Zarządzanie urządzeniami

Zarządzanie urządzeniami obejmuje rejestrację, konfigurację i zabezpieczanie sprzętu w organizacji.

Architektura i mechanizmy kontroli punktów końcowych

Współczesne podejście do nadzoru nad stacjami roboczymi i komputerami przenośnymi opiera się na rozwiązaniach klasy UEM (Unified Endpoint Management) oraz MDM (Mobile Device Management). Są to rozbudowane systemy klient-serwer, w których urządzenie końcowe komunikuje się z centralnym serwerem w celu pobrania polityk bezpieczeństwa, certyfikatów autoryzacyjnych, ustawień interfejsów sieciowych oraz dedykowanych aplikacji firmowych. Wdrożenie takiego środowiska w infrastrukturze wymaga instalacji agenta oprogramowania lub wykorzystania natywnych protokołów wbudowanych bezpośrednio w dany system operacyjny, jak ma to miejsce w przypadku usług zintegrowanych w architekturze Windows. Z technicznego punktu widzenia proces ten nie ogranicza się wyłącznie do warstwy programowej, lecz często inicjowany jest na poziomie oprogramowania układowego płyty głównej, czyli interfejsu UEFI.

Producenci układów logicznych implementują sprzętowe mechanizmy, takie jak Intel vPro czy Intel AMT (Active Management Technology), pozwalające na nawiązanie komunikacji z komputerem całkowicie niezależnie od stanu załadowania systemu operacyjnego, a nawet bez włączonego głównego zasilania urządzenia. Wystarczającym warunkiem do podtrzymania kanału komunikacyjnego jest napięcie dostarczane z linii zasilania rezerwowego, na przykład 5V Standby, lub zasilanie bateryjne. Taka architektura sprzętowa sprawia, że zdalny administrator ma możliwość zmiany niskopoziomowych ustawień sprzętowych, wymuszenia aktualizacji mikrokodu procesora, a w razie utraty fizycznej kontroli nad urządzeniem – zdalnego wyczyszczenia nośnika danych poprzez wywołanie sprzętowej komendy Secure Erase przesyłanej do kontrolera dysku SSD. Proces ten zależy od prawidłowej integracji warstwy sprzętowej, w tym umieszczonych na laminacie płyty kontrolerów sieciowych, zarówno interfejsów Ethernet podających stały adres MAC, jak i modułów komunikacji bezprzewodowej, z autoryzowanym punktem końcowym w infrastrukturze zewnętrznej.

Warstwy sprzętowe a systemowe w nadzorze nad flotą

Realizacja mechanizmów konfiguracji dzieli się na autonomiczną warstwę sprzętowo-układową oraz zależną warstwę systemu operacyjnego. W warstwie układowej instaluje się wyspecjalizowane moduły zapisane bezpośrednio w pamięci nieulotnej ROM, określane w specyfikacjach terminologią Persistence. Konstrukcja tego typu rozwiązań opiera się na kodzie egzekwowanym podczas procedury POST (Power-On Self-Test), którego zadaniem jest przetrwanie formatowania dysku twardego, modyfikacji tabeli partycji, a nawet operacji wstawienia całkowicie nowego nośnika w gniazdo M.2 czy SATA. W sytuacji braku obecności zdefiniowanego oprogramowania na głównym dysku systemowym, kod zaszyty w mikrokodzie płyty głównej wykonuje zrzut instalatora w formacie binarnym bezpośrednio do przestrzeni operacyjnej ładowanego środowiska, przywracając tym samym funkcje zarządzania.

Drugi wariant funkcjonalny to procesy autoryzacyjne oparte o powiązania z infrastrukturą chmurową, implementowane w protokołach takich jak Microsoft Autopilot czy usługa wdrażania Apple. W tych modelach architektury, unikalne sygnatury komponentów – numer seryjny wpisany w tabele SMBIOS, fizyczny adres sprzętowy podzespołów sieciowych oraz asymetryczny klucz kryptograficzny, nazywany Hardware Hash – są przesyłane do baz danych dostawcy oprogramowania. Kiedy urządzenie nawiązuje pierwszą, stabilną komunikację z siecią podczas fazy inicjacji środowiska operacyjnego (OOBE), transmituje wyżej wymienione pakiety identyfikacyjne. Odpowiedź autoryzacyjna blokuje standardowy kreator dodawania konta lokalnego i narzuca procedurę logowania w obrębie zdefiniowanej domeny. Trwałe zakotwiczenie tej weryfikacji w identyfikatorach sprzętowych powoduje, że narzędzia służące do zarządzania strukturą systemu plików są pozbawione skuteczności w omijaniu autoryzacji domenowej.

Trudności diagnostyczne i sprzętowe generowane przez profile bezpieczeństwa

Występowanie aktywnych polityk kontrolnych generuje specyficzne stany serwisowe, z którymi mają do czynienia nabywcy stacji roboczych pochodzących z wyprzedaży majątku firmowego. Dysponenci sprzętu trafiają na procedury uniemożliwiające korzystanie z komputera wskutek niewykonania prawidłowej procedury odłączenia płyty głównej od dzierżawy profilowej przez poprzedniego właściciela. Technicznym rezultatem jest występowanie zapętlonego ekranu uwierzytelniania profilu organizacji zaraz po zainstalowaniu niezmodyfikowanego obrazu systemu operacyjnego z zewnętrznego nośnika USB.

Równie częstym przypadkiem jest utrwalona blokada nakładana za pomocą autoryzacji kryptograficznej lub hasła administracyjnego na interfejs sprzętowy, oznaczanego jako Supervisor Password. Obecność zablokowanego oprogramowania bazowego uniemożliwia modyfikację priorytetu rozruchu, deaktywuje dostęp do funkcji zmiany statusu modułu kryptograficznego TPM oraz blokuje zmianę parametru Secure Boot. Należy przy tym zwrócić uwagę, że przestarzały sprzęt komputerowy oparty o weryfikację za pomocą zewnętrznych nośników w formacie SmartCard czy fizycznych kluczy autoryzacyjnych wpinanych do interfejsu ExpressCard lub PCMCIA nie generuje obecnie istotnego odsetka zleceń, ponieważ tego typu rozwiązania z przeszłości uległy redukcji na rzecz scentralizowanej identyfikacji opartej o sumy kontrolne rejestrowane w sieci. Ważnym aspektem poddanym regulacji jest również szyfrowanie danych za pomocą kluczy symetrycznych zgodnych ze standardem BitLocker. Izolacja komputera od wewnętrznej sieci podmiotu zarządzającego wymusza zablokowanie nośnika kryptograficznego, z kolei brak dostępu do klucza odzyskiwania, deponowanego wyłącznie w chmurze zarządzającej, oznacza techniczną blokadę możliwości rekonstrukcji tabel alokacji plików.

Interwencje warsztatowe przy blokadach komponentów komputerowych

Procedury diagnostyczne i naprawcze w obrębie urządzeń posiadających przypisane statusy w bazach inwentaryzacyjnych polegają wyłącznie na fizycznej modyfikacji lub całkowitej wymianie konkretnych modułów sprzętowych komputera. Realizacja zleceń nie uwzględnia ingerencji w logikę kontrolerów serwerowych, operacji dotyczących architektury opartej na wirtualizacji kontenerowej (mainframe/enterprise), ani prób ominięcia zabezpieczeń usług katalogowych czy doradztwa RODO, gdyż są to działania wykraczające poza kompetencje i cel działania placówki serwisującej elektronikę konsumencką. Problematyka korporacyjna na tym poziomie z reguły pozostaje w gestii certyfikowanych administratorów środowisk chmurowych.

Jeśli dany podzespół nie generuje konfliktów prawnych, a wyłączną przyczyną niedostępności platformy jest zabezpieczony kod oprogramowania bazowego nałożony lokalnie, Warszawskie Pogotowie Komputerowe wykonuje procedury bezpośredniego zapisu do kości układów CMOS/EEPROM. Obejmuje to proces demontażu układu scalonego SPI Flash z laminatu przy użyciu stacji lutowniczej, wyzerowanie obszarów pamięci odpowiadających za mechanizmy zabezpieczające – takich jak wybrane bloki pamięci kontrolera Intel Management Engine – i zintegrowanie nowego zbioru danych binarnych skompilowanych dla konkretnego modelu układu KBC/EC. Kiedy restrykcje narzucone są ze względu na zgodność identyfikatorów powiązanych na stałe z profilem zdalnym w trybie OOBE, modyfikacje oprogramowania dysku lub polecenia niskopoziomowego nadpisywania sektorów nie rozwiązują problemu. Rozwiązanie blokady generowanej przez przypisany adres MAC oraz skrót sprzętowy wymaga fizycznej instalacji nowej płyty głównej o czystym statusie identyfikatorów.

Działania z zakresu odtwarzania ciągłości plików realizuje się z pominięciem partycji szyfrowanych sprzętowo za pośrednictwem algorytmów AES implementowanych przez kontrolery pamięci na dyskach NVMe lub SSD. Brak hasła wpisanego w zintegrowany mechanizm zabezpieczeń typu OPAL dyskwalifikuje nośnik z procesu przywrócenia struktury katalogów metodami warsztatowymi bez wkładu autoryzacyjnego pierwotnego środowiska zarządzającego.