Un grave problema di sicurezza nei sistemi Windows sta generando preoccupazione tra gli utenti e gli esperti di sicurezza, ma Microsoft sembra intenzionata a non intervenire. La vulnerabilità, identificata nel protocollo Remote Desktop Protocol (RDP), consente di effettuare l'accesso remoto ai computer utilizzando password obsolete e già modificate. Nonostante le potenziali conseguenze sulla sicurezza degli utenti, il colosso di Redmond ha chiarito che questa caratteristica è stata progettata intenzionalmente e non verrà modificata, classificandola come una funzionalità e non come un difetto da correggere.
Il ricercatore Daniel Wade, che ha recentemente inviato un report dettagliato al Microsoft Security Response Center, ha evidenziato come l'attuale implementazione dell'RDP rappresenti un serio rischio per la sicurezza informatica. Secondo quanto emerso, quando un utente cambia la propria password di accesso, il sistema continua a riconoscere come valide anche le credenziali precedenti per le connessioni via RDP, creando di fatto un accesso secondario permanente che non può essere disabilitato dall'utente.
Questa funzionalità compromette uno dei principi fondamentali della sicurezza informatica: l'idea che modificare una password revochi automaticamente tutti gli accessi basati sulle credenziali precedenti. In questo caso, la modifica della password non impedisce l'utilizzo di quelle vecchie per le connessioni remote, senza che l'utente venga neppure avvisato che le precedenti credenziali restano operative.
Microsoft ha confermato di essere a conoscenza della situazione almeno dall'agosto 2023, quando era già stata segnalata per la prima volta. Tuttavia, l'azienda ha deliberatamente scelto di mantenere questo comportamento, sostenendo che non rientra nella propria definizione di "vulnerabilità di sicurezza". La motivazione ufficiale è che questa caratteristica è stata intenzionalmente progettata per garantire che gli utenti non rimangano completamente bloccati fuori dai propri sistemi, specialmente dopo lunghi periodi di inattività.
La giustificazione di Microsoft si basa sulla necessità di assicurare l'accesso ai sistemi anche in caso di disconnessione prolungata dalla rete. L'azienda ha inoltre sollevato preoccupazioni riguardo a potenziali problemi di compatibilità con applicazioni esistenti che potrebbero verificarsi modificando questo comportamento del protocollo RDP.
Wade ha descritto questo problema come un sostanziale "breakdown of trust" (rottura di fiducia) nel sistema di sicurezza. Il rischio è particolarmente elevato in scenari in cui le password siano state compromesse pubblicamente. In tali situazioni, gli aggressori potrebbero potenzialmente accedere ai sistemi utilizzando credenziali teoricamente invalidate, senza che il proprietario dell'account ne sia consapevole o possa impedirlo.
La questione solleva importanti interrogativi su quali siano le priorità, in termini di sicurezza, nei sistemi operativi dell'azienda di Redmond, visto che Microsoft considera questa caratteristica come un meccanismo di protezione contro il blocco permanente dei propri sistemi. Molti esperti di sicurezza, difatti, la vedono come una backdoor permanente che potrebbe essere sfruttata in attacchi mirati.
Particolarmente preoccupante è l'impossibilità di disattivare questa funzione: non esiste alcuna opzione nelle impostazioni di sistema per impedire che le vecchie password continuino a funzionare per le connessioni RDP. Gli utenti che necessitano di elevati standard di sicurezza si trovano quindi costretti ad adottare misure alternative, come l'implementazione di soluzioni VPN o l'utilizzo di protocolli di accesso remoto di terze parti per proteggere adeguatamente i propri sistemi.