Cảnh báo bảo mật: Hơn 24.000 thiết bị BMC đang rò rỉ mã băm mật khẩu IPMI ra công khai

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Hơn 24.650 thiết bị BMC (Baseboard Management Controller) đang phơi bày mã băm mật khẩu IPMI trên internet.
• Lỗ hổng cho phép kẻ tấn công thu thập mã băm mà không cần xác thực, tạo điều kiện cho các cuộc tấn công brute-force ngoại tuyến.
• Quản trị viên hệ thống cần ngay lập tức cô lập các cổng IPMI khỏi internet công cộng và thực hiện các biện pháp bảo mật phân lớp.

Trong thế giới quản trị hạ tầng, sự tiện lợi thường là kẻ thù lớn nhất của bảo mật. Việc quản lý máy chủ từ xa thông qua giao diện BMC (Baseboard Management Controller) là một tiêu chuẩn không thể thiếu, nhưng khi các cổng này bị phơi bày trực tiếp ra internet mà không có lớp bảo vệ, chúng trở thành những "mỏ vàng" cho tin tặc. Một phát hiện mới đây cho thấy hơn 24.650 thiết bị BMC đang vô tư cung cấp mã băm mật khẩu IPMI cho bất kỳ ai gửi một yêu cầu truy vấn đơn giản, một sai lầm chết người có thể dẫn đến việc kiểm soát toàn bộ hệ thống.

Bản chất của lỗ hổng IPMI

Giao thức IPMI (Intelligent Platform Management Interface) được thiết kế để quản trị phần cứng máy chủ độc lập với hệ điều hành. Tuy nhiên, cơ chế xác thực của nó, đặc biệt là trong các phiên bản cũ hoặc cấu hình sai, cho phép kẻ tấn công thực hiện yêu cầu RAKP (Remote Authentication Dial-In User Service Key Exchange) mà không cần xác thực trước. Kết quả là, thiết bị sẽ phản hồi lại bằng mã băm (hash) của mật khẩu người dùng.

Khi có được mã băm này, kẻ tấn công có thể dễ dàng thực hiện các cuộc tấn công brute-force hoặc dictionary attack ngoại tuyến để khôi phục mật khẩu gốc. Nếu bạn đang quản lý hạ tầng, đây là lúc cần xem xét lại chiến lược bảo mật, tương tự như cách chúng ta phải giải mã giải pháp bảo mật và quản trị hạ tầng hiện đại để tránh những kẽ hở không đáng có.

Bảng thống kê rủi ro hạ tầng

Dưới đây là bảng phân tích các mức độ rủi ro liên quan đến việc phơi bày BMC:

Tại sao BMC lại trở thành điểm yếu?

Nhiều quản trị viên thường bỏ qua việc cấu hình bảo mật cho các thiết bị quản lý phần cứng vì họ coi đây là vùng "an toàn" phía sau tường lửa. Tuy nhiên, trong kỷ nguyên làm việc từ xa và hạ tầng đám mây lai, việc xây dựng hệ thống báo cáo bảo mật tự động là bắt buộc. Nếu không có các công cụ giám sát, bạn sẽ không bao giờ biết được thiết bị của mình đang bị truy vấn trái phép.

Lưu ý: Tuyệt đối không bao giờ để cổng IPMI (thường là cổng 623 UDP) mở trực tiếp ra internet công cộng. Nếu cần truy cập từ xa, hãy sử dụng VPN hoặc các giải pháp truy cập an toàn (Zero Trust).

Đánh giá & Lời khuyên Thực tiễn

Từ góc nhìn của một kỹ sư hệ thống, việc phơi bày BMC là một lỗi thiết kế nghiêm trọng trong quy trình triển khai (deployment).

• Ưu điểm: IPMI cung cấp khả năng quản trị mạnh mẽ, cho phép reset máy chủ, cài đặt OS từ xa ngay cả khi máy chủ đang tắt.
• Nhược điểm: Giao thức này vốn dĩ không được thiết kế cho môi trường mạng không tin cậy. Các phiên bản cũ (IPMI 1.5/2.0) có lỗ hổng bảo mật cố hữu.
• Lời khuyên:
  1. Sử dụng VPN để truy cập vào mạng quản lý (Management Network).
  2. Cấu hình ACL (Access Control List) trên tường lửa để chỉ cho phép các IP nội bộ cụ thể truy cập vào BMC.
  3. Luôn cập nhật firmware mới nhất từ nhà sản xuất (Supermicro, Dell, HP) để vá các lỗ hổng bảo mật đã biết.
  4. Nếu bạn đang chuyển đổi từ Monorepo sang Multi-repo, hãy đảm bảo rằng các cấu hình bảo mật hạ tầng được đồng bộ và kiểm soát chặt chẽ.

Câu hỏi thường gặp (FAQ)

Làm sao để biết thiết bị BMC của tôi có bị lộ không?

Bạn có thể sử dụng các công cụ quét mạng như nmap để kiểm tra xem cổng 623 UDP có đang mở ra internet hay không. Nếu có, hãy đóng nó ngay lập tức.

Nếu tôi đã bị lộ mã băm, tôi nên làm gì?

Hãy thay đổi mật khẩu quản trị BMC ngay lập tức và kiểm tra nhật ký truy cập (logs) để xem có bất kỳ hành vi đăng nhập bất thường nào không.

Có cách nào khác để quản lý máy chủ từ xa an toàn hơn không?

Có, hãy sử dụng các giải pháp quản lý hiện đại hơn như Redfish API với xác thực HTTPS/TLS hoặc các hệ thống quản lý tập trung có hỗ trợ MFA (Multi-Factor Authentication).

Kết luận

Sự cố với hơn 24.000 thiết bị BMC là một lời nhắc nhở đắt giá về tầm quan trọng của bảo mật hạ tầng. Đừng để sự tiện lợi của việc quản trị từ xa trở thành cánh cửa mở lối cho những kẻ tấn công. Hãy rà soát lại hệ thống của bạn ngay hôm nay, cô lập các cổng quản lý và áp dụng các tiêu chuẩn bảo mật khắt khe nhất. Nếu bạn quan tâm đến việc tối ưu hóa quy trình bảo mật, hãy theo dõi hi_dev để cập nhật những kiến thức mới nhất về an ninh mạng và hạ tầng kỹ thuật.