Samalla kun kaikki väittelevät siitä, mikä malli kirjoittaa parasta koodia, paljon vanhempi ja paljon vähemmän hohdokas ongelma kasvaa hiljaa jokaisen uuden tekoälydatakeskuksen rinnalla: emolevyn hallintaohjain eli BMC. Tietoturvatutkijat esittelivät tällä viikolla havaintoja, joiden mukaan tuhansiin suurten valmistajien internetiin yhdistettyihin palvelimiin voidaan muodostaa etäyhteydellä takaovi näiden ohjainten haavoittuvuuksien kautta — jotkin puutteista ovat yli vuosikymmenen vanhoja. Tämä ei ole lainkaan tarina tekoälystä. Se on tarina laitteistosta, jolla tekoäly pyörii, ja se kannattaa ymmärtää, jos mietit, mistä seuraava tekoälyyn liittyvien tietoturvatöiden aalto saa alkunsa.

Mikä BMC oikeastaan on ja miksi se on pelottava

BMC on pieni, erillinen tietokone, joka on juotettu käytännössä jokaisen yrityspalvelimen emolevylle. Se käyttää omaa käyttöjärjestelmäänsä ja omaa verkkopinoaan, ja sillä on oma IP-osoite — täysin riippumatta siitä, mikä käyttöjärjestelmä ja mitkä sovellukset pääpalvelimella ovat käynnissä. Ylläpitäjät käyttävät BMC:itä ”lights-out”- eli ”out-of-band”-hallintaan: koneen uudelleenkäynnistämiseen, laiteohjelmiston uudelleenohjelmointiin ja käyttöjärjestelmän uudelleenasentamiseen, kaikki etänä ja ratkaisevasti myös silloin, kun pääpalvelin on sammutettu tai täysin reagoimaton.

Juuri se tekee vaarantuneesta BMC:stä myös niin vaarallisen. Hyökkääjän, joka pääsee yhteen sisään, ei tarvitse isäntäkoneen käyttöjärjestelmän olla käynnissä, hänen ei tarvitse ohittaa siihen asennettua päätelaitteen tietoturvaa, ja hän voi säilyttää pääsynsä käyttöjärjestelmän uudelleenasennusten yli, koska BMC sijaitsee kaikkien normaalien IT-tietoturvatyökalujen valvoman kerroksen alapuolella ja ulkopuolella. Tällä viikolla käsitellyn tutkimuksen mukaan useimmin esiin nouseva protokolla on IPMI, ja tietoturvatutkijat ovat varoittaneet tästä riskiluokasta ainakin vuodesta 2013 lähtien. Toisin sanoen kyseessä ei ole uusi bugi, vaan vanha ja tunnettu, rakenteellisesti vaikeasti korjattava bugiluokka, jota ala on sietänyt jo reilusti yli vuosikymmenen.

Miksi tällä on nyt entistä enemmän merkitystä

Tekoälyn rakentaminen on fyysisesti yksi historian suurimmista palvelinhankinta-aalloista — uusia ja laajennettuja datakeskuksia täytetään GPU-palvelinten riveillä niin nopeasti kuin toimittajat pystyvät niitä toimittamaan. Jokainen näistä palvelimista toimitetaan BMC:llä, koska BMC:t ovat tapa, jolla datakeskusten ylläpitäjät hallitsevat laitteistoja suuressa mittakaavassa; varastohallin kokoiseen rakennukseen ei voi kävellä ja käynnistää käsin uudelleen kymmentätuhatta konetta. Tekoälybuumi ei siis osta pelkästään laskentatehoa — se ostaa välttämättömyyden vuoksi samankokoisen laivaston pieniä, puutteellisesti valvottuja, out-of-band-tietokoneita, joilla on dokumentoitu, yli vuosikymmenen mittainen historia kriittisiä haavoittuvuuksia.

Tätä on tekninen velka: rakennusvauhti on optimoitu GPU:iden asentamiseen räkkikaappeihin ja harjoitusajojen käynnistämiseen, ei jokaisen niiden alla olevan emolevyn sisältämän hallintaohjelmiston auditoimiseen. Tämän viikon julkistamisen takana olleet tutkijat kuvasivat BMC:itä tiettävästi ”laajalle levinneeksi, puutteellisesti valvotuksi ja puutteellisesti paikatuiksi rinnakkaiseksi hyökkäyspinta-alaksi” — kuvaus on tekoälydatakeskusbuumia vanhempi, mutta juuri tämä buumi moninkertaistaa tuotannossa olevien BMC:iden määrän parhaillaan.

Tämän avaama niche

Jos hahmottelet, mihin tietoturvaurat ovat suuntaamassa tekoälyinfrastruktuurin rinnalla, useimmat ilmeiset väylät — mallien red teaming, prompt-injektioiden torjunta ja agenttien hallinta — ovat jo ruuhkaisia ja muualla hyvin katettuja. Laitteisto- ja out-of-band-tietoturvan auditointi ei ole. Se on infrastruktuurin tietoturvan mitäänsanomaton ja epäseksikäs nurkkaus, joka ei päädy tekoälyaiheisten keynote-esitysten aiheeksi, ja juuri siinä piilee aukko: kysyntä kasvaa jokaisen uuden datakeskuksen myötä, ja laiteohjelmistotason sekä out-of-band-hyökkäyspintojen ymmärtäjiä on vähän, koska kyseessä on aidosti eri taitokokonaisuus kuin sovellus- tai pilvitietoturva.

Tältä työ käytännössä näyttää:

  • Laiteohjelmisto- ja protokollatuntemus. IPMI:n (ja sen tunnettujen heikkouksien — kuten pitkään vanhentuneen cipher suite 0:n, joka on joissakin laitteissa edelleen oletusarvoisesti käytössä) ymmärtäminen riittävän hyvin, jotta voidaan arvioida, onko tietty palvelinlaivasto alttiina, eikä vain teoreettisesti haavoittuva.
  • Verkon segmentoinnin auditoinnit. Tarkistetaan, onko BMC-/hallintaliittymät todella eristetty omalle hallintaverkolleen vai ovatko ne tavoitettavissa tuotantoverkosta tai yleisestä internetistä — perustason kontrolli, joka luonnossa toistuvasti osoittautuu puuttuvaksi.
  • Tunnistetietojen ja paikkauskäytäntöjen tarkastelut. BMC:t toimitetaan usein oletus- tai valmistajan asettamilla tunnistetiedoilla ja laiteohjelmistolla, joka ei kuulu datakeskuksen normaaliin käyttöjärjestelmän päivitysrytmiin, koska kyseessä ei ole käyttöjärjestelmä — siksi se jää helposti sen tahon vastuualueen ulkopuolelle, joka vastaa ”paikkaamisesta”.
  • Toimittaja- ja toimitusketjutietoisuus. BMC-laiteohjelmiston kirjoittaa yleensä pieni joukko erikoistuneita toimittajia, ja sitä lisensoidaan palvelinvalmistajille, joten yhden toimittajan koodissa oleva puute voi levitä samanaikaisesti useisiin laitemerkkeihin — juuri näin tapahtui tämän viikon julkistamisessa. Työhön kuuluu tietää, mikä laiteohjelmistopino minkäkin palvelinmerkin alla toimii.

Miten asemoit itsesi tähän käytännössä

Tämä on aidosti niche-ala, ja on täysin perusteltua suhtautua epäillen siihen, kuinka monta sille omistettua tehtävää avautuu sen sijaan, että siitä tulee nykyisten infrastruktuuri- tai tietoturvatiimien sisäinen erikoistumisalue — ole itsellesi rehellinen siitä, että ”BMC-tietoturva-auditoija” saattaa lopulta olla taito, jonka lisäät laajempaan laitteisto-/datakeskustietoturvan tehtävään, eikä itsenäinen työnimike. Muutamat konkreettiset ja tarkistettavat askeleet ovat kuitenkin järkeviä joka tapauksessa: hanki käytännön kokemusta IPMI:stä ja out-of-band-hallintatyökaluista, jos sinulla on käytettävissä yrityspalvelimia tai vaikka käytettyä laitteistoa laboratorioympäristöön; lue suurten palvelin- ja BMC-laiteohjelmistojen valmistajien BMC-laiteohjelmistoja koskevia tietoturvatiedotteita, sillä niissä julkaistaan todellisia haavoittuvuustietoja, joita voit tutkia; ja jos työskentelet jo pilvi- tai infrastruktuuritietoturvan parissa, ala kysyä oman organisaatiosi datakeskus- tai laitehankintatiimiltä yksinkertainen, todennettavissa oleva kysymys — onko BMC-/IPMI-hallintatasomme eristetyssä verkossa, ja kuka vastaa sen paikkaamisesta? Jos kukaan ei osaa vastata varmasti, kyse ei ole vain havainnosta, vaan osoituksesta juuri siitä asiantuntemuksesta, jota tämä niche tarvitsee.