Badacz zabezpieczeń opublikował nowy i stosunkowo prosty sposób na sniffing kluczy szyfrowania BitLockera w mniej bezpiecznych konfiguracjach. Udało się je przechwycić podczas przesyłu z TPM (Trusted Platform Modules) w trakcie rozruchu systemu.
Metodę przedstawił w zeszłym tygodniu Denis Andzakovic z Pulse Security. Podatność, którą wykorzystuje, polega na tym, że BitLocker w swojej najbardziej podstawowej i najmniej bezpiecznej konfiguracji uruchamia zaszyfrowane dyski bez konieczności wprowadzania hasła lub kodu PIN innego niż w zwykłym logowaniu do Windows. Narażeni na atak będą więc zwłaszcza ci użytkownicy, których laptop zostanie skradziony. Jeżeli osoba atakująca nie zna hasła logowania, normalnie nie może wyciągnąć dysku i odczytać zawartości, ponieważ klucz szyfrowania jest zabezpieczony wewnątrz modułu TPM pierwotnego komputera. Klucz ten jednak można przechwycić, kiedy podróżuje on z modułu TPM za pośrednictwem magistrali LPC (Low Pin Count).
Microsoft już wcześniej ostrzegał użytkowników, jakie ryzyko niesie korzystanie z BitLockera bez dodatkowych zabezpieczeń, takich jak PIN. Ta najsłabsza konfiguracja może i jest wygodniejsza podczas logowania, ale mniej bezpieczna niż inne opcje, które wymagają dodatkowego składnika uwierzytelnienia.
Jak zostało wspomniane, BitLocker został pokonany narzędziem o wartości 30 dolarów. Polegało to na podłączeniu TPM 2.0 od Infineon z Surface Pro 3 do dysku za pośrednictwem FPGA (Field-Programmable Gate Array) o wspomnianej wartości. Po użyciu sniffera, wykonując rozruch, badaczowi udało się odkryć Volume Master Key (VMK) z magistrali LPC. Andzakovic radzi, by przestrzegać zaleceń Microsoftu i nie używać najprostszej opcji dla BitLockera. Alternatywnie można też skonfigurować pamięć USB zawierającą klucz rozruchowy, ustawić PIN lub - co daje najlepsze zabezpieczenie - dodać uwierzytelnianie wieloskładnikowe, łącząc te metody.
341f31d.png)