BitLocker - Dziura w Windows umożliwiała odszyfrowanie danych

Bezpieczeństwo danych to bardzo istotna kwestia, w szczególności, gdy mowa o danych firmowych, które są kluczowe dla działania całego przedsiębiorstwa. Ich ewentualny wyciek mógł narazić firmę i pracowników na szkody. Tego typu dane posiada jednak na komputerze niemalże każdy, aby coś było cenne, wcale nie trzeba być firmą. Teoretycznie z ratunkiem przychodzą rozwiązania umożliwiające szyfrowanie danych, takie jak np. wbudowany w system Windows mechanizm BitLocker. Ostatnie aktualizacje opublikowane przez Microsoft pokazały, że rozwiązanie to posiadało luki umożliwiające trywialne uzyskanie dostępu do teoretycznie zabezpieczonych danych.

Trywialna dziura w mechaniźmie uwierzytelnienia.

Mowa tutaj o listopadowych biuletynach bezpieczeństwa, a konkretniej paczce oznaczonej jako MS15-122. Na oficjalnych stronach korporacji przeczytamy, że dotyczy ona możliwości ominięcia zabezpieczenia Kerbers i odszyfrowania danych zabezpieczonych przy użyciu BitLockera. Microsoft dokładnymi informacjami się nie „chwali”, ale nie oznacza to, że te nie trafiły już do Sieci. Swoje odkrycie na konferencji Balck Hat Europe udokumentował Ian Haken, specjalista z firmy Synopsys. W obszernym dokumencie dokładnie opisał wykorzystany sposób ataku, a także słabości rozwiązań stosowanych przez Microsoft.

Problem dotyczy komputerów, które należą do domeny wykorzystywanej w środowisku korporacyjnym – podczas autoryzacji dane są sprawdzane przez komputer zarządzający domeną, w przypadku braku połączenia z nim uwierzytelnienie wykorzystuje lokalną pamięć podręczną. Całość została dodatkowym mechanizmem zabezpieczona przed próbą podłączenia do np. sfałszowanej domeny. Problem polega na tym, że ta dodatkowa ochrona nie działa, gdy nie ma możliwości połączenia z kontrolerem. Autorzy wyszli z założenia, że w takich przypadkach atakujący i tak nie zmieni hasła użytkownika. Hakenowi się to udało i to w zaledwie kilka sekund. Utworzył on fałszywy kontroler domeny z użytkownikiem o takiej samej nazwie jak ten na atakowanym komputerze, ale wygasłym hasłem. Próba połączenia kończy się komunikatem o konieczności zmiany hasła i atakujący może to zrobić.

Nie oznacza to jeszcze sukcesu, bo wspomniane wcześniej zabezpieczenie działa i nie pozwoli na logowanie do takiej domeny. Jeżeli jednak komputer zostanie od niej odłączony, możliwe będzie zalogowanie się do niego przy użyciu nowego hasła, bo te po zmianie trafiło do lokalnej pamięci podręcznej. Błąd tego typu istniał w systemach Windows od dawna, ale dopiero wprowadzenie Visty i BitLockera wykorzystującego sprzętowe zabezpieczenie w postaci TPM spowodowało, zwrócono na niego większą uwagę: teoretycznie zabezpieczony komputer tak naprawdę bezpieczny nie był. Wyjątkiem jest tu sytuacja, w której użytkownik nie korzystał jedynie z poświadczeń konta, ale również dodatkowego czynnika jak pendrive z zapisanym kluczem, kod PIN lub hasło.

TrueCrypt i VeraCrypt to darmowe alternatywy.

Użytkownicy domowi korzystający z BitLockera teoretycznie nie powinni czuć się zagrożeni, bo najczęściej z domeny nie korzystają. Sam błąd skłania jednak do poważnego zastanowienia się nad sensownością wykorzystania tego mechanizmu szyfrującego: o błędzie mogły wiedzieć od dawna zainteresowane poufnymi danymi agencje. BitLocker nie przeszedł także żadnego audyty bezpieczeństwa i jest rozwiązaniem zamkniętym – na tym polu wypada więc znacznie gorzej niż darmowe, otwarte alternatywy w postaci TrueCrypta i jego następcy, VeraCrypt.