Intel AMT

Désactivation de la technologie Intel AMT

La technologie Intel AMT, faisant partie du "package" Intel vPro, permet de gérer un parc de machines de façon centralisée. Par "gérer", nous entendons qu'il est possible de changer les paramètres du BIOS, d'accéder aux disques, aux interfaces réseau et à l'écran (KVM) de la machine à distance. AMT a récemment fait les grands titres des journaux car il est possible d'utiliser cette technologie à mauvais escient afin de gagner un accès à toute machine sur laquelle elle est dans sa configuration par défaut.

Il ne s'agit pas à proprement parler d'une faille, mais du choix incompréhensible des constructeurs d’activer AMT et de protéger ses paramètres avec le mot de passe « admin » par défaut...

AMT est généralement disponible sur toutes les machines Intel des gammes professionnelles de moins de 10 ans. Vous trouverez sur https://communities.intel.com/docs/DOC-5693 de précieuses informations vous permettant d'identifier si votre PC dispose de cette technologie.

Le groupe sécurité IT de la VPSI vous conseille de désactiver AMT s'il n'est pas utilisé par votre gestionnaire informatique (ce n'est très vraisemblablement pas le cas).

Comment désactiver AMT (méthode rapide pour certains matériels comme les Lenovo ThinkPad 450 et supérieurs)

  1. Si votre machine tourne sous Windows et utilise le chiffrement de disque BitLocker, suspendez-le temporairement :
    • Cliquez sur DémarrerPanneau de configurationSystème et sécurité, puis sur Chiffrement de lecteur BitLocker.

    • Cliquez sur Suspendre la protection pour le lecteur du système d’exploitation.

    • Un message est affiché, qui vous informe que vos données ne seront plus protégées tandis que BitLocker est suspendu et vous demande si vous voulez suspendre le chiffrement de lecteur BitLocker. Cliquez sur Oui pour continuer et suspendre BitLocker sur le lecteur.

  2. Redémarrez la machine (ou éteignez puis rallumez-la).

  3. Dès les premiers signes d'activité (avant que le système d'exploitation ne commence à démarrer), pressez de façon répétée sur la touche permettant d'accéder au BIOS. Il s'agit très souvent de la touche F1, F2 ou DELETE.

  4. Une fois arrivé dans le BIOS, allez dans l'onglet "Config" (capture)

  5. Rendez-vous dans le menu "Intel(R) AMT" (capture)

  6. Sous "Intel (R) AMT Control", choisissez "Permanently Disabled" afin de désactiver de façon permanante la technologie AMT. (capture)

  7. Sauvegardez vos modifications et redémarrez la machine

  8. Réactivez maintenant BitLocker (si applicable)

    • Lorsque vous avez terminé les modifications du système, cliquez sur Rétablir la protection dans l’élément du Panneau de configuration Chiffrement de lecteur BitLocker pour démarrer à nouveau le chiffrement de lecteur BitLocker.

  9. Terminé

Comment désactiver AMT (méthode générique) ?

  1. Si votre machine tourne sous Windows et utilise le chiffrement de disque BitLocker, suspendez-le temporairement :
    • Cliquez sur DémarrerPanneau de configurationSystème et sécurité, puis sur Chiffrement de lecteur BitLocker.

    • Cliquez sur Suspendre la protection pour le lecteur du système d’exploitation.

    • Un message est affiché, qui vous informe que vos données ne seront plus protégées tandis que BitLocker est suspendu et vous demande si vous voulez suspendre le chiffrement de lecteur BitLocker. Cliquez sur Oui pour continuer et suspendre BitLocker sur le lecteur.

  2. Redémarrez la machine (ou éteignez puis rallumez-la).

  3. Dès les premiers signes d'activité (avant que le système d'exploitation ne commence à démarrer), pressez de façon répétée sur CTRL+P. Après quelques instants, vous devriez voir un message s'afficher à l'écran vous indiquant que Intel "MEBx" ou "Intel ME" est en cours de chargement. Si rien ne se passe, consultez les procédures d'accès à la console MEBx spécifiques à certains matériels en bas de page.

  4. Sélectionnez "MEBx Login" et entrez le mot de passe "admin" (sans les guillemets). (capture 1)(capture 2)

  5. Vous devriez désormais avoir une invite vous demandant d'introduire à deux reprises un nouveau mot de passe. Il doit être complexe (lettres min/maj + chiffre(s) + caractère spécial), faut de quoi il sera refusé. Si tel est le cas, recommençez l'opération depuis le point 5 et choisissez un mot de passe plus complexe. (capture)

  6. Allez dans le menu "Intel (R) AMT Configuration". (capture)

  7. Sélectionnez la première entrée, "Manageability Feature Selection" et choisissez "Disabled". (capture 1)(capture 2)

  8. Vous devez encore confirmer cette opération en entrant "Y" pour "Yes". Attention, suivant la disposition de votre clavier, vous pourriez avoir à choisir "Z". Il faudra attendre de 5 à 30 secondes avant que votre sélection soit prise en compte. (capture 1)(capture 2)

  9. Quittez le menu "Manageability Feature Selection" grâce à la touche "ESC".

  10. Quittez l'interface de gestion AMT (MEBx) en sélectionnant "MEBx Exit". (capture)

  11. La machine va automatiquement redémarrer.

  12. Réactivez maintenant BitLocker (si applicable)

    • Lorsque vous avez terminé les modifications du système, cliquez sur Rétablir la protection dans l’élément du Panneau de configuration Chiffrement de lecteur BitLocker pour démarrer à nouveau le chiffrement de lecteur BitLocker.

  13. Terminé

Procédures spécifiques