Secure Boot, Microsoft si lascia scappare la backdoor

Due hacker hanno scovato in alcuni sistemi presenti sul mercato un binario universale che bypassa le protezioni Secure Boot. Già aggirate le patch di Microsoft, e trovare una soluzione definitiva sarà probabilmente impossibile

Roma – L’ecosistema a supporto del protocollo Secure Boot integrato nei firmware UEFI di milioni di dispositivi potrebbe aver sofferto un corpo letale proprio ad opera del suo sponsor principale. Due hacker, nickname my123 e slipstream, hanno pubblicato in un formato non esattamente austero una scoperta dalle implicazioni invece molto serie. Microsoft ha accidentalmente inserito in alcuni dispositivi arrivati sul mercato un file passepartout che è stato identificato ed estratto dai due hacker e reso installabile su qualsiasi dispositivo, bypassandone la protezione Secure Boot. Microsoft sta cercando di metterci una pezza , ma una soluzione definitiva potrebbe essere impossibile .

Secure Boot è una funzionalità obbligatoria dal 2012 per i produttori che vogliono da Microsoft una certificazione per il loro hardware. Consiste in una serie di chiavi crittografiche pre-installate nel firmware UEFI delle schede madri che vengono poi utilizzate per verificare l’autenticità del bootloader , del kernel, e potenzialmente di ogni binario caricato durante il processo di boot. Ogni sistema Windows include almeno la chiave di Microsoft, e sulle piattaforme PC Secure Boot può essere disabilitato dall’utente, oppure personalizzato rimuovendo o installando le proprie chiavi crittografiche. Su altre piattaforme invece, come il defunto ma ancora diffuso Surface RT, Secure Boot non è disattivabile ed è pertanto impossibile installare altri sistemi operativi.

Il problema identificato dai ricercatori non concerne però le chiavi Secure Boot ma le cosiddette policy , dei file binari che contengono regole ed eccezioni che integrano le impostazioni del Secure Boot. Durante lo sviluppo di Windows 10 Microsoft ha sviluppato una policy a scopo di test e debug che annulla i controlli Secure Boot anche quando è abilitato, per consentire ai propri programmatori di avviare rapidamente compilazioni aggiornate di Windows senza dover procedere alla firma digitale. Il problema per Microsoft è che questa policy è stata erroneamente lasciata su alcuni dispositivi finiti sul mercato, installata anche se non attiva. Gli hacker l’hanno scoperta e sono riusciti ad estrarla e reutilizzarla con successo (la policy è infatti originale e firmata da Microsoft) per annullare i controlli Secure Boot di un Surface RT. A peggiorare la situazione per Microsoft c’è il fatto che la policy su cui i ricercatori hanno messo la mani è universale , non linkata ad una specifica architettura.

Microsoft ha ignorato il problema per circa tre mesi dopo la segnalazione da parte dei due hacker, avvenuta a Marzo, ritornando poi sui suoi passi e pagando un bug bounty per la loro scoperta. A Luglio è arrivata la prima patch , sotto forma di una lista di chiavi revocate e installate da installare nel firmware della scheda madre. Un tentativo maldestro , poiché questa lista viene comunque consultata solo dopo che la policy incriminata è ormai caricata. In ogni caso i due hacker hanno ora aggiornato il loro script di installazione , adesso in grado di dotare qualsiasi sistema di questa backdoor, anche quelli con la patch di Luglio.

I ricercatori sono convinti che per Microsoft sarà impossibile rimediare al problema senza andare incontro ad un harakiri . “Gli attaccanti possono semplicemente effettuare il downgrade del boot manager a versioni che non effettuano il controllo della lista di revoca. Microsoft non può revocare questi bootloader precedenti, se lo facesse renderebbe inservibili milioni di CD d’installazione, partizioni di ripristino, backup di Windows, e altro ancora”, scrivono nel loro advisory. Gli utenti che volevano sbloccare il bootloader del proprio Surface RT hanno accolto questa novità con entusiasmo, così come gli utenti Windows Phone alla prospettiva di poter applicare questo bypass anche sui loro smartphone. Si tratta invece di una brutta notizia per chi faceva affidamento su Secure Boot per consentire l’avvio solo di un sistema digitalmente firmato in proprio. Matthew Garrett, il principale sviluppatore Linux del codice UEFI/Secure Boot, suggerisce di disinstallare le chiavi Microsoft se il proprio sistema deve avviare solo Linux.

Più di tutto, gli scopritori della vulnerabilità ci tengono a fare di questa un esempio eclatante di cosa accadrebbe se l’FBI ottenesse le backdoor per legge per le quali spinge da tempo : “questo è un perfetto esempio, da mondo reale, del perchè la vostra idea di una chiave passepartout tenuta al sicuro sia pessima! Persone più intelligenti di me ve lo ripetono da tempo, ancora non capite? Microsoft ha implementato esattamente questa chiave universale, ed è caduta in mani altrui per la stupidità di Microsoft stessa! Ora, cosa pensate che succederà se tutti dovranno produrre una chiave del genere?”

Stefano De Carlo

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Andreabont scrive:
    Guerra inutile
    Volete fare guerra ai vostri utenti?Auguri.
  • socialobserv scrive:
    facebook ha tanti concorrenti pronti
    ad accogliere i suoi utenti
  • minki scrive:
    Io uso questo
    Facebook purity Addon per firefox
  • Pianeta Advertisin g scrive:
    ...
    Io continuerò a sbattervi in faccia i banner e VOI NON ME LO POTETE IMPEDIRE se non con le dovute spiegazioni, chiaro? @^
    • Stop advertisin g scrive:
      Re: ...
      Ed è proprio per questo che si troveranno sempre delle soluzioni per mettervi alla porta... ripeto: il comportamento di guerra e comando piace e piacerà sempre meno alla gente. E' solo questione di tempo... e quando sono stanchi semplicemente non visiteranno più il sito facendo ancora peggio...
    • Paguro Carogna scrive:
      Re: ...
      - Scritto da: Pianeta Advertisin g
      Io continuerò a sbattervi in faccia i banner e
      VOI NON ME LO POTETE IMPEDIRE se non con le
      dovute spiegazioni, chiaro?
      @^Occhio, se non cambiate atteggiamento, poi arriva chi vi sbatte in faccia la mazza da baseball @^
    • Funz scrive:
      Re: ...
      - Scritto da: Pianeta Advertisin g
      Io continuerò a sbattervi in faccia i banner Ma ci sono ancora i banner sul web?I *banner*? Quelle gif rettangolari spesso colorate e animate in maniera fastidiosa?L'ultimo che ho visto ci avevo ancora il 56k...
  • SAMANTA scrive:
    se permetti pubblic. truffa io la blocco
    Se permettete, io la pubblicità truffa che circola su Facebook non la voglio. Non voglio trovarmi addebitato 5 euro a settimana per il solo fatto di aver cliccato su un banner presente nel circuito di pubblicità di facebook.Chi blocca la pubblicità fa benissimo!
  • Stop advertisin g scrive:
    Quando è troppo, è troppo!
    E' la quantità il problema: troppa pubblicità irrita, disturba, rallenta la navigazione. Soprattutto come i video che vanno in autoplay e magari non c'entrano nulla con quello che stai leggendo. Quando è troppa, è troppa... che sia radio, tv, internet. Non cambia nulla!I colossi vogliono guadagnare sempre di più sulle nostre spalle, altro che pubblicità mirata! Rompono e basta... un po' di pubblicità non ha mai dato fastidio a nessuno, come succedeva in passato.
  • Fabrizio scrive:
    pubblicità fa parte del passato
    Ormai è difficile far rinunciare agli utenti agli adblocker, la pubblicità fa parte del passato e gli utenti vivono benissimo
  • user_ scrive:
    Funziona questo ?
    Funziona questo ?https://facebook.adblockplus.me/
Chiudi i commenti