La Interfaz de administración de plataforma inteligente ( IPMI ) es un conjunto de especificaciones de interfaz de computadora para un subsistema de computadora autónomo que proporciona capacidades de administración y monitoreo independientemente de la CPU , el firmware ( BIOS o UEFI ) y el sistema operativo del sistema host . IPMI define un conjunto de interfaces que utilizan los administradores de sistemas para la gestión fuera de banda de los sistemas informáticos.y seguimiento de su funcionamiento. Por ejemplo, IPMI proporciona una forma de administrar una computadora que puede estar apagada o que no responde mediante el uso de una conexión de red al hardware en lugar de a un sistema operativo o shell de inicio de sesión. Otro caso de uso puede ser la instalación remota de un sistema operativo personalizado . Sin IPMI, la instalación de un sistema operativo personalizado puede requerir que un administrador esté físicamente presente cerca de la computadora, inserte un DVD o una unidad flash USB que contenga el instalador del sistema operativo y complete el proceso de instalación usando un monitor y un teclado. Con IPMI, un administrador puede montar una imagen ISO , simular un DVD de instalación y realizar la instalación de forma remota.[1]
La especificación está dirigida por Intel y se publicó por primera vez el 16 de septiembre de 1998. Cuenta con el respaldo de más de 200 proveedores de sistemas informáticos, como Cisco , Dell , [2] Hewlett Packard Enterprise , Intel , OnLogic , Marvell Semiconductor , NEC Corporation , SuperMicro y Tyan . [3] [4]
El sucesor del IPMI es Redfish .
Funcionalidad
El uso de una interfaz y un protocolo estandarizados permite que el software de administración de sistemas basado en IPMI administre múltiples servidores dispares. Como especificación de interfaz a nivel de hardware basada en mensajes, IPMI funciona independientemente del sistema operativo (SO) para permitir a los administradores gestionar un sistema de forma remota en ausencia de un sistema operativo o del software de gestión del sistema . Por tanto, las funciones de IPMI pueden funcionar en cualquiera de estos tres escenarios:
- antes de que se inicie un sistema operativo (lo que permite, por ejemplo, la supervisión remota o el cambio de la configuración del BIOS)
- cuando el sistema está apagado
- después de una falla del sistema operativo o del sistema: la característica clave de IPMI en comparación con la administración del sistema en banda es que permite el inicio de sesión remoto en el sistema operativo mediante SSH
Los administradores del sistema pueden usar la mensajería IPMI para monitorear el estado de la plataforma (como temperaturas del sistema, voltajes, ventiladores, fuentes de alimentación e intrusión en el chasis); para consultar información de inventario; para revisar los registros de hardware de las condiciones fuera de rango; o para realizar procedimientos de recuperación, como emitir solicitudes desde una consola remota a través de las mismas conexiones, por ejemplo, apagar y reiniciar el sistema, o configurar temporizadores de vigilancia . El estándar también define un mecanismo de alerta para que el sistema envíe una trampa de eventos de plataforma (PET) de protocolo de administración de red simple (SNMP).
El sistema monitoreado puede estar apagado, pero debe estar conectado a una fuente de energía y al medio de monitoreo, generalmente una conexión de red de área local (LAN). IPMI también puede funcionar después de que se haya iniciado el sistema operativo y expone las estructuras y los datos de gestión al software de gestión del sistema. IPMI prescribe solo la estructura y el formato de las interfaces como estándar, mientras que las implementaciones detalladas pueden variar. Una implementación de IPMI versión 1.5 puede comunicarse a través de una red de área local (LAN) directa fuera de banda o una conexión en serie o mediante una conexión de red de área local (LAN) de banda lateral a un cliente remoto . La conexión LAN de banda lateral utiliza el controlador de interfaz de red (NIC) de la placa . Esta solución es menos costosa que una conexión LAN dedicada, pero también tiene un ancho de banda limitado y problemas de seguridad.
Los sistemas que cumplen con la versión 2.0 de IPMI también pueden comunicarse vía serie a través de LAN , por lo que la salida de la consola serie puede verse de forma remota a través de la LAN. Los sistemas que implementan IPMI 2.0 generalmente también incluyen KVM sobre IP , medios virtuales remotos y funcionalidad de interfaz de servidor web integrada fuera de banda, aunque estrictamente hablando, estos se encuentran fuera del alcance del estándar de interfaz IPMI.
DCMI (Data Center Manageability Interface) es un estándar similar basado en IPMI pero diseñado para ser más adecuado para la gestión de Data Center : utiliza las interfaces definidas en IPMI, pero minimiza el número de interfaces opcionales e incluye control de limitación de energía, entre otras diferencias.
Componentes de IPMI
Un subsistema IPMI consta de un controlador principal, denominado controlador de gestión de placa base (BMC) y otros controladores de gestión distribuidos entre diferentes módulos del sistema que se denominan controladores satélite. Los controladores de satélite dentro del mismo chasis se conectan al BMC a través de la interfaz del sistema denominada Bus / Puente de administración de plataforma inteligente (IPMB), una implementación mejorada de I²C (Circuito interintegrado ). El BMC se conecta a controladores satélite u otro BMC en otro chasis a través del bus o puente del Controlador de administración de plataforma inteligente (IPMC). Puede administrarse con el Protocolo de control de administración remota (RMCP), un protocolo de cable especializado definido por esta especificación. RMCP + (un protocolo basado en UDP con una autenticación más fuerte que RMCP) se utiliza para IPMI sobre LAN.
Varios proveedores desarrollan y comercializan chips BMC. Un BMC utilizado para aplicaciones integradas puede tener memoria limitada y requerir un código de firmware optimizado para la implementación de la funcionalidad completa de IPMI. Los BMC altamente integrados pueden proporcionar instrucciones complejas y proporcionar la funcionalidad completa fuera de banda de un procesador de servicios. El firmware que implementa las interfaces IPMI lo proporcionan varios proveedores. Un repositorio de unidades reemplazables en el campo (FRU) contiene el inventario, como el ID del proveedor y el fabricante, de los dispositivos potencialmente reemplazables. Un depósito de registros de datos de sensores (SDR) proporciona las propiedades de los sensores individuales presentes en la placa. Por ejemplo, la placa puede contener sensores de temperatura, velocidad del ventilador y voltaje.
Controlador de gestión de placa base
El controlador de gestión de la placa base (BMC) proporciona la inteligencia en la arquitectura IPMI. Es un microcontrolador especializado incrustado en la placa base de una computadora , generalmente un servidor . El BMC administra la interfaz entre el software de administración del sistema y el hardware de la plataforma. BMC tiene su propio firmware y RAM.
Los diferentes tipos de sensores integrados en el sistema informático informan al BMC sobre parámetros como la temperatura , la velocidad del ventilador de enfriamiento , el estado de la energía , el estado del sistema operativo (SO), etc.El BMC monitorea los sensores y puede enviar alertas a un administrador del sistema a través del red si alguno de los parámetros no se mantiene dentro de los límites preestablecidos, lo que indica una falla potencial del sistema. El administrador también puede comunicarse de forma remota con el BMC para tomar algunas acciones correctivas, como reiniciar o apagar y encender el sistema para que un sistema operativo colgado vuelva a funcionar. Estas capacidades reducen el costo total de propiedad de un sistema.
Los sistemas que cumplen con la versión 2.0 de IPMI también pueden comunicarse vía serie a través de LAN , por lo que la salida de la consola serie puede verse de forma remota a través de la LAN. Los sistemas que implementan IPMI 2.0 generalmente también incluyen KVM sobre IP , medios virtuales remotos y funcionalidad de interfaz de servidor web integrada fuera de banda, aunque estrictamente hablando, estos se encuentran fuera del alcance del estándar de interfaz IPMI.
Las interfaces físicas para el BMC incluyen SMBuses , una consola serie RS-232 , direcciones y líneas de datos y un Bus de administración de plataforma inteligente (IPMB), que permite al BMC aceptar mensajes de solicitud IPMI de otros controladores de administración en el sistema.
Una conexión en serie directa al BMC no está cifrada, ya que la conexión en sí es segura. La conexión al BMC a través de LAN puede utilizar o no cifrado según las preocupaciones de seguridad del usuario.
Existe una creciente preocupación sobre la seguridad general con respecto a las BMC como una infraestructura cerrada. [5] [6] [7] [8] OpenBMC es un proyecto BMC de código abierto colaborativo de Linux Foundation . [9]
Seguridad
Problemas históricos
El 2 de julio de 2013, Rapid7 publicó una guía para las pruebas de penetración de seguridad del último protocolo IPMI 2.0 y las implementaciones de varios proveedores. [10]
Algunas fuentes en 2013 desaconsejaban el uso de la versión anterior de IPMI, [5] debido a problemas de seguridad relacionados con el diseño y las vulnerabilidades de los controladores de gestión de la placa base (BMC). [11] [12]
Sin embargo, como para cualquier otra interfaz de administración, las mejores prácticas de seguridad dictan la ubicación del puerto de administración IPMI en una LAN o VLAN de administración dedicada restringida a administradores confiables. [13]
Las últimas mejoras de seguridad de la especificación IPMI
La especificación de IPMI se ha actualizado con RAKP + y un cifrado más fuerte que es imposible de descifrar desde el punto de vista computacional. [14] Como resultado, los proveedores han proporcionado parches que corrigen estas vulnerabilidades. [ cita requerida ]
La organización DMTF ha desarrollado una especificación de interfaz segura y escalable llamada Redfish para trabajar en entornos de centros de datos modernos. [15]
Soluciones potenciales
Existen algunas soluciones potenciales fuera del estándar IPMI, dependiendo de las implementaciones propietarias. El uso de contraseñas cortas predeterminadas o hackeos de "cifrado 0" se puede superar fácilmente con el uso de un servidor RADIUS para autenticación, autorización y contabilidad sobre SSL, como es típico en un centro de datos o en cualquier implementación de tamaño mediano a grande. El servidor RADIUS del usuario se puede configurar para almacenar AAA de forma segura en una base de datos LDAP utilizando FreeRADIUS / OpenLDAP o Microsoft Active Directory y servicios relacionados.
El acceso basado en roles proporciona una forma de responder a problemas de seguridad actuales y futuros al aumentar las restricciones para roles superiores. El acceso basado en roles es compatible con tres roles disponibles: Administrador, Operador y Usuario.
En general, la función de usuario tiene acceso de solo lectura al BMC y no tiene capacidad de control remoto, como el ciclo de energía o la capacidad de ver o iniciar sesión en la CPU principal en la placa base. Por lo tanto, cualquier pirata informático con el rol de Usuario no tiene acceso a información confidencial ni control sobre el sistema. El rol de Usuario se usa generalmente para monitorear las lecturas del sensor, después de que el software de monitoreo de red SNMP haya recibido una alerta SNMP.
El rol de Operador se usa en el caso poco común de que un sistema se cuelgue, para generar un archivo de volcado de núcleo / bloqueo de NMI y reiniciar o apagar y encender el sistema. En tal caso, el operador también tendrá acceso al software del sistema para recopilar el archivo de volcado de memoria / caída.
La función de administrador se utiliza para configurar el BMC en el primer arranque durante la puesta en servicio del sistema cuando se instala por primera vez.
Por lo tanto, la mejor práctica prudente es deshabilitar el uso de los roles de operador y administrador en LDAP / RADIUS, y habilitarlos solo cuando los necesite el administrador de LDAP / RADIUS. Por ejemplo, en RADIUS un rol puede tener su configuración Auth-Type cambiada a:
Auth-Type: = Rechazar
Si lo hace, evitará que los ataques hash RAKP tengan éxito ya que el servidor RADIUS rechazará el nombre de usuario.
Historial de versiones
La especificación estándar de IPMI ha evolucionado a través de una serie de iteraciones: [16] [17]
- v1.0 se anunció el 16 de septiembre de 1998: especificación base
- v1.5, publicada el 21 de febrero de 2001: características agregadas que incluyen IPMI sobre LAN, IPMI sobre serie / módem y alertas de LAN
- v2.0, publicada el 12 de febrero de 2004: características agregadas que incluyen Serial over LAN, Group Managed Systems, Autenticación mejorada, Firmware Firewall y Soporte VLAN
- v2.0 revisión 1.1, publicada el 1 de octubre de 2013: modificada para erratas, aclaraciones y anexos, además de compatibilidad con el direccionamiento IPv6
- v2.0 revisión 1.1 Errata 7, publicada el 21 de abril de 2015: modificada para erratas, aclaraciones, adiciones [18]
Implementaciones
- HP Integrated Lights-Out , la implementación de IPMI de HP
- Dell DRAC , implementación de IPMI de Dell
- GNU FreeIPMI , software IPMI proporcionado bajo la Licencia Pública General GNU
- IBM Remote Supervisor Adapter , productos de gestión fuera de banda de IBM , incluidas las implementaciones de IPMI
- MegaRAC , el producto de administración fuera de banda de AMI y el firmware OEM IPMI utilizado en, por ejemplo , placas base ASUS , Tyan y Supermicro
- Avocent MergePoint Embedded Management Software, un firmware IPMI OEM utilizado en, por ejemplo, placas base Gigabyte y Dell
Ver también
- Formato estándar de alerta (ASF), otro estándar de gestión de plataforma
- Arquitectura de escritorio y móvil para hardware del sistema (DASH), otro estándar de gestión de plataforma
- Intel Active Management Technology (AMT), el producto de administración fuera de banda de Intel, como alternativa a IPMI
- Gallineta nórdica (especificación)
- Protocolo de transporte de componentes de gestión (MCTP), un protocolo de bajo nivel que se utiliza para controlar componentes de hardware
- Arquitectura de gestión de plataforma abierta (OPMA), el estándar de gestión fuera de banda de AMD
- Procesador de servicio del sistema , en algunas máquinas SPARC
- Cableado para la gestión (WfM)
Referencias
- ^ "Supermicro IPMI - ¿Qué es y qué puede hacer por usted?" . Consultado el 27 de febrero de 2018 .
- ^ Una introducción a la interfaz de gestión de plataforma inteligente
- ^ "Interfaz de gestión de plataforma inteligente; Lista de adoptantes" . Intel . Consultado el 9 de agosto de 2014 .
- ^ Chernis, PJ (1985). "Análisis petrográficos de muestras de conductividad térmica especial URL-2 y URL-6". doi : 10.4095 / 315247 . Cite journal requiere
|journal=
( ayuda ) - ^ a b "El sistema de escuchas clandestinas en su computadora - Schneier sobre seguridad" . Schneier.com . 2013-01-31 . Consultado el 5 de diciembre de 2013 .
- ^ "Blog del diario de los controladores de InfoSec - IPMI: Hackear servidores que están" apagados " " . Isc.sans.edu . 2012-06-07 . Consultado el 29 de mayo de 2015 .
- ^ Goodin, Dan (16 de agosto de 2013). " " Sanguijuela chupa sangre "pone a 100.000 servidores en riesgo de ataques potentes" . Arstechnica.com . Consultado el 29 de mayo de 2015 .
- ^ Anthony J. Bonkoski; Russ Bielawski; J. Alex Halderman (2013). "Iluminando los problemas de seguridad que rodean la gestión del servidor Lights-Out. Taller de Usenix sobre tecnologías ofensivas" (PDF) . Usenix.org . Consultado el 29 de mayo de 2015 .
- ^ "La comunidad del proyecto OpenBMC se reúne en la Fundación Linux para definir la implementación de código abierto de la pila de firmware BMC - La Fundación Linux" . La Fundación Linux . 2018-03-19 . Consultado el 27 de marzo de 2018 .
- ^ "Metasploit: guía de un probador de penetración para IPMI y BMC" . Rapid7.com . 2013-07-02 . Consultado el 5 de diciembre de 2013 .
- ^ "Vulnerabilidad de omisión de autenticación en IPMI 2.0 RAKP mediante el uso de cifrado cero" . websecuritywatch.com . 2013-08-23 . Consultado el 5 de diciembre de 2013 .
- ^ Dan Farmer (22 de agosto de 2013). "IPMI: tren de mercancías al infierno" (PDF) . fish2.com . Consultado el 5 de diciembre de 2013 .
- ^ Kumar, Rohit (19 de octubre de 2018). "Prácticas básicas de seguridad en la gestión de BMC e IPMI" . ServeTheHome . Consultado el 23 de diciembre de 2019 .
- ^ https://www.intel.com/content/www/us/en/servers/ipmi/ipmi-second-gen-interface-spec-v2-rev1-1.html
- ^ https://www.infoq.com/news/2015/08/redfish
- ^ "Interfaz de gestión de plataforma inteligente: ¿Qué es IPMI?" . Intel . Consultado el 9 de agosto de 2014 .
- ^ "Interfaz de gestión de plataforma inteligente; Especificaciones" . Intel . Consultado el 9 de agosto de 2014 .
- ^ IPMI - Ver2.0 Rev1.1 Errata7
enlaces externos
- Sitio web de recursos técnicos de Intel IPMI
- Una comparación de proyectos comunes de código abierto del software IPMI
- Proyecto coreIPM : firmware de código abierto para la gestión de la placa base IPMI
- GNU FreeIPMI
- ipmitool
- ipmiutil
- OpenIPMI
- IPMeye : acceso fuera de banda centralizado para empresas / Parte de la plataforma OneDDI de VendorN