Passer directement au contenu

Technologie d'administration active Intel® (AMT) : dernière mise à jour de la déclaration de confidentialité : septembre 2023

Intel Corporation s'engage à respecter la confidentialité des renseignements vous concernant. La présente déclaration décrit les fonctionnalités relatives à la confidentialité propres à la technologie d'administration active Intel® (AMT) et les actions que les administrateurs peuvent ou non réaliser grâce à Intel® AMT, et indique les types de données qu'Intel AMT stocke sur le système de l'utilisateur. La présente déclaration vient compléter la politique d'Intel sur la confidentialité en ligne et s'applique uniquement à Intel AMT.

Qu'est-ce qu'Intel® AMT ?

Intel® AMT rend possible l'assistance à distance hors bande et la gestion des systèmes informatiques en réseau, dans l'entreprise et par les administrateurs informatiques disposant des autorisations nécessaires.

Quels sont les problèmes de confidentialité potentiellement soulevés par Intel® AMT ?

Les fonctionnalités de gestion à distance ne constituent pas une nouveauté et sont utilisées par de nombreux services informatiques depuis longtemps.

Toutefois, Intel® AMT est différent, car il permet aux administrateurs de dépanner et gérer à distance l'ordinateur d'un utilisateur, même si ce dernier n'est pas présent ou a éteint son appareil.

Comment l'utilisateur peut-il savoir si Intel® AMT a été activé sur son système ?

Intel a prévu une icône dans la barre d'état assurant la transparence totale concernant l'activation d'Intel AMT. Actuellement, le logiciel Intel AMT standard inclut une icône dans la barre d'état et d'application de statut pour l'administration et la sécurisation Intel® (IMSS) qui est installée en même temps que les pilotes et les services. Cette icône dans la barre d'état IMSS indique non seulement si Intel AMT est activé ou non, mais inclut également des instructions d'activation et de désactivation. Intel recommande à chaque fabricant OEM de charger l'application IMSS. Toutefois, les OEM pourraient choisir de ne plus suivre cette recommandation d'Intel ou les responsables informatiques pourraient retirer l'application IMSS avant de fournir des systèmes équipés d'Intel AMT à leurs utilisateurs. En fonction de la mise en œuvre par les OEM, les utilisateurs peuvent également vérifier l'état d'Intel AMT dans le BIOS système de leur ordinateur. Cependant, il est important de noter que certains services informatiques ne permettent pas à leurs utilisateurs d'accéder au BIOS système, ce qui les empêche d'activer/de désactiver Intel AMT ou de vérifier son état.

Quelles informations personnelles sont collectées par Intel® AMT concernant l'utilisateur ?

Intel® AMT ne collecte pas d'informations personnelles (par exemple, nom, adresse, numéro de téléphone, etc.) auprès de l'utilisateur.

Quels types d'informations sont transmis par Intel® AMT à Intel Corporation, et comment sont utilisées ces informations ?

Intel® AMT ne transmet pas de données à Intel Corporation.

Quels types d'informations sont stockés par Intel® AMT ?

Intel® AMT stocke des informations dans un module de mémoire Flash sur la carte mère. Ces informations incluent le code du microprogramme, les données d'inventaire du matériel (par exemple, taille de la mémoire, type de processeur, type de disque dur), un journal d'événements consignant les événements propres à la plateforme (par exemple, surchauffe du processeur, panne de ventilateur, message POST du BIOS), les événements de sécurité d'Intel AMT (par exemple, avertissement en cas d'attaque du mot de passe d'Intel AMT, ou déclenchement du filtre de défense du système), ainsi que les données de configuration d'Intel AMT (par exemple, paramètres réseau, listes de contrôle d'accès et identificateurs uniques universels (UUID), y compris les données de provisionnement, l'adresse MAC du LAN, les clés, les mots de passe écran-clavier-souris (KVM), les certificats TLS (Transport Layer Security) et les profils réseau sans fil configurés par le service informatique). Toutes les données de configuration considérées comme sensibles sont chiffrées et stockées dans la mémoire Flash. Vous trouverez plus d'informations sur les UUID dans la section ci-dessous.

La version 11.0 de la technologie d'administration active Intel et les versions ultérieures permettent aux éditeurs de logiciels indépendants (ISV) agréés de stocker des données dans une zone spécifique du référentiel de la mémoire Flash, appelée 3PDS (Third Party Data Store). À partir de la version 11.6 de la technologie d'administration active Intel, cette fonction a été remplacée par l'hébergement d'applications Web qui permet à Intel AMT d'héberger des applications Web dans la mémoire non volatile (NVM) qu'Intel AMT gère localement sur la plateforme du client.

Intel communique ses bonnes pratiques en matière de gestion responsable des données aux éditeurs de logiciels indépendants. Toutefois, Intel ne détermine pas les données pouvant être stockées dans cette mémoire Flash et ne prend pas en charge les méthodes de chiffrement pour les données de ces éditeurs. Par conséquent, les éditeurs indépendants sont encouragés à chiffrer leurs données avant de les stocker en mémoire Flash s'ils les jugent sensibles. Si vous avez des doutes concernant la confidentialité des données stockées à cet endroit, contactez l'éditeur concerné pour plus de détails concernant le type d'informations et d'applications Web stockées dans la mémoire NVM et de leur protection.

Comment Intel® AMT utilise-t-il les identifiants uniques universels (UUID) ? Quelles fonctionnalités sont activées ou non par les UUID sur les plateformes incluant Intel® AMT ?

Les identifiants uniques universels (UUID) sont des artefacts utilisés par Intel® AMT à différentes fins, notamment le processus de provisionnement, la sécurité du système (par exemple, mots de passe, clés et certificats TLS), et pour s'assurer que les administrateurs informatiques peuvent se connecter avec précision au système d'un utilisateur donné et le gérer dans l'entreprise.

Les plateformes Intel® VPRO™ sont livrées avec un UUID persistant appelé Intel® Unique Platform ID (UPID) pour permettre les cas d'utilisation qui nécessitent un UUID persistant, comme le provisionnement sans intervention. La fonctionnalité UPID dépend de l'implémentation de l'OEM. Les UUID sont présents sur presque tous les PC modernes et sont généralement installés par les OEM sur toutes les plateformes, sans rapport avec Intel® AMT. Dans la pratique, les UUID sont utilisés par des applications sur de nombreux PC, afin d'isoler des informations système spécifiques en vue d'assurer certaines fonctionnalités prévues, telles que les mises à jour du système d'exploitation ou du système anti-virus. Intel® AMT utilise les UUID de plateforme de façon très similaire, la principale différence étant que pour qu'Intel® AMT accède à l'UUID hors bande, l'UUID est copié dans le référentiel de la mémoire Flash.

Il est important de noter que les UUID des systèmes sur lesquels Intel® AMT est activé, y compris l'UPID, ne peuvent pas être utilisés par Intel pour suivre les utilisateurs sur leurs PC, ni ne permettent à Intel d'accéder aux systèmes des utilisateurs de façon détournée en passant par cette plateforme ou encore d'imposer l'installation du microprogramme sur la plateforme sans le consentement de l'utilisateur. Tout UUID stocké en mémoire Flash par Intel® AMT est accessible uniquement par les administrateurs informatiques autorisés sur les plateformes où Intel® AMT est activé. La liste d'administrateurs autorisés est configurée par le service informatique du client dans le cadre d'un processus protégé utilisant soit des certificats d'entreprise, soit une présence physique sur le système Intel® AMT (au moyen du menu BIOS ou d'une clé USB) afin d'établir un lien de confiance. De plus, ce processus est réalisé uniquement via des consoles résidant sur des serveurs de confiance, définis comme tels par le service informatique du client. En d'autres termes, ni les UUID, ni des informations d'un autre type ne peuvent être échangés avec des tiers par l'intermédiaire d'Intel® AMT, sauf si le client met en place une configuration spéciale à cet effet. Afin d'identifier les administrateurs autorisés pour un système donné, consultez la documentation du kit de développeur logiciel (SDK) d'Intel AMT disponible sur https://www.intel.com/content/www/us/en/developer/topic-technology/client/business.html qui inclut une API d'extraction des listes de contrôle d'accès ou des comptes Kerberos autorisés.

Quels types d'informations sont transmis sur le réseau par la technologie d'administration active Intel® (Intel® AMT) ?

Intel® AMT envoie et reçoit les données sur des ports réseau IANA : le port 16992 pour SOAP/HTTP, le port 16993 pour SOAP/HTTPS, le port 16994 pour la redirection/TCP et le port 16995 pour la redirection/TLS. Les systèmes compatibles DASH envoient et reçoivent les données sur le port 623 pour HTTP et le port 664 pour HTTPS. La session clavier-vidéo-souris (KVM) peut s'exécuter sur les ports de redirection mentionnés ci-dessus (16994 ou 16995), ou sur une liaison RFB ordinaire (serveur VNC) avec le port 5900. Les informations envoyées sur le réseau incluent la commande Intel® AMT et les messages de réponse, le trafic de redirection et les alertes système. Les données transmises sur les ports 16993 et 16995 sont protégées par le protocole TLS (Transport-Layer Security) si cette option est activée dans le système de l'utilisateur.

Intel® AMT peut envoyer des données aussi bien sur un réseau IPV4 qu'IPV6 et est conforme aux extensions de confidentialité RFC 3041.

Quelles informations d'identification sont transmises sur le réseau par la technologie d'administration active Intel® (Intel® AMT) ?

Lorsqu'Intel® AMT est activée, les ports ouverts présentent des informations pouvant être utilisées par d'autres personnes sur le réseau pour identifier l'ordinateur. Cela inclut le certificat HTTPS, le domaine HTTP, la version de la technologie d'administration active Intel et d'autres informations pouvant être utilisées pour reconnaître l'ordinateur. Ces informations sont fournies dans le cadre des opérations normales des protocoles pris en charge par Intel® AMT. Un pare-feu de système d'exploitation ne permet pas de bloquer l'accès aux ports Intel® AMT. Cependant, les administrateurs peuvent utiliser la détection de l'environnement et la demande d'assistance rapide (CIRA) pour fermer les ports locaux Intel® AMT et limiter l'accès à ces informations.

Que peut faire un administrateur authentifié avec Intel® AMT ?

  • Démarrer, arrêter ou redémarrer à distance un système à des fins de dépannage et réparation.
  • Dépanner à distance le système, même si le système d'exploitation de l'hôte est désactivé ou endommagé.
  • Vérifier et modifier à distance la configuration du BIOS sur le système. Intel AMT propose une option pour permettre à un administrateur informatique de contourner le mot de passe du BIOS, mais tous les fabricants OEM ne mettent pas en œuvre cette fonctionnalité.
  • Configurer les filtres du trafic réseau pour protéger le système.
  • Déterminer les applications enregistrées en cours d'exécution sur le système (par exemple, vérifier si le logiciel antivirus est en cours d'exécution).
  • Recevoir les alertes générées par les événements de génération de rapports du microprogramme Intel® AMT sur le système de l'utilisateur qui peuvent nécessiter l'intervention du service d'assistance, tels que la surchauffe du processeur, une panne de ventilateur ou le déclenchement d'un filtre de défense du système. D'autres exemples sont disponibles au public à l'adresse https://www.intel.com/content/www/us/en/developer/topic-technology/client/business.html.
  • Dépanner à distance le système de l'utilisateur en redirigeant le processus de démarrage vers une disquette, un CD-ROM ou une image situé(e) sur le système de l'administrateur.
  • Dépanner le système à distance en redirigeant les entrées du clavier et les sorties vidéo en mode texte des systèmes de l'utilisateur sur le système de l'administrateur.
  • Dépanner à distance le système en redirigeant les entrées clavier, vidéo et souris de ou vers le système de l'administrateur (redirection KVM).
  • Configurer les environnements réseau dans lesquels la fonctionnalité d'administration d'Intel® AMT sera accessible (par exemple, en définissant des domaines de confiance).
  • Utiliser une application enregistrée d'un éditeur de logiciels indépendant pour écrire/supprimer les données du référentiel Flash (c'est-à-dire, la zone 3PDS)
  • Héberger des applications Web dans la mémoire non volatile (NVM) qu'Intel AMT gère localement sur la plateforme du client (Intel AMT 11.6 et versions ultérieures).
  • Identifier le système de l'utilisateur sur le réseau de l'entreprise au moyen d'un identifiant UUID.
  • Annuler le provisionnement d'Intel AMT et supprimer le contenu Flash.
  • Se connecter à distance aux systèmes y compris en dehors du réseau de l'entreprise, au moyen de profils CIRA (Client-Initiated-Remote-Access).

Intel® AMT permet-il à un administrateur authentifié d'accéder aux disques durs locaux de l'utilisateur ?

Au cours d'une session de gestion à distance, l'administrateur a bien accès aux disques durs locaux de l'utilisateur. Par conséquent, il est en mesure de lire/écrire des fichiers en utilisant ce disque dur, par exemple pour réparer le système de l'utilisateur en récupérant ou réinstallant une application, ou encore un système d'exploitation défectueux. Intel® AMT prend en charge deux fonctionnalités permettant d'atténuer les risques d'atteinte à la confidentialité résultant de l'accès concédé aux administrateurs à ce type d'information : IMSS et journaux d'audit. Les journaux d'audit permettent de suivre l'activité des administrateurs en consignant l'ensemble des accès réalisés au moyen d'Intel® AMT. Néanmoins, les événements qui sont effectivement consignés sont définis par la personne ayant demandé l'audit et qui est généralement différente de l'utilisateur dans un contexte professionnel. Intel recommande à ses clients de consigner les accès au système Intel® AMT dans des fichiers journaux, mais il est possible que ce type d'information ne soit pas à la disposition des utilisateurs dans certains environnements professionnels. Les informations relatives à la façon dont IMSS peut fournir aux utilisateurs des notifications sur les accès des administrateurs informatiques à leur système sont fournies dans la section suivante.

La redirection KVM d'Intel® AMT permet-elle à un administrateur authentifié de prendre le contrôle à distance du PC d'un utilisateur comme s'il était physiquement présent ?

Pendant toute session de gestion à distance avec redirection KVM, l'administrateur a un contrôle total du PC, comme s'il était assis devant ce dernier. Concernant la session de redirection KVM, Intel AMT prévoit une option permettant de ne pas démarrer une session KVM sans le consentement explicite de l'utilisateur, appelé consentement utilisateur KVM. Afin de laisser à l'utilisateur la possibilité de donner son consentement à la session KVM, une fenêtre de sortie sécurisée (« sprite ») s'affiche au-dessus de toutes les autres. L'utilisateur doit alors lire à l'administrateur une série de chiffres générée de façon aléatoire. La session KVM ne pourra commencer que si l'administrateur entre la séquence correcte de chiffres. Lorsqu'une session KVM valide est en cours, l'ensemble de l'écran de l'utilisateur est entouré d'un cadre rouge et jaune clignotant, indiquant que l'administrateur informatique exécute une session de réparation KVM. Ce cadre rouge et jaune continue de clignoter tant que la session reste active. Notez que le consentement utilisateur KVM est obligatoire lorsque le système Intel AMT est en mode de contrôle client, mais est facultatif en mode de contrôle admin.

Conformément aux critères de configuration des OEM, les fonctionnalités SOL/IDER ou KVM d'Intel AMT sont activées ou désactivées dans le BIOS ou l'extension du BIOS de moteur de gestion Intel® (Intel® MEBX). La demande de consentement à une session KVM peut être configurée par l'administrateur informatique dans les paramètres du BIOS ou de la configuration Intel AMT. Intel préconise de conserver cette demande de consentement, afin de respecter les données privées de l'utilisateur.

Comment l'utilisateur peut-il savoir si un administrateur a accédé à son ordinateur au moyen du système Intel® AMT ?

L'icône dans la barre d'état IMSS informe l'utilisateur de plusieurs événements, notamment l'accès à son système par un administrateur informatique via l'ouverture/la fermeture d'une session de redirection à distance (à savoir, SOL/IDER). Elle l'informe également de l'activation de la fonctionnalité de défense du système ou de démarrage à distance par un administrateur informatique. En outre, une icône clignotante dans le coin supérieur droit de l'écran apparaît lorsqu'une session de redirection à distance est active. Néanmoins, les événements signalés par IMSS, dans une entreprise, sont définis par l'administrateur et non par l'utilisateur. Intel recommande instamment aux entreprises déployant des systèmes Intel® d'activer les notifications IMSS décrites dans ce paragraphe, mais il est possible que les informations concernant les connexions à distance au système Intel® AMT ne soient pas nécessairement accessibles à tous les utilisateurs.

Comment un utilisateur peut-il effacer toutes les données privées et de configuration d'Intel® AMT ?

Le BIOS intègre des options propres à Intel AMT, afin d'annuler en tout ou partie le provisionnement d'un système Intel AMT. Intel recommande aux utilisateurs d'annuler totalement le provisionnement de leur système avant de le revendre/recycler, et de s'assurer que le provisionnement du système Intel AMT a été totalement annulé avant d'acheter un système d'occasion avec fonctionnalité Intel AMT.

Mises à jour de la déclaration de confidentialité

Nous pouvons être amenés à actualiser la présente déclaration de confidentialité. Dans ce cas, nous actualisons la date de mise à jour en tête de la déclaration de confidentialité.

Complément d’information

Si vous avez des questions ou souhaitez plus de détails sur la présente déclaration de confidentialité, utilisez ce formulaire pour nous contacter.