Friendoffriends
A luglio, abbiamo riferito che Microsoft era riuscita a correggere una grave vulnerabilità di sicurezza che avrebbe consentito agli hacker di sbloccare i tablet Windows RT ed eseguire sistemi operativi non Windows. Secondo recenti rapporti, sembra che la patch di sicurezza non abbia avuto successo, con la vulnerabilità ancora in grado di essere sfruttata.
Il firmware di Microsoft incorpora una funzionalità chiamata Avvio sicuro che consente ai dispositivi di avviare solo i sistemi operativi firmati crittograficamente dal gigante della tecnologia. La funzione Secure Boot viene attivata durante l'avvio anticipato dal boot manager di Windows. Ma esiste un modo per disabilitare il controllo di avvio protetto utilizzando una politica speciale nota come "la chiave backdoor d'oro". Se gli utenti riescono a mettere le mani su questo criterio e installarlo sui propri dispositivi, il boot manager di Windows avvierà qualsiasi sistema operativo desiderino.
Il gigante della tecnologia sta cercando disperatamente di correggere questa vulnerabilità, ma alcuni hacker dicono che è impossibile per Microsoft invalidare le chiavi trapelate.
[...] Ad ogni modo, sarebbe impossibile in pratica per MS revocare ogni bootmgr prima di un certo punto, poiché interromperebbe il supporto di installazione, le partizioni di ripristino, i backup, ecc..
Questa importante vulnerabilità ravviva anche il dibattito sulla funzionalità chiave d'oro sicura avviata dai servizi di intelligence e sicurezza. Per farla breve, i servizi di sicurezza hanno a lungo spinto i giganti del software a implementare un sistema di chiavi d'oro sicuro che potesse garantire agli investigatori pieno accesso ai computer degli utenti. Ma tali chiavi universali possono facilmente cadere nelle mani sbagliate, come avvertono gli hacker etici:
Una backdoor, che MS ha inserito per l'avvio sicuro perché ha deciso di non consentire all'utente di spegnerlo in determinati dispositivi, consente di disabilitare l'avvio sicuro ovunque! Puoi vedere l'ironia. Anche l'ironia del fatto che la SM stessa ci ha fornito diverse belle "chiavi d'oro" (come direbbe l'FBI 😉 da usare a tale scopo 🙂 Riguardo all'FBI: stai leggendo questo? Se lo sei, allora questo è un mondo reale perfetto esempio del motivo per cui la tua idea di backdooring dei sistemi crittografici con una "chiave d'oro sicura" è pessima! [...] Non capisci ancora seriamente? Microsoft ha implementato un sistema "chiave d'oro sicura". E le chiavi d'oro sono state rilasciate dalla stessa stupidità di MS Ora, cosa succede se dici a tutti di creare un sistema di "chiave d'oro sicura"?
Per il momento Microsoft tace come sempre e non ha ancora rilasciato alcun commento in merito.
L'intero rapporto pubblicato dai due hacker white hat che hanno indagato su questa vulnerabilità è disponibile online.
