Nuovo exploit aggira BitLocker su Windows 11 con accesso fisico

In breve: se il tuo PC è spento, bloccato o lasciato incustodito, la prima difesa è sempre la sicurezza fisica. Un recente exploit, noto come YellowKey, ha mostrato che alcune configurazioni predefinite di BitLocker su Windows 11 possono essere superate da chi ha accesso diretto al dispositivo. La soluzione più rapida è non lasciare mai il computer senza controllo, usare un PIN di pre-avvio quando disponibile e verificare subito le impostazioni di protezione del disco.

BitLocker è pensato per impedire l’accesso ai dati contenuti nel disco anche se il computer finisce nelle mani sbagliate. Nella maggior parte degli scenari quotidiani è un’ottima barriera. Tuttavia, quando un attacco richiede contatto fisico con la macchina, il rischio cambia natura: non si parla più solo di malware o phishing, ma di protezione dell’hardware, della sessione di avvio e della configurazione del sistema.

L’allarme più importante non è che BitLocker sia “inutile”, ma che nessuna protezione è perfetta se il dispositivo può essere manomesso direttamente. Per questo motivo, utenti domestici e aziende dovrebbero considerare BitLocker come una parte di una strategia più ampia, non come l’unico scudo.

Cosa è successo

YellowKey è il nome attribuito a un exploit emerso di recente e progettato per aggirare alcune implementazioni predefinite di BitLocker su Windows 11. Il punto chiave è che l’attacco non avviene da remoto: serve accesso fisico al computer. Questo significa che l’aggressore deve poter lavorare direttamente sulla macchina, ad esempio intervenendo sull’avvio, sull’hardware o sulla catena di protezione che si appoggia al TPM.

BitLocker utilizza la crittografia completa del volume per rendere il contenuto del disco illeggibile senza la chiave corretta. In molte configurazioni la chiave è custodita nel TPM, il Trusted Platform Module, un componente hardware progettato proprio per proteggere credenziali e segreti crittografici. Quando tutto funziona come previsto, il sistema si avvia in modo trasparente e l’utente non deve fare quasi nulla.

Il problema nasce quando una configurazione di default lascia spazio a un bypass in condizioni specifiche. In pratica, il disco resta protetto contro la maggior parte degli attacchi comuni, ma un aggressore con accesso diretto può tentare di sfruttare la fiducia riposta nella procedura di avvio e nelle impostazioni standard.

Perché questa notizia conta

Molti utenti pensano che la cifratura del disco basti da sola a proteggere tutto. In realtà, la sicurezza del portatile o del PC dipende anche da come viene gestito l’accesso fisico. Un computer lasciato in auto, in ufficio, in una sala riunioni o in un luogo pubblico è esposto a tentativi di compromissione che la sola crittografia non può sempre neutralizzare.

Per le aziende la questione è ancora più delicata. BitLocker è spesso richiesto in ambienti professionali, soprattutto quando ci sono policy interne o obblighi contrattuali con enti pubblici. Se una tecnica di bypass dimostra che una configurazione standard non è sufficiente in tutti i casi, allora è necessario rivedere le procedure di protezione dei dispositivi, la gestione del BIOS/UEFI e l’uso di autenticazioni aggiuntive.

Cosa dovrebbero fare subito gli utenti

Se usi un portatile Windows 11 con BitLocker attivo, puoi adottare alcune misure semplici e concrete:

• Non lasciare il dispositivo incustodito in luoghi pubblici o condivisi.
• Controlla se BitLocker è attivo e se il tuo dispositivo usa una protezione aggiuntiva all’avvio.
• Valuta l’uso di un PIN di pre-avvio quando supportato dalla configurazione e dalle policy aziendali.
• Aggiorna il sistema e il firmware per ridurre il rischio di vulnerabilità note.
• Proteggi anche il BIOS/UEFI con password, se previsto dalle procedure interne.
• Usa account con autenticazione forte e, dove possibile, MFA per i servizi collegati al PC.

Per l’utente comune, il messaggio è semplice: BitLocker aiuta molto, ma non sostituisce la custodia fisica del computer. Se un attaccante può tenere il dispositivo in mano, rimuovere componenti o manipolare la sequenza di avvio, la protezione va rafforzata con misure extra.

Cosa dovrebbero fare le aziende

Le organizzazioni dovrebbero trattare questo tipo di exploit come un promemoria operativo. Non basta distribuire BitLocker su tutti i dispositivi: serve una policy coerente.

Ecco alcune priorità:

1. Verificare la configurazione di BitLocker su tutti i sistemi aziendali.
2. Standardizzare l’uso del TPM con ulteriori controlli di avvio, quando compatibile con l’esperienza d’uso.
3. Limitare l’accesso fisico a laptop e workstation critiche.
4. Formare gli utenti sull’importanza di non lasciare i device incustoditi.
5. Applicare inventario e monitoraggio per identificare i sistemi più esposti.
6. Aggiornare le procedure di incident response per includere scenari di furto o manomissione del dispositivo.

In molti casi il vero punto debole non è la tecnologia in sé, ma il modo in cui viene distribuita. Una configurazione “standard” può essere comoda, ma non sempre è quella più resistente contro un avversario motivato e con accesso diretto al computer.

BitLocker resta utile?

Sì, assolutamente. BitLocker continua a essere uno strumento molto importante per la protezione dei dati a riposo. Riduce enormemente il valore di un disco rubato e complica in modo serio il lavoro di chi vuole leggere informazioni sensibili senza autorizzazione.

Il punto è che la sicurezza reale dipende dal livello di minaccia. Se il rischio principale è il furto del computer spento, BitLocker è estremamente utile. Se invece temi un attacco con accesso fisico e tempo a disposizione, allora servono contromisure aggiuntive. È la classica differenza tra una protezione buona e una protezione adeguata allo scenario.

Come leggere correttamente il rischio

Non bisogna cadere nel panico. Un exploit di questo tipo non significa che tutti i sistemi siano immediatamente compromessi. Richiede condizioni precise, competenze e soprattutto accesso diretto al dispositivo. Questo limita molto la portata dell’attacco rispetto a una vulnerabilità remota.

Tuttavia, per chi gestisce dati sensibili, anche un rischio circoscritto merita attenzione. Un portatile perso o sottratto può contenere documenti aziendali, credenziali memorizzate, dati personali e materiale riservato. Se una difesa predefinita non basta in tutte le situazioni, è corretto alzare il livello di protezione.

La buona notizia è che spesso la mitigazione non richiede interventi complessi: più controllo sull’avvio, più attenzione alla custodia fisica e più disciplina nella configurazione dei dispositivi possono fare una grande differenza.

In sintesi

YellowKey mette in evidenza un principio fondamentale della sicurezza informatica: la cifratura protegge i dati, ma il dispositivo va protetto anche fisicamente. Per gli utenti la priorità è vigilare sul proprio computer e verificare le impostazioni di BitLocker. Per le aziende, invece, è il momento giusto per controllare policy, configurazioni e procedure interne.

Technical Deep Dive

YellowKey sembra colpire il modello di protezione basato su BitLocker + TPM quando il sistema utilizza impostazioni che consentono un’avvio relativamente trasparente senza una verifica aggiuntiva forte da parte dell’utente. In generale, BitLocker può operare con diverse modalità di protezione: solo TPM, TPM con PIN, TPM con chiave USB o combinazioni equivalenti, a seconda della policy e dell’hardware disponibile.

Nel modello solo TPM, la chiave di sblocco viene legata allo stato di boot misurato dal firmware e dai componenti della catena di avvio. Questo approccio è comodo e molto usato nelle distribuzioni aziendali, perché elimina l’attrito per l’utente finale. Tuttavia, se un attaccante riesce a interagire fisicamente con il dispositivo e a influenzare uno o più elementi della catena di trust, può tentare di forzare condizioni che rendano possibile l’accesso al volume protetto.

Dal punto di vista difensivo, le contromisure più efficaci includono:

• TPM con pre-boot PIN, che aggiunge un fattore conoscitivo prima dello sblocco del disco.
• Blocchi a livello di firmware per ridurre la manomissione dell’ordine di boot.
• Disattivazione o controllo stretto delle porte e dei percorsi di avvio alternativi.
• Protezione del supporto di avvio esterno e del recovery environment.
• Policy di gruppo e gestione centralizzata per imporre configurazioni coerenti su tutta la flotta.

Un altro aspetto importante è la differenza tra compromissione della crittografia e compromissione del sistema. Un exploit che bypassa l’accesso al volume non implica necessariamente la rottura teorica di BitLocker come algoritmo; può invece sfruttare la logica di implementazione, la procedura di bootstrap o una debolezza nella gestione della fiducia tra firmware, TPM e sistema operativo.

Per i team di sicurezza, il controllo prioritario dovrebbe essere la verifica di:

• modalità di protezione effettiva usata dai dispositivi;
• presenza di PIN all’avvio dove compatibile;
• stato del firmware e delle impostazioni UEFI;
• conformità delle macchine mobili alle policy di hardening;
• procedure di risposta in caso di furto o smarrimento.

In breve, YellowKey non elimina l’utilità di BitLocker, ma ricorda che la robustezza di una piattaforma di cifratura dipende dall’intera catena di fiducia, non solo dal motore crittografico. Per questo, una strategia moderna deve unire crittografia, hardening del firmware, controllo fisico e formazione degli utenti.

Fonte: https://www.schneier.com/blog/archives/2026/05/zero-day-exploit-against-windows-bitlocker.html