Así es cómo los gobiernos y servicios de inteligencia se saltan la seguridad de Windows 11 y BitLocker explicado por hackers

La seguridad está más de moda que nunca, y es realmente increíble la cantidad de trabajadores que necesitan las empresas para mantener sus datos seguros, o al menos, intentarlo. EE.UU. se puso muy seria con Microsoft por fallos de seguridad en sus sistemas como empresa líder en el mundo y que, además, gestiona gran parte de los sistemas del país e incluso militares. Pero hace tiempo, una de sus medidas de seguridad para los datos, BitLocker, fue totalmente hackeada, y aunque la compañía reaccionó, hace unos días en el el Congreso de Comunicación del Caos unos hackers demostraron que podían romper dicha seguridad de BitLocker en Windows 11 otra vez, y Microsoft no podía hacer nada.

Thomas Lambertz, hacker de profesión al parecer, ha encontrado una manera que, según se da a entender, usan los gobiernos y servicios de inteligencia para saltarse la seguridad de Microsoft en su último sistema operativo, y que además, compromete la configuración del SO.

Hackers logran romper la seguridad de BitLocker en Windows 11 a través de Secure Boot

Casi una hora de charla al completo con un nivel que oscila entre lo simple y lo totalmente complejo y que muchos disfrutarán, ante la cual el preámbulo y explicación de lo que en ella se ve está perfectamente resumido, casi de manera magistral:

¿Alguna vez te preguntaste cómo Cellebrite y las fuerzas del orden obtienen acceso a dispositivos cifrados sin conocer la contraseña? En esta charla, demostraremos cómo eludir el cifrado de BitLocker en un sistema Windows 11 completamente actualizado mediante Secure Boot. Aprovecharemos una vulnerabilidad de software poco conocida que Microsoft no ha podido reparar desde 2022: bitpixie (CVE-2023-21563).

Realizaremos una demostración en vivo del exploit y explicaremos todo el proceso, desde los requisitos previos y el funcionamiento interno del exploit hasta el motivo por el que Microsoft ha tenido dificultades para solucionar este fallo. También analizaremos cómo protegerse de esta vulnerabilidad y otras similares.

BitLocker es la implementación de cifrado full-volume de Microsoft. Ofrece varios modos de funcionamiento, pero el más utilizado es el cifrado basado en Secure Boot.
Muchos clientes corporativos y de consumo lo utilizan, y está empezando a habilitarse de forma predeterminada como "Cifrado de dispositivos" en las instalaciones más recientes de Windows 11.

En este modo, el disco duro está cifrado en reposo, pero se desbloquea automáticamente cuando se inicia un sistema operativo Windows legítimo, lo que significa que los usuarios no necesitan una contraseña de descifrado independiente. Solo tienen que iniciar sesión con su cuenta de usuario habitual.

Lamentablemente, esta configuración ha estado rota durante bastante tiempo. Los ataques de hardware contra un dTPM son ampliamente conocidos, pero los ataques de software también son posibles, al menos desde 2022, cuando Rairii descubrió el error de Bitpixie (CVE-2023-21563).
Si bien este error está "arreglado" desde noviembre de 2022 y es de conocimiento público desde 2023, todavía podemos usarlo hoy con un ataque de tipo downgrade para descifrar BitLocker.

¿Cómo lo logran hacer?

Pues de una manera ingeniosa: introduciendo un cargador de arranque de Windows antiguo, obsoleto, y por lo tanto, vulnerable. Con él, son capaces de atacar mediante Bitpixie, extrayendo la clave de cifrado en la memoria y, con ello, logran romper la seguridad de BitLocker en Windows 11.

El único problema es que requiere acceso físico al PC y una conexión de red de cualquier tipo, algo bastante improbable en nuestra casa, pero que en una empresa, sobre todo en las más grandes, podría ser bastante más sencillo para según qué cosas.

La gran mayoría de empresas no protege sus PC y servidores comunes, sobre todo en aquellas que son medianas o pequeñas. Si con este sistema se rompe la seguridad del cifrado del dispositivo mediante BitLocker y no necesitamos por ende contraseña como tal, cualquier usuario con cuenta en Windows 11 en dicho PC o servidor puede desbloquear completamente un volumen entero del SO.

En otras palabras, puede desencriptar de una manera transparente un disco duro o SSD. Otra muestra más de que la seguridad es una quimera. Si a esto le sumamos que los hackers pueden reventar la seguridad de dTPM y fTPM sin estar presentes in situ siquiera, tenemos un bonito cóctel donde los expertos en seguridad tienen que tomar buena nota, y no solo por BitLocker y Windows 11.