বিশ্বজুড়ে হাজারো সার্ভারে লুকানো ব্যাকডোর ঝুঁকি: মাদারবোর্ড কন্ট্রোলারের ত্রুটিতে বিপদে বড় প্রতিষ্ঠান

এন্টারপ্রাইজ সার্ভার প্রযুক্তির এমন একটি অংশে ধরা পড়েছে গুরুতর নিরাপত্তা দুর্বলতা, যা বিশ্বের অধিকাংশ ডেটা সেন্টারের মেরুদণ্ড বলা চলে। সাম্প্রতিক গবেষণায় জানা গেছে, বিশ্বের শীর্ষস্থানীয় সার্ভার নির্মাতাদের তৈরি হাজার হাজার ইন্টারনেট-সংযুক্ত সার্ভার দূর থেকে ব্যাকডোর করা সম্ভব—শুধুমাত্র মাদারবোর্ডের গভীরে লুকিয়ে থাকা কিছু ত্রুটির মাধ্যমে, যার কিছু কিছু এক দশকেরও বেশি পুরোনো।

BMC আসলে কী এবং কেন এটি এত গুরুত্বপূর্ণ

প্রতিটি এন্টারপ্রাইজ সার্ভারের মাদারবোর্ডে এমবেড করা থাকে বেসবোর্ড ম্যানেজমেন্ট কন্ট্রোলার (BMC) নামের এক ধরনের ক্ষুদ্র কম্পিউটার। এই মাইক্রোকন্ট্রোলারগুলো নিজস্ব অপারেটিং সিস্টেম ফার্মওয়্যার, নেটওয়ার্ক স্ট্যাক এবং আইপি অ্যাড্রেসসহ স্বাধীনভাবে চলে। প্রশাসকরা বিশাল সার্ভার ফ্লিটের শারীরিক অবস্থা পর্যবেক্ষণ করতে, মেশিন রিবুট করতে, আপডেট ইনস্টল করতে, এমনকি সম্পূর্ণ অপারেটিং সিস্টেম পুনরায় ইনস্টল করতে এই কন্ট্রোলারের ওপর নির্ভর করেন।

BMC-এর সবচেয়ে গুরুত্বপূর্ণ দিক হলো এটি “লাইটস আউট” ও “আউট-অফ-ব্যান্ড” ম্যানেজমেন্ট সুবিধা দেয়—অর্থাৎ সার্ভার বন্ধ থাকলে বা সাড়া না দিলেও এটি কাজ করতে থাকে। এই স্বাধীনতাই একে করে তোলে অত্যন্ত শক্তিশালী, তবে একইসঙ্গে এটিকেই বানিয়ে তুলেছে হ্যাকারদের জন্য আকর্ষণীয় একটি টার্গেট।

গবেষণায় যা পাওয়া গেছে

সম্প্রতি লাস ভেগাসে অনুষ্ঠিত ব্ল্যাক হ্যাট সিকিউরিটি কনফারেন্সে ফার্মওয়্যার সিকিউরিটি বিশেষজ্ঞ এবং runZero-এর প্রতিষ্ঠাতা ও সিইও এইচডি মুর (HD Moore) এই গবেষণা উপস্থাপন করেন। তিনি জানান, ২০১৩ সালে তার শনাক্ত করা অনেক দুর্বলতা এখনো বিদ্যমান রয়েছে, আর এর পাশাপাশি তিনি নতুন করে খুঁজে পেয়েছেন এক ডজনেরও বেশি ত্রুটি, যা প্রভাবিত করছে HPE, Supermicro, Avocent, Huawei, Lenovo, Dell এবং আরও কয়েকটি প্রতিষ্ঠানের BMC-কে।

একটি বাহ্যিক স্ক্যানে পাওয়া গেছে ৮৬,০০০-এরও বেশি BMC, যেগুলোর ম্যানেজমেন্ট সার্ভিস সরাসরি পাবলিক ইন্টারনেটে উন্মুক্ত। এর মধ্যে ৫৪ শতাংশেরও বেশি ডিভাইসে রয়েছে এক বা একাধিক গুরুতর দুর্বলতা।

মূল সমস্যাটি কেন্দ্রীভূত হয়ে আছে IPMI (Intelligent Platform Management Interface) প্রোটোকলকে ঘিরে, যা BMC-কে সার্ভার থেকে স্বাধীনভাবে কাজ করতে ও প্রশাসনিক কাজ চালাতে সক্ষম করে।

কী ধরনের দুর্বলতা পাওয়া গেছে

গবেষণায় উঠে আসা প্রধান দুর্বলতাগুলোর মধ্যে রয়েছে:

• সেশনের অখণ্ডতা ও এনক্রিপশন প্রয়োগে ব্যর্থতা: IPMI প্রোটোকল সেশনের মধ্যে প্রতিটি প্যাকেট যাচাই করার বদলে আক্রমণকারীর নিজের হেডার থেকে সিদ্ধান্ত নেয় প্যাকেটটি অথেনটিকেট বা ডিক্রিপ্ট করা হবে কিনা—ফলে একটি সুরক্ষিত সেশনের মধ্যেও অস্বাক্ষরিত, অ-এনক্রিপ্টেড কমান্ড গ্রহণ করে নেওয়া সম্ভব হয়। এই সমস্যায় প্রভাবিত হয়েছে HPE, Supermicro এবং Intel-এর পুরোনো সিস্টেম।
• পূর্বানুমানযোগ্য সেশন আইডেন্টিফায়ার: সেশন টোকেন তৈরি হয় নিরাপদ র‍্যান্ডম সোর্সের বদলে কাউন্টার বা ঘড়ির সময় থেকে, যার ফলে আক্রমণকারী অন্য একজন ব্যবহারকারীর সক্রিয় BMC সেশন অনুমান করে দখল করে নিতে পারে—IPMI সার্ভিস এবং ব্রাউজার-ভিত্তিক KVM কনসোল, উভয় ক্ষেত্রেই। সবচেয়ে গুরুত্বপূর্ণ দুটি ত্রুটিই পাওয়া গেছে Supermicro সিস্টেমে।
• প্রি-অথেন্টিকেশন মেমোরি করাপশন: ম্যানেজমেন্ট SSH সার্ভিসে একটি লেংথ-ভ্যালিডেশন ত্রুটি রয়েছে, যা অথেন্টিকেশনের আগেই কাজে লাগানো সম্ভব এবং ক্ষতিকর কোড এক্সিকিউট করতে পারে। এই দুর্বলতাগুলো পাওয়া গেছে HPE iLO সিস্টেমে।
• অস্বাক্ষরিত বা আক্রমণকারী-নিয়ন্ত্রণযোগ্য ফার্মওয়্যার: একজন অথেনটিকেটেড অ্যাডমিনিস্ট্রেটর একটি স্থায়ী ইমপ্ল্যান্ট ইনস্টল করতে পারেন, অথবা ফার্মওয়্যার যাচাইয়ে ব্যবহৃত কি (key) পরিবর্তন করে দিতে পারেন—যা পরবর্তীতে অথেনটিকেশন বাইপাস ও প্রিভিলেজ এসকেলেশনের সঙ্গে চেইন করে আরও বড় আক্রমণে রূপ নিতে পারে।
• ফার্মওয়্যার থেকে উদ্ধারযোগ্য সিক্রেট: পাবলিক ফার্মওয়্যার থেকে বের করা কি এবং কনস্ট্যান্ট ব্যবহার করে BMC-তে অথেনটিকেট করা বা ট্রাফিক ডিক্রিপ্ট করা সম্ভব।

এটি নিছক তাত্ত্বিক ঝুঁকি নয়

BMC দুর্বলতা কাজে লাগানো নিছক একটি হাইপোথেটিক্যাল সম্ভাবনা নয়—বাস্তবে এর প্রমাণ আগেও পাওয়া গেছে। ২০২১ সালে গবেষকরা আবিষ্কার করেছিলেন ILObleed নামের একটি ক্ষতিকর ইমপ্ল্যান্ট, যা HPE সার্ভারে সংক্রমিত হয়ে ওয়াইপার ফার্মওয়্যারের মাধ্যমে হার্ড ড্রাইভে সংরক্ষিত ডেটা ধ্বংস করে দিত।

সবচেয়ে ভয়ংকর দিক ছিল, প্রশাসকরা অপারেটিং সিস্টেম পুনরায় ইনস্টল করলেও, হার্ড ড্রাইভ পরিবর্তন করলেও, বা অন্যান্য প্রচলিত জীবাণুমুক্তকরণ পদক্ষেপ নিলেও ILObleed অক্ষত থেকে যেত এবং পুনরায় ডিস্ক-ওয়াইপিং আক্রমণ চালু করতে সক্ষম হতো। কারণ, এটি BMC-এর মধ্যেই লুকিয়ে থাকত—যা সাধারণ OS পর্যায়ের নিরাপত্তা ব্যবস্থার নাগালের বাইরে।

কেন এই ঝুঁকি এখনো অবহেলিত

গবেষক এইচডি মুরের ভাষ্যমতে, BMC এখনো একটি অবমূল্যায়িত ঝুঁকি হিসেবেই রয়ে গেছে। তার গবেষণা দেখিয়েছে, পুরো BMC ইকোসিস্টেম কোড কোয়ালিটি ও আর্কিটেকচারের দিক থেকে বর্তমান মানদণ্ডের চেয়ে অনেকটাই পিছিয়ে আছে। ফলাফল হলো এমন একটি ব্যাপক, স্বল্প-পর্যবেক্ষিত এবং স্বল্প-প্যাচড প্যারালাল অ্যাটাক সারফেস, যা একইসঙ্গে ইন্টারনেটে উন্মুক্ত এবং কর্পোরেট নেটওয়ার্কের ভেতরেও ব্যাপকভাবে বিদ্যমান।

প্রতিষ্ঠানগুলোর করণীয়

এই ধরনের ঝুঁকি এড়াতে সংগঠনগুলোর জন্য কিছু গুরুত্বপূর্ণ পদক্ষেপ বিবেচনা করা উচিত:

• BMC-এর ম্যানেজমেন্ট ইন্টারফেস কখনোই সরাসরি পাবলিক ইন্টারনেটে উন্মুক্ত না রাখা
• নিয়মিতভাবে BMC ফার্মওয়্যার আপডেট ও প্যাচ করা
• BMC নেটওয়ার্ককে মূল প্রোডাকশন নেটওয়ার্ক থেকে আলাদা (সেগমেন্টেড) রাখা
• ডিফল্ট বা দুর্বল পাসওয়ার্ড পরিবর্তন করা এবং শক্তিশালী অথেনটিকেশন নিশ্চিত করা
• BMC-সংক্রান্ত নেটওয়ার্ক ট্রাফিক নিয়মিত মনিটর করা এবং অস্বাভাবিক কার্যকলাপ শনাক্ত করার ব্যবস্থা রাখা

শেষ কথা

সার্ভার নিরাপত্তার আলোচনায় প্রায়ই অপারেটিং সিস্টেম, অ্যাপ্লিকেশন বা নেটওয়ার্ক লেয়ারের ওপর সবচেয়ে বেশি মনোযোগ দেওয়া হয়, অথচ হার্ডওয়্যারের গভীরে থাকা এই BMC-এর মতো উপাদানগুলো থেকে যায় অনেকটাই আলোচনার বাইরে। এই গবেষণা প্রমাণ করে, দশক পুরোনো দুর্বলতাও যদি সময়মতো সমাধান করা না হয়, তাহলে তা আজও বিশ্বের সবচেয়ে বড় প্রতিষ্ঠানগুলোর জন্য বাস্তব ঝুঁকি হয়ে দাঁড়াতে পারে। যেসব প্রতিষ্ঠান বিশাল সার্ভার ফ্লিট পরিচালনা করে, তাদের জন্য এখনই সময় নিজেদের BMC নিরাপত্তা অবস্থান পুনর্মূল্যায়ন করার।