Ενώ όλοι διαφωνούν για το ποιο μοντέλο γράφει τον καλύτερο κώδικα, ένα πολύ παλαιότερο και πολύ λιγότερο εντυπωσιακό πρόβλημα κλιμακώνεται αθόρυβα παράλληλα με κάθε νέο κέντρο δεδομένων τεχνητής νοημοσύνης: ο ελεγκτής διαχείρισης βασικής πλακέτας, ή BMC. Ερευνητές ασφαλείας παρουσίασαν αυτή την εβδομάδα ευρήματα σύμφωνα με τα οποία χιλιάδες διακομιστές συνδεδεμένοι στο διαδίκτυο, από μεγάλους κατασκευαστές, μπορούν να αποκτήσουν απομακρυσμένη κερκόπορτα μέσω σφαλμάτων σε αυτούς τους ελεγκτές — ορισμένα από τα οποία είναι ηλικίας άνω της δεκαετίας. Αυτό δεν είναι καθόλου μια ιστορία για την τεχνητή νοημοσύνη. Είναι μια ιστορία για το υλικό πάνω στο οποίο运行 η τεχνητή νοημοσύνη, και αξίζει να την κατανοήσετε αν σκέφτεστε από πού θα προκύψει το επόμενο κύμα θέσεων εργασίας στην ασφάλεια που σχετίζονται με την τεχνητή νοημοσύνη.

Τι είναι στην πραγματικότητα ένας BMC και γιατί είναι τρομακτικός

Ένας BMC είναι ένας μικρός, ξεχωριστός υπολογιστής, συγκολλημένος σχεδόν σε κάθε μητρική πλακέτα εταιρικού διακομιστή. Εκτελεί το δικό του λειτουργικό σύστημα, τη δική του στοίβα δικτύωσης και έχει τη δική του διεύθυνση IP — εντελώς ανεξάρτητα από όποιο λειτουργικό σύστημα και εφαρμογές εκτελούνται στον κύριο διακομιστή. Οι διαχειριστές χρησιμοποιούν τους BMC για διαχείριση «χωρίς παρουσία» ή «εκτός ζώνης»: επανεκκίνηση ενός μηχανήματος, επανεγγραφή του υλικολογισμικού, επανεγκατάσταση ενός λειτουργικού συστήματος, όλα απομακρυσμένα και, κυρίως, όλα ενώ ο κύριος διακομιστής είναι απενεργοποιημένος ή εντελώς μη ανταποκρινόμενος.

Αυτό ακριβώς είναι που κάνει έναν παραβιασμένο BMC τόσο επικίνδυνο. Ένας εισβολέας που αποκτά πρόσβαση σε έναν από αυτούς δεν χρειάζεται να εκτελείται το λειτουργικό σύστημα του κεντρικού υπολογιστή, δεν χρειάζεται να παρακάμψει οποιαδήποτε ασφάλεια τερματικού είναι εγκατεστημένη σε αυτόν και μπορεί να διατηρήσει την πρόσβασή του μετά από επανεγκαταστάσεις του λειτουργικού συστήματος, καθώς ο BMC βρίσκεται κάτω και έξω από το επίπεδο που παρακολουθούν τα συνήθη εργαλεία ασφάλειας IT. Σύμφωνα με την έρευνα που καλύφθηκε αυτή την εβδομάδα, το πρωτόκολλο που εμπλέκεται συχνότερα είναι το IPMI, και οι ερευνητές ασφαλείας επισημαίνουν αυτή την κατηγορία κινδύνου τουλάχιστον από το 2013. Με άλλα λόγια: δεν πρόκειται για νέο σφάλμα, αλλά για μια παλιά, γνωστή και δομικά δύσκολη στην επιδιόρθωση κατηγορία σφαλμάτων, την οποία ο κλάδος έχει ανεχθεί για πολύ περισσότερο από μία δεκαετία.

Γιατί αυτό έχει τώρα μεγαλύτερη σημασία, όχι μικρότερη

Η ανάπτυξη της τεχνητής νοημοσύνης είναι, από υλική άποψη, ένα από τα μεγαλύτερα κύματα προμηθειών διακομιστών στην ιστορία — σειρές επί σειρών διακομιστών GPU που εγκαθίστανται σε νέα και διευρυμένα κέντρα δεδομένων όσο γρήγορα μπορούν να τους αποστείλουν οι προμηθευτές. Κάθε ένας από αυτούς τους διακομιστές διατίθεται με BMC, επειδή οι BMC είναι ο τρόπος με τον οποίο οι διαχειριστές κέντρων δεδομένων διαχειρίζονται στόλους σε μεγάλη κλίμακα· δεν μπορείτε να μπείτε σε ένα κτίριο μεγέθους αποθήκης και να επανεκκινήσετε χειροκίνητα δέκα χιλιάδες μηχανήματα. Επομένως, η έκρηξη της τεχνητής νοημοσύνης δεν αγοράζει μόνο υπολογιστική ισχύ — αγοράζει, κατ’ ανάγκη, έναν αντίστοιχου μεγέθους στόλο μικρών, ανεπαρκώς παρακολουθούμενων υπολογιστών εκτός ζώνης, με τεκμηριωμένο ιστορικό κρίσιμων ευπαθειών διάρκειας άνω της δεκαετίας.

Αυτό είναι το τεχνικό χρέος: η ταχύτητα ανάπτυξης βελτιστοποιείται για την τοποθέτηση των GPU σε ράφια και την έναρξη των εκπαιδευτικών εκτελέσεων, όχι για τον έλεγχο του υλικολογισμικού διαχείρισης που είναι ενσωματωμένο σε κάθε μητρική πλακέτα από κάτω τους. Οι ερευνητές πίσω από τη γνωστοποίηση αυτής της εβδομάδας φέρεται να περιέγραψαν τους BMC ως «διάχυτη, ανεπαρκώς παρακολουθούμενη και ανεπαρκώς επιδιορθωμένη παράλληλη επιφάνεια επίθεσης» — μια περιγραφή που προηγείται της έκρηξης των κέντρων δεδομένων τεχνητής νοημοσύνης, αλλά αυτή η έκρηξη είναι που πολλαπλασιάζει τώρα τον αριθμό των BMC σε παραγωγή.

Η εξειδικευμένη θέση που ανοίγει

Αν χαρτογραφείτε προς τα πού κατευθύνονται οι σταδιοδρομίες στην ασφάλεια παράλληλα με τις υποδομές τεχνητής νοημοσύνης, οι περισσότερες προφανείς διαδρομές — red-teaming μοντέλων, άμυνα έναντι prompt injection, διακυβέρνηση πρακτόρων — είναι ήδη πολυσύχναστες και ήδη καλύπτονται επαρκώς αλλού. Ο έλεγχος ασφάλειας υλικού και εκτός ζώνης δεν είναι. Πρόκειται για μια άχαρη, όχι ιδιαίτερα ελκυστική γωνιά της ασφάλειας υποδομών που δεν εμφανίζεται στις κεντρικές ομιλίες για την τεχνητή νοημοσύνη, και ακριβώς εκεί βρίσκεται το κενό: η ζήτηση αυξάνεται με κάθε νέο κέντρο δεδομένων, ενώ η προσφορά ανθρώπων που κατανοούν τις επιφάνειες επίθεσης σε επίπεδο υλικολογισμικού και εκτός ζώνης είναι μικρή, επειδή πρόκειται πραγματικά για διαφορετικό σύνολο δεξιοτήτων από την ασφάλεια εφαρμογών ή cloud.

Πώς είναι στην πράξη η εργασία, με συγκεκριμένους όρους:

  • Γνώση υλικολογισμικού και πρωτοκόλλων. Κατανόηση του IPMI (και των γνωστών αδυναμιών του — όπως η εδώ και καιρό καταργημένη σουίτα κρυπτογράφησης 0, την οποία ορισμένες συσκευές εξακολουθούν να αποστέλλουν ενεργοποιημένη) αρκετά καλά ώστε να αξιολογείτε αν ένας συγκεκριμένος στόλος διακομιστών είναι εκτεθειμένος, όχι απλώς θεωρητικά ευάλωτος.
  • Έλεγχοι τμηματοποίησης δικτύου. Έλεγχος του κατά πόσο οι διεπαφές BMC/διαχείρισης είναι πράγματι απομονωμένες σε ένα αποκλειστικό δίκτυο διαχείρισης ή αν είναι προσβάσιμες από την παραγωγή ή από το γενικό διαδίκτυο — ένας βασικός έλεγχος που επανειλημμένα αποδεικνύεται απών στην πράξη.
  • Έλεγχοι υγιεινής διαπιστευτηρίων και ενημερώσεων κώδικα. Οι BMC συχνά διατίθενται με προεπιλεγμένα ή ορισμένα από τον προμηθευτή διαπιστευτήρια και με υλικολογισμικό που δεν περιλαμβάνεται στον κανονικό κύκλο ενημερώσεων του λειτουργικού συστήματος ενός κέντρου δεδομένων, επειδή δεν είναι το λειτουργικό σύστημα — είναι εύκολο να μείνει εκτός της αρμοδιότητας όποιου έχει την ευθύνη για τις «ενημερώσεις κώδικα».
  • Επίγνωση προμηθευτών και αλυσίδας εφοδιασμού. Το υλικολογισμικό BMC συνήθως γράφεται από έναν μικρό αριθμό εξειδικευμένων προμηθευτών και αδειοδοτείται σε κατασκευαστές διακομιστών, οπότε ένα ελάττωμα στον κώδικα ενός προμηθευτή μπορεί να επηρεάσει ταυτόχρονα πολλές μάρκες υλικού — αυτό ακριβώς είναι το μοτίβο στη γνωστοποίηση αυτής της εβδομάδας. Η γνώση του ποια στοίβα υλικολογισμικού βρίσκεται κάτω από κάθε μάρκα διακομιστή αποτελεί μέρος της δουλειάς.

Πώς να τοποθετηθείτε πραγματικά σε αυτόν τον χώρο

Πρόκειται για έναν πραγματικά εξειδικευμένο τομέα και είναι λογικό να αντιμετωπίζετε με σκεπτικισμό το πόσες αποκλειστικές θέσεις θα δημιουργηθούν γι’ αυτόν, σε σύγκριση με το ενδεχόμενο να παραμείνει μια εξειδίκευση μέσα στις υφιστάμενες ομάδες υποδομών ή ασφάλειας — να είστε ειλικρινείς με τον εαυτό σας ότι ο «ελεγκτής ασφάλειας BMC» μπορεί τελικά να είναι μια δεξιότητα που θα προσθέσετε σε έναν ευρύτερο ρόλο ασφάλειας υλικού/κέντρων δεδομένων, αντί για αυτόνομο τίτλο θέσης. Ωστόσο, ορισμένες συγκεκριμένες και επαληθεύσιμες κινήσεις έχουν νόημα ανεξάρτητα από αυτό: αποκτήστε πρακτική εμπειρία με το IPMI και τα εργαλεία διαχείρισης εκτός ζώνης, αν έχετε πρόσβαση σε εταιρικούς διακομιστές ή ακόμη και σε μεταχειρισμένο υλικό για εργαστηριακές δοκιμές· διαβάστε τις ανακοινώσεις ασφαλείας των προμηθευτών για το υλικολογισμικό BMC από τους μεγάλους κατασκευαστές διακομιστών και υλικολογισμικού BMC, καθώς δημοσιεύουν πραγματικές γνωστοποιήσεις ευπαθειών που μπορείτε να μελετήσετε· και, αν εργάζεστε ήδη στην ασφάλεια cloud ή υποδομών, αρχίστε να υποβάλλετε στην ομάδα του οργανισμού σας που είναι υπεύθυνη για τα κέντρα δεδομένων ή τις προμήθειες υλικού μια απλή, επαληθεύσιμη ερώτηση — βρίσκεται το επίπεδο διαχείρισης BMC/IPMI σε απομονωμένο δίκτυο και ποιος έχει την ευθύνη για την επιδιόρθωσή του; Αν κανείς δεν έχει βέβαιη απάντηση, αυτό δεν είναι απλώς ένα εύρημα· είναι μια επίδειξη ακριβώς της τεχνογνωσίας που χρειάζεται αυτή η εξειδικευμένη θέση.