ID.nl logo
Huis

Intel AMT: Waarom je nooit helemaal de baas bent over je pc

Natuurlijk wil je zelf de controle over je pc houden. Maar zelfs als je een besturingssysteem kiest dat je controle niet afneemt - zoals Linux - ben je op een dieper systeemniveau nog niet de baas over je computer. Dit dankzij Intel AMT en de bijbehorende Management Engine.

In de beginjaren van de computer was het vanzelfsprekend dat je de broncode van je besturingssysteem en software kon inzien. Dat was ook nodig, want de meeste gebruikers waren toen zelf nog ontwikkelaars. Je had daardoor heel wat controle over je computer: je kon zelf bugs fiksen en de functionaliteit uitbreiden. Universiteiten en onderzoeksafdelingen in bedrijven creëerden die programma’s en deelden ze vrijelijk, of hardwareproducenten ontwikkelden ze en verspreidden ze gratis bij hun hardware.

Beetje bij beetje verloren computergebruikers die controle. De software-industrie werd volwassen en de ontwikkelingskosten stegen. Commerciële partijen begonnen geld te vragen voor softwarelicenties los van hardware en wilden niet dat anderen hun software konden bestuderen of aanpassen. Deze zogenaamde propriëtaire software werd de norm.

Al die tijd bleef er een kleine groep idealistische gebruikers ijveren voor controle over hun pc. In de jaren 1980 en 1990 ontstonden er bewegingen die vrije software en opensource software promoten. In 1991 bracht de Finse student Linus Torvalds de Linux-kernel ter wereld en momenteel blijven gebruikers van Linux-distributies en BSD-besturingssystemen een kleine harde kern vormen van computergebruikers die bewust niet met Windows of macOS werken omdat ze de controle over hun pc willen houden.

Al die inspanningen om voor opensourcesoftware te kiezen, zetten in de praktijk geen zoden aan de dijk. De huidige pc-hardware is immers zo gesloten als wat. Elke moderne pc met het Intel-platform is uitgerust met een microcontroller, de Management Engine, die volledige controle over de pc heeft, maar onafhankelijk van de processor werkt en zonder dat de processor of je besturingssysteem er ook maar iets van ziet.

Ook het BIOS (of tegenwoordig UEFI) is in moderne pc’s niet open, net zoals de firmware van allerlei chips in je computer. Al deze gesloten componenten in pc-hardware betekenen dat je eigenlijk nooit zelf volledig de controle over je pc hebt, zelfs al draai je Linux en opensourcesoftware. Voor gebruikers die graag weten wat er op hun systeem draait, is dit een nachtmerrie. Hoe weet je of je privacy en veiligheid met zo’n systeem voldoende beschermd zijn?

Intel Management Engine

In 2006 introduceerde processorfabrikant Intel zijn Intel Management Engine. Dit is eigenlijk een volledige computer in je computer. Sinds de Core i3/i5/i7-processoren die Intel in 2009 voor het eerst uitbracht, zit de Management Engine in de Platform Controller Hub, een chip die de processor ondersteunt bij zijn taken. Alle desktopsystemen, mobiele systemen en serversystemen vanaf midden 2006 met een Intel-processor zijn uitgerust met een Management Engine.

De Management Engine bestaat uit een processorkern, cachegeheugen voor code en data, een cryptografische coprocessor, een kleine hoeveelheid rom en ram, geheugencontrollers, en zelfs een DMA-controller (direct memory access) met volledige toegang tot het werkgeheugen van je systeem. De Management Engine kan niet alleen het werkgeheugen van de computer uitlezen, maar krijgt ook de bovenste 16 Mbyte van je ram gereserveerd voor eigen gebruik. Verder heeft de Management Engine ook netwerktoegang via de ethernetcontroller van je computer, zelfs met een eigen mac-adres.

©PXimport

Het opstartprogramma van de Management Engine staat op diens interne ROM en laadt een firmwaremanifest van de SPI-flashchip van de pc. Dit manifest bevat een lijst van firmwaremodules en is cryptografisch ondertekend met een sleutel van Intel.

Als het opstartprogramma niet kan verifiëren of het manifest door die sleutel is ondertekend, weigert dit de firmware uit te voeren en wordt de Management Engine stopgezet. Het manifest bevat ook cryptografische hashes van de inhoud van de modules.

De kernel van de firmware is gebaseerd op het propriëtaire realtime besturingssysteem ThreadX van Express Logic. Tot de andere modules behoren een Java virtuele machine met Java-klassen voor cryptografie en veilige opslag, Intel Active Management Technology (AMT), Intel Boot Guard en Protected Audio Video Path of recenter Intel Insider. We gaan even kort op enkele van die laatste modules in.

Wake-on-Lan

De bekendste module van de Management Engine is Active Management Technology (AMT), dat onderdeel uitmaakt van Intels vPro-merk voor bedrijven. Het is een webserver die op de Management Engine draait en gebruikers op een afstand over een versleutelde verbinding toelaat om de pc te beheren, systeeminformatie te raadplegen en zelfs de computer uit- en in te schakelen. Dat inschakelen is zelfs mogelijk als de pc uitgeschakeld is (correcter: als die zich in de S3-slaaptoestand bevindt): die wordt dan via Wake-on-LAN gewekt. De Management Engine is immers actief zolang er stroom is.

Dat zijn heel krachtige mogelijkheden. Als er beveiligingsfouten in de Management Engine zitten, heeft dat dan ook grote gevolgen voor de veiligheid van je systeem. In 2009 al ontwikkelde Invisible Things Lab een exploit voor de Management Engine in de Intel Q35 chipset (geïntroduceerd in 2007). Ze slaagden erin om het beschermde deel RAM dat normaal gereserveerd is voor de Management Engine te remappen en daar een rootkit in te installeren.

In 2011 maakte beveiligingsonderzoeker Patrick Stewin daarvan gebruik om ter demonstratie een rootkit te installeren die alle toetsaanslagen continu registreerde en over het netwerk doorstuurde. Dat deed het door de toetsenbordbuffer in het RAM continu uit te lezen. En aangezien die rootkit op de volledig geïsoleerde Management Engine draait en niet op de processor zelf van de pc, kan antimalwaresoftware dit op geen enkele manier ontdekken.

Intel Boot Guard

Een extra Management Engine module die Intel in 2013 introduceerde in de Haswell-processoren is Intel Boot Guard. Een OEM (original equipment manufacturer) genereert dan een sleutelpaar en installeert de publieke sleutel in de processor. Die processor wil daarna dan alleen opstarten van firmware (BIOS/UEFI) die is ondertekend door de bijbehorende privésleutel, die alleen de OEM kent. Op zulke systemen is het dan onmogelijk om de firmware te vervangen door alternatieve, opensourcefirmware zoals coreboot of Libreboot. Als je zelf je pc samenstelt met een afzonderlijk moederbord en processor, heb je dit probleem overigens niet.

Minder bekend is dat de Management Engine ook een DRM-module (digital rights management) heeft voor audio en video. Vroeger heette die module Protected Audio Video Path (PAVP), maar sinds de Sandy Bridge-processoren wordt er gebruikgemaakt van Intel Insider. Deze DRM-modules werken gelijkaardig. De Management Engine ontvangt van het besturingssysteem van de processor een versleutelde mediastroom en een versleutelde sleutel, en ontcijfert de sleutel.

De Management Engine stuurt de versleutelde mediastroom dan samen met de gedecrypteerde sleutel naar de GPU, die de mediastroom met de sleutel decrypteert en afspeelt. Overigens maken ook andere modules van de Management Engine gebruik van de DRM-mogelijkheid, bijvoorbeeld om een pincode voor authenticatie op het scherm te tonen. Dat gebeurt volledig buiten het besturingssysteem om, zodat die pincode niet door software op de pc te onderscheppen is. Maar aan de andere kant betekent dit dat een rootkit in de Management Engine ook zaken op je scherm kan tonen waar je totaal geen controle over hebt.

AMD

Ben je trouwens fan van AMD? Denk dan niet dat je veilig bent voor de bedreigingen van de Management Engine. Hoewel AMD niet van Intels oplossing gebruikmaakt, bevatten alle AMD-processoren sinds 2013 een Platform Security Processor, een ARM-kern met TrustZone-technologie. De werking daarvan is helemaal anders dan die van de Management Engine, maar deze processor doet iets heel gelijkaardigs.

De Platform Security Processor is op dezelfde ‘die’ (Engels, stukje printplaat of geleidend materiaal) als de hoofdprocessor ingebakken. Ze heeft toegang tot het volledige ram, de netwerkcontrollers en alle andere op de PCI-/PCI Express-bus aangesloten apparaten. De firmware is cryptografisch ondertekend door AMD. Als deze niet aanwezig is, blijft de processor van je pc zichzelf resetten en kun je er dus niet mee werken.

In een volgend artikel kijken we naar de mogelijkheden om de Management Engine eventueel uit te schakelen, dan wel naar de manieren om uit te wijken naar andere opties.

▼ Volgende artikel
Waar voor je geld: 5 betaalbare digitale waterpassen met laser
© ID.nl
Huis

Waar voor je geld: 5 betaalbare digitale waterpassen met laser

Bij ID.nl zijn we gek op producten waar je niet de hoofdprijs voor betaalt. Een paar keer per week speuren we daarom binnen een bepaald thema naar zulke deals. Deze zomer klussen? Goed gereedschap is dan onontbeerlijk. Ee digitale waterpas bijvoorbeeld, ook wel kruislijnlaser genoemd. Dankzij een duidelijke lijn van laserlicht kun je alles mooi waterpas ophangen, zetten of plaatsen.

Een digitale waterpas met laser, ook wel kruislijnlaser genoemd, helpt je om alles perfect recht of waterpas te krijgen, bijvoorbeeld bij het ophangen van een schilderij, het plaatsen van een plank of het tegelen van een muur. De ingebouwde laser projecteert een strakke lijn op de muur, zodat je grotere afstanden gemakkelijk kunt uitlijnen zonder steeds opnieuw te hoeven meten. Handig bij het klussen, verbouwen of inrichten van je huis! Wij vonden vijf betaalbare kruislijnlasers.

Kapro Prolaser 862GS

Deze Kapro Prolaser 862GS verrast met een opvallend groen laserlijn die beter zichtbaar is in fel licht, perfect voor binnen én buiten gebruik. Hij werkt tot zo’n 20 m met indrukwekkende nauwkeurigheid van ± 0,2 mm/m en een zelfnivelleringsbereik van ± 3°. Je krijgt er zelfs een mini‑statief bij, waardoor je meteen aan de slag kunt. Compact, lichtgewicht – maar gebouwd om te presteren onder uiteenlopende omstandigheden dankzij zijn IP 54‑behuizing en lange batterijduur. Een slimme keuze voor wie zowel gemak als zichtbaarheid wil tijdens precisiewerk.

Lasertype: Kruislijn, horizontaal, verticaal
Nauwkeurigheid: 0,4 mm / meter
Automatische correctie: ± 3 °
Lijnzichtbaarheid: 20 meter
Stroombron: 2x AA-batterij

Parkside PKLL 7 D3

De Parkside PKLL 7 D3 is een betaalbare instapper die verrassend veel kan. Hij projecteert kruislijnen met automatische nivellering tot ± 4° en werkt tot ca. 7  meter afstand. Uniek is de mogelijkheid om de lasers onder vaste hoeken te projecteren – handig bij creatief-imaginair werk of wanneer precieze hoeken nodig zijn zonder automatisch corrigerend niveau. Hij is compact, licht en ideaal voor gebruik bij kleine klussen in huis. De nauwkeurigheid van deze kruislijnlaser is met een afwijking van 0,8 mm per meter echter wel iets minder goed, iets om rekening mee te houden.

Lasertype: Kruislijn, horizontaal, verticaal
Nauwkeurigheid: 0,8 mm / meter
Automatische correctie:
Lijnzichtbaarheid: 7 meter
Stroombron: 2xAA-batterij

Makita SK105DZ

Deze Makita projecteert heldere rode lijnen tot 25 meter, ideaal voor zowel horizontale als verticale lijnprojectie. Dankzij de zelfnivellerende functie hoef je je nooit druk te maken over scheve hoeken: hij corrigeert automatisch tot zo'n 4° graden. Deze Makita werkt op en afzonderlijk te verkrijgen 12Volt CXT-accu. De nauwkeurigheid van de SK105DZ is met een afwijking van 0,3 mm per meter erg goed.

Lasertype: Kruislijn, horizontaal, verticaal
Nauwkeurigheid: 0,3 mm / meter
Automatische correctie:
Lijnzichtbaarheid: 25 meter
Stroombron: Accu

Stanley STHT77502-1 Cross 90

Deze Stanley Cross 90 projecteert naast een horizontale en verticale ook nog een extra verticale lijn op exact 90°, waardoor hij ideaal is voor bijvoorbeeld tegelwerk, vloeren en het netjes uitlijnen van tussenschotten. De automatische nivellering zorgt voor een precieze uitlijning zonder gedoe. Een uitstekende keuze voor wie professioneel resultaat wil zonder poespas.

Lasertype: Kruislijn, horizontaal, verticaal
Nauwkeurigheid: 0,5 mm / meter
Automatische correctie: ± 4°
Bereik: 12 meter
Stroombron: 2xAA-batterij

Bosch Universal Level 2

De Bosch Universal Level 2 biedt drie handige modi: kruislijnen met automatische nivellering, verticale lijnen met puntenfunctie of een hellingsmodus voor schuine uitlijning. Dankzij de heldere rode laserstraal en de intuïtieve bediening ervaar je snel gemak en nauwkeurigheid. Compleet geleverd inclusief batterijen en opberghoes.

Lasertype: Kruislijn, horizontaal, verticaal
Nauwkeurigheid: 0,5 mm / meter
Automatische correctie: 4 °
Lijnzichtbaarheid: 10 meter
Stroombron: 3xAA-batterij

▼ Volgende artikel
Windows 11 installeren zonder Microsoft-account? Zo omzeil je de blokkade
© MG | ID.nl
Huis

Windows 11 installeren zonder Microsoft-account? Zo omzeil je de blokkade

Wanneer je Windows 11 (opnieuw) installeert, vereist Microsoft dat je je aanmeldt met een Microsoft-account of dat je er eentje aanmaakt. En dat terwijl je je voorheen in Windows 10 gewoon met een offline account kunt aanmelden. Wij laten je zien hoe je dat ook in Windows 11 doet, rechtstreeks tijdens de installatieprocedure.

Microsoft wil maar al te graag dat je een Microsoft-account hebt en deze ook gebruikt bij het aanmelden van Windows 11. Behalve dat je hiermee in geval van het vergeten van je installatiecode het besturingssysteem makkelijker opnieuw kunt activeren, biedt een Microsoft-account niet heel veel extra voordelen in Windows 11 zelf. Het enige wat met zo'n account makkelijker gaat is het instellen van e-mail en OneDrive, maar dat zijn ook diensten waar je je later bij kunt aanmelden.

Installatieprocedure

In een van de laatste stappen van de installatieprocedure, of wanneer je een Windows 11-laptop hebt gekocht, word je - om de laatste instellingen toe te passen - gevraagd om in te loggen bij een Microsoft-account, of er eentje aan te maken.

©MG | ID.nl

Microsoft vraagt in Windows 11 standaard om een Microsoft-account.

Wanneer je in bovenstaand scherm bent aangekomen, lijkt het alsof je hier niet meer uit kunt komen: je moet óf een account invullen, óf er eentje aanmaken, óf een stap terug gaan met de pijl rechtsboven in beeld. Toch kun je hier nog iets anders doen, namelijk een opdrachtprompt openen. En dat is handig, want met een opdrachtprompt tijdens de installatie van Windows 11 kun je alvast dingen regelen voordat Windows 11 zelf is opgestart. Het omzeilen van het aanmaken of invoeren van een Microsoft-account bijvoorbeeld. Om de opdrachtprompt te openen, moet je de volgende toetscombinatie intypen:

Shift+F10

Let op: bij sommige computers zoals laptops kan het zijn dat je ook de Functietoets Fn moet indrukken om de F10-knop te kunnen gebruiken. De opdracht wordt in dat geval dan:

Shift+Fn+F10

Na het indrukken van deze toetscombinatie wordt een zwart venster voor de opdrachtprompt geopend.

©MG | ID.nl

Via een opdrachtprompt tijdens de installatieproductie van Windows 11 kunnen we de blokkade voor het aanmaken van een gewoon account omzeilen.

In dit scherm voor je een speciale opdracht in waarmee we de verplichte invoer voor een Microsoft-account gaan omzeilen. Zodra Windows 11 heeft gedetecteerd dat jouw computer een werkende verbinding heeft, blijf je op dat accountscherm hangen, maar ook wanneer er nog geen verbinding is gemaakt, wil Microsoft toch eerst dat je verbinding maakt en daarna alsnog met een Microsoft-account aan de slag gaat.

Nu de opdrachtprompt is geopend, schakelen we die online functie uit. Voer exact de volgende opdracht in:

start ms-cxh:localonly

Gevolgd door een druk op de Enter-toets. Dat zit eruit als hieronder:

©MG | ID.nl

Met behulp van de opdracht start ms-cxh:localonly kunnen we toch een normaal account.

Nadat je op Enter hebt gedrukt, verschijnt er een nieuw venster met de mogelijkheid om een lokaal account (dus zonder Microsoft-account) aan te maken. Goed om te weten: dit account is ook meteen een administrator-account.

©MG | ID.nl

Je kunt iedere accountnaam gebruiken die je wenst, en een wachtwoord opgeven hoeft nu nog niet.

Je kunt hier dus gewoon een normale (voor- en achter)naam opgeven, een e-mailadres is dan niet nodig. Je kunt ervoor kiezen om nu een wachtwoord in te vullen, maar als je dat doet, krijg je ook direct drie controlevragen die je moet opgeven; dat kun je niet skippen. Sla je het aanmaken van een wachtwoord nu over, dan kun je dat later in Windows 11 alsnog doen.

Nadat je de benodigde gegevens hebt ingevuld, worden de laatste installatiestappen voltooid, en wordt de computer nog een keertje opnieuw opgestart. Daarna kun je je aanmelden met het nieuwe account en voer je nog een aantal stappen uit met betrekking tot functies als locatie, diagnostische gegevens en handschriftherkenning.

Account aanpassen

Het account waarmee je je aanmeldt is een administrator-account. In dat geval doe je er goed aan om een wachtwoord in te stellen als je dat nog niet hebt gedaan in de hierboven uitgelegde stap. Om een wachtwoord in te stellen, klik je op de Startknop, en vervolgens op je accountnaam en kies je voor Mijn account beheren.

©MG | ID.nl

Via het Startmenu vraag je de eigenschappen van je account op.

Je komt nu in het instellingenscherm terecht voor je account. Scroll naar de knop Aanmeldingsopties en daarna op Wachtwoord.

©MG | ID.nl

Klik op het onderdeel Wachtwoord om een wachtwoord toe te voegen aan je account.

Nu kun je een wachtwoord naar wens opgeven, de eisen zijn hier niet streng, maar uiteraard kies je wel voor een lastig te raden wachtwoord. Wel ben je verplicht om een geheugensteuntje op te geven, maar dat is minder lastig dan drie extra beveiligingsvragen die je normaliter bij het installatiescherm moet opgeven. Bij de geheugensteun mag het wachtwoord (vanzelfsprekend) niet gebruikt worden .

©MG | ID.nl

Hier geef je je wachtwoord op. De wachtwoordhint (geheugensteun) mag niet ook je wachtwoord.

Wachtwoord en geheugensteun ingevoerd? Dan ben je in principe klaar en kun je je systeem verder gaan configureren. Eventueel kun je nu ook nieuwe extra accounts aanmaken via het onderdeel Andere gebruikers in het instellingenscherm.