Terwyl almal stry oor watter model die beste kode skryf, skaal ’n veel ouer en veel minder glansryke probleem stilweg saam met elke nuwe KI-datasentrum op: die basisbordbestuurbeheerder, of BMC. Sekuriteitsnavorsers het hierdie week bevindings voorgelê dat duisende internetgekoppelde bedieners van groot vervaardigers op afstand van ’n agterdeur voorsien kan word deur foute in hierdie beheerders — sommige van die gebreke meer as ’n dekade oud. Dit is glad nie ’n storie oor KI nie. Dit is ’n storie oor die hardeware waarop KI werk, en dit is die moeite werd om dit te verstaan as jy dink oor waar die volgende golf van KI-aangrensende sekuriteitsbane vandaan gaan kom.
Wat ’n BMC werklik is, en waarom dit skrikwekkend is
’n BMC is ’n klein, aparte rekenaar wat op feitlik elke moederbord van ’n ondernemingsbediener gesoldeer is. Dit gebruik sy eie bedryfstelsel, sy eie netwerkstapel en het sy eie IP-adres — heeltemal onafhanklik van watter bedryfstelsel en toepassings ook al op die hoofbediener loop. Administrateurs gebruik BMC’s vir “ligte-af” of “buiteband”-bestuur: om ’n masjien te herlaai, firmware te herskryf, ’n bedryfstelsel te herinstalleer — alles op afstand, en krities, alles terwyl die hoofbediener afgeskakel of heeltemal onresponsief is.
Dit is ook presies wat ’n gekompromitteerde BMC so gevaarlik maak. ’n Aanvaller wat toegang daartoe kry, hoef nie die gasheerbedryfstelsel aan die loop te hê nie, hoef nie enige eindpuntsekuriteit wat daarop geïnstalleer is, te omseil nie, en kan oorleef ná herinstallasies van die bedryfstelsel, aangesien die BMC onder en buite die laag leef waarop enige normale IT-sekuriteitsnutsgoed toesig hou. Volgens die navorsing wat hierdie week bespreek is, is IPMI die protokol wat die meeste betrokke is, en sekuriteitsnavorsers waarsku al sedert minstens 2013 oor hierdie soort risiko. Met ander woorde: dit is nie ’n nuwe fout nie, maar ’n ou, bekende en struktureel moeilik herstelbare kategorie fout wat die bedryf al langer as ’n dekade geduld het.
Waarom dit nou meer saak maak, nie minder nie
Die KI-uitbouing is fisies een van die grootste golwe van bedieneraankope in die geskiedenis — rakke op rakke GPU-bedieners wat in nuwe en uitgebreide datasentrums ingaan so vinnig as wat verskaffers dit kan versend. Elke enkeleen van daardie bedieners word met ’n BMC versend, omdat BMC’s is hoe datasentrumoperateurs op groot skaal vloote bestuur; jy kan nie by ’n gebou so groot soos ’n pakhuis instap en tienduisend masjiene met die hand herlaai nie. Die KI-oplewing koop dus nie net rekenkrag nie — dit koop noodgedwonge ’n ewe groot vloot klein, ondergemonitorde, buitebandrekenaars met ’n gedokumenteerde geskiedenis van meer as ’n dekade se kritieke kwesbaarhede.
Dít is die tegniese skuld: die uitbouing se tempo is geoptimaliseer om GPU’s in rakke te kry en opleidingslopies te begin, nie om die bestuursfirmware wat in elke moederbord daaronder ingebou is, te oudit nie. Die navorsers agter hierdie week se bekendmaking het BMC’s glo beskryf as ’n “alomteenwoordige, ondergemonitorde, ondergelapte parallelle aanvalsvlak” — ’n beskrywing wat die KI-datasentrumoplewing voorafgaan, maar daardie oplewing is wat die aantal BMC’s wat tans in produksie is, vermenigvuldig.
Die nis wat dit oopmaak
As jy karteer waarheen sekuriteitsloopbane saam met KI-infrastruktuur op pad is, is die meeste voor die hand liggende bane — modelrooi-spanwerk, verdediging teen prompt-inspuiting, agentbestuur — reeds oorvol en word dit reeds elders goed gedek. Hardeware- en buitebandsekuriteitsouditering is nie. Dit is ’n onglansryke, onseksie-hoekie van infrastruktuursekuriteit wat nie in KI-hoofpraatjies voorkom nie, en juis daarin lê die gaping: die vraag skaal met elke nuwe datasentrum, en die aanbod van mense wat firmwarevlak- en buitebandaanvalsvlakke verstaan, is klein omdat dit werklik ’n ander vaardigheidstel as toepassings- of wolksekuriteit is.
Hoe die werk in konkrete terme werklik daar uitsien:
- Firmware- en protokolgeletterdheid. Verstaan IPMI (en die bekende swak punte daarvan — dinge soos die lankal afgekeurde syferpakket 0 wat sommige toestelle steeds geaktiveer verskeep) goed genoeg om te bepaal of ’n gegewe bedienervloot blootgestel is, nie net teoreties kwesbaar nie.
- Netwerksegmenteringsoudits. Kontroleer of BMC-/bestuurskoppelvlakke werklik op ’n toegewyde bestuursnetwerk geïsoleer is, en of hulle vanaf produksie of die algemene internet bereikbaar is — ’n basiese beheermaatreël wat herhaaldelik in die praktyk ontbreek.
- Hersienings van geloofsbriewe- en pleisterhigiëne. BMC’s word dikwels met verstek- of verskaffergestelde geloofsbriewe en firmware verskeep wat nie deel van ’n datasentrum se normale bedryfstelsel-pleistersiklus is nie, omdat dit nie die bedryfstelsel is nie — dit kan maklik buite die verantwoordelikheid val van wie ook al “pleisterwerk” besit.
- Bewustheid van verskaffers en die voorsieningsketting. BMC-firmware word gewoonlik deur ’n klein aantal spesialisverskaffers geskryf en aan bedienervervaardigers gelisensieer, sodat ’n fout in een verskaffer se kode tegelyk deur baie hardewarehandelsmerke kan versprei — dit is presies die patroon in hierdie week se bekendmaking. Om te weet watter firmwarestapel onder watter bedienerhandelsmerk sit, is deel van die werk.
Hoe om jouself werklik hiervoor te posisioneer
Dit is ’n egte nisveld, en dit is billik om skepties te wees oor hoeveel toegewyde poste daarvoor geopen sal word teenoor die moontlikheid dat dit ’n spesialisasie binne bestaande infrastruktuur- of sekuriteitspanne bly — wees eerlik met jouself dat “BMC-sekuriteitsouditeur” uiteindelik ’n vaardigheid kan wees wat jy by ’n breër hardeware-/datasentrumsekuriteitsrol voeg, eerder as ’n postitel op sy eie. Maar ’n paar konkrete, verifieerbare stappe maak in elk geval sin: doen praktiese werk met IPMI en buitebandbestuurnutsgoed as jy toegang het tot enige ondernemingsbedieners of selfs tweedehandse hardeware waarmee jy ’n laboratorium kan opstel; lees verskaffersekuriteitskennisgewings vir BMC-firmware van die groot bediener- en BMC-firmwarevervaardigers, aangesien hulle werklike kwesbaarheidsbekendmakings publiseer wat jy kan bestudeer; en as jy reeds in wolk- of infrastruktuursekuriteit werk, begin om jou eie organisasie se datasentrum- of hardewareaankoopspan ’n eenvoudige, verifieerbare vraag te vra — is ons BMC-/IPMI-bestuursvlak op ’n geïsoleerde netwerk, en wie is verantwoordelik om dit te pleister? As niemand ’n selfversekerde antwoord het nie, is dit nie net ’n bevinding nie, maar ’n demonstrasie van presies die kundigheid wat hierdie nis nodig het.
