Nowe obejście BitLockera w Windows 11 i Windows Server 2022/2025. Wystarczy fizyczny dostęp oraz nośnik USB

BitLocker przez lata był jedną z najważniejszych obietnic bezpieczeństwa w ekosystemie Windows. Założenie było proste. Nawet jeśli ktoś ukradnie komputer, dane pozostaną nieczytelne bez odpowiedniego klucza. YellowKey pokazuje jednak, że wystarczy słaby punkt w otoczeniu rozruchu systemu, aby model zaufania zaczął się chwiać. Problem tkwi tym razemw ścieżce, którą Windows 11 prowadzi użytkownika do odzyskiwania systemu i odblokowania urządzenia.

YellowKey łamie BitLockera wchodząc przez Windows Recovery Environment, czyli element, któremu system ufa z definicji. To właśnie dlatego wygląda to groźniej niż kolejny efektowny proof of concept z GitHuba.

Zwolnili ich i wkrótce zaczęły znikać rządowe bazy danych. Ta historia brzmi jak scenariusz thrillera, ale wydarzyła się naprawdę

Publicznie ujawniony proof of concept YellowKey celuje w Windows 11, a także w Windows Server 2022 i 2025. Mechanizm ataku korzysta z plików umieszczonych w katalogu FsTx, po czym podczas wejścia do Windows Recovery Environment wywołuje nie ekran naprawczy, lecz wiersz polecenia z dostępem do już odblokowanego woluminu. To właśnie jest sedno problemu. BitLocker w konfiguracji TPM-only chroni dane tak długo, jak długo łańcuch startowy zachowuje się zgodnie z założeniami. Gdy WinRE odtwarza transakcje NTFS w sposób, który pozwala podmienić przebieg startu środowiska odzyskiwania, ochrona przestaje być szczelną barierą, a staje się warunkiem zależnym od implementacji.

Druga poważna luka w jądrze Linux w dwa tygodnie. Dirty Frag rozszerza klasę błędów znaną z Dirty Pipe i Copy Fail

Dla użytkownika oznacza to przede wszystkim to, że informacja pod tytułem „mam BitLockera” nie wystarcza jako pełna odpowiedź na pytanie o bezpieczeństwo skradzionego laptopa. Niezależni badacze potwierdzili, że działa publicznie dostępny sposób ataku na komputery korzystające wyłącznie z zabezpieczeń TPM. To właśnie na takim rozwiązaniu Microsoft opiera wygodne, domyślnie włączone szyfrowanie urządzeń. To szczególnie niewygodne teraz, gdy firma rozszerza automatyczne Device Encryption na coraz szerszą pulę komputerów z Windows 11. Innymi słowy, rośnie liczba maszyn, które polegają na transparentnym odblokowaniu dysku, a właśnie ten mechanizm staje się najsłabszym ogniwem.

Microsoft poza harmonogramem łata lukę w ASP.NET Core dla Linux i macOS. Problem siedział w Data Protection

Pisaliśmy już i o wcześniejszych lukach obchodzących ochronę BitLockera, i o rosnącej roli WinRE w nowych funkcjach naprawczych pokroju Quick Machine Recovery. YellowKey łączy obydwa wątki w mało komfortowy sposób. Im więcej odpowiedzialności Microsoft przenosi do środowiska odzyskiwania, tym wyższa staje się cena błędu popełnionego właśnie tam. Jeśli firma szybko nie opublikuje poprawki i jasnych zaleceń, administratorzy powinni traktować urządzenia z BitLockerem w trybie TPM-only jak systemy wymagające dodatkowej ochrony fizycznej i mocniejszego uwierzytelniania przed startem.

Źródło: XDA Developers, BleepingComputer, GitHub, Microsoft Learn, Microsoft Support