Как я активировал intel amt на мини-пк от hp и получил удаленный доступ

Время на прочтение

В поисках недорогого железа для HTPC я открыл для себя нишу корпоративных мини-ПК. Попадая на вторичный рынок такие компьютеры сильно теряют в цене. При этом у них есть интересные, но обычно бесполезные для дома, корпоративные фишки. Из обзоров я узнал про поддержку платформы Intel VPro, в состав которой входит продвинутая технология удаленного администрирования — Intel AMT (Active Management Technology).

Intel AMT

Над этой технологией поработал Xzibit и она настолько хороша, что многие называют ее аппаратной закладкой в процессоре и пытаются отключить.

Intel AMT позволяет удаленно управлять компьютером, даже если операционная система не загружена или не работает. Причем поддерживается как проводное, так и Wi-Fi подключение. Рулить бивасами по Wi-Fi — ну разве не прелесть?

В моем случае компьютер должен жить на шкафу, подключенный к проектору. Физический доступ к нему будет затруднен, а подключение к сети будет только беспроводным. Расширенные возможности удаленного администрирования были бы как нельзя кстати.

Покупка на eBay

В итоге я приобрел на eBay компьютер HP ProDesk 600 G3 Mini.

По железу он удовлетворял моим потребностям с большим запасом. Но вот получить доступ ко всем функциям Intel AMT мне не удалось. Оказалось что на моем экземпляре можно активировать только урезанный вариант этой технологии — Intel Standard Manageability.

Intel SMT

Intel Std Mgt (Standard Manageability) или Intel SMT — это одна из функций, доступных в Intel AMT (Active Management Technology). Она обеспечивает базовый набор возможностей удаленного управления компьютером. Стандартный уровень управляемости Intel AMT (Std Mgt) представляет собой минимальный набор функций удаленного управления и поддерживается на большинстве компьютеров, оснащенных технологией Intel AMT.

Подробнее про отличия между Intel AMT и SMT можно узнать из этого видео.

Советы по выбору

Если вам нужна поддержка Intel AMT без танцев с бубном, советую при покупке компьютера обращать внимание на интеловский стикер на корпусе. На стикере должна быть отмечена поддержка платформы vPro.

Краткое руководство по выбору vPro

Intel ME (Management Engine) — это набор микропрограмм, встроенный в чипсеты Intel, который предоставляет аппаратную и программную инфраструктуру для удаленного управления и мониторинга компьютера. ME работает независимо от основной операционной системы и может использоваться для удаленной установки обновлений, управления безопасностью, мониторинга аппаратных компонентов и т.д.

Активация KVM на HP Prodesk 600 G3

Когда у меня возникли проблемы с активацией KVM на HP Prodesk 600 G3, я обратился за помощью в интернет, и нашел подходящую тему на форуме Win-Raid. Пользователь под ником Ohlamon создал топик, в котором интересовался, как можно активировать KVM на HP Prodesk 600 G3.

MEInfoWin64

MEInfoWin64 — это утилита, которая позволяет получить информацию о настройках и функциях Intel Management Engine на компьютере. Я решил скачать эту утилиту и проверить свою систему. Результаты, о которых сообщил автор темы, оказались похожими на мои.

Инструкция от пользователя plutomaniac

Однако, на форуме Ohlamon описал, что проводил эксперименты с образом SPI через программатор и изменял биты доступа в Flash Descriptor. Flash Descriptor представляет собой часть SPI BIOS, которая хранит информацию о конфигурации BIOS, включая настройки системы и настройки Intel ME.

Процесс экспериментов

После такого описания, было мало надежд на успешное решение проблемы. Однако, я решил проявить инициативу и начал экспериментировать с утилитой Flash Image Tool.

Flash Image Tool (FIT)

Flash Image Tool (FIT) — это инструмент, который используется для работы с образами SPI BIOS на устройствах с чипсетами Intel. Он предоставляет возможность отображать, редактировать, добавлять и удалять различные компоненты BIOS.

Шаги по активации KVM

1. Сделать дамп содержимого SPI-флеша BIOS в файл с помощью утилиты Flash Programming Tool:

   FPTW64 -d hp_full.bin

2. Убедиться, что Intel AMT заблокирован производителем.

Версия Intel ME

Перед активацией KVM, узнайте, какая версия Intel ME установлена на компьютере. Это можно сделать через BIOS или с помощью утилиты MEInfo. В моем случае версия Intel ME составляет 11.8.92.4222.

Выбор подходящего гайда

На форуме выберите подходящий гайд для активации KVM, соответствующий установленной версии Intel ME. В моем случае, это оказался последний вариант D4.

Intel Converged Security and Manageability Engine (CSME) и Converged Security and Trusted Execution Engine (CSTXE)

Как видим, начиная с 11 версии Intel стали называть ME немного иначе. Intel CSME (Converged Security and Manageability Engine) и CSTXE (Converged Security and Trusted Execution) — это два компонента, встроенные в процессоры Intel, которые обеспечивают дополнительный уровень безопасности и управляемости системы.

Различие между Intel ME и CSME

Intel ME (Management Engine) и Intel CSME (Converged Security and Manageability Engine) являются двумя различными компонентами, выполняющими разные функции, хотя они взаимодействуют между собой. Intel ME отвечает за удаленное управление и обеспечение безопасности системы, обеспечивая функциональность удаленного управления, мониторинга и диагностики системы, в том числе через интерфейс Intel AMT (Active Management Technology).

Intel CSME в свою очередь является частью общей системы безопасности, обеспечивая безопасную работу Intel ME и других компонентов системы. Он включает в себя такие функции, как контроль доступа, шифрование, аутентификацию и обнаружение вторжений.

Получение и установка Intel ME System Tools

Для работы с подсистемой управления (Management Engine, ME) на компьютерах, основанных на процессорах Intel, можно использовать пакет утилит Intel ME System Tools. Эти утилиты позволяют настраивать, управлять и мониторить различные функции и параметры ME, такие как управление энергопотреблением, защита от вредоносного кода, удаленное управление и многое другое.

1. Ищем на форуме в теме (Converged Security) Management Engine: Drivers, Firmware and Tools или Intel (Converged Security) Trusted Execution Engine: Drivers, Firmware and Tools подходящую версию System Tools package.
2. Распаковываем ее и устанавливаем.

Дополнительные материалы

Изображения для наглядности:

• Изображение 1
• Изображение 2

Список утилит из пакета CSME System Tools v11:

• Clock Commander Tool — используется для настройки частоты работы системных компонентов, связанных с Intel ME, таких как CPU, GPU, PCH и т.д.
• Flash Image Tool (FIT) — утилита для работы с образами BIOS/UEFI и других SPI-устройств
• Flash Programming Tool (FPT) — утилита для прошивки SPI Flash-памяти материнской платы, включая образы Intel ME
• Firmware Update Tool — утилита для обновления программного обеспечения Intel ME и других компонентов, таких как Intel CSME, Intel TXE, Intel AMT и т.д.
• Manifest Extension Utility (MEU) — утилита для создания, чтения и редактирования файлов манифеста Intel ME для поддержки обновления ME
• MEInfo — утилита для получения информации о версии и конфигурации Intel ME
• MEManuf — утилита для проверки, включена ли функция Intel ME на компьютере.

В теме Intel (CS)ME, (CS)TXE, (CS)SPS, GSC, PMC, PCHC, PHY & OROM Firmware Repositories

Ищу подходящий для моей версии пак с репозиториями.

Далее качаю архив с файлообменника:

Установка и использование ME Analyzer

Теперь понадобится утилита для анализа образов Intel ME firmware — ME Analyzer. Кидаю файл “hp_full.bin” с дампом в папку с программой ME Analyzer и открываю его.

В результате получаю отчет

Здесь меня интересуют строки “Version 11.8.92.42222” и “SKU Corporate H”.

Поиск и выбор версии микропрограммы

В папке с репозиториями ищу наиболее подходящую версию микропрограммы. В моем случае это файл с именем 11.8.92.4222_COR_H_DA_PRD_RGN.bin

Извлекаю файл из архива и переименовываю его в ME Region.bin

Проверка данных и использование Flash Image Tool

Возвращаюсь к отчету ME Analyzer. Для проверки наличия инициализационных данных в дампе SPI/BIOS необходимо убедиться что состояние файловой системы отображается как Initialized.

Из папки CSME System Tools v11 r46 перехожу в подпапку Flash Image Tool и из подпапки WIN32 запускаю fit.exe. Запускается программа Flash Image Tool. В ней открываю файл дампа SPI/BIOS “hp_full.bin”.

Обратите внимание на вот эту строку внизу: “Warning: The ME FW image loaded has been pulled from a previously booted system. Some FW settings will not be allowed to be changed.”

Это предупреждение означает, что ME FW-образ, загруженный в программу Flash Image Tool, был получен из ранее загруженной системы. Это может ограничить возможность изменения некоторых настроек ME FW в программе Flash Image Tool. Обычно это происходит, когда пользователь пытается изменить ME FW-образ, сохраненный из ранее загруженной системы, на другую систему.

7. В меню слева выбираю пункт “Intel(R) AMT”. В “Intel(R) AMT Configuration” нахожу параметр “Intel(R) AMT Supported” и меняю его значение на “Yes”

Вот как этот параметр описан в программе: “This setting allows customers to disable Intel(R) AMT on the platform and force the platform into Standard Manageability mode. Note: This setting is only applies to Desktop and Workstation platforms.” (Перевод: "Этот параметр позволяет пользователям отключить Intel(R) AMT на платформе и перевести платформу в режим стандартного управления. Примечание: этот параметр применим только к настольным компьютерам и рабочим станциям.")

9. Перехожу в папку FIT и там нахожу папку с именем, соответствующим открытому файлу, в данном случае это "hp_full.bin". Захожу в подпапку "Decomp" и заменяю в ней файл “ME Region.bin” на подготовленный в пункте 4 файл с чистым ME регионом.

Если не выполнить эти действия, то изменения внесенные в ME регион не сохранятся после загрузки машины. (Проверено на личном опыте.)

10. Вновь запускаю FIT. Открываю файл "config.xml" сохраненный в пункте 8.

12. В папке FIT теперь лежит файл с именем "outimage.bin", который является выгруженным образом SPI/CSME с регионом МЕ, который имеет раздел "Configured DATA" без какой-либо ненужной информации об инициализации.

Если открыть это файл программой FIT, то никаких предупреждений о том, что образ получен из ранее загруженной системы, быть не должно.

13. Открываю файл "outimage.bin" программой ME Analyzer и проверяю что значения в строках “Version”, “Type”, “SKU” и “Chipset” не изменились. Параметр в строке “ File System State” должен измениться на “Configured”.

14. После записи полученного файла "outimage.bin" с модифицированной прошивкой на микросхему SPI Flash и загрузки системы, запускаю с правами администратора программу Flash Programming Tool с командой “-greset”.

Этот шаг нужен для того, чтобы заставить вспомогательный сопроцессор переинициализироваться и правильно принимать любые изменения в соответствующем регионе SPI/BIOS образа.

После всех этих манипуляций стала возможной активация на компьютере Intel AMT и я добился того, чего хотел.

Напоследок расскажу о самой волнующей части процесса — перепрошивке микросхемы SPI Flash. В моем случае это MX25L12873F от Macronix на 128Mb.

Начались приключения с покупки черного программатора CH341а. Оказалось что нельзя просто купить программатор и начать им пользоваться. Сперва нужно сделать вольтмод, чтобы понизить напряжение на DATA пинах с 5В до 3.3В. Ну я человек простой, если в интернетах пишут что нужен вольтмод — делаю вольтмод.

Программатор CH341 с вольтмодом

Готовлю пациента к операции и выпаиваю с помощью фена. (Пока я разбирался с программатором — успел спалить роутер. Так что не хотелось рисковать повредить что-нибудь на плате.)

Чип SPI Flash на материнской плате

Не заметили ничего опасного на снимке? Вот и я не заметил что вставил плату-переходник в колодку с рычажком на один ряд выше чем было нужно. Понял я что что-то пошло не так, когда программатор не смог определить чип. Флешка за это время успела сильно нагреться, что говорится “закипела”.

Но я забежал вперед. На снимке не первый мой опыт общения с этой флешкой. Моя первая попытка перепрошивки закончилась тем, что самая свежая на тот момент версия софта для программатора “CH341A Programmer 1.34”, найденная мной в интернетах, некорректно прочла чип, и я работал с поврежденным дампом не зная об этом.

Интерфейс CH341A Programmer 1.34

Первые звоночки начались когда после стирания и записи образа на флешку, проверка сообщила что записанный файл не совпадает с файлом в окне программы. Пришлось пробовать другие варианты софта. Хорошо себя показала “SiberiaProg-Ch341a_v1.45” успешно записав (увы некорректный) файл.

Когда я припаял на место флешку, то компьютер, вместо того, чтобы загрузиться, стал жалобно пищать и мигать светодиодом.

Пришлось по новой выпаивать чип и разбираться что к чему. Тогда-то, после многих попыток, я и выяснил что v1.34 программатора некорректно читает эту микросхему. Опробовал также NeoProgrammer 2.2.0.10.

Интерфейс NeoProgrammer 2.2.0.10

С чтением он справлялся. Но ни одна из программ не могла корректно стереть чип, зависая в бесконечном процессе. Но стирание все-таки происходило. Ориентируясь по активности светодиода “RUN” на плате программатора, я понял что в какой-то момент программа перестает обращаться к флешке. Тогда я просто останавливал процесс стирания и вытаскивал программатор из порта. Затем я читал флешку и проверял чтобы ячейки памяти заполнены "0xFF". Потом записывал образ и запускал проверку. Затем опять читал флешку но уже NeoProgrammer и записывал образ на диск. Затем открывал записанный образ и исходный файл программой WinMerge, и если файлы совпадали, успокаивался. Как говорится: "если один раз обжегся — начинаешь дуть на воду".

Несмотря на все старания, флешку я так и не спалил, и в итоге успешно прошил и припаял на место. Прежде чем паять все ноги я припаивал одну, прижимал чип пальцем к плате, и включал компьютер. Так я смог проверить прошитый чип на работоспособность не распаивая все ноги.

Надеюсь что моя статья вам помогла. Спасибо за внимание!