Un ricercatore di sicurezza ha scoperto che l'encryption BitLocker di Windows può essere ancora aggirata nonostante gli aggiornamenti distribuiti da Microsoft nel 2022. Thomas Lambertz ha presentato la vulnerabilità al Chaos Communication Congress, dimostrando come sia possibile accedere ai dati protetti con un solo accesso fisico al dispositivo e una comune connessione di rete.
La falla, nota come CVE-2023-21563, era stata dichiarata risolta da Microsoft nel novembre del 2022, ma Lambertz ha dimostrato che il fix realizzato dall'azienda è solo superficiale. L'attacco sfrutta il Secure Boot per avviare un vecchio bootloader di Windows ed estrarre la chiave di crittografia dalla memoria, per poi recuperarla utilizzando Linux.
Il problema persiste a causa delle limitazioni dello spazio di archiviazione del firmware UEFI. Secondo le stime effettuate da Lambertz, nuovi certificati Secure Boot potrebbero non arrivare prima del 2026, richiedendo alcuni accorgimenti da parte delle aziende che utilizzano Windows 11. In attesa di una soluzione definitiva, gli utenti possono proteggersi esclusivamente utilizzando un PIN personale per BitLocker o disabilitando l'accesso di rete nel BIOS.
Sebbene l'exploit non rappresenti un rischio significativo per l'utente medio, solleva preoccupazioni per ambienti aziendali e governativi dove la sicurezza informatica è cruciale. La possibilità di decrittare completamente un disco protetto da BitLocker con un singolo accesso fisico e un semplice adattatore di rete USB è allarmante per questi settori.
Lambertz ha avvertito che "anche un semplice adattatore di rete USB potrebbe essere sufficiente per eseguire questo attacco". La presentazione completa, in inglese, è disponibile sul sito del CCC e fornisce dettagli tecnici approfonditi sul funzionamento dell'exploit e sulle difficoltà nel risolverlo definitivamente.
Il Chaos Computer Club, la più grande associazione europea di hacker e mediatori di cybersicurezza, continua a svolgere un ruolo fondamentale nel portare alla luce vulnerabilità critiche, contribuendo così al miglioramento della sicurezza informatica globale.