IPMI : Intelligent Platform Management Interface
Infrastructure
IPMI : Intelligent Platform Management Interface, norme de gestion à distance des serveurs, indépendante du système d'exploitation. « Un second ordinateur caché dans le serveur, qui peut l'allumer, l'éteindre et tout réinstaller, et que l'on oublie volontiers de mettre à jour », par analogie avec le double des clés confié au gardien : très pratique, tant que personne d'autre ne sait où loge le gardien.
Repères : Publiée en 1998 par Intel, Hewlett-Packard, NEC et Dell, la norme s'appuie sur un BMC (Baseboard Management Controller), un microcontrôleur de la carte mère qui reste actif tant que le serveur est sous tension, même éteint. Il donne accès à la console, à l'alimentation, aux capteurs et souvent à un lecteur virtuel pour réinstaller le système. La version 2.0 date de 2004.
Faiblesses connues : IPMI 2.0, sur le port UDP 623, souffre d'un défaut de conception de son échange d'authentification RAKP (Remote Authenticated Key-Exchange Protocol), documenté en 2013 par Dan Farmer : un attaquant peut obtenir une empreinte du mot de passe d'un compte et la casser hors ligne. Certaines implémentations acceptaient aussi le « cipher 0 », qui se dispense d'authentification, ce qui simplifie la vie de tout le monde.
Successeur : Redfish, publié par le DMTF (Distributed Management Task Force) à partir de 2015, propose une interface REST sur HTTPS. Il modernise le protocole, pas l'exposition : un BMC joignable depuis internet reste un BMC joignable depuis internet.
Ce qui arrive si on s'en passe
Un BMC exposé sur le réseau de production ou sur internet permet à un attaquant de récupérer les empreintes de mots de passe IPMI, de les casser, puis de prendre la main sur le serveur à un niveau que le système d'exploitation ne voit pas : redémarrage, accès console, démarrage sur une image piégée. Les micrologiciels de BMC sont rarement mis à jour, ont connu des failles graves, et conservent souvent le mot de passe d'usine. Isoler les interfaces de gestion dans un réseau dédié, désactiver IPMI sur le réseau quand Redfish suffit et changer les identifiants dès la mise en service ferment l'essentiel des portes.
Explication de la marmotte
Les serveurs professionnels contiennent une petite puce indépendante qui permet de les gérer à distance, même quand ils sont éteints ou bloqués : on peut les rallumer, voir leur écran ou réinstaller leur système. IPMI est la norme qui définit cette gestion à distance. C'est très pratique pour les administrateurs, mais un attaquant qui y accède contrôle entièrement le serveur. Ces accès doivent donc être placés sur un réseau séparé, protégés par des mots de passe solides et tenus à jour.
Où ce terme est utilisé
- Comment sécuriser firmware UEFI, réseau et BMC (3 occurrences)
- Durcir un serveur Linux avant la mise en production, checklist (2 occurrences)