近年来，服务器上的管理接口，例如基板管理控制器（Baseboard Management Controller，BMC），一直是网络攻击的目标，包括勒索软件、植入和破坏性操作。常见的 BMC 漏洞，例如 Pantsdown 和 USBAnywhere，加上固件更新不及时，导致服务器容易受到攻击。
我们最近从一家可信的供应商获悉，我们服务器所用的流行 BMC 软件存在一个新的严重漏洞。下面概述有关发现，我们如何缓解影响，以及我们如何预防这些类型的漏洞对 Cloudflare 及客户产生影响。
背景
BMC 是一种小型的专用处理器，用于对主机系统进行远程监控和管理。该处理器与主机系统有多重连接，使其能够监视硬件、更新 BIOS 固件、启动/关闭主机等很多操作。
可以通过本地方式访问 BMC，有时也可以通过远程方式访问。在远程途径开放的情况下，恶意软件有可能通过 PCI Express 或低引脚数（LPC）接口从本地主机安装到 BMC 上。在 BMC 上的软件受到感染的情况下，恶意软件或间谍软件能在服务器上持久存在。
根据国家漏洞数据库（National Vulnerability Database），两款 BMC 芯片（ASPEED AST2400 和 AST2500） 实施了高级高性能总线 （AHB）桥，后者允许从主机对 BMC 物理地址空间的任意读写访问。这意味着服务器上运行的恶意软件也可以访问 BMC 的 RAM。
这些 BMC 漏洞足以使勒索软件传播、服务器变砖和数据窃取成为可能。
受影响的版本
由于 BMC 中发现的软件漏洞，发现有多个漏洞影响到 QuantaGrid D52B 云服务器。这些漏洞与 AST2400 和 AST2500 上暴露的特定接口相关，在 CVE-2019-6260 中已有说明。易受攻击的接口为：
iLPC2AHB bridge Pt I
iLPC2AHB bridge Pt II
PCIe VGA P2A bridge
经 X-DMA 对/来自任意 BMC 内存的 DMA（直接内存访问）
基于 UART 的 SoC 调试接口
LPC2AHB bridge
PCIe BMC P2A bridge
Watchdog 配置
攻击者可以通过带内 LPC 或 BMC 调试 UART （通用异步收发传输器）串行控制台，直接使用 SoCFlash 更新 BMC。虽然这可能被认为是完全损坏情况下的常见路径，但实际上是在 SoCFlash 中使用任何开放接口进行刷新的滥用。
缓解与回应
更新固件
我们联系了制造商之一的 Quanta，证实一个系统子集内的现有固件实际上已经针对这些漏洞打了补丁。虽然我们固件中的部分版本没有漏洞，但其他版本有。针对我们服务器中受影响的 BMC，已发布、测试并部署了一个补丁。
Cloudflare 安全和基础设施团队还主动与其他制造商合作，验证他们自己的 BMC 补丁是否明确易受这些固件漏洞和接口的攻击。
降低 BMC 远程接口的暴露
在我们的数据中心中，实施网络隔离来分开不同的流量平面是一种标准做法。我们的带外网络并不对外开放，仅可在各自的数据中心内访问。对任何管理网络的访问要使用一个纵深防御方式，通过我们的 Zero Trust Cloudflare One 服务限制对任何跳转主机的连接和身份验证/授权。
降低 BMC 本地接口的暴露
主机内的应用程序对 BMC 的调用受到限制。这样做是为了限制从主机对 BMC 能采取的操作，并允许安全的带内更新和用户空间日志记录和监控。
不使用默认密码
这听起来像是大多数公司的常识，但我们依然遵循一个标准的流程，不仅更改 BMC 软件的默认用户名和密码，而且禁用默认帐户以防其被利用。任何静态帐户都遵循定期密码轮换。
BMC 日志记录和审计
我们默认记录 BMC 上的所有活动。捕获的日志包括如下：
身份验证（成功，失败）
授权（用户/服务）
接口（SOL、CLI、UI）
系统状态（开/关机，重启）
系统更改（固件更新，刷新方式）
我们能够确认没有检测到任何恶意活动。
针对 BMC 的下一步行动
Cloudflare 经常与几家原始设计制造商（ODM）合作，根据我们自己的规范生产性能最高、高效和安全的计算系统。我们的基板管理系统控制器所用的标准处理器通常带有专用固件，对我们和我们的 ODM 而言，透明度较低，维护更加麻烦。我们相信，对我们在全球 270 多个城市运行的系统而言，每个组件都能得到改进。
OpenBMC
我们正在推进 OpenBMC，这是用于我们受支持的基板管理控制器的开源固件。OpenBMC 基于 Yocto 项目（一个用于嵌入式 Linux 系统的工具链），将使我们能够根据自己的规范，基于最新的 Linux 内核特性集指定、构建和配置我们自己的固件，类似于物理硬件和 ODM。
OpenBMC 固件将能实现：
稳定及已打补丁的最新 Linux 内核
内部管理的 TLS 证书，用于通过我们隔离的管理网络进行安全、可信的通信
细粒度的凭据管理
对补丁和关键更新的更快响应时间
虽然这些特征中的很多是由社区驱动的，但诸如 Pantsdown 这样的漏洞迅速得到修补。
扩展安全启动
您可能已经了解到我们有关使用硬件信任根来保护启动过程的工作，但 BMC 有自己的启动过程，通常在系统加电后就开始了。我们所用 BMC 芯片的更新版本，以及利用最先进的安全协处理器，使我们能够通过验证 BMC/OpenBMC 固件的加密签名，将安全启动能力扩大至加载 UEFI 固件前。通过将安全启动过程扩大到系统上加电的第一个设备，我们显著减少了可用于摧毁服务器的恶意植入软件的影响。
总结
虽然最终可以通过 Quanta 的固件更新来快速解决这个漏洞，并通过我们的团队快速行动来验证和修补我们的服务器，但我们仍在通过 OpenBMC 和安全信任根来继续创新，以确保我们的服务器尽可能安全。我们非常感激合作伙伴的快速行动，并始终乐于报告任何风险和我们的缓解措施，以确保您能相信我们有多么重视您的安全。