Fehlende oder falsche Sicherheitseinstellungen

Schwachstellen der IPMI-Schnittstelle

| Autor / Redakteur: Wolfgang Goretzki* / Stephan Augsten

Der Management-Zugriff auf Server über die IPMI-Schnittstelle erfordert zusätzliche Sicherheitsvorkehrungen.
Der Management-Zugriff auf Server über die IPMI-Schnittstelle erfordert zusätzliche Sicherheitsvorkehrungen. (Bild: Archiv)

Viele Unternehmen setzen beim Remote Server Management auf das Intelligent Platform Management Interface, kurz IPMI. Leider sind sie sich dabei häufig nicht der möglichen Sicherheitslücken bewusst. Besonders gefährdet ist das Kernelement, der Service-Prozessor oder Baseboard Management Controller.

Viele Unternehmen wissen zu wenig über potenzielle Anfälligkeiten von IPMI und Baseboard Management Controllern (BMCs). Gerade der BMC hat aber direkte Kontrolle über den Server und ermöglicht es, Software-Änderungen vorzunehmen, auf den Servern eine Hintertür zu installieren, Passwörter abzugreifen, Daten zu kopieren und weitergehende Angriffe zu starten.

Mit der Cipher-Suite-ID 0 ist ein Zugriff auf IPMI bei Konfiguration des IPMI-Stack ohne Authentifizierung möglich, sogar mit Administratorenrechten. Ein weiteres Problem ist die Möglichkeit des anonymen Logins: IPMI erlaubt die Konfiguration der Werte „NULL“ für Username und Passwort. Somit kann ohne Benutzername und Passwort zugegriffen werden.

Besonders schwierig dabei: Selbst bei einem Audit lässt sich nicht mehr nachvollziehen, wer auf den Server zugegriffen hat. Wenn Änderungen vorgenommen wurden, kann man nicht mehr bestimmen, wer diese durchgeführt hat. Im Zusammenhang mit dem „Get Channel Authentication Capabilities“-Kommando erhöht sich das Gefährdungspotential zusätzlich.

Weitere Möglichkeiten, in das System einzudringen, bietet die UPnP-Funktion (Universal Plug and Play). Sie vereinfacht es, sich über das Netzwerk mit dem Service-Prozessor zu verbinden, bietet aber vielfältige Angriffsmöglichkeiten. Einige BMCs speichern die IPMI-Passwörter zudem in Klartext. Diese Sicherheitslücke kann das gesamte Rechenzentrum gefährden, insbesondere wenn die gleichen Berechtigungen auch auf anderen Systemen verwendet werden.

Generell ist der Einsatz von identischen Anmeldeinformationen auf mehreren Systemen oder von Standard-Passwörtern nicht empfehlenswert. Die Übertragung des verschlüsselten Hash-Wertes des Passwortes zur Gegenstelle mit dem Remote Authenticated Key-Exchange Protocol (RAKP) ist nicht ausreichend sicher und kann mittels Brute-Force-Attacken offline geknackt werden.

Ergänzendes zum Thema
 
Eine sichere Umgebung schaffen

Falsch konfigurierte Netzwerke

Ganz oft bieten falsch konfigurierte Netzwerke Sicherheitslücken. Sehen wir uns dazu die Ausgangssituationen und Konfigurationen einmal genauer an: Die meisten BMCs ermöglichen direkte oder gemeinsame (shared) Konfigurationen für Netzwerkverbindungen. Gemeinsame Netzwerk-Verbindungen für Server und BMC ermöglichen den Zugriff auf den BMC über das Produktionsnetzwerk, wobei unterschiedliche MAC- und IP-Adressen verwendet werden.

Bei einer eigenen Netzwerkverbindung des BMC wird dieser hingegen physikalisch verbunden, entweder mit dem Produktionsnetzwerk oder (besser) mit einem privaten Management-Netzwerk. Die verschiedenen Möglichkeiten für die Einbindung von BMCs sind damit:

1. Logisch verbunden und logisch verwaltet: Der Service-Prozessor ist über einen gemeinsamen (shared) Netzwerkanschluss angeschlossen. Damit ist er automatisch physisch im Produktionsnetz vorhanden und nur logisch davon getrennt.

2. Physisch verbunden und logisch verwaltet: Der Service-Prozessor verfügt über eine eigene Netzwerkschnittstelle, ist über diese jedoch trotzdem an das Produktionsnetzwerk angeschlossen und nur logisch getrennt.

3. Physisch verbunden und physisch verwaltet: Der Service-Prozessor verfügt über eine eigene Netzwerkschnittstelle und diese ist in ein physisch separates Management-Netzwerk eingebunden.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43032941 / Server)