Scommetto che pensavate che il vostro perimetro di sicurezza fosse solido come le mura di Hogwarts, e invece siamo tutti in un episodio di Mr. Robot senza nemmeno averlo scelto.
Recentemente è emerso che i Baseboard Management Controllers (BMC) di alcuni dei più grandi produttori di hardware al mondo sono un vero e un disastro di sicurezza. Per chi non ha passato le ultime notti a compilare kernel custom, il BMC è quel piccolo computer dentro il server che serve ai sysadmin per gestire tutto da remoto: accendere, spegnere, monitorare le temperature… un vero comodino digitale. Il problema è che questo componente, che dovrebbe essere il guardiano del castello, si è rivelato avere una serratura che si apre con uno stuzzicadenti.
Il succo della questione è che questi controller sono pieni di bug che permettono di inserire delle backdoor. Non stiamo parlando di un semplice script che ti manda una notifica su Telegram, ma di un accesso profondo, a livello hardware, che bypassa quasi ogni controllo software che avete implementato con tanto amore. Se un attaccante riesce a colpire il BMC, il vostro sistema operativo, i vostri firewall e le vostre policy di sicurezza diventano praticamente dei soprammobili inutili.
È la solita storia: i giganti del settore lanciano hardware su scala industriale, corrono per battere la concorrenza e si dimenticano che il firmware non è solo un dettaglio tecnico, ma la base su cui poggia tutto il resto. È quel classico approccio ‘release now, patch later’ che però, quando si parla di infrastrutture critiche, non è affatto divertente. E non fatevi illusioni: anche se la notizia arriva da fonti internazionali e riguarda i colossi del mercato globale, l’impatto sui datacenter e sulle infrastrutture che gestiamo anche qui in Italia è enorme. Se il cuore dell’internet globale è vulnerabile, anche la nostra piccola porzione di rete è a rischio.
La cosa che fa più rabbia è la mancanza di trasparenza e la difficoltà di gestire queste patch. Non è come aggiornare un container Docker su Kubernetes; qui si parla di firmware, di roba che se sbagli il flash rischi di trasformare un server da diecimila euro in un fermacarte molto costoso.
Insomma, un promemoria brutale: non fidatevi mai ciecamente dell’hardware che comprate solo perché ha un brand famoso sulla scatola. La sicurezza inizia molto prima del primo comando sudo.
Source: Thousands of servers can be backdoored by exploiting buggy motherboard controllers