Intel Management Engine

Intel Management Engine (CSME) часто путают с технологией Intel AMT, однако между ними существует строгая иерархия: CSME является фундаментальной аппаратной подсистемой (микроконтроллером с собственной ОС), а AMT — это прикладная функция (прошивка), которая исполняется внутри изолированной среды CSME^[4]. При этом AMT доступна только на процессорах с поддержкой vPro и предоставляет владельцу удалённое администрирование компьютера^[5] (включая включение/выключение питания и переустановку операционной системы).

В то же время ME встроена во все чипсеты Intel с 2008 года, а не только в те, что поддерживают AMT. Владелец устройства может удалить настройку AMT, однако официального и документированного способа полностью отключить ME не существует.

Подсистема Intel ME в основном состоит из проприетарной микропроцессорной прошивки, выполняющей различные задачи при загрузке, работе и в спящем режиме компьютера. Пока чипсет или система на кристалле подключён к источнику питания (батареи или блоку питания), ME продолжает функционировать независимо от состояния основной системы. На современных платформах CSME критически необходим для самой возможности запуска, инициализации и безопасного функционирования системы (включая Boot Guard и PTT)^[6][7]. Детальное устройство системы^[8] в основном не раскрывается^[9], а код ME обфусцирован с помощью засекреченных хаффмановских таблиц, реализованных аппаратно; прошивка не содержит данных для декодирования своего содержимого^[10].

Начиная с ME 11 (представленной в процессорах Skylake), используется x86-совместимый процессор Intel Quark (32-бит), на котором работает мини-операционная система MINIX 3. Прошивка ME хранится в выделенном разделе SPI-флеш памяти вместе с BIOS — используется Embedded Flash File System (EFFS). Более ранние версии ME работали на процессоре ARC с RTOS ThreadX. Версии 1.x—5.x использовали ядро ARCTangent-A4 (32-битные инструкции), а 6.x—8.x — ARCompact (смесь 32- и 16-битных инструкций). В ME 7.1 ARC-процессор получил поддержку подписанных Java-апплетов.

ME имеет собственные MAC- и IP-адреса для канала внеполосного управления, с прямым доступом к Ethernet-контроллеру; часть трафика отправляется в ME ещё до передачи основному процессору. Интерфейс настраивается через Management Component Transport Protocol (MCTP)^[11][12]. Обмен с основной системой возможен также через интерфейс PCI. В Linux взаимодействие происходит через /dev/mei или /dev/mei0^[13][14].

До появления процессоров Nehalem ME обычно размещалась в северном мосту, по схеме Memory Controller Hub^[15]. В более новых архитектурах (начиная с Intel 5 Series) ME интегрирована в Platform Controller Hub (PCH). При переходе на чиплетную (плиточную) архитектуру физическое расположение подсистемы изменилось: в процессорах Meteor Lake подсистема CSME интегрирована в плитку SoC (System-on-Chip), а в Lunar Lake — вынесена на отдельную плитку Platform Controller Tile (PCT)^[16].^[17]

По терминологии Intel, актуальной на 2017 год, ME — один из нескольких комплектов прошивок для Converged Security and Manageability Engine (CSME). Ранее CSME называлась Intel Management Engine BIOS Extension (Intel MEBx).

• Management Engine (ME) — для настольных чипсетов.
• Server Platform Services (SPS) — для серверных чипсетов и SoC^[18].
• Trusted Execution Engine (TXE) — для планшетов, встроенных и маломощных платформ^[19].

ME с версией прошивки 11 работает под MINIX 3^[20]. Управление модулями ME при настройке UEFI осуществляется через программу Intel Flash Image Tool (FITC), версия которой жёстко привязана к версии CSME и распространяется в составе соответствующего пакета Intel CSME System Tools (например, v16.1 для CSME 16.x)^[21].

Доставка обновлений прошивки CSME осуществляется преимущественно через производителей оборудования (OEM). Для систем на базе Linux обновления также могут распространяться через сервис Linux Vendor Firmware Service (LVFS)^[22][23], а Центр обновления Windows используется для доставки связанных драйверов (например, Intel Management Engine Interface).

• Active Management Technology (AMT)
• Intel Boot Guard (IBG)^[24] и Secure Boot^[19]
• Quiet System Technology (QST, ранее — Advanced Fan Speed Control) — акустически оптимизированное управление вентиляторами, мониторинг температуры, напряжений, токов и контроллеров на плате и в ЦП. Протокол общения с прошивкой QST задокументирован и доступен посредством официального SDK
• Protected Audio Video Path — обеспечивает контроль HDCP^[25][10]
• Intel Anti-Theft Technology (AT, снята с поддержки в 2015 году)^[26]
• Serial over LAN (SOL)^[27]
• Intel Platform Trust Technology (PTT) — реализация TPM на основе прошивки^[24][28]
• Near Field Communication, поддержка NFC и безопасных элементов для новых версий MEI^[29]
• Intel Trust Domain Extensions (TDX) — технология конфиденциальных вычислений для создания аппаратно изолированных виртуальных машин^[30].
• Использование нейронного процессора (NPU) для работы движка Silicon Security Engine, ускоряющего обнаружение аномалий в системе^[31].
• Partner Security Engine — изолированная платформа для выполнения стороннего кода безопасности^[32].
• Intel Platform Firmware Resilience (PFR) — решение для защиты, обнаружения атак и восстановления прошивок платформы^[33].

В работе ME были выявлены различные уязвимости. 1 мая 2017 года Intel подтвердила удалённо эксплуатируемый баг типа Remote Elevation of Privilege (SA-00075) в технологиях управления. Под угрозой оказались все платформы Intel, поддерживающие Standard Manageability или AMT, начиная с Nehalem 2008 года и до Kaby Lake 2017 года^[34]. Были также обнаружены пути несанкционированного отключения ME, позволяющие нарушить её работу^[35].^[36] В 2017 году были подтверждены другие критические уязвимости, затрагивающие прошивки ME, TXE и SPS на компьютерах от Skylake до Coffee Lake^[37].^[38] Основных путей обхода уязвимости минуя официальное обновление прошивки не существует^[39].

В июле 2018 года были раскрыты новые уязвимости (SA-00112), а в сентябре 2018 — ещё одна (SA-00125).

В 2025 году в прошивке Intel CSME была выявлена уязвимость CVE-2025-20037 типа «состояние гонки» (TOCTOU), позволяющая локальному пользователю повысить привилегии. Для её устранения были выпущены обновления прошивки, включая версии 16.1.38.2676 и 14.1.77.2497^[40].

Критики (например, Electronic Frontier Foundation, разработчики Libreboot и эксперт Дамьен Заммит) указывали на то, что ME фактически представляет собой «закладку» и угрозу для приватности^[2]. Заммит подчёркивал полный доступ ME к памяти системы и сетевым возможностям, включая работу в обход операционной системы и её межсетевого экрана^[5].

В компании Intel заявляют, что не внедряют «закладок» в свои продукты и не имеют доступа к компьютерам пользователя без его разрешения^[5]. Также Intel отрицает, что закладки специально проектируются в компании для стороннего или удалённого доступа.

В 2025—2026 годах опасения экспертов сохраняются из-за архитектуры уровня «Ring -3» (фактически представляющей собой «компьютер в компьютере»), закрытого исходного кода^[41] и регулярного обнаружения новых уязвимостей (таких как CVE-2025-20037)^[40]. Позиция Electronic Frontier Foundation остаётся актуальной^[42], а проект Libreboot продолжает активную работу по нейтрализации подсистемы на новых аппаратных платформах^[43].

Как правило, конечный пользователь не может отключить ME стандартными средствами; официально поддерживаемого режима не существует, хотя были обнаружены некоторые недокументированные методы^[37]. Архитектура безопасности ME препятствует её отключению, поскольку Intel расценивает это как уязвимость: вредоносное ПО могло бы использовать отключение, чтобы ограничить функциональность компьютера, в том числе просмотр DRM-контента (например, HDCP)^[44][45]. Вместе с тем известно, что ME может использоваться злоумышленниками для удалённого доступа к системе.

Известные обходные методы не позволяют полностью отключить ME, так как она необходима для старта основного процессора: все такие способы приводят лишь к переходу ME в нештатное состояние вскоре после загрузки, микропроцессор продолжает выполнение внутреннего кода. Компании Purism, System76 и ряд других производителей реализуют деактивацию подсистемы в своих устройствах^[46][47]. Ранее для этого применялась утилита me_cleaner, однако на версиях CSME 12.0 и новее она стала неэффективной. Основным методом программного отключения (soft-disable) стала установка недокументированного HAP-бита (High Assurance Platform). Работоспособность HAP-бита подтверждена для процессоров до 11-го поколения, однако на новейших архитектурах (например, Meteor Lake) его статус остаётся неподтверждённым, а отключение может приводить к потере функциональности современных режимов сна (S0ix)^[48][49].