YouTuber が 5 ドルの Raspberry Pi Pico を使用して BitLocker 暗号化を 1 分以内に破る

Microsoft の BitLocker 暗号化は、ユーザーが安全に暗号化し、脅威アクターからデータを保護できる、より簡単に利用できる暗号化ソリューションの 1 つです。ただし、BitLocker は人々が考えているほど安全ではないようです。

今週初めに、YouTuber の stacksmashing が、BitLocker データを傍受し、システムに保存されているデータを復号化できる暗号化キーを盗むことができた様子を示すビデオを投稿しました。それだけでなく、おそらく 10 ドル未満の価格の Raspberry Pi Pico を使用して、43 秒で結果を達成しました。

攻撃を実行するために、彼はトラステッド プラットフォーム モジュール (TPM) を利用しました。ほとんどのコンピューターや多忙なラップトップでは、TPM は外部に配置され、LPC バスを使用して CPU とのデータの送受信を行います。 Microsoft の BitLocker は、TPM を利用して、プラットフォーム構成レジスタやボリューム マスター キーなどの重要なデータを保存します。

スタックスマッシングをテストしたところ、LPC バスは起動時に暗号化されていない通信レーンを介して CPU と通信し、重要なデータを盗むために悪用される可能性があることが判明しました。彼は、マザーボードの M.2 SSD スロットの隣に未使用の LPC コネクタがあった古い Lenovo ラップトップに対して攻撃を実行しました。 stacksmashing は、Raspberry Pi Pico を未使用のコネクタの金属ピンに接続し、起動時に暗号化キーをキャプチャしました。 Raspberry Pi は、システムの起動中に TPM からバイナリの 0 と 1 をキャプチャするように設定されており、ボリューム マスター キーを結合できるようになりました。完了後、彼は暗号化されたドライブを取り出し、ボリューム マスター キーを使用して dislocker を使用してドライブを復号化しました。

Microsoft は、こうした攻撃の可能性については言及していますが、高度なツールとデバイスへの長時間の物理的アクセスが必要になると述べています。ただし、ビデオで示されているように、攻撃を実行する準備ができている人は 1 分以内に攻撃を実行できます。

ただし、これには留意する必要がある注意点がいくつかあります。この攻撃は、CPU がマザーボード上のモジュールからデータを取得する必要がある外部 TPM モジュールでのみ機能します。現在、多くの新しいラップトップおよびデスクトップ CPU には fTPM が搭載されており、重要なデータは CPU 自体の内部に保存および管理されます。とはいえ、Microsoft はこれらの攻撃を阻止するために BitLocker PIN を設定することを推奨していますが、PIN を構成するにはグループ ポリシーを設定する必要があるため、これを行うのは簡単ではありません。