NCSC esorta le organizzazioni a utilizzare l’autenticazione pre-avvio di BitLocker

Il National Cyber Security Centre (NCSC) del Regno Unito incoraggia le organizzazioni a configurare Microsoft BitLocker con un PIN pre-avvio, avvertendo che la crittografia senza un ulteriore passaggio di autenticazione può lasciare i dispositivi Windows più esposti agli attacchi.

BitLocker crittografa il sistema operativo e i dati archiviati su un dispositivo, contribuendo a proteggere le informazioni in caso di smarrimento o furto del computer. Tuttavia, l’NCSC afferma che un PIN fornisce un’importante salvaguardia aggiuntiva contro le vulnerabilità presenti nell’ambiente ripristino di Windows (WinRE), una parte di Windows progettata per riparare i sistemi e recuperare i dati quando si verificano problemi.

Perché WinRE è importante

WinRE contiene file che non vengono crittografati da BitLocker, in modo da consentire il ripristino qualora la crittografia stessa contribuisca a un errore di sistema. Questo design crea un’area che gli aggressori potrebbero tentare di sfruttare. Ricerche recenti, tra cui quella sulla vulnerabilità denominata YellowKey, hanno dimostrato come le debolezze di WinRE potrebbero essere utilizzate per aggirare alcune protezioni di BitLocker. Microsoft ha già divulgato e corretto problemi simili.

L’NCSC descrive questi incidenti come una conseguenza tuttora persistente di requisiti di progettazione in conflitto, non come la prova di una backdoor nascosta. Poiché la funzionalità di ripristino deve rimanere disponibile, potrebbero continuare a emergere nuovi bug che interessano questo componente. L’obbligo di utilizzare un PIN significa che un aggressore deve prima superare un ulteriore controllo di autenticazione prima di poter usare gli strumenti di ripristino, riducendo l’impatto di questa categoria di attacchi.

Opzioni quando un PIN non è praticabile

L’agenzia riconosce che l’inserimento manuale di un PIN potrebbe non essere adatto a ogni implementazione, ad esempio nel caso di computer condivisi in ambienti di hot desking, sistemi utilizzati in situazioni di emergenza o macchine che devono avviarsi senza assistenza umana. Raccomanda di valutare controlli alternativi, anziché lasciare BitLocker privo di autenticazione pre-avvio.

• Riutilizzare un PIN esistente: Ove appropriato, le organizzazioni potrebbero allineare il PIN di BitLocker a un PIN di Windows Hello, evitando agli utenti di dover gestire una credenziale aggiuntiva.
• Utilizzare Network Unlock: I dispositivi connessi a una rete aziendale attendibile possono ottenere automaticamente la chiave di sblocco, mentre quelli che operano al di fuori di tale rete possono continuare a richiedere un PIN.
• Implementare una chiave di avvio: Una chiave USB può fornire l’autenticazione pre-avvio, anche se introduce rischi qualora il dispositivo venga smarrito o rubato.
• Applicare restrizioni di accesso: Se nessun metodo pre-avvio è praticabile, i criteri di accesso condizionale possono limitare i servizi e i dati sensibili disponibili ai dispositivi a rischio più elevato.

La raccomandazione centrale dell’NCSC è che le organizzazioni valutino i compromessi e implementino una misura compensativa, anziché affidarsi a BitLocker senza un ulteriore livello di autenticazione.