Sospesa la patch che correggeva BitLocker: Microsoft scivola su Secure Boot

Nelle scorse settimane vi raccontavamo dell’anomalia riscontrata da molti utenti di BitLocker: riavviando il sistema, la funzionalità di protezione di Windows – che crittografa il contenuto delle unità di memorizzazione – chiede di procedere con l’inserimento della chiave di ripristino. Questo comportamento anomalo, emerso dopo l’installazione delle patch di luglio scorso, è stato corretto con il rilascio degli aggiornamenti di sicurezza distribuiti da Microsoft ad agosto 2024.

Tuttavia, non c’è pace per gli utenti di BitLocker. I tecnici dell’azienda di Redmond hanno infatti comunicato ufficialmente di aver sospeso la distribuzione delle patch di agosto 2024, rilasciate al fine di correggere la vulnerabilità identificata come CVE-2024-38058. Anche in questo caso, infatti, dopo l’installazione degli aggiornamenti, BitLocker chiede l’inserimento della chiave di ripristino al riavvio della macchina.

La vulnerabilità CVE-2024-38058, se sfruttata, consente a chiunque abbia disponibilità fisica di un sistema Windows protetto da BitLocker di scavalcare la misura di sicurezza, effettuare l’avvio in modo non autorizzato e accedere ai dati memorizzati.

Poiché Microsoft ha deciso di interrompere la distribuzione dell’aggiornamento CVE-2024-38058, l’azienda aggiunge che l’applicazione delle misure di difesa implica a questo punto un intervento manuale e fa riferimento al bollettino KB5025885 per la gestione delle revoche di Windows Boot Manager.

Cosa c’entra BitLocker con l’aggiornamento di Secure Boot

In tanti avevano in passato pronosticato un imminente disastro sui sistemi protetti da Secure Boot. Ciò è dovuto alla decisione di Microsoft di rilasciare un nuovo certificato utile per controllare i programmi caricati in avvio. Poiché tale certificato deve essere presente nel firmware UEFI di ciascuna macchina, possono verificarsi situazioni in cui il sistema operativo Windows si aspetta di trovarlo mentre il certificato non è ancora implementato a livello di firmware. In queste circostanze, Windows si rifiuta di avviarsi normalmente e il boot non va a buon fine.

Quello che sta succedendo con BitLocker sembra un po’ essere l'”antipasto” di ciò che potrebbe accadere nel prossimo futuro.

BitLocker utilizza il modulo TPM (Trusted Platform Module) per memorizzare in modo sicuro la sua chiave crittografica. Durante la fase di boot, TPM verifica che il processo di avvio non risulti alterato rispetto a un riferimento di stato di avvio sicuro. Secure Boot, controllando l’integrità del bootloader e degli altri componenti critici, assicura che il sistema si avvii in uno stato “non compromesso”. Se Secure Boot è abilitato e funziona correttamente, il TPM può rilasciare la chiave BitLocker in sicurezza, consentendo l’accesso ai dati crittografati.

Per rendersi conto dello strettissimo legame che corre tra BitLocker e Secure Boot, basti evidenziare come nel caso di specie Microsoft consigli proprio un aggiornamento manuale del certificato di Secure Boot. In altre parole, dal momento che la patch per la falla CVE-2024-38058 provoca in molti casi la richiesta dell’inserimento della chiave di ripristino BitLocker all’avvio della macchina, Microsoft suggerisce – a tutti coloro che vogliano proteggersi – di applicare manualmente le misure dettagliate in questo articolo di supporto.

Al posto dell’aggiornamento, un pesante intervento su Secure Boot che porta a riavviare il sistema addirittura 8 volte

Invece di distribuire un aggiornamento di sicurezza, per il momento ritirato, gli utenti interessati a mettere in sicurezza i loro sistemi protetti con BitLocker sono chiamati a seguire una procedura in 4 fasi che richiede di riavviare il dispositivo ben 8 volte.

Microsoft, inoltre, avverte che dopo aver applicato l’intervento sulla configurazione di Secure Boot, la stessa modifica non potrà più essere annullata. Neppure operando una formattazione dell’unità.

“Siate consapevoli di tutte le possibili implicazioni ed eseguite test approfonditi prima di applicare le revoche descritte“, conclude l’azienda di Redmond.

Scorrete i passaggi descritti a questo indirizzo: si tratta di interventi molto pesanti, che possono causare difficoltà anche agli utenti più esperti e, soprattutto, agli amministratori IT che in azienda gestiscono decine di sistemi protetti con BitLocker.