Bitlocker es una solución de cifrado integrada en Windows 10 Pro y Windows 11 Pro que está diseñada para proteger los datos. Sin embargo, se ha descubierto una vulnerabilidad que permite eludir su protección.
Vulnerabilidad revelada por YouTuber
Un YouTuber llamado stacksmashing demostró una falla de seguridad en Bitlocker que le permitió obtener acceso a las claves de cifrado en menos de un minuto. Para ello utilizó una Raspberry Pi Pico barata, cuyo costo es inferior a los 10 dólares, logrando así el acceso a la clave maestra de volumen.
El ataque se realizó en menos de un minuto y tardó solo 43 segundos en obtener la clave. El YouTuber aprovechó un defecto de diseño que afecta a sistemas con módulo de plataforma confiable (TPM) externo, ya que el TPM comunica la clave de cifrado a través del bus LPC sin cifrar.
Funcionamiento de Bitlocker
Bitlocker es una solución de cifrado de disco completo que protege los datos en dispositivos Windows. Utiliza un chip criptográfico, el TPM, para almacenar las claves de cifrado. El TPM asegura que la clave solo se comparta si la configuración del hardware no ha sido alterada desde el último arranque.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad reside en la comunicación no cifrada entre el TPM y la CPU. Durante el proceso de inicio, si todo está correcto, el TPM envía la clave de cifrado a la CPU en texto plano. Esto permite que un atacante con acceso físico al bus de comunicación intercepte dicha clave.
El YouTuber utilizó una Raspberry Pi Pico para leer los datos del conector desocupado en la placa base, ubicado cerca de uno de los puertos M.2. El dispositivo fue programado para capturar los 1 y 0 sin procesar del TPM, obteniendo así acceso a la clave maestra.
Protección contra esta vulnerabilidad
Para evitar que se acceda a tus datos por este medio, la mejor opción es crear un PIN para BitLocker. Este PIN actúa como una protección adicional al cifrado con BitLocker y se solicita antes de iniciar el sistema.
Para habilitar BitLocker, necesitas tener Windows 10 Pro o Windows 11 Pro. Una vez activado, debes ir al Editor de directivas de grupo y configurar la opción de requerir autenticación adicional al iniciar, marcando la opción de requerir PIN de inicio con TPM.
El comando manage-bde se puede utilizar para habilitar el cifrado de BitLocker. Una vez activado, podrás crear y modificar el PIN según tus necesidades.
Conclusión
La implementación del mecanismo en el almacenamiento de contraseña en texto plano es deficiente y permite obtenerla. Sin embargo, si tienes una CPU con un TPM integrado, como las de Intel o AMD modernas, estarás a salvo de esta vulnerabilidad.