Quando la crittografia incontra il piano di avvio: il bypass di BitLocker che prende di mira la fiducia, non il testo cifrato
Una proof-of-concept fisica legata a CVE-2025-48804 mostra come una debolezza nella catena di fiducia pre-avvio di Windows possa consentire agli attaccanti di aggirare BitLocker su alcuni dispositivi Windows 11 senza dover decifrare la protezione del disco stessa.
BitLocker è progettato per proteggere i dati quando un laptop viene smarrito, rubato o sequestrato. La lezione scomoda nel caso BitUnlocker è che la crittografia completa del disco può comunque essere messa a rischio prima che Windows si avvii completamente, nel punto in cui logica di ripristino, fiducia del firmware e compatibilità legacy entrano in collisione. È un problema molto diverso dal “craccare la crittografia” nel senso classico.
Fatti rapidi
- BitUnlocker viene descritto come una proof-of-concept fisica contro sistemi Windows 11 protetti da BitLocker.
- La tecnica è collegata a CVE-2025-48804, un bypass della funzionalità di sicurezza di BitLocker.
- Il tempo di attacco riportato è inferiore a cinque minuti, ma questa tempistica va considerata soprattutto come una rivendicazione della PoC.
- La falla è legata a Secure Boot e a componenti legacy, con il percorso di ripristino come parte della superficie d’attacco più ampia.
- Il team STORM di Microsoft ha documentato il problema nel luglio 2025, sottolineando che si tratta di un problema della catena di fiducia, non di un guasto crittografico.
Perché è importante
Il modello di protezione di BitLocker dipende da segnali di integrità della piattaforma come le misurazioni TPM e Secure Boot. Se tali segnali appaiono affidabili, il sistema può rilasciare le chiavi che sbloccano il volume. Se un attaccante con accesso fisico può effettuare il downgrade o manipolare il percorso di avvio, quella fiducia può essere indebolita anche se l’algoritmo di crittografia resta intatto.
Questa distinzione è importante. La parte pericolosa qui non è la forza bruta contro AES o il dump di una chiave segreta dalla memoria dopo l’accesso. Il rischio si trova nel flusso di lavoro pre-avvio: la catena che decide se il dispositivo è ancora in uno stato fidato prima del caricamento del sistema operativo. Gli ambienti di ripristino sono particolarmente sensibili perché sono progettati per interagire con sistemi bloccati in modi legittimi.
Al momento della stesura, le informazioni pubbliche non hanno ancora definito in modo completo il percorso tecnico, l’esatto ambito delle configurazioni interessate o se tutte le distribuzioni di Windows 11 siano esposte. Le evidenze disponibili supportano un’analisi del rischio, non una conclusione generale secondo cui BitLocker sia compromesso ovunque.
Per i difensori, la lezione è pratica. La sicurezza fisica resta importante per i laptop cifrati. Secure Boot dovrebbe rimanere abilitato, i componenti di ripristino dovrebbero essere mantenuti aggiornati e le modifiche ai supporti di avvio o di ripristino dovrebbero essere trattate come eventi rilevanti per la sicurezza. Sugli endpoint a rischio più elevato, le configurazioni TPM più PIN possono aggiungere attrito che l’avvio trasparente puro non offre.
Conclusione
BitUnlocker è un promemoria del fatto che la sicurezza moderna degli endpoint è forte solo quanto il percorso di fiducia che la mette in funzione. La crittografia completa del disco protegge i dati a riposo, ma solo se i livelli di avvio e di ripristino restano affidabili. La lezione più ampia è semplice: gli attaccanti non sempre hanno bisogno di forzare la serratura quando possono manomettere il telaio della porta.
TECHCROOK
Lucchetto a cavo di sicurezza per laptop: Un semplice lucchetto a cavo aggiunge una barriera fisica contro il furto rapido e la manomissione occasionale in uffici, aule, hotel o aree di lavoro condivise. Non risolve le vulnerabilità del firmware o della catena di avvio, ma può ridurre l’accesso facile ai laptop incustoditi e integra la crittografia, Secure Boot e pratiche di ripristino solide.
WIKICROOK
- BitLocker: funzionalità di crittografia completa del disco di Microsoft per proteggere i dati archiviati su un’unità.
- CVE: identificatore pubblico usato per tracciare una vulnerabilità specifica attraverso avvisi e strumenti.
- TPM: chip di sicurezza hardware che aiuta a vincolare le chiavi di crittografia alle misurazioni affidabili del dispositivo.
- Secure Boot: controllo del firmware che verifica i componenti di avvio fidati prima della loro esecuzione.
- WinRE: Windows Recovery Environment, un sistema di ripristino pre-avvio che può interagire con volumi bloccati.
