にある限り、Intel AMT リリース 4.0/1 は、Intel AMT が構成されたワイヤレス プロファイルがなくても帯域外トラフィックを送受信できます。

リリース 4.2 およびリリース 6.0 ワイヤレス プラットフォームでは、WLAN は構成の前後でデフォルトで有効になっています。つまり、ホスト WLAN ドライバーがアクティブな接続を持っている限り、WLAN 経由で Intel AMT を構成できます。Intel AMT はアクティブなホスト プロファイルに同期します。構成サーバーが、S0 以外の電源状態で Intel AMT が使用するワイヤレス プロファイルを構成することを前提としています。

ワイヤレス ドライバーに問題があり、ホストの電源がまだオンになっている場合 (S0 電源状態のみ)、Intel AMT はワイヤレス ネットワーク インターフェイスから直接、帯域外管理トラフィックを受信し続けることができます。

Intel AMT をワイヤレス LAN で動作させるには、ホストと IP アドレスを共有する必要があります。そのためには、IP アドレスを割り当てる DHCP サーバーが必要であり、Intel AMT は DHCP を使用するように構成されている必要があります。

Intel vPro PCはローミング中の暗号化通信をサポートしています。^{[11] [29] [30]}

vPro PCバージョン4.0以降は、ローミング（企業ファイアウォールの外側のオープンな有線LANで動作）時にマネージドサービスプロバイダーとの暗号化されたAMT通信用の安全なトンネルを確立することにより、モバイル通信のセキュリティをサポートします。 ^[11]ノートPCの電源がオフになっているかOSが無効になっている場合でも、AMTとの安全な通信を確立できます。^{[11] AMT暗号化通信トンネルは、オンサイトの}プロキシサーバーや管理サーバーアプライアンスがないサテライトオフィスのノートPCやデスクトップPCにシステム管理者がアクセスできるように設計されています。

企業のファイアウォールの外側での安全な通信は、ネットワーク インフラストラクチャに新しい要素 (管理プレゼンス サーバー (Intel ではこれを「vPro 対応ゲートウェイ」と呼んでいます)) を追加することによって実現されます。^{[11]これには、}ネットワーク スイッチメーカー、ファイアウォール ベンダー、管理コンソールを設計するベンダーとの統合が必要であり、暗号化されたローミング 通信をサポートするインフラストラクチャを作成します。したがって、vPro PC バージョン 4.0 以降では暗号化されたローミング通信が機能として有効になっていますが、インフラストラクチャが整備され、機能するまでは、この機能を完全に使用することはできません。

vPro セキュリティ テクノロジと方法論は、PC のチップセットやその他のシステム ハードウェアに組み込まれています。vPro PC の導入中、セキュリティ資格情報、キー、その他の重要な情報は保護されたメモリ(ハード ディスク ドライブではない) に保存され、不要になると消去されます。

インテルによると、BIOS設定でAMTを無効にすることは可能だが、ほとんどのユーザーにとって、vProハードウェアベースの技術を介してPCへの外部からのアクセスを検出する方法は明らかにない。^[31]さらに、Sandy Bridgeと将来のチップには、「そのラップトップが3G接続を持っている場合、3G経由で紛失または盗難されたPCをリモートで強制終了および復元する機能」が搭載される予定である。^[32]

2017年5月1日、インテルは、インテル アクティブ マネジメント テクノロジー (インテル AMT)、インテル スタンダード マネージャビリティ (インテル ISM)、またはインテル スモール ビジネス テクノロジー (インテル SBT) を利用する特定のシステムのファームウェアの脆弱性に関するセキュリティ アドバイザリを公開しました。この脆弱性は潜在的に非常に深刻であり、ネットワーク攻撃者がこれらのテクノロジーを使用する企業の PC やワークステーションにリモートからアクセスできるようになる可能性があります。インテル AMT、インテル ISM、またはインテル SBT を組み込んだビジネス PC やデバイスを使用している個人および企業は、機器メーカーからファームウェア アップデートが利用可能になったらそれを適用するか、緩和ガイドに記載されている手順に従うことを強くお勧めします。^{[33] [34]}

AMTを含む多くのvPro機能は、MINIX 3を実行するチップセット内の独立したプロセッサであるIntel Management Engine （ME）に実装されていますが、このプロセッサには多数のセキュリティ上の脆弱性があることが判明しています。AMTとは異なり、Management Engine（ME）を無効にする公式の文書化された方法は一般的にありません。OEMによってまったく有効にされていない限り、常にオンになっています。^{[35] [36]}

Intel vProは業界標準の方法論とプロトコル、および他のベンダーのセキュリティ機能をサポートしています。^{[6] [11] [13] [37]}

• インテルトータル メモリー エンクリプション(インテル TME)
• インテルトラステッド・エグゼキューション・テクノロジー（インテル TXT）^{[11] [14] [15]}
• 業界標準のトラステッドプラットフォームモジュール（TPM）^[11]
• Intel Platform Trust Technology (Intel PTT)、Skylakeで導入されたTPM 2.0 fTPM ^[38]
• デスクトップPCではIEEE 802.1x、Preboot Execution Environment (PXE)、Cisco SDNをサポートし、さらにラップトップではMicrosoft Network Access Protection (NAP)をサポート^{[11] [16] [17]}
• 実行禁止ビット^[11]
• インテル仮想化テクノロジー（インテルVT-xおよびVT-d）^[11]
• Intel VMCS - Intel 仮想マシン制御構造シャドウイング
• インテル データ保護テクノロジー
• インテル アイデンティティ保護テクノロジー
• インテルセキュアキー ( RDRAND )
• インテル盗難防止テクノロジー
• インテル ブートガード
• インテル OS ガード
• インテル アクティブ マネジメント テクノロジー(インテル AMT)
• インテルステーブル イメージ プラットフォーム プログラム(SIPP)
• インテル スモール ビジネス アドバンテージ (インテル SBA)

Intel Boot Guardは、コンピュータがシステム製造元 ( OEMまたはODM ) によってリリースされていないファームウェア( UEFI ) イメージを実行するのを防ぐプロセッサ機能です。オンにすると、プロセッサはファームウェア イメージを実行する前に、キーペアの公開キーを使用して、ファームウェア イメージに含まれるデジタル署名を検証します。OEM /ODM 公開キーは、システム製造元 (Intel ではない) によってシステムのプラットフォーム コントローラ ハブ(PCH) ^[a]に融合されます。その結果、Intel Boot Guard を有効にすると、エンド ユーザーが交換用ファームウェア ( Corebootなど) や改造されたBIOSをインストールできなくなります。^{[40] [41]}

Intel Boot Guard は、 2013 年 6 月にHaswellプロセッサで初めてリリースされました。

Intel vProは、リモートvPro通信チャネルのセキュリティを確保するために、業界標準のセキュリティ技術と方法論をいくつか採用しています。これらの技術と方法論は、PCの重要なシステムデータ、BIOS設定、Intel AMT管理機能、その他の機密機能やデータへのアクセスのセキュリティも向上させ、導入（Intel AMTのセットアップと構成）およびvProの使用中にセキュリティ認証情報やその他の重要な情報を保護します。^{[11] [42]}

• トランスポート層セキュリティ（TLS）プロトコルには、帯域外ネットワークインターフェースを介した通信を保護するための事前共有キーTLS（TLS-PSK ）が含まれます。TLS実装では、 AES 128ビット暗号化と、モジュラス長2048ビットのRSAキーが使用されます。 ^{[43] [44] [45]}
• RFC 2617で定義されているHTTPダイジェスト認証プロトコル。管理コンソールは、Intel AMTを搭載したPCを管理するIT管理者を認証します。^[44]
• Microsoft Active DirectoryとKerberosプロトコルに基づくMicrosoft Windows ドメイン認証によるIntel AMTへのシングルサインオン。^[11]
• AMT PCのファームウェア内の疑似乱数ジェネレータ（PRNG）は、安全な通信のための高品質のセッションキーを生成します。^[11]
• デジタル署名されたファームウェアイメージ（Intelによって署名されたもの）のみがロードおよび実行を許可されます。^[11]
• インテルAMTハードウェア内の保護された永続的（不揮発性）データストア（ハードドライブ上ではないメモリ領域）を介して、重要な管理データを改ざん防止およびアクセス制御された状態で保存します。^[11]
• Intel AMTレルムおよびその他の管理機能のアクセス制御リスト。 ^[11]

Intel vProの最初のリリースは、Intel Core 2 Duoプロセッサを使用して構築されました。^[6] Intel vProの現在のバージョンは、10nm Intel第10世代Core i5およびi7プロセッサを搭載したシステムに組み込まれています。

Intel vProを搭載したPCには特定のチップセットが必要です。Intel vProのリリースは通常、AMTのバージョンによって識別されます。^{[6] [11]}

Intel vPro 搭載のラップトップには以下が必要です:

• Intel AMT リリース 9.0 (第 4 世代 Intel Core i5 および Core i7) の場合:
  • 22nm インテル第4世代Core i7モバイルプロセッサ^[46]
  • 22nm インテル第4世代Core i5モバイルプロセッサ^[47]
  • モバイルQM87チップセット^[48]
• Intel AMT リリース 8.0 (第 3 世代 Intel Core i5 および Core i7) の場合:
  • 32 & 45 nm インテル第3世代 Core i7 モバイルプロセッサ^[49]
  • 32 & 45 nm インテル第3世代 Core i5 モバイルプロセッサ^[50]
  • モバイルQM77およびQ77チップセット^[48]
• Intel AMTリリース4.1（vProテクノロジー搭載Intel Centrino 2）の場合: ^[51]
  • 45 nm Intel Core2 Duo プロセッサー T、P シーケンス 8400、8600、9400、9500、9600、スモール フォーム ファクター P、L、U シーケンス 9300 および 9400、および Quad プロセッサー Q9100
  • モバイル 45 nm Intel GS45、GM47、GM45、PM45 Express チップセット ( Intel Anti-Theft Technology搭載の Montevina )、1066 FSB、6 MB L2 キャッシュ、ICH10M 拡張
• Intel AMTリリース4.0（vProテクノロジー搭載Intel Centrino 2）の場合：^{[7] [11]}
  • 45 nm Intel Core2 Duo プロセッサー T、P シーケンス 8400、8600、9400、9500、9600、スモール フォーム ファクター P、L、U シーケンス 9300 および 9400、および Quad プロセッサー Q9100
  • モバイル 45 nm Intel GS45、GM47、GM45、PM45 Express チップセット (Montevina)、1066 FSB、6 MB L2 キャッシュ、ICH9M 拡張
• Intel AMTリリース2.5および2.6（vProテクノロジー搭載Intel Centrino）の場合：^{[6] [8] [52]}
  • Intel Core2 Duo プロセッサー T、L、および U 7000 シーケンス3、45 nm Intel Core2 Duo プロセッサー T8000 および T9000
  • ICH8M強化版モバイルIntel 965（Broadwater-Q）Expressチップセット

有線/無線ラップトップ用の AMT リリース 2.5 とデスクトップ PC 用の AMT リリース 3.0 は同時リリースであることに注意してください。

vPro 搭載デスクトップ PC (「vPro テクノロジー搭載 Intel Core 2」と呼ばれる) には次の要件があります。

• AMTリリース5.0の場合: ^[53]
  • Intel Core2 Duo プロセッサー E8600、E8500、E8400、45 nm Intel Core2 Quad プロセッサー Q9650、Q9550、Q9400
  • Intel Q45 (Eaglelake-Q) Express チップセット (ICH10DO 搭載)
• AMTリリース3.0、3.1、3.2の場合: ^{[6] [7] [11]}
  • Intel Core2 Duo プロセッサー E6550、E6750、および E6850、45 nm Intel Core2 Duo プロセッサー E8500、E8400、E8300、および E8200、45 nm Intel Core2 Quad プロセッサー Q9550、Q9450、および Q9300
  • Intel Q35 (Bearlake-Q) Express チップセット (ICH9DO 搭載)

有線/無線ラップトップ用の AMT リリース 2.5 とデスクトップ PC 用の AMT リリース 3.0 は同時リリースであることに注意してください。

• AMTリリース2.0、2.1、2.2の場合: ^{[6] [8] [52]}
  • Intel Core 2 Duo プロセッサ E6300、E6400、E6600、および E6700
  • Intel Q965 (Averill) Express チップセット (ICH8DO 搭載)

Intel ブランドは数多く存在します。ただし、vPro (包括的なマーケティング用語)、AMT (vPro ブランドのテクノロジ)、Intel Core i5 と Intel Core i7 (テクノロジ パッケージのブランド)、Core i5 と Core i7 (プロセッサ) の主な違いは次のとおりです。

i シリーズの最初のモデルである Core i7 は 2008 年に発売され、それよりも性能の低い i5 と i3 モデルはそれぞれ 2009 年と 2010 年に導入されました。Core i シリーズのマイクロアーキテクチャは Nehalem というコード名で呼ばれ、同シリーズの第 2 世代は Sandy Bridge というコード名で呼ばれていました。

Intel Centrino 2は、 Wi-Fiと、もともとIntel Core 2 Duoを含む技術パッケージのブランドでした。 ^{[5] Intel Centrino 2ブランドは、}ラップトップやその他の小型デバイスなどのモバイルPCに適用されました。Core 2とCentrino 2は、Intelの最新の45nm製造プロセスを使用するように進化し、マルチコア処理を持ち、マルチスレッド用に設計されています。

Intel vPro は、ラップトップやデスクトップ PC のハードウェアに組み込むことができる Intel テクノロジ機能セットのブランド名です。^[11]このテクノロジセットは、消費者ではなく企業を対象としています。vPro ブランドの PC には、Intel AMT、Intel Virtualization Technology (Intel VT)、Intel Trusted Execution Technology (Intel TXT)、ギガビットネットワーク接続などが含まれることがよくあります。Core 2 プロセッサを搭載していても、vPro 機能が組み込まれていない PC もあります。ただし、vPro 機能を使用するには、少なくとも Core 2 プロセッサを搭載した PC が必要です。現在のバージョンの vPro のテクノロジは、Core 2 Duo または Core 2 Quad プロセッサ (45 nm) の一部のバージョン、および最近では Core i5 および Core i7 プロセッサの一部のバージョンを搭載した PC に組み込まれています。

Intel AMT は、Intel vPro ブランドの PC に組み込まれている Intel Management Engine の一部です。Intel AMT は、AMT セキュリティ権限を持つシステム管理者がシステム情報にアクセスし、PC 上で特定のリモート操作を実行できるようにする、リモート管理およびセキュリティ ハードウェア機能のセットです。^[6]これらの操作には、リモート電源オン/オフ ( Wake-on-LAN経由)、リモート/リダイレクトブート(Integrated Device Electronics Redirect (IDE-R) 経由)、コンソール リダイレクト ( Serial over LAN経由)、およびその他のリモート管理およびセキュリティ機能が含まれます。