Sure Admin и CMSL: как подписанные нагрузки заменяют пароль BIOS и что будет, если потерять ключ

Sure Admin: BIOS, который слушается подписи, а не пароля

Короткий ответ. HP Sure Admin — механизм управления настройками BIOS на коммерческих ПК HP через публичную криптографию вместо пароля. Изменения оформляются как подписанные полезные нагрузки (payload), которые прошивка проверяет по заранее развёрнутому открытому ключу. Работает поверх HP Secure Platform Management (SPM), включается режимом EBAM (Enhanced BIOS Authentication Mode). Локальный доступ к F10 защищается Local Access Key: на экране появляется QR-код, а одноразовый PIN выдаёт мобильное приложение. Главный риск ровно тот же, что и у пароля: потеря ключа означает потерю управления.

Зачем это нужно

Пароль BIOS плохо масштабируется в парке:

• его знают многие, и он утекает;
• его нельзя менять на сотне машин без сценария;
• его компрометация открывает доступ к прошивке;
• он не даёт журнала, кто и что менял.

Sure Admin предлагает другую модель: действие разрешает криптографическая подпись. Ключ подписи хранится отдельно от устройства, а на машине лежит только открытый ключ для проверки. Украсть «пароль» с ноутбука невозможно — там его нет.

Как это устроено

Цепочка по документации HP:

1. SPM (Secure Platform Management) — доверенная среда в UEFI. Именно она хранит ключи и проверяет подписи. Используется не только Sure Admin, но и Sure Run, Sure Recover.
2. Провижининг SPM. Перед включением Sure Admin SPM должен быть развёрнут. Проверить состояние можно командлетом Get-HPSecurePlatformState.
3. Включение EBAM. Создаётся payload New-HPSureAdminEnablePayload, подписанный ключом, и применяется на целевой машине через Set-HPSecurePlatformPayload.
4. Local Access Key (LAK). Отдельный сертификат, который защищает локальный вход в F10. Без него удалённое управление закрыто, а локальный доступ остаётся уязвимым.
5. Управление настройками. Каждое изменение — отдельный подписанный payload.

Основные командлеты CMSL:

Пример из документации HP: изменение одного параметра.

New-HPSureAdminBIOSSettingValuePayload -Name "Fast Charge" -Value Enable -SigningKeyFile sk.pfx -OutputFile payload.dat -SigningKeyPassword ***
Set-HPSecurePlatformPayload -PayloadFile payload.dat

Ключевая деталь: payload создаётся на защищённой машине, где есть ключ подписи, а применяется на целевой. На самом ноутбуке ключа подписи нет.

Локальный доступ: QR и PIN

После провижининга LAK вход в F10 защищён сертификатом: при попытке входа устройство показывает QR-код, сгенерированный из открытого сертификата LAK. Сотрудник сканирует его приложением HP, получает одноразовый PIN и вводит его. Пароль при этом не используется.

Практические следствия:

• Сотрудник без телефона не войдёт в BIOS — это осознанное ограничение, а не дефект;
• PIN одноразовый, повторно использовать его нельзя;
• доступ к самому приложению должен быть защищён политикой, иначе схема теряет смысл.

Этот путь не для всех

Sure Admin — не «улучшение по умолчанию», а смена модели администрирования. Прежде чем включать, ответьте на вопросы:

1. Есть ли защищённое хранение ключей? HSM, KMS или хотя бы изолированный сервер с контролем доступа.
2. Кто имеет право подписи? Один человек или процесс с разделением ролей.
3. Что будет при потере ключа? Правильный ответ: потеря управления BIOS на этих устройствах. Резервная копия ключа обязательна и должна храниться отдельно.
4. Готовы ли вы к смене процессов? Все сценарии, которые раньше делались «ввести пароль», теперь требуют генерации и доставки payload.
5. Есть ли инструмент оркестрации? Для парка — HP Connect для Microsoft Endpoint Manager или собственные сценарии на CMSL.

Риски, о которых стоит знать заранее

Потеря ключа. Самое дорогое последствие. Если ключ подписи утрачен и резервной копии нет, изменить настройки BIOS на устройствах не получится.

Несовместимость с инструментами. Часть утилит, которые привыкли менять настройки BIOS «как раньше», при включённом EBAM работать не будет. BCU, например, требует строку авторизации, собранную из параметров /ot, /ar, /uid и криптографической подписи.

Откат требует подготовки. Для возврата к парольной модели нужно депровижинить SPM, отключить Sure Admin и очистить LAK — это отдельная процедура, а не одна кнопка.

Поддержка моделей. Функция доступна на многих коммерческих системах HP, но не на всех. Для части платформ нужен свежий BIOS.

Порядок внедрения

1. Инвентаризация. Определите модели и версии BIOS, проверьте поддержку EBAM.
2. Пилот на 1–3 машинах. Не на парке.
3. Генерация ключей в защищённой среде, резервная копия в отдельном хранилище.
4. Провижининг SPM, затем включение EBAM, затем LAK.
5. Проверка сценариев: изменение настройки, сброс к дефолтам, обновление прошивки, локальный вход по PIN.
6. Документирование процедур и обучение сотрудников.
7. Масштабирование через HP Connect или CMSL-сценарии.

Что это меняет для пользователя

Для обычного сотрудника — почти ничего: он работает в Windows и не заходит в BIOS. Для сервисного инженера — больше: чтобы изменить настройку, нужен либо подписанный payload, либо PIN через приложение.

Для ИТ-специалиста, который привык «зайти в F10 и поправить», меняется сам принцип: настройка становится управляемым изменением с авторизацией, а не ручной операцией.

FAQ

Sure Admin заменяет пароль BIOS? Да. После включения EBAM пароль больше не используется ни для локального доступа, ни для удалённых изменений.

Нужен ли интернет на устройстве? Для применения payload — нет, достаточно доставить файл. Для HP Connect-сценариев — да, через инфраструктуру управления.

Что будет, если потерять ключ подписи? Управление BIOS на устройствах станет недоступным. Резервная копия ключа обязательна.

Можно ли откатиться к паролю? Да, процедура существует: депровижининг SPM, отключение Sure Admin, очистка LAK. Но это плановое изменение, а не быстрый откат.

Работает ли BCU при включённом Sure Admin? Да, но требует строки авторизации с подписью, а не пароля.

На каких моделях доступно? На многих коммерческих ПК HP; для части систем требуется обновление BIOS. Проверяйте по документации конкретной модели.