Bypass di BitLocker su Windows 10 tramite aggiornamenti
- Categoria: Sicurezza
Un ricercatore di sicurezza ha scoperto un nuovo problema nel sistema operativo Windows 10 di Microsoft che consente agli aggressori di accedere ai dati crittografati con BitLocker.
Un post sul blog Win-Fu evidenzia il metodo. Fondamentalmente, ciò che fa il metodo è sfruttare una funzionalità di risoluzione dei problemi abilitata durante il processo di aggiornamento.
C'è un bug piccolo ma PAZZESCO nel modo in cui è installato 'Aggiornamento funzionalità' (precedentemente noto come 'Aggiornamento'). L'installazione di una nuova build viene eseguita reimaging della macchina e dell'immagine installata da una piccola versione di Windows chiamata Windows PE (Preinstallation Environment).
Questo ha una funzione per la risoluzione dei problemi che ti consente di premere MAIUSC + F10 per ottenere un prompt dei comandi. Questo purtroppo consente l'accesso al disco rigido poiché durante l'aggiornamento Microsoft disabilita BitLocker.
Se premi Maiusc-F10, apri una finestra del prompt dei comandi che ti consente di accedere ai dispositivi di archiviazione del sistema operativo.
Poiché la protezione BitLocker è disabilitata durante gli aggiornamenti, significa che chiunque sfrutti il problema ottiene l'accesso a tutti i file che di solito vengono crittografati da BitLocker.
Bypass di BitLocker su Windows 10 tramite aggiornamenti
Il metodo funziona attualmente quando si aggiorna la build di rilascio originale di Windows 10 alla versione di aggiornamento di novembre 1511 o alla versione di aggiornamento Anniversary 1607. Inoltre, funziona su qualsiasi nuova build Insider che Microsoft pubblica, almeno per il momento.
Il problema principale, come notato da Sami Laiho, il ricercatore che ha rivelato il problema, è che chiunque abbia accesso locale alla macchina può sfruttare il problema. Non è richiesto l'accesso amministrativo, e quindi non è necessario software, impostazioni o hardware speciali sul dispositivo Windows.
Poiché si tratta di una questione locale, è chiaro che la questione non verrà sfruttata in natura. Chiunque abbia accesso locale a una macchina Windows d'altra parte può sfruttare il problema. Se si tratta di un utente, Windows 10 può essere configurato per accettare gli aggiornamenti di Windows Insider se non prevenuto da un amministratore di sistema.
Le aziende pertanto dovrebbero impedire l'attivazione di build di Windows Insider per le macchine che eseguono Windows 10.
Questo viene fatto nel modo seguente:
- Tocca il tasto Windows, digita regedit.exe e premi il tasto Invio.
- Vai alla seguente chiave di registro: HKEY_LOCAL_MACHINE SOFTWARE Microsoft WindowsSelfHost UI Visibilit e
- Fare clic con il pulsante destro del mouse su Visibilità e selezionare Nuovo> Valore Dword (32 bit).
- Nominalo HideInsiderPage .
- Fare doppio clic sulla nuova preferenza e impostarne il valore su 1.
È possibile annullare la modifica in qualsiasi momento eliminando la chiave o impostandola su 0.
Le aziende potrebbero anche voler non consentire gli aggiornamenti automatici (non necessariamente gli aggiornamenti) sui computer Windows 10 per evitare che il problema venga sfruttato.
Parole di chiusura
Il problema di sicurezza divulgato è problematico per i dispositivi protetti da BitLocker che eseguono Windows 10. Il problema principale qui è ovviamente la rivelazione di file protetti durante i processi di aggiornamento.