Как сервер мог взорваться? [закрыто]

Вкратце: в небольшой серверной комнате есть несколько серверов. Будучи дешевыми машинами общего назначения, не совсем ориентированными на бизнес, они не обязательно изначально обладали хорошими функциями безопасности, и, более того, их можно было произвольно модифицировать перед тем, как принести в помещение и установить там. Как такой сервер мог умереть внезапной и драматической смертью, когда преступник мог сделать практически любые приготовления для саботажа?

Я слышал, что некоторые виды чипов могут каким-то образом взорваться, но если эта сцена звучит абсолютно неправдоподобно, подумайте, что могло бы быть по-другому, если бы серверы производились на одно или два десятилетия вперед.


Как бы я ни хотел узнать, возможен ли взрыв компьютера, у меня также есть два условия, характерных для моей истории:

  • не должно быть никаких видимых признаков преднамеренного саботажа — это должно выглядеть как техническая проблема при визуальном осмотре (таким образом, внутри корпуса сервера нет взрывчатки)

  • Злоумышленник должен иметь возможность удаленно* запустить процесс в короткие сроки, не более 3-4 дней от стартового сигнала до финального катастрофического события.

* Значение: из-за пределов комнаты. Например, взлом системы, изменение напряжения или кондиционирования воздуха в помещении. Однако никакого внутреннего предателя.


Я пишу рассказ о подключенном к Интернету сервере, который в какой-то момент взрывается. Система оптимизирована для компиляции и выполнения простых программ, а также для различных вычислений, работая как облачная среда тестирования для местного сообщества компьютерных ученых. (Честно говоря, трудно объяснить причину, по которой кто-то захочет ее взорвать.)

Можно предположить, что крошечная серверная комната, в которой он расположен, достаточно безопасна (физически), однако меры безопасности не являются приоритетом для неопытного системного администратора. Таким образом, вероятность первоначальной компрометации очень реальна (т. е. посторонний человек, устанавливающий сервер, может ослабить некоторые винты или даже заразить систему, а системный администратор этого даже не заметит). Также никогда не обновляемая система может быть взломана в любой момент, так как сервер подключен к интернету.

Будь то личный опыт или научно-фантастические фильмы, я думал, что перегрев процессора сделает свое дело. Например, ошибка в системе могла внезапно вызвать выполнение огромного количества вычислений, создавая постоянную интенсивную нагрузку на процессор, что в конечном итоге привело бы к его перегреву (и взрыву...?). Однако сейчас мне кажется, что должно возникнуть больше проблем, чтобы привести к такому экстремальному исходу. Поскольку никто в серверной комнате на самом деле не знает и не заботится о том, что происходит (пока сервер работает), а компьютерщики никогда не посещают комнату сами, у злоумышленника есть много возможностей.

Если взрыв действительно маловероятен, вместо него может произойти аналогичный драматический инцидент, например, вращающиеся вентиляторы могут соскользнуть, коробка может упасть на пол или загореться, что приведет к катастрофическим последствиям и, возможно, к разрушению близлежащих объектов в процессе (что, в свою очередь, думать об этом, могут быть те, которые взорвутся впоследствии). Как я уже отмечал, человек, настраивающий сервер, волен подготовить его к чему угодно.

Просто скажи это «Остановись и загорись».
Вопрос — вы просто хотите, чтобы сервер умер, который потенциально может быть заменен всего за несколько минут, или вы хотите, чтобы данные тоже исчезли? В последнем случае, является ли администратор хотя бы минимально компетентным (или не находится ли он под присмотром «увечья»), чтобы обеспечить удаленное резервное копирование (обычно на другом конце страны). Какие еще внешние факторы можно использовать? Вы упомянули, что это будущее; могут ли существовать газовые дроны, которые могут быть скомпрометированы и разбиты? (Мышление коммерческое, а не военное).
Вы можете заставить серверы сгореть дотла, но я сомневаюсь, что вы сможете использовать это, чтобы сровнять здание...
Как это вопрос миростроительства? Похоже, это должно пойти на один из технических сайтов. Но, насколько я знаю, просто нет способа сделать это снаружи таким образом, чтобы он соответствовал вашим спецификациям, иначе случайные компьютерные пожары были бы гораздо более распространенными, чем они есть.
"с исполнителем, способным произвести практически любые приготовления" - вплоть до закладывания в него какой-нибудь взрывчатки?
@vsz Пример размещения взрывчатки внутри жесткого диска: youtu.be/-bpX8YvNg6Y?t=789 Если бы преступник мог использовать радиодетонатор, то это выглядело бы просто как мертвый жесткий диск. Если у сервера есть передние отсеки с возможностью горячей замены, то злоумышленник может вставить диск за считанные минуты, и система все равно будет выглядеть совершенно нормально.
Звук может убить центр обработки данных. Был случай, когда крупные компании в ЕС потеряли все данные, которые у них были, из-за экстренного теста. Один только звук пожарной сигнализации убил весь диск.
@PierreLebon [требуется ссылка]
@Clockwork-Muse Внутри этого конкретного сервера мало данных — как я уже сказал, он действует как платформа облачных вычислений, которая просто делает то, что ее просят, и сразу же отправляет результат. Так что не имеет значения, если жесткий диск будет уничтожен; в любом случае это выглядело бы как техническая авария.
@vsz «не должно быть видимых признаков преднамеренного саботажа — при визуальном осмотре это должно выглядеть как техническая проблема (таким образом, внутри корпуса сервера нет взрывчатки)»
На самом деле это не взрыв, но импульсный блок питания (который используется в каждом ПК) может выйти из строя с очень громким хлопком и небольшим количеством дыма. Было бы нетрудно модифицировать один из них, чтобы таким «взрывом» можно было управлять дистанционно. Однажды это случилось с неисправным компьютером, который я тестировал. Он обесточил весь коридор и сработал пожарную сигнализацию.
В компании, в которой я когда-то работал, SAN (сервер общего пространства на жестком диске для нетехнических специалистов) взорвался, когда подшипники в жестком диске заклинило, и машина фактически разорвалась изнутри. Для технических специалистов это было чем-то конкурентоспособным с IBM XIV, так что это была первоклассная корпоративная SAN, и никто не должен был ничего с ней делать.

Ответы (8)

Отказ блока резервных батарей

Как вы заметили, компьютерные чипы сложно вывести из строя — они просто не содержат ничего такого взрывоопасного. Лучшее, что вы можете сделать, это поджечь электричество, что приведет к взрыву конденсаторов, но это больше похоже на попкорн, чем на тотальный взрыв огненного шара . Итак, нам придется сосредоточиться на окружающей инфраструктуре — наиболее вероятным кандидатом являются батареи.

Дата-центры обычно имеют большие банки резервных батарей (у Google, например, в каждой из их стоек есть батарея ) — классические примеры выглядят так:

Резервные аккумуляторные стойки

Самое замечательное в типичных батареях то, что они довольно хорошо взрываются. Начинающий администратор центра обработки данных может попытаться имитировать Google, используя дешевые аккумуляторы с недостатками, что делает их настройку довольно уязвимой для серьезной проблемы.

Дистанционное срабатывание отказа батареи

Это должно быть плохо спроектировано, но давайте все равно попробуем! Итак, первое, что потребуется, это заблокировать предохранительные вентиляционные отверстия на батареях. Возможно, они могут быть забиты пылью — в конце концов, пыль в любом случае является распространенной проблемой на серверах. Изображение выше даже довольно пыльное.

Затем вам нужно будет нагреть батарею — эту часть можно выполнить удаленно. Если предположить, что они использовали дизайн в стиле Google, а батарея находится в стойке, то мы могли бы справиться с этим, заставив процессор слишком сильно нагреваться. Отключите вентиляторы и разгоните их, а затем заставьте сервер работать с чем-то очень интенсивным. Если есть возможность, отключите меры термозащиты процессора (это сложно, но, скорее всего, это все равно необязательно, пыль довольно легко воспламеняется) . Проделайте это со всеми стойками, чтобы тепло действительно поднялось к той, что в верхней части шкафа. Если вам повезет, пыль вокруг одного из процессоров загорится; Через короткое время этот огонь охватывает батарею.

Довольно полезно то, что этот сценарий не обязательно требует какого-либо физического доступа, поскольку его можно объяснить серией ошибок новичка.

Резюме

Стопка плохо спроектированных, очень пыльных копий Google с дешевой встроенной батареей. Может быть, даже поместите батарею прямо рядом с процессором, чтобы дать ему наилучшие шансы!

гугл стойка

Далее, похоже, что ваш центр обработки данных недостаточно велик, чтобы иметь что-либо из этого, но давайте все же рассмотрим их.

Пожар дизельного генератора

Многие центры обработки данных также имеют резервные дизельные генераторы. Довольно известный пример был во время урагана «Сэнди» в Нью-Йорке, когда ребята из Squarespace вручную поднимали дизельное топливо на 18 лестничных пролетов , чтобы поддерживать работу серверов. Это можно использовать как хороший источник чего-то классически взрывоопасного поблизости.

Отказ системы охлаждения

Основным источником затрат и сложности в среднем центре обработки данных является система охлаждения — большие трубы, заполненные теплой водой.

Таким образом, если одна из труб каким-либо образом засорится, а строитель центра обработки данных не позаботится о всех обычных мерах безопасности (таких как расширительный бак ), то в системе будет накапливаться тепло, что может привести к ее разрыву. Водные взрывы очень мощные, но огненного шара, конечно же, нет — так что все зависит от того, какой эффект вам нужен!

Спринклеры пожаротушения

По иронии судьбы, пожарный спринклер может вызвать пожар, когда задействована электроника. Допустим, преступник включает пожарную сигнализацию, которая, в свою очередь, льет воду на стойку. Это генерирует искры, которые, в свою очередь, вызывают электрический пожар. Затем огонь переходит к взрыву одной или всех батарей, используя описанную выше установку.

В этом сценарии, для некоторой физической точности, верхний сервер будет искрить, но будет слишком влажным, чтобы зажечь пыль. Один из нижних серверов получит достаточно воды (но не слишком много, чтобы залить ее), чтобы стать фактическим источником возгорания.

Преимущество использования разбрызгивателя в том, что его будет намного проще осуществить удаленно; это не потребует нарушения практически всех мер безопасности, которые есть у процессора. Это также довольно тонко — новичок, вероятно, не стал бы проверять потолок при размещении своих серверов.

Или же..

Нажмите клавишу Backspace :

Творческая свобода в действии

Шифт еще лучше :

У Стрелы очень интересный подход!

Комментарии не для расширенного обсуждения; этот разговор был перемещен в чат .
Уверяю вас, что после самопроизвольного возгорания батареи ИБП в здании это может быть весьма разрушительным. Пожарные машины на месте, спринклерные системы работают, кондиционер разбрызгивает копоть. Здание было эвакуировано на несколько недель для очистки!

Ваши серверные блоки охлаждаются огромным количеством легковоспламеняющегося хладагента , который в конечном итоге воспламеняется искрой от неисправной (или поврежденной) электропроводки.

Это слишком похоже на оксюморон, чтобы быть правдой!
Однажды я видел, как кондиционер превратился в огнемет. К счастью, огонь распространялся снаружи здания, а не внутри. Это было тогда, когда поглощающие озон, но огнетушащие фреоновые хладагенты были легальны, так что черт его знает, откуда взялось пламя!

Не так давно у меня из вентиляционного отверстия на моем компьютере шел дым. Это произошло из-за разъема питания на оптическом приводе. Пластмасса продолжала гореть, но без источника тепла не «загоралась».

Я помню, когда впервые появились литий-ионные аккумуляторы, одним из первых (из-за низкого соотношения веса и мощности) стал радиоуправляемый самолет. Многие действительно заканчивались впечатляющим огненным шаром.

Таким образом, ключевое значение может иметь раннее внедрение какой-либо новой технологии; в нем еще нет всех функций безопасности, они сами применяют низкоуровневую технологию, а не находят уже разработанное решение, и они не осознают опасности. Это также имеет то преимущество, что вы придумываете что-то новое, чтобы люди не жаловались, что X ведет себя не так, поскольку вы используете придуманное Y.

Настоящий взрыв в техническом смысле кажется маловероятным, потому что материалы не являются взрывчатыми веществами. Или, может быть, люди объединили вещи, которые не должны были быть взрывоопасными, например, гидроизоляция дирижабля — это то, что сегодня мы называем термитом .

Кроме того, многие вещи просто не горят, и это тоже задумано. Ваши люди могут использовать разные вещи, а не обычные, не понимая, что это ставит под угрозу нормальную пожарную безопасность.

Наконец, у вас может быть преднамеренный механизм самоуничтожения! Да, они не знали, что дешевые диски ebay были излишками государственных подрядчиков, предназначенными для серверов на борту военных самолетов-шпионов…

«Наконец-то у вас может быть механизм преднамеренного самоуничтожения!» Описанная вами ситуация на самом деле недалека от истины, хотя хотелось бы свести вероятность физического саботажа к минимуму. Самое главное, чтобы это выглядело как техническая неисправность, а не намеренно заложенная в машину взрывчатка.

Сервер/компьютер не имеет или имеет очень мало легковоспламеняющихся частей

Маленькие батареи очень маленькие, и их будет трудно перезарядить.

Конденсатор может лопнуть, но до взрыва далеко.

Память и ЦП — это в основном песок, и он не собирается взрываться или загораться.

Вентилятор может нагреться и вызвать короткое электрическое возгорание.

Операционные системы защищают аппаратное обеспечение в том смысле, что обычная программа не может напрямую управлять аппаратным обеспечением. Это называется уровнем аппаратной абстракции.

Я думаю, что лучше всего было бы взломать EPROM, чтобы отключить вентилятор, и взломать термодатчик, чтобы он не сообщал о перегреве. Даже получить доступ к EPROM из обычной программы непросто. Надеюсь, что EPROM выйдет из строя из-за перегрева или они просто не проверят.

В ОС с открытым исходным кодом, такой как Linux, вы, возможно, сможете это сделать, но все же вы просто поджарите (коротко) некоторые компоненты. Ни пожара, ни взрыва.

Почему ядро ​​с открытым исходным кодом должно быть хуже любого другого ядра?
@Четче Определить хуже

Проблема, с которой вы сталкиваетесь, когда происходит что-то драматическое, заключается в том, что все изолировано.

Например, блок питания при правильных условиях может загореться на некоторое время, но заключен в металлический корпус, который ограничивает или предотвращает его распространение. Ниже приведено лучшее, что вы можете получить.

Предположим, что серверы были куплены без блоков питания и уже работают на 105% от макс. Из-за дешевизны защитные ограждения, предоставляемые обычными производителями, были исключены. Теперь некоторые материнские платы допускают разгон с помощью программного обеспечения, поэтому с правильным вирусом вы потенциально можете продвинуть его еще дальше, заставляя всю систему потреблять еще больше энергии. Затем запускает программное обеспечение для максимальной загрузки процессора и графического процессора. Вы также можете A. остановить вентиляторы на материнской плате или B. отменить любые аварийные сигналы, когда вы принудительно запускаете вентиляторы на 1 об/мин.

На этом этапе вы можете расплавить некоторые провода внутри блока питания. В основном процессор имеет встроенные тепловые датчики и автоматически снижает скорость, чтобы предотвратить повреждение. Вы должны быть супергением, чтобы изменить процессор, поскольку все это зашифровано Intel в несколько уровней.

Может быть, вы могли бы заставить конденсаторы лопнуть, и небольшое возгорание было бы ограничено либо металлическим корпусом блока питания, либо шасси. Настоящий взрыв был бы почти невозможен. Сверхдешевые компоненты внутри блока питания могут быстро расплавиться или выйти из строя, что приведет к разомкнутой цепи, нарушающей короткое замыкание. Либо так, либо отключите автоматические выключатели, и это остановит короткое замыкание.

Обычно серверы подключены к ИБП, который обнаруживает короткое замыкание и отключается.

Если вы значительно вмешались в электрическую систему, может быть, у вас мог бы быть пожар, может быть. Как предотвратить срабатывание любых выключателей во всей электрической коробке.

Ваша единственная надежда на то, что здание загорится, и есть заправочная станция с гигантским баллоном с пропаном, снаружи которого может распространиться огонь, а затем ВЗРЫВ!!!!

Вы не можете изменить процессор — он не «зашифрован». Это часть оборудования. Есть несколько микрокодов, которые вы потенциально можете изменить на некоторых процессорах, если хотите, но они не требуют особого ума; только нужные ключи.
@Clearer Я имел в виду прошивку процессора. Начиная с ошибки с плавающей запятой Pentium, процессор имеет некоторое количество программируемой прошивки. Любые обновления указанной прошивки сильно зашифрованы Intel, AMD и т. д. Поэтому, если вы можете взломать это шифрование и проникнуть в вредоносное ПО, оно может быть незаметным и, возможно, неизменяемым для пользователя.

Да, компьютерные чипы могут взорваться, но это вопрос масштаба.

Охлаждающие вентиляторы контролируются операционной системой, чтобы поддерживать температуру в заданных пределах, запуская/ускоряя их, если требуется дополнительное охлаждение, замедляя/останавливая их для снижения энергопотребления и шума, когда они не нужны. Также процессоры будут притормаживать сами себя, если это необходимо для снижения тепловыделения при угрозе перегрева.

Эти меры могут быть подорваны; заставить ЦП работать очень тяжело, продолжать работать на максимальной скорости с отключенным охлаждением, и чип перегреется и перейдет в тепловой разгон. В конечном итоге он разрушит себя взрывом. По человеческим меркам, это не будет выглядеть или звучать как что-то особенное, возможно, весь звук и ярость рождественского хлопушка.

Может быть дым, а может быть и пожар; компьютеры действительно содержат значительное количество горючих материалов — пластика в печатных платах, корпусе микросхем, изоляции и различных механических частях. Скорее всего, недостаточно, чтобы сделать что-то большее, чем выпустить вредную дозу токсичного дыма, но существует вероятность возникновения более крупного пожара, если очень близко будет больше горючих материалов - как в стопках бумаги, сложенных вокруг машины. Для одного узла в серверной стойке такой «пуф», вероятно, ни к чему больше не приведет — ничто в пределах досягаемости не будет горючим.

Вы будете удивлены, сколько всего в наши дни обрабатывается программным обеспечением. Например, один парень обнаружил , что Macbook со скомпрометированным ядром действительно может взломать микроконтроллер в аккумуляторе и перепрошить его прошивку. (Батарея использовала свою собственную готовую ОС, и Apple не изменила пароль по умолчанию на поставляемых ею батареях.)

В любом случае это программное обеспечение отвечает за управление зарядкой и разрядкой. Если я правильно помню, литиевые батареи загораются, если они слишком сильно разряжены, а затем вы пытаетесь их перезарядить. Согласно Википедии :

Разряд выше 2 В также может привести к снижению емкости. (Медный) анодный токосъемник может растворяться в электролите. Заряженные ионы меди могут восстанавливаться на аноде в виде металлической меди. Со временем медные дендриты могут образовываться и вызывать короткое замыкание так же, как литиевые.

Хотя вы, вероятно, могли бы включить ИБП для центра обработки данных, это будет другая задача, чем компрометация батареи ноутбука, и может не включать в себя прикосновение к серверу. Это во многом зависит от того, какую настройку ИБП имеет центр обработки данных. Если они используют свинцово-кислотные батареи (распространенный вариант), то будет сложно заставить батарею взорваться с помощью зарядного устройства.

Помимо охлаждения и перезарядки батарей, вы также можете попытаться раскрутить жесткие диски до максимальной скорости, иначе они могут разбиться. Осколки жесткого диска также могут нанести большой ущерб, хотя это маловероятно.

При этом возникают две проблемы: (1) для работы жестких дисков требуется высокоточная скорость вращения, и (2) во многих центрах обработки данных и даже на недорогих серверах жесткие диски все чаще заменяются твердотельными накопителями (у которых нет движущихся частей) просто для их производительность IOPS.
@MichaelKjörling - вы совершенно правы, поэтому я и написал, что это очень маловероятно
OTOH скорость HD контролируется его прошивкой, которую можно перепрошить. Таким образом, можно перепрограммировать жесткий диск на самоуничтожение с чрезмерным вращением, особенно если у вас есть доступ к исходному коду прошивки. (сравните вирус Stuxnet и его основную цель).