Windows Recall affronta nuove preoccupazioni sulla sicurezza: cosa devi sapere

Introduzione per l’utente comune

Windows Recall è una funzione di intelligenza artificiale che cattura automaticamente screenshot di ciò che fai sul tuo computer. Microsoft ha promesso che questa tecnologia fosse sicura e protetta, ma i ricercatori di sicurezza hanno scoperto dei buchi nelle difese. La buona notizia? Se sei preoccupato per la privacy, puoi disabilitare questa funzione dalle impostazioni di Windows.

Questo articolo ti spiega cosa sta succedendo, perché è importante e come puoi proteggere i tuoi dati sensibili.

Cos’è Windows Recall e perché è stato controverso

Quando Microsoft ha presentato Recall per la prima volta, è stato immediatamente criticato come un “disastro” per la sicurezza informatica e un “incubo per la privacy”. La funzione era progettata per acquisire screenshot frequenti del tuo schermo, permettendoti di cercare e recuperare qualsiasi cosa tu abbia visto in precedenza sul tuo PC.

Il problema principale? Tutti questi screenshot contenevano informazioni sensibilissime: password, messaggi privati, email, documenti riservati e cronologia di navigazione. Se un malintenzionato avesse ottenuto accesso a questi dati, avrebbe avuto una visione completa della tua vita digitale.

Dopo il backlash iniziale, Microsoft ha deciso di riprogettare completamente Recall, promettendo di implementare misure di sicurezza robuste. L’azienda ha investito un anno intero nel tentativo di risolvere le vulnerabilità critiche.

I nuovi problemi di sicurezza scoperti

Nonostante gli sforzi di Microsoft, il ricercatore di sicurezza Alexander Hagenah ha recentemente creato uno strumento chiamato TotalRecall Reloaded, che dimostra come il malware può comunque accedere ai dati di Recall.

Il funzionamento è sorprendentemente semplice:

1. Il malware rimane silenziosamente in esecuzione in background sul tuo computer
2. Attiva la timeline di Recall forzando l’autenticazione di Windows Hello
3. Una volta autenticato, estrae tutti i dati che Recall ha mai catturato
4. Tutto questo avviene senza che tu te ne accorga

Il punto critico: Microsoft aveva affermato che la sua architettura di sicurezza avrebbe impedito esattamente questo tipo di attacco.

Come Microsoft ha tentato di proteggere Recall

La strategia di Microsoft si è basata su tre pilastri:

Vault sicuro: I dati di Recall vengono archiviati in un ambiente crittografato e isolato.

Autenticazione biometrica: Per accedere ai dati, devi usare il riconoscimento facciale o l’impronta digitale di Windows Hello.

Virtualization-based Security Enclave: Un ambiente virtuale isolato che dovrebbe impedire al malware di accedere ai dati.

In teoria, questa architettura dovrebbe essere praticamente impenetrabile. Microsoft aveva comunicato: “Questo limita i tentativi di malware latente che tenta di ‘stare al passo’ con l’autenticazione dell’utente per rubare dati”.

Il difetto nell’architettura di sicurezza

Secondo Hagenah, il problema fondamentale è che il confine di fiducia termina troppo presto. In altre parole, anche se il vault è ben protetto, i dati devono essere decriptati e inviati a un processo non protetto per essere visualizzati sullo schermo. È come avere una porta d’acciaio titanio davanti a una stanza, ma le pareti intorno sono fatte di cartongesso.

Hagenah ha anche scoperto che:

• TotalRecall Reloaded può estrarre gli ultimi screenshot memorizzati nella cache di Windows Recall senza nemmeno richiedere l’autenticazione di Windows Hello
• Lo strumento può cancellare completamente la cronologia di acquisizione
• I timeout di protezione che Microsoft ha implementato possono essere aggirati

La risposta di Microsoft

Quando Hagenah ha segnalato responsabilmente questi problemi a Microsoft il mese scorso, l’azienda ha chiuso il rapporto dicendo che non c’era alcuna vulnerabilità. David Weston, vicepresidente della divisione sicurezza di Microsoft, ha dichiarato che “i pattern di accesso dimostrati sono coerenti con le protezioni previste e i controlli esistenti, e non rappresentano un bypass del confine di sicurezza”.

Microsoft sostiene anche che il periodo di autorizzazione ha un timeout e protezioni anti-hammering che limitano l’impatto di query malintenzionate.

Tuttavia, Hagenah contesta queste affermazioni, sostenendo che i timeout possono essere aggirati e che Microsoft sta sottovalutando il problema.

Cosa significano questi problemi per te

Se sei un utente comune, ecco cosa devi sapere:

Il rischio reale: Se il tuo computer è infetto da malware sofisticato, potrebbe potenzialmente accedere ai tuoi dati di Recall, che includono informazioni molto sensibili.

Non è un difetto isolato: Questo non è un semplice bug facilmente correggibile. È un problema architetturale fondamentale nel modo in cui Recall è stato progettato.

Le tue opzioni:

• Disabilitare completamente Recall dalle impostazioni di Windows
• Mantenere il tuo antivirus aggiornato e usare software di sicurezza robusto
• Evitare di inserire informazioni altamente sensibili sul tuo PC se Recall è abilitato
• Aspettare che Microsoft implementi una soluzione più robusta

Il contesto più ampio

È importante notare che il tipo di malware descritto da Hagenah potrebbe comunque catturare screenshot del tuo schermo anche senza Recall. Il problema è che Recall memorizza molto più dei semplici screenshot: salva tutta la cronologia di ciò che hai visto, inclusi testi, messaggi, email e cronologia di navigazione.

Questo significa che Recall rappresenta un obiettivo molto più attraente per i malintenzionati rispetto al malware tradizionale, perché offre una visione storica completa della tua attività.

Technical Deep Dive

Per gli utenti più tecnicamente esperti, ecco una spiegazione più dettagliata dei problemi di sicurezza:

L’architettura di Recall: Windows Recall utilizza un VBS (Virtualization-Based Security) Enclave per isolare i dati. Questo è effettivamente “rock solid” dal punto di vista crittografico. L’autenticazione è stateless e race-free, il che significa che sono stati effettuati migliaia di test senza trovare bypass dell’autenticazione.

Il vero problema: Il difetto non risiede nella crittografia, nell’enclave, nell’autenticazione o nel Process Protection Level (PPL). Risiede nel fatto che i contenuti decriptati vengono inviati a un processo non protetto per il rendering. Questo è un problema di design fondamentale che non può essere risolto con semplici patch di sicurezza.

Il vettore di attacco di TotalRecall Reloaded: Lo strumento sfrutta la capacità dei processi in modalità utente di iniettare codice in se stessi, che è un comportamento normale e spesso legittimo in Windows. Tuttavia, questa flessibilità crea anche opportunità di abuso. TotalRecall Reloaded attiva la timeline di Recall e forza un prompt di Windows Hello, quindi estrae i dati una volta che l’autenticazione è completata.

Protezioni anti-hammering: Microsoft ha implementato timeout e protezioni anti-hammering per limitare i tentativi di accesso non autorizzato. Tuttavia, secondo Hagenah, questi possono essere bypassati rieseguendo il polling dei dati.

Implicazioni architetturali: La soluzione a lungo termine richiederebbe un redesign più profondo di come i dati decriptati vengono gestiti e visualizzati, possibilmente attraverso un’architettura di rendering completamente isolata o metodi di accesso ai dati più granulari.

Confronto con altre minacce: Malware infostealer simile potrebbe estrarre dati da 1Password o dalla cronologia di navigazione, ma Recall rappresenta una minaccia unica perché centralizza e memorizza una quantità senza precedenti di dati sensibili in un’unica posizione.

Conclusioni e raccomandazioni tecniche

Mentre Microsoft ha implementato miglioramenti significativi rispetto alla versione originale di Recall, rimangono problemi architetturali fondamentali. Gli amministratori di sistema dovrebbero valutare attentamente se abilitare Recall nei loro ambienti, specialmente per i computer che contengono informazioni altamente sensibili.

Fonte: https://www.theverge.com/report/912101/microsoft-windows-recall-new-security-concerns-response