Latar
Di dalam hampir setiap server enterprise, ada komponen kecil yang berjalan independen dari sistem operasi utama, punya jaringan sendiri, dan tetap aktif bahkan ketika server dalam keadaan mati. Komponen ini disebut Baseboard Management Controller, atau BMC, yang mengimplementasikan protokol bernama Intelligent Platform Management Interface, atau IPMI.
Tujuannya membantu administrator mengelola server dari jarak jauh tanpa perlu datang secara fisik, termasuk untuk menyalakan, mematikan, atau bahkan menginstal ulang sistem operasi lewat virtual media, semua tanpa perlu sistem operasi utama dalam keadaan menyala. Kekuatan yang sama inilah yang membuatnya berguna secara operasional, dan berisiko besar kalau tidak diamankan dengan benar.
Kenapa BMC Berbeda dari Komponen Lain
BMC punya papan sirkuit, prosesor, dan memori sendiri yang terpisah dari komponen utama server, cukup independen untuk terus berjalan meski server induknya mati total. Web interface dan network interface card-nya juga berdiri sendiri, sering terhubung ke port jaringan khusus yang terpisah dari network interface utama server.
Yang membuatnya unik adalah tingkat privilege yang dimilikinya terhadap server induknya. Karena tujuannya memungkinkan manajemen penuh terhadap server bahkan saat sistem operasi tidak berjalan, akses ke BMC secara efektif setara dengan akses fisik ke server tersebut. Siapa pun yang memegang kontrol BMC bisa menyalakan atau mematikan server, mengarahkan proses boot ke media virtual yang dikontrolnya sendiri, hingga mengakses konsol server secara langsung seolah duduk di depannya.
Kerentanan yang Konsisten Ditemukan pada Implementasi IPMI
Beberapa masalah keamanan pada IPMI sudah dikenal luas di komunitas security, namun tetap konsisten ditemukan di lapangan karena sering tidak masuk dalam radar tim yang bertanggung jawab atas hardening server.
Kredensial default yang tidak pernah diganti adalah yang paling umum, banyak vendor server mengapal BMC dengan kredensial standar yang terdokumentasi secara publik di manual produk, dan penggantiannya sering terlewat karena BMC dianggap komponen pendukung, bukan sistem utama yang butuh perhatian khusus.
Kerentanan pada protokol autentikasi IPMI versi 2.0, khususnya pada mekanisme RAKP (RMCP+ Authenticated Key-Exchange Protocol), juga jadi masalah struktural yang sudah lama didokumentasikan di komunitas riset keamanan. Pada implementasi yang rentan, server BMC mengirimkan hash password terenkripsi sebagai bagian dari proses handshake, sebelum proses autentikasi itu sendiri selesai divalidasi. Hash ini kemudian bisa dibawa keluar dan dicoba dipecahkan secara offline. Perlu dicatat, ini bukan berlaku ke semua implementasi IPMI 2.0, jadi verifikasi terhadap vendor dan versi firmware tertentu tetap diperlukan sebelum menyimpulkan sebuah perangkat rentan.
Eksposur jaringan yang lebih luas dari yang seharusnya juga sering terjadi, ketika port manajemen BMC terhubung ke segmen jaringan yang sama dengan trafik produksi biasa, bukan ke jaringan manajemen khusus yang terisolasi.
Dampak Ketika BMC Berhasil Dikompromikan
Kontrol penuh terhadap BMC berarti kontrol penuh terhadap server fisik yang dinaunginya, terlepas dari seberapa kuat pengamanan pada sistem operasi dan aplikasi yang berjalan di atasnya. Penyerang yang memegang akses BMC bisa mengarahkan server untuk boot dari media yang dikontrolnya sendiri, memungkinkan instalasi backdoor pada level yang jauh lebih dalam dari sistem operasi, atau bahkan sekadar mematikan server sesuka hati sebagai bentuk gangguan operasional.
Yang membuat ini lebih berbahaya, aktivitas pada level BMC umumnya tidak tercatat oleh sistem logging dan monitoring yang berjalan di dalam sistem operasi utama, karena BMC beroperasi sepenuhnya independen dari sistem tersebut. Kompromi di level ini bisa berlangsung tanpa terdeteksi oleh mekanisme monitoring standar yang biasa diandalkan tim keamanan.
Rekomendasi
Ganti kredensial default BMC segera setelah server diterima dari vendor. Jangan pernah membiarkan kredensial bawaan pabrik tetap aktif, terlepas dari seberapa jarang interface ini diakses.
Isolasi jaringan manajemen BMC pada VLAN atau segmen fisik terpisah yang hanya bisa diakses oleh administrator yang berwenang. Interface BMC tidak seharusnya bisa dicapai dari segmen jaringan produksi biasa.
Nonaktifkan IPMI versi 2.0 cipher suite yang diketahui rentan, atau upgrade ke mekanisme autentikasi yang lebih baru jika didukung perangkat. Periksa dokumentasi vendor untuk update firmware yang menangani kelemahan protokol yang sudah dikenal.
Batasi akses ke interface BMC menggunakan kombinasi firewall dan autentikasi yang kuat, termasuk multi-factor authentication jika didukung. Perlakukan akses ke BMC setara dengan akses administratif tingkat tinggi lainnya.
Masukkan BMC ke dalam inventaris aset dan siklus patching resmi, bukan sebagai komponen yang terlupakan. Firmware BMC perlu diperbarui secara rutin sama seperti sistem operasi dan aplikasi di atasnya.
Penutup
BMC dan protokol IPMI mewakili sebuah paradoks menarik dalam keamanan infrastruktur: komponen yang dirancang untuk memberi kontrol penuh kepada administrator yang sah, justru memberikan kontrol yang sama persis kepada siapa pun yang berhasil mengaksesnya tanpa izin. Level akses yang dimilikinya melampaui sistem operasi, sehingga proteksi terhadapnya juga harus melampaui apa yang biasa diterapkan pada level aplikasi.
Server sekuat apa pun proteksinya di level sistem operasi, tetap rentan sepenuhnya kalau komponen manajemen di bawahnya diabaikan.
Jika Anda ingin memastikan interface manajemen server di infrastruktur Anda tidak menjadi celah yang terlupakan, tim Security Squad LOGIQUE siap membantu.
