Microsoft Desconfia de SSDs “Autocriptografáveis” e Muda Padrão do BitLocker
Diversos SSDs para consumidores alegam ter capacidade de criptografia embutida, e o BitLocker, até recentemente, confiava nessas declarações. Contudo, como descoberto no ano passado, muitos desses dispositivos não criptografavam os dados de forma segura. Diante dessa realidade, a Microsoft ajustou o Windows 10 para que ele deixe de depender dessas unidades com criptografia falha e, em vez disso, utilize a criptografia por software como padrão.
Em essência, os discos de estado sólido e outros discos rígidos podem se autodenominar “autocriptografáveis”. Se essa alegação fosse verdadeira, o BitLocker não realizaria a criptografia, mesmo que o usuário o ativasse manualmente. A ideia era que a unidade pudesse realizar a criptografia por conta própria no nível do firmware, acelerando o processo, diminuindo o uso da CPU e possivelmente economizando energia. No entanto, na prática, muitas unidades possuíam senhas mestras vulneráveis e outros defeitos de segurança graves. Ficou claro que os SSDs de consumo não eram confiáveis para implementar a criptografia.
Agora, a Microsoft mudou sua abordagem. Por padrão, o BitLocker ignora unidades que se dizem autocriptografáveis e passa a realizar a criptografia via software. Mesmo que sua unidade afirme ter suporte para criptografia, o BitLocker não confiará mais nessa informação.
Essa modificação foi introduzida na atualização KB4516071 do Windows 10, lançada em 24 de setembro de 2019. A descoberta foi feita por SwiftOnSecurity no Twitter:
A Microsoft abandona os fabricantes de SSD: o Windows não confiará mais nas unidades que afirmam ser capazes de se criptografar, e o BitLocker adotará a criptografia AES acelerada pela CPU por padrão. Isso acontece após a exposição de grandes problemas com criptografia baseada em firmware.https://t.co/6B357jzv46 pic.twitter.com/fP7F9BGzdD
– SwiftOnSecurity (@SwiftOnSecurity) 27 de setembro de 2019
Sistemas que já utilizam o BitLocker não serão migrados automaticamente e continuarão empregando a criptografia por hardware se ela já estivesse configurada originalmente. Se você já ativou a criptografia BitLocker, é preciso descriptografar a unidade e em seguida criptografá-la novamente para assegurar que o BitLocker esteja utilizando criptografia por software e não por hardware. Este comunicado de segurança da Microsoft apresenta um comando que permite verificar se seu sistema está utilizando criptografia baseada em hardware ou software.
Como ressaltado por SwiftOnSecurity, as CPUs modernas são capazes de realizar essas operações em software sem que se perceba uma desaceleração considerável ao migrar o BitLocker para a criptografia baseada em software.
O BitLocker ainda pode utilizar a criptografia por hardware, caso seja desejado. Essa opção foi apenas desativada por padrão. Para empresas que possuem unidades com firmware confiável, a opção “Configurar o uso de criptografia baseada em hardware para unidades de dados fixas” em Configuração do computador Modelos administrativos do Windows Components BitLocker Drive Encryption Fixed Data Drives na Política de Grupo permite reativar o uso de criptografia por hardware. Todos os outros usuários devem deixar essa opção desativada.
É lamentável que a Microsoft e todos nós não possamos confiar nos fabricantes de discos. No entanto, essa medida faz sentido: seu laptop pode ser fabricado pela Dell, HP ou até mesmo pela própria Microsoft. Mas você realmente sabe qual disco está dentro dele e quem o fabricou? Você confia no fabricante desse disco para lidar com a criptografia de forma segura e emitir atualizações quando necessário? Como vimos, provavelmente não deveríamos. E agora, o Windows também não confia.