Vai al contenuto

 
 

Tecnologia Intel® Active Management: informativa sulla privacy - ultimo aggiornamento 5/23/2018

Intel Corporation è impegnata a proteggere la privacy degli utenti. Questa informativa descrive le funzioni e le capacità legate alla riservatezza dei dati personali rese possibili dalla tecnologia Intel® Active Management (Intel® AMT), ciò che tale tecnologia permette di fare agli amministratori IT e indica i tipi di dati memorizzati da Intel AMT nei sistemi degli utenti. Questa informativa integra l’Informativa Intel sulla riservatezza dei dati personali online e si applica solo a Intel AMT.

Che cos’è Intel AMT?

Intel AMT abilita il supporto remoto Out-Of-Band (OOB) e la gestione dei computer in rete nelle grandi imprese da parte di amministratori IT autorizzati.

Quali sono i potenziali problemi di privacy legati a Intel AMT?

Le capacità di gestione in remoto sono state rese disponibili dai fornitori di software e vengono utilizzate dai reparti IT di molte organizzazioni ormai da molto tempo.

Intel AMT consente agli amministratori IT di supportare e gestire in remoto i computer degli utenti anche senza la sua presenza oppure se il computer è spento.

In che modo l’utente può stabilire se Intel AMT è abilitata sul sistema?

Intel ha predisposto un’icona nell’area di notifica per offrire trasparenza e permettere all’utente finale di conoscere lo stato di Intel AMT. Attualmente, il software standard Intel AMT include un’applicazione Intel® Management and Security Status (IMSS) e un’icona nell’area di notifica che viene installata unitamente ai driver e ai servizi. L’icona IMSS nell’area di notifica visualizza lo stato corrente di Intel AMT sul sistema (abilitato o disabilitato) e fornisce inoltre istruzioni su come abilitare/disabilitare le funzionalità Intel AMT. Intel consiglia ad ogni OEM (Original Equipment Manufacturer) di caricare l’applicazione IMSS. Tuttavia, gli OEM potrebbero scegliere di non seguire questa raccomandazione Intel; inoltre i responsabili IT dei clienti finali potrebbero scegliere di rimuovere l’applicazione IMSS prima di fornire sistemi dotati di Intel AMT agli utenti finali. In base all’implementazione degli OEM, gli utenti possono verificare lo stato di Intel AMT anche nel BIOS del loro computer. A questo proposito è importante notare che i reparti IT di alcune grandi aziende potrebbero non concedere agli utenti l’accesso al BIOS di sistema, necessario per abilitare/disabilitare o verificare lo stato di Intel AMT.

Quali sono le informazioni personali degli utenti raccolte da Intel AMT?

Intel AMT non raccoglie le informazioni personali dell’utente, come ad esempio nome e cognome, indirizzo, numero di telefono.

Quale tipo di informazioni viene inviato da Intel AMT a Intel Corporation e come vengono utilizzate tali informazioni?

Intel AMT non invia alcun dato a Intel Corporation.

Quale tipo di informazioni vengono archiviate da Intel AMT?

Intel AMT memorizza le informazioni nella memoria flash, sulla scheda madre di sistema. Tali informazioni comprendono codice firmware, dati di inventario hardware (ad esempio dimensione della memoria, tipo di CPU, tipo di unità disco fisso), un registro eventi che riporta gli eventi della piattaforma (ad esempio riscaldamento della CPU, guasto alle ventole, messaggio POST del BIOS), eventi di sicurezza di Intel AMT (ad esempio, l’avvertimento di un evento di attacco alla password di Intel AMT o di disattivazione del filtro di difesa del sistema), oltre ai dati di configurazione di Intel AMT (ad esempio impostazioni di rete, elenchi di controllo dell’accesso e identificatori unici universali - UUID), tra cui dati di provisioning, indirizzo MAC della LAN, chiavi, password KVM (Keyboard-Video-Mouse), certificati TLS (Transport Layer Security) e profili di rete wireless IT configurati). Tutti i dati di configurazione considerati sensibili sono memorizzati in un formato crittografato nella memoria flash. Ulteriori informazioni sugli UUID sono reperibili nella sezione seguente.

Intel AMT versione 11.0 e precedenti consente inoltre alle applicazioni registrate degli ISV (Independent Software Vendor) di memorizzare dati in un’area del repository della memoria flash nota come 3PDS (Third Party Data Store). A partire da Intel AMT versione 11.6, questa funzione è stata sostituita da Web Application Hosting che consente a Intel AMT di ospitare applicazioni Web nella memoria non volatile (NVM) che Intel AMT gestisce localmente sulla piattaforma client.

Anche se Intel comunica ai propri ISV le migliori best practice relative alla privacy per una gestione responsabile dei dati, non può decidere quali dati possono essere memorizzati in questo settore della memoria flash e non supporta metodi di crittografia per i dati ISV. Pertanto, gli ISV sono invitati a crittografare i propri dati prima ancora di memorizzarli nella memoria flash, se li ritengono dati sensibili. Per qualsiasi dubbio su eventuali rischi per la privacy attribuibili a tali dati memorizzati, contattare lo sviluppatore software di terze parti competente per ulteriori dettagli relativi al tipo di informazioni e alle applicazioni Web memorizzate nella NVM e al modo in cui vengono protette.

In che modo Intel AMT usa gli UUID? Quale funzionalità viene attivata o meno dagli UUID sulle piattaforme in cui è abilitata Intel AMT?

Gli identificatori unici universali (UUID) sono elementi utilizzati da Intel AMT a diversi scopi, tra cui il processo di provisioning, la sicurezza del sistema (ad esempio, password, chiavi e certificati TLS) e per assicurare che gli amministratori IT siano in grado di connettersi con precisione e gestire il sistema di un utente specifico all’interno di una grande azienda.

Intel non ha creato alcun UUID per abilitare il funzionamento di Intel AMT, e gli UUID non sono nulla di nuovo per Intel AMT. Gli UUID sono presenti praticamente in tutti i PC moderni e vengono normalmente installati dagli OEM su tutte le piattaforme, senza alcuna relazione con Intel AMT. In realtà, gli UUID sono attualmente utilizzati dalle applicazioni individuate su molti PC per isolare informazioni di sistema uniche al fine di fornire le funzionalità previste, come gli aggiornamenti del sistema operativo o del sistema di controllo dei virus. Intel AMT utilizza gli UUID della piattaforma in modo molto simile: la differenza principale è che, per consentire a Intel AMT di accedere a UUID OOB, l’UUID viene copiato nel repository della memoria flash.

È importante notare che gli UUID nei sistemi con Intel AMD abilitato non possono essere usati da Intel per tracciare gli utenti o i loro PC, non consentono a Intel di accedere ai sistemi degli utenti tramite una backdoor sulla piattaforma e neppure consentono di forzare il firmware all’interno della piattaforma senza il consenso dell’utente. Qualsiasi UUID memorizzato in flash da Intel AMT è accessibile solo agli amministratori IT autorizzati per una specifica piattaforma in cui è abilitata Intel AMT. L’elenco degli amministratori IT autorizzati è configurato dal cliente finale IT durante un processo protetto utilizzando certificati aziendali o presenza fisica presso il sistema Intel AMT (tramite il menu del BIOS o una chiavetta USB) per stabilirne l’affidabilità, e tutto ciò si verifica interamente su console che risiedono su server affidabili designati come tali dal reparto IT del cliente finale. In altre parole, né gli UUID né altre informazioni possono essere comunicati da o verso parti esterne al cliente finale tramite Intel AMT, a meno che il cliente finale non lo configuri espressamente. Per individuare gli amministratori autorizzati per un sistema specifico, consultare la documentazione del Kit di sviluppo software (SDK) Intel AMT disponibile all’indirizzo https://software.intel.com/en-us/business-client/manageability, che fornisce un’API per recuperare gli ACL o gli account Kerberos autorizzati.

Che tipo di informazioni invia in rete la tecnologia Intel® Active Management (Intel® AMT)?

Intel AMT invia e riceve dati su porte di rete predefinite dalla IANA: la porta 16992 per SOAP/HTTP, la porta 16993 per SOAP/HTTPS, la porta 16994 per il reindirizzamento/TCP e la porta 16995 per il reindirizzamento/TLS. I sistemi con conformità DASH invieranno e riceveranno i dati sulle porte 623 per HTTP e 664 per HTTPS. La sessione KVM (Keyboard-Video-Mouse) può essere eseguita sulle porte di reindirizzamento sopra citate (16994 o 16995) o sulla consueta porta RFB (server VNC), la 5900. Il tipo di informazioni inviate sulla rete include il comando Intel AMT e i messaggi di risposta, il traffico di reindirizzamento e gli avvisi del sistema. I dati trasmessi sulle porte 16993 e 16995 sono protetti con il protocollo Transport-Layer Security (TLS), se questa opzione è abilitata sul sistema dell’utente.

Intel AMT può inviare dati su una rete IPV4 o IPV6 ed è conforme con le estensioni della privacy RFC 3041.

Che tipo di informazioni identificabili espone sulla rete la tecnologia Intel® Active Management (Intel® AMT)?

Quando Intel® AMT è abilitata, le porte aperte presenteranno informazioni che possono essere utilizzate per identificare il computer da parte di altri sistemi in rete. Ciò include certificato HTTPS, HTTP digest realm, versione Intel AMT e altre informazioni che possono essere utilizzate per identificare il computer. Queste informazioni vengono fornite come parte delle normali operazioni dei protocolli supportati da Intel® AMT. Un firewall del sistema operativo non bloccherà l'accesso alle porte Intel® AMT, tuttavia gli amministratori possono utilizzare Environment Detection and Fast Call for Help (CIRA) per chiudere le porte locali Intel® AMT e limitare l'accesso a queste informazioni.

Che cosa consente di fare Intel AMT a un amministratore IT autenticato?

  • Accendere, spegnere e riavviare il sistema in remoto per la risoluzione dei problemi e la riparazione.
  • Risolvere i problemi del sistema anche quando il sistema operativo host è spento o danneggiato.
  • Rivedere e modificare le impostazioni di configurazione del BIOS sul sistema. Intel AMT offre un'opzione per consentire a un amministratore IT di bypassare la password del BIOS, ma non tutti gli OEM implementano questa funzionalità.
  • Configurare i filtri del traffico di rete per proteggere il sistema.
  • Monitorare le applicazioni registrate in esecuzione sul sistema (ad esempio, se il software antivirus è in esecuzione).
  • Ricevere avvisi generati dal firmware di Intel AMT con report degli eventi sul sistema dell’utente che possono richiedere supporto tecnico, come il riscaldamento della CPU, un guasto alla ventola o la disattivazione del filtro di difesa del sistema. Ulteriori esempi sono disponibili all’indirizzo www.intel.com/software/manageability.
  • Risolvere problemi in remoto sul sistema dell’utente reindirizzando il processo di avvio su un disco floppy, un CD-ROM o un’immagine ubicata nel sistema dell’amministratore IT.
  • Risolvere problemi in remoto sul sistema reindirizzando l’input della tastiera e l’output video in modalità testo sui sistemi utente verso il sistema dell’amministratore IT.
  • Risolvere problemi in remoto sul sistema reindirizzando tastiera, video e mouse verso e dal sistema dell’utente e il sistema dell’amministratore IT (reindirizzamento KVM).
  • Configurare quali ambienti di rete saranno accessibili per la funzionalità di gestione di Intel AMT (ad esempio, definendo domini affidabili).
  • Usare un’applicazione ISV per scrivere/eliminare dati sul repository flash (ovvero l’area 3PDS).
  • Ospitare le applicazioni Web nella nella memoria non volatile (NVM) che Intel AMT gestisce localmente sulla piattaforma client (Intel AMT 11.6 e superiore).
  • Individuare il sistema dell’utente sulla rete aziendale tramite un UUID.
  • Annullare il provisioning di Intel AMT ed eliminare i contenuti flash.
  • Connettersi in remoto a sistemi anche al di fuori della rete aziendale usando profili CIRA (Client-Initiated-Remote-Access) preconfigurati.

 

Intel AMT consente a un amministratore IT autenticato di accedere alle unità disco fisso locali di un utente?

Durante una sessione di gestione in remoto, l’amministratore IT ha accesso ai dischi fissi locali dell’utente. Ciò significa che l’amministratore IT può scrivere/leggere file dall’unità disco fisso dell’utente, ad esempio, per ripararne il sistema ripristinando o reinstallando un’applicazione o un sistema operativo danneggiato. Intel AMT supporta due funzionalità che consentono di ridurre i potenziali rischi per la privacy che derivano dal fornire all’amministratore IT l’accesso a questo tipo di informazioni: IMSS e registrazione di controllo. Le funzionalità della registrazione di controllo forniscono un livello di responsabilità dell’amministratore IT tramite istanze di registrazione dell’accesso da parte sua ai sistemi utente tramite Intel AMT. Tuttavia, gli eventi registrati vengono definiti dal revisore, che in azienda normalmente non è l’utente. Anche se Intel raccomanda ai suoi clienti che l’accesso in remoto al sistema Intel AMT sia un tipo di informazione da registrare, è possibile che tali informazioni non siano disponibili agli utenti in alcuni ambienti aziendali. Le informazioni relative alle modalità in cui l’IMSS può fornire agli utenti notifiche delle istanze in cui gli amministratori IT hanno avuto accesso al sistema vengono fornite di seguito.

Il reindirizzamento KVM di Intel AMT consente a un amministratore IT autenticato di assumere il controllo in remoto del PC di un utente come se si trovasse fisicamente alla tastiera del computer dell’utente?

Durante una sessione di gestione in remoto con il reindirizzamento KVM, l’amministratore IT controlla il PC dell’utente come se fosse seduto alla tastiera. Rispetto alla sessione di reindirizzamento KVM, Intel AMT abilita il requisito secondo cui una sessione KVM non può essere avviata senza il consenso esplicito dell’utente (consenso dell’utente a KVM). Per rafforzare il consenso dell’utente di prendere parte alla sessione di reindirizzamento, viene visualizzata sullo schermo dell’utente una finestra di output sicura ("sprite"), al di sopra di tutte le altre finestra, in cui viene richiesto di leggere all’amministratore IT un numero generato casualmente. Solo se l’amministratore digita il numero corretto la sessione KVM potrà iniziare. Una volta richiamata una sessione KVM valida, l’intero schermo utente sarà circondato da una barra rossa e gialla lampeggiante, che indica che un amministratore IT sta svolgendo una sessione di riparazione KVM. La barra rossa e gialla lampeggiante resta fintanto che la sessione è attiva. Si noti che il consenso dell'utente a KVM è obbligatorio quando il sistema Intel AMT è in modalità controllo client ma è opzionale quando è in modalità controllo amministratore.

In base alle impostazioni dell’OEM, le funzionalità SOL/IDER o KVM di Intel AMT vengono abilitate o disabilitate nel BIOS o in Intel® Management Engine BIOS Extension (Intel® MEBX). Il requisito di scelta dell’opzione KVM può essere modificato dall’amministratore IT tramite le impostazioni del BIOS o le impostazioni di configurazione Intel AMT. Intel raccomanda di utilizzare l’obbligo del consenso utente per mantenere la sua privacy.

In che modo l’utente può stabile se un amministratore IT ha avuto accesso al sistema tramite Intel AMT?

L’icona IMSS nell’area di notifica abilita e supporta le notifiche utente per diversi eventi, incluso se un amministratore IT sta accedendo o ha avuto accesso al sistema tramite l’apertura/chiusura di una sessione di reindirizzamento in remoto (ovvero SOL/IDER), l’attivazione di un sistema di difesa e l’avvio in remoto del sistema dell’utente da parte di un amministratore IT. Inoltre, durante una sessione di reindirizzamento remoto attiva verrà visualizzata un'icona lampeggiante nell'angolo superiore destro dello schermo. Tuttavia, gli eventi effettivamente abilitati dall’IMSS in un ambiente aziendale sono definiti da un amministratore IT e non dall’utente. Anche se Intel raccomanda alle grandi imprese che implementano sistemi Intel AMT di abilitare le notifiche IMSS a cui fa riferimento questo paragrafo, è possibile che le informazioni relative alle connessioni remote al sistema Intel AMT non siano disponibili a tutti gli utenti.

Come può fare un utente a cancellare tutte le configurazioni Intel AMT e i dati privati?

Intel AMT fornisce opzioni del BIOS per annullare il provisioning di un sistema Intel AMT, parzialmente o completamente. Intel raccomanda agli utenti finali di annullare completamente il provisioning di un sistema prima di rivendere o riciclare il sistema e di verificare che il provisioning Intel AMT sia completamente annullato in caso di acquisto di un sistema usato con funzionalità Intel AMT.

Aggiornamenti dell’informativa sulla privacy

Intel può occasionalmente aggiornare la presente informativa sulla privacy. In caso di modifiche, Intel aggiornerà la data riportata come "ultimo aggiornamento" all’inizio dell’informativa sulla privacy.

Per ulteriori informazioni

Per qualsiasi domanda o per maggiori informazioni relative al presente supplemento sulla privacy, utilizzare questo modulo per contattare Intel.