Ответ на вопрос
Intel Management Engine
Intel Converged Security and Management Engine (CSME, ранее Intel Management Engine, МЕ, также Intel Manageability Engine) — автономная подсистема, выступающая в качестве корня доверия (Root of Trust)[1] и включённая практически во все чипсеты процессоров Intel начиная с 2008 года[2]. Она размещается в чипсете платформенного контроллера современных материнских плат Intel. CSME функционирует на архитектурном уровне «Кольцо −3» (Ring −3), обладая наивысшими привилегиями в системе (выше уровня ядра операционной системы и гипервизора), имеет прямой доступ к аппаратному обеспечению и собственный сетевой стек[3].
Intel Management Engine продолжает функционировать, пока плата получает питание, даже если компьютер выключен. Отключение возможно только аппаратными средствами — полным физическим разъединением материнской платы от электросети и внутренних аккумуляторов. Electronic Frontier Foundation и некоторые специалисты по безопасности выражали обеспокоенность, что Management Engine представляет собой закладку (backdoor).
Основной конкурент Intel — компания AMD — реализовала аналогичную технологию AMD Secure Technology (ранее — Platform Security Processor) во всех своих процессорах после 2013 года.
Отличие от Intel AMT
Intel Management Engine (CSME) часто путают с технологией Intel AMT, однако между ними существует строгая иерархия: CSME является фундаментальной аппаратной подсистемой (микроконтроллером с собственной ОС), а AMT — это прикладная функция (прошивка), которая исполняется внутри изолированной среды CSME[4]. При этом AMT доступна только на процессорах с поддержкой vPro и предоставляет владельцу удалённое администрирование компьютера[5] (включая включение/выключение питания и переустановку операционной системы).
В то же время ME встроена во все чипсеты Intel с 2008 года, а не только в те, что поддерживают AMT. Владелец устройства может удалить настройку AMT, однако официального и документированного способа полностью отключить ME не существует.
Архитектура
Подсистема Intel ME в основном состоит из проприетарной микропроцессорной прошивки, выполняющей различные задачи при загрузке, работе и в спящем режиме компьютера. Пока чипсет или система на кристалле подключён к источнику питания (батареи или блоку питания), ME продолжает функционировать независимо от состояния основной системы. На современных платформах CSME критически необходим для самой возможности запуска, инициализации и безопасного функционирования системы (включая Boot Guard и PTT)[6][7]. Детальное устройство системы[8] в основном не раскрывается[9], а код ME обфусцирован с помощью засекреченных хаффмановских таблиц, реализованных аппаратно; прошивка не содержит данных для декодирования своего содержимого[10].
Аппаратная основа
Начиная с ME 11 (представленной в процессорах Skylake), используется x86-совместимый процессор Intel Quark (32-бит), на котором работает мини-операционная система MINIX 3. Прошивка ME хранится в выделенном разделе SPI-флеш памяти вместе с BIOS — используется Embedded Flash File System (EFFS). Более ранние версии ME работали на процессоре ARC с RTOS ThreadX. Версии 1.x—5.x использовали ядро ARCTangent-A4 (32-битные инструкции), а 6.x—8.x — ARCompact (смесь 32- и 16-битных инструкций). В ME 7.1 ARC-процессор получил поддержку подписанных Java-апплетов.
ME имеет собственные MAC- и IP-адреса для канала внеполосного управления, с прямым доступом к Ethernet-контроллеру; часть трафика отправляется в ME ещё до передачи основному процессору. Интерфейс настраивается через Management Component Transport Protocol (MCTP)[11][12]. Обмен с основной системой возможен также через интерфейс PCI. В Linux взаимодействие происходит через /dev/mei или /dev/mei0[13][14].
До появления процессоров Nehalem ME обычно размещалась в северном мосту, по схеме Memory Controller Hub[15]. В более новых архитектурах (начиная с Intel 5 Series) ME интегрирована в Platform Controller Hub (PCH). При переходе на чиплетную (плиточную) архитектуру физическое расположение подсистемы изменилось: в процессорах Meteor Lake подсистема CSME интегрирована в плитку SoC (System-on-Chip), а в Lunar Lake — вынесена на отдельную плитку Platform Controller Tile (PCT)[16].[17]
Прошивка
По терминологии Intel, актуальной на 2017 год, ME — один из нескольких комплектов прошивок для Converged Security and Manageability Engine (CSME). Ранее CSME называлась Intel Management Engine BIOS Extension (Intel MEBx).
- Management Engine (ME) — для настольных чипсетов.
- Server Platform Services (SPS) — для серверных чипсетов и SoC[18].
- Trusted Execution Engine (TXE) — для планшетов, встроенных и маломощных платформ[19].
ME с версией прошивки 11 работает под MINIX 3[20]. Управление модулями ME при настройке UEFI осуществляется через программу Intel Flash Image Tool (FITC), версия которой жёстко привязана к версии CSME и распространяется в составе соответствующего пакета Intel CSME System Tools (например, v16.1 для CSME 16.x)[21].
Доставка обновлений прошивки CSME осуществляется преимущественно через производителей оборудования (OEM). Для систем на базе Linux обновления также могут распространяться через сервис Linux Vendor Firmware Service (LVFS)[22][23], а Центр обновления Windows используется для доставки связанных драйверов (например, Intel Management Engine Interface).
Модули
- Active Management Technology (AMT)
- Intel Boot Guard (IBG)[24] и Secure Boot[19]
- Quiet System Technology (QST, ранее — Advanced Fan Speed Control) — акустически оптимизированное управление вентиляторами, мониторинг температуры, напряжений, токов и контроллеров на плате и в ЦП. Протокол общения с прошивкой QST задокументирован и доступен посредством официального SDK
- Protected Audio Video Path — обеспечивает контроль HDCP[25][10]
- Intel Anti-Theft Technology (AT, снята с поддержки в 2015 году)[26]
- Serial over LAN (SOL)[27]
- Intel Platform Trust Technology (PTT) — реализация TPM на основе прошивки[24][28]
- Near Field Communication, поддержка NFC и безопасных элементов для новых версий MEI[29]
- Intel Trust Domain Extensions (TDX) — технология конфиденциальных вычислений для создания аппаратно изолированных виртуальных машин[30].
- Использование нейронного процессора (NPU) для работы движка Silicon Security Engine, ускоряющего обнаружение аномалий в системе[31].
- Partner Security Engine — изолированная платформа для выполнения стороннего кода безопасности[32].
- Intel Platform Firmware Resilience (PFR) — решение для защиты, обнаружения атак и восстановления прошивок платформы[33].
Уязвимости безопасности
В работе ME были выявлены различные уязвимости. 1 мая 2017 года Intel подтвердила удалённо эксплуатируемый баг типа Remote Elevation of Privilege (SA-00075) в технологиях управления. Под угрозой оказались все платформы Intel, поддерживающие Standard Manageability или AMT, начиная с Nehalem 2008 года и до Kaby Lake 2017 года[34]. Были также обнаружены пути несанкционированного отключения ME, позволяющие нарушить её работу[35].[36] В 2017 году были подтверждены другие критические уязвимости, затрагивающие прошивки ME, TXE и SPS на компьютерах от Skylake до Coffee Lake[37].[38] Основных путей обхода уязвимости минуя официальное обновление прошивки не существует[39].
В июле 2018 года были раскрыты новые уязвимости (SA-00112), а в сентябре 2018 — ещё одна (SA-00125).
В 2025 году в прошивке Intel CSME была выявлена уязвимость CVE-2025-20037 типа «состояние гонки» (TOCTOU), позволяющая локальному пользователю повысить привилегии. Для её устранения были выпущены обновления прошивки, включая версии 16.1.38.2676 и 14.1.77.2497[40].
Обвинения в наличии закладки
Критики (например, Electronic Frontier Foundation, разработчики Libreboot и эксперт Дамьен Заммит) указывали на то, что ME фактически представляет собой «закладку» и угрозу для приватности[2]. Заммит подчёркивал полный доступ ME к памяти системы и сетевым возможностям, включая работу в обход операционной системы и её межсетевого экрана[5].
В компании Intel заявляют, что не внедряют «закладок» в свои продукты и не имеют доступа к компьютерам пользователя без его разрешения[5]. Также Intel отрицает, что закладки специально проектируются в компании для стороннего или удалённого доступа.
В 2025—2026 годах опасения экспертов сохраняются из-за архитектуры уровня «Ring -3» (фактически представляющей собой «компьютер в компьютере»), закрытого исходного кода[41] и регулярного обнаружения новых уязвимостей (таких как CVE-2025-20037)[40]. Позиция Electronic Frontier Foundation остаётся актуальной[42], а проект Libreboot продолжает активную работу по нейтрализации подсистемы на новых аппаратных платформах[43].
Отключение ME
Как правило, конечный пользователь не может отключить ME стандартными средствами; официально поддерживаемого режима не существует, хотя были обнаружены некоторые недокументированные методы[37]. Архитектура безопасности ME препятствует её отключению, поскольку Intel расценивает это как уязвимость: вредоносное ПО могло бы использовать отключение, чтобы ограничить функциональность компьютера, в том числе просмотр DRM-контента (например, HDCP)[44][45]. Вместе с тем известно, что ME может использоваться злоумышленниками для удалённого доступа к системе.
Известные обходные методы не позволяют полностью отключить ME, так как она необходима для старта основного процессора: все такие способы приводят лишь к переходу ME в нештатное состояние вскоре после загрузки, микропроцессор продолжает выполнение внутреннего кода. Компании Purism, System76 и ряд других производителей реализуют деактивацию подсистемы в своих устройствах[46][47]. Ранее для этого применялась утилита me_cleaner, однако на версиях CSME 12.0 и новее она стала неэффективной. Основным методом программного отключения (soft-disable) стала установка недокументированного HAP-бита (High Assurance Platform). Работоспособность HAP-бита подтверждена для процессоров до 11-го поколения, однако на новейших архитектурах (например, Meteor Lake) его статус остаётся неподтверждённым, а отключение может приводить к потере функциональности современных режимов сна (S0ix)[48][49].