Natuurlijk wil je zelf de controle over je pc houden. Maar zelfs als je een besturingssysteem kiest dat je controle niet afneemt - zoals Linux - ben je op een dieper systeemniveau nog niet de baas over je computer. Dit dankzij Intel AMT en de bijbehorende Management Engine.

In de beginjaren van de computer was het vanzelfsprekend dat je de broncode van je besturingssysteem en software kon inzien. Dat was ook nodig, want de meeste gebruikers waren toen zelf nog ontwikkelaars. Je had daardoor heel wat controle over je computer: je kon zelf bugs fiksen en de functionaliteit uitbreiden. Universiteiten en onderzoeksafdelingen in bedrijven creëerden die programma’s en deelden ze vrijelijk, of hardwareproducenten ontwikkelden ze en verspreidden ze gratis bij hun hardware.

Beetje bij beetje verloren computergebruikers die controle. De software-industrie werd volwassen en de ontwikkelingskosten stegen. Commerciële partijen begonnen geld te vragen voor softwarelicenties los van hardware en wilden niet dat anderen hun software konden bestuderen of aanpassen. Deze zogenaamde propriëtaire software werd de norm.

Al die tijd bleef er een kleine groep idealistische gebruikers ijveren voor controle over hun pc. In de jaren 1980 en 1990 ontstonden er bewegingen die vrije software en opensource software promoten. In 1991 bracht de Finse student Linus Torvalds de Linux-kernel ter wereld en momenteel blijven gebruikers van Linux-distributies en BSD-besturingssystemen een kleine harde kern vormen van computergebruikers die bewust niet met Windows of macOS werken omdat ze de controle over hun pc willen houden.

Al die inspanningen om voor opensourcesoftware te kiezen, zetten in de praktijk geen zoden aan de dijk. De huidige pc-hardware is immers zo gesloten als wat. Elke moderne pc met het Intel-platform is uitgerust met een microcontroller, de Management Engine, die volledige controle over de pc heeft, maar onafhankelijk van de processor werkt en zonder dat de processor of je besturingssysteem er ook maar iets van ziet.

Ook het BIOS (of tegenwoordig UEFI) is in moderne pc’s niet open, net zoals de firmware van allerlei chips in je computer. Al deze gesloten componenten in pc-hardware betekenen dat je eigenlijk nooit zelf volledig de controle over je pc hebt, zelfs al draai je Linux en opensourcesoftware. Voor gebruikers die graag weten wat er op hun systeem draait, is dit een nachtmerrie. Hoe weet je of je privacy en veiligheid met zo’n systeem voldoende beschermd zijn?

Intel Management Engine

In 2006 introduceerde processorfabrikant Intel zijn Intel Management Engine. Dit is eigenlijk een volledige computer in je computer. Sinds de Core i3/i5/i7-processoren die Intel in 2009 voor het eerst uitbracht, zit de Management Engine in de Platform Controller Hub, een chip die de processor ondersteunt bij zijn taken. Alle desktopsystemen, mobiele systemen en serversystemen vanaf midden 2006 met een Intel-processor zijn uitgerust met een Management Engine.

De Management Engine bestaat uit een processorkern, cachegeheugen voor code en data, een cryptografische coprocessor, een kleine hoeveelheid rom en ram, geheugencontrollers, en zelfs een DMA-controller (direct memory access) met volledige toegang tot het werkgeheugen van je systeem. De Management Engine kan niet alleen het werkgeheugen van de computer uitlezen, maar krijgt ook de bovenste 16 Mbyte van je ram gereserveerd voor eigen gebruik. Verder heeft de Management Engine ook netwerktoegang via de ethernetcontroller van je computer, zelfs met een eigen mac-adres.

©PXimport

Het opstartprogramma van de Management Engine staat op diens interne ROM en laadt een firmwaremanifest van de SPI-flashchip van de pc. Dit manifest bevat een lijst van firmwaremodules en is cryptografisch ondertekend met een sleutel van Intel.

Als het opstartprogramma niet kan verifiëren of het manifest door die sleutel is ondertekend, weigert dit de firmware uit te voeren en wordt de Management Engine stopgezet. Het manifest bevat ook cryptografische hashes van de inhoud van de modules.

De kernel van de firmware is gebaseerd op het propriëtaire realtime besturingssysteem ThreadX van Express Logic. Tot de andere modules behoren een Java virtuele machine met Java-klassen voor cryptografie en veilige opslag, Intel Active Management Technology (AMT), Intel Boot Guard en Protected Audio Video Path of recenter Intel Insider. We gaan even kort op enkele van die laatste modules in.

Wake-on-Lan

De bekendste module van de Management Engine is Active Management Technology (AMT), dat onderdeel uitmaakt van Intels vPro-merk voor bedrijven. Het is een webserver die op de Management Engine draait en gebruikers op een afstand over een versleutelde verbinding toelaat om de pc te beheren, systeeminformatie te raadplegen en zelfs de computer uit- en in te schakelen. Dat inschakelen is zelfs mogelijk als de pc uitgeschakeld is (correcter: als die zich in de S3-slaaptoestand bevindt): die wordt dan via Wake-on-LAN gewekt. De Management Engine is immers actief zolang er stroom is.

Dat zijn heel krachtige mogelijkheden. Als er beveiligingsfouten in de Management Engine zitten, heeft dat dan ook grote gevolgen voor de veiligheid van je systeem. In 2009 al ontwikkelde Invisible Things Lab een exploit voor de Management Engine in de Intel Q35 chipset (geïntroduceerd in 2007). Ze slaagden erin om het beschermde deel RAM dat normaal gereserveerd is voor de Management Engine te remappen en daar een rootkit in te installeren.

In 2011 maakte beveiligingsonderzoeker Patrick Stewin daarvan gebruik om ter demonstratie een rootkit te installeren die alle toetsaanslagen continu registreerde en over het netwerk doorstuurde. Dat deed het door de toetsenbordbuffer in het RAM continu uit te lezen. En aangezien die rootkit op de volledig geïsoleerde Management Engine draait en niet op de processor zelf van de pc, kan antimalwaresoftware dit op geen enkele manier ontdekken.

Intel Boot Guard

Een extra Management Engine module die Intel in 2013 introduceerde in de Haswell-processoren is Intel Boot Guard. Een OEM (original equipment manufacturer) genereert dan een sleutelpaar en installeert de publieke sleutel in de processor. Die processor wil daarna dan alleen opstarten van firmware (BIOS/UEFI) die is ondertekend door de bijbehorende privésleutel, die alleen de OEM kent. Op zulke systemen is het dan onmogelijk om de firmware te vervangen door alternatieve, opensourcefirmware zoals coreboot of Libreboot. Als je zelf je pc samenstelt met een afzonderlijk moederbord en processor, heb je dit probleem overigens niet.

Minder bekend is dat de Management Engine ook een DRM-module (digital rights management) heeft voor audio en video. Vroeger heette die module Protected Audio Video Path (PAVP), maar sinds de Sandy Bridge-processoren wordt er gebruikgemaakt van Intel Insider. Deze DRM-modules werken gelijkaardig. De Management Engine ontvangt van het besturingssysteem van de processor een versleutelde mediastroom en een versleutelde sleutel, en ontcijfert de sleutel.

De Management Engine stuurt de versleutelde mediastroom dan samen met de gedecrypteerde sleutel naar de GPU, die de mediastroom met de sleutel decrypteert en afspeelt. Overigens maken ook andere modules van de Management Engine gebruik van de DRM-mogelijkheid, bijvoorbeeld om een pincode voor authenticatie op het scherm te tonen. Dat gebeurt volledig buiten het besturingssysteem om, zodat die pincode niet door software op de pc te onderscheppen is. Maar aan de andere kant betekent dit dat een rootkit in de Management Engine ook zaken op je scherm kan tonen waar je totaal geen controle over hebt.

AMD

Ben je trouwens fan van AMD? Denk dan niet dat je veilig bent voor de bedreigingen van de Management Engine. Hoewel AMD niet van Intels oplossing gebruikmaakt, bevatten alle AMD-processoren sinds 2013 een Platform Security Processor, een ARM-kern met TrustZone-technologie. De werking daarvan is helemaal anders dan die van de Management Engine, maar deze processor doet iets heel gelijkaardigs.

De Platform Security Processor is op dezelfde ‘die’ (Engels, stukje printplaat of geleidend materiaal) als de hoofdprocessor ingebakken. Ze heeft toegang tot het volledige ram, de netwerkcontrollers en alle andere op de PCI-/PCI Express-bus aangesloten apparaten. De firmware is cryptografisch ondertekend door AMD. Als deze niet aanwezig is, blijft de processor van je pc zichzelf resetten en kun je er dus niet mee werken.

In een volgend artikel kijken we naar de mogelijkheden om de Management Engine eventueel uit te schakelen, dan wel naar de manieren om uit te wijken naar andere opties.

Staat de aanschaf van een nieuwe laptop of desktop op de planning, maar verdwaal je in de jungle van technische termen zoals Core i5, Ryzen, cores en kloksnelheden? Bij het kiezen van de juiste processor moet je zien te voorkomen dat je betaalt voor rekenkracht die je nooit gebruikt, of juist eindigt met een trage computer die jouw werktempo niet kan bijbenen.

De processor, ook wel de CPU genoemd, is het kloppend hart van je computer. Een verkeerde keuze kan leiden tot een trage laptop of juist een onnodig dure aankoop. Of je nu alleen mailtjes verstuurt of vaak zware video's bewerkt, voor elk type gebruiker is er een geschikte chip. In dit artikel leggen we uit welke processorspecificaties passen bij jouw dagelijkse werkzaamheden.

Basisgebruik en kantoorwerkzaamheden

Voor dagelijkse taken zoals internetten, e-mailen en lichte tekstverwerking heb je geen zware krachtpatser nodig. Een instapmodel processor volstaat hier prima. Als je naar specificaties kijkt, kom je hier vaak uit bij de Intel Core i3- of de AMD Ryzen 3-serie. Deze chips zijn doorgaans energiezuinig, wat gunstig is voor de accuduur van een laptop, en ze houden de aanschafprijs laag. Ze zijn snel genoeg om soepel door Windows te navigeren, bankzaken te regelen of films en series in Full HD te streamen. Voor studenten die alleen verslagen typen of thuisgebruikers die de computer erbij pakken voor de administratie, is dit segment de meest logische keuze.

Multitasking en lichte fotobewerking

Wie meer van zijn computer vraagt, bijvoorbeeld door tientallen tabbladen tegelijk open te hebben staan of regelmatig foto's te bewerken, komt uit bij de middenklasse. De Intel Core i5 en AMD Ryzen 5 zijn veruit de populairste keuzes voor de gemiddelde consument. Deze processors bieden een uitstekende balans tussen prijs en prestaties. Ze beschikken vaak over meer rekenkernen dan de instapmodellen, waardoor je zonder vertragingen kunt multitasken. Dit type processor is ideaal voor de thuiskantoorwerker die zware Excel-sheets draait terwijl Spotify en Teams op de achtergrond openstaan, of voor de hobbyfotograaf die met programma's als Adobe Photoshop Elements aan de slag gaat.

©Photo Sesaon

Gaming en zware videobewerking

Voor de veeleisende gebruiker die video's in 4K-resolutie monteert, complexe 3D-modellen rendert of de nieuwste games op hoge instellingen speelt, is brute rekenkracht noodzakelijk. In dit segment kijken we naar de high-end modellen zoals de Intel Core i7 en i9, of de AMD Ryzen 7 en Ryzen 9. Deze processors beschikken over veel rekenkernen en hoge kloksnelheden om heel intensieve taken in korte tijd af te ronden. Voor gamers en creatieve professionals is het wel belangrijk om te onthouden dat de processor hier vaak hand in hand moet gaan met een krachtige, losse videokaart voor de beste resultaten.

De rol van Apple Silicon

Gebruikers die de voorkeur geven aan het macOS-besturingssysteem hebben te maken met een andere indeling. Apple produceert tegenwoordig eigen chips, de zogenaamde M-serie. De basischips, zoals de M4 of de nieuwe M5, zijn extreem krachtig en vergelijkbaar met de hogere middenklasse van Intel en AMD, geschikt voor bijna alle dagelijkse en creatieve taken. Voor professionals die echt het uiterste vragen, zoals professionele videobewerkers, zijn er de Pro- en Max-varianten van eerdergenoemde chips. Deze leveren prestaties die concurreren met de krachtigste desktop-pc's, maar dan in een energiezuinige verpakking.

AOC breidt de B3-serie uit met twee QHD-monitoren voor wie overdag vooral werkt en 's avonds graag nog een game of serie meepakt. De Q24B36X (23,8 inch) en Q27B36X (27 inch) combineren een resolutie van 2560 x 1440 met een verversingssnelheid van 144 Hz.

Beide modellen hebben een IPS-paneel. Dat type scherm staat bekend om stabiele kleuren en een brede kijkhoek, wat handig is als je niet altijd precies recht voor de monitor zit of als iemand even meekijkt. AOC noemt een kijkhoek van 178°/178° en een helderheid van 300 cd/m², bedoeld voor gebruik in een thuis- of kantooromgeving.

QHD biedt meer werkruimte dan Full HD, bijvoorbeeld om twee vensters naast elkaar te zetten of om meer kolommen in een spreadsheet tegelijk te zien. Op 27 inch komt dat neer op 109 ppi; het 23,8-inch model zit op 123 ppi, wat doorgaans net wat scherpere tekst oplevert.

Voor vloeiende beweging mikt AOC op 144 Hz en een reactietijd van 0,5 ms MPRT. Dat merk je vooral bij snel scrollen en in games met veel beweging. De monitoren ondersteunen ook Adaptive-Sync om tearing te beperken, en HDR10 voor HDR-weergave als de bron dat aanbiedt. Voor wie lang voor de monitor zit, zijn de Flicker-Free-modus en Low Blue Light-modus handig.

De standaard is kantelbaar (-5° tot 21°) en er is VESA 100x100-ondersteuning voor een monitorarm of wandmontage. Aansluiten kan via één HDMI 2.0 en één DisplayPort 1.4; er is ook een 3,5mm-aansluiting voor een koptelefoon.

De AOC Q24B36X is verkrijgbaar vanaf januari 2026 met een adviesprijs van 129 euro. De AOC Q27B36X volgt in februari 2026 en krijgt een adviesprijs van 149 euro.