Windows Secure Boot, la Golden Key è online

Due ricercatori di sicurezza hanno scoperto una grave vulnerabilità che permette di eludere il Secure Boot di Windows e di installare qualsiasi software, inclusi rootkit e bootkit, su PC, smartphone e tablet che eseguono il sistema operativo Microsoft. È stata infatti pubblicata online la “Golden Key” che disattiva la verifica della firma durante il boot. L’azienda di Redmond ha tentato di risolvere il problema, ma è probabile che la falla rimanga aperta per sempre.

Il Secure Boot è una funzionalità di UEFI (Unified Extensible Firmware Interface) che dovrebbe impedire l’esecuzione di programmi non autorizzati e driver durante la fase di avvio dei dispositivi con Windows 8 e versioni successive. Su molti PC può essere disattivato, ma su smartphone con Windows Phone e tablet con Windows RT l’unica possibilità è usare le policy, ovvero file firmati caricati dal boot manager (bootmgr). I due ricercatori hanno scoperto che Microsoft ha introdotto una policy “supplementare” che bypassa il meccanismo di sicurezza.

In pratica, il boot manager carica i file senza verificare la loro validità. Questa policy è stata implementata per consentire agli sviluppatori di installare driver e build del sistema operativo per scopi di debugging, sfruttando il test-signing, ovvero file non firmati da Microsoft. Purtroppo la policy, denominata Golden Key, è stata pubblicata online, per cui chiunque con minime competente tecniche può disattivare il Secure Boot.

La vulnerabilità era stata segnalata in primavera, ma l’azienda di Redmond ha deciso di non intervenire per risolvere il problema. Ciò è invece avvenuto a luglio con la patch MS16-094, dopo che i ricercatori hanno sviluppato un proof-of-concept. Un’altra patch (MS16-100) è stata distribuita lo scorso 9 agosto, ma gli esperti ritengono che il fix sia inefficace. Anzi è molto probabile che la vulnerabilità non possa essere risolta.

Il lato positivo della vicenda è che gli smanettoni potranno installare Android sui Surface con Windows RT e sui Lumia con Windows Phone, considerato che entrambi i sistemi operativi sono stati abbandonati da Microsoft.