Smacco alla sicurezza: non basta più l’impronta digitale

Tempi balordi per le misure di sicurezza. Anche i sistemi di protezione ritenuti inviolabili e capaci di garantire la massima riservatezza del contenuto dei dispositivi elettronici di uso quotidiano finiscono con l’essere dribblati dai Diego Maradona della “insecurity”.

A subire un poderoso smacco stavolta è il sensore che legge l’impronta digitale dell’utente allo scopo di impedire l’accesso al personal computer da parte di estranei e soprattutto degli immancabili malintenzionati.

A riuscire nella “mission impossible” sono stati due ricercatori che vanno sotto il nome di Jesse D’Aguanno e Timo Teras, che con la loro formidabile impresa si sono guadagnati un posto d’onore nell’Olimpo in cui i super-eroi del mondo cyber siedono giustamente accanto agli dei pagani.

Il risultato va ben oltre quel che merita di essere annoverato tra i Guinness dei Primati: l’aver aggirato una simile barriera ha un significato storico di portata incredibile.

I due tizi, che lavorano per Blackwing Intelligence, hanno pubblicato un corposo documento in cui spiegano come sono riusciti a by-passare alcuni lettori di impronte digitali tra quelli più popolari e maggiormente installati nei personal computer dell’universo Windows.

Utilizzando diverse tecniche di reverse engineering e avvalendosi di hardware esterno, i due sono stati in grado di ingannare il sensore di impronte digitali Goodix in un Dell Inspiron 15, il sensore Synaptic in un Lenovo ThinkPad T14 e il sensore ELAN in una delle cover con tasti per Surface Pro di Microsoft. Chi pensa che sia una piccola vittoria, si sbaglia. É un KO plateale degno del miglior Mike Tyson dei tempi d’oro.

D’accordo che si tratta di solo tre modelli di pc portatile, ma una di quelle tre aziende produttrici è quella che realizza il sensore di impronte digitali che è presente anche nelle “macchine” della concorrenza e che costituisce una sorta di standard per quella tipologia di arnese. In pericolo, quindi, non ci sono soltanto quei tre laptop ma tutti quelli che hanno una dotazione di quel tipo e quindi la preoccupazione è tutt’altro che limitato a pochi apparati in commercio o già in uso in giro per il mondo.

Il documento di Blackwing, oltre a spiegare come i ricercatori sono riusciti a beffare il meccanismo di salvaguardia, offre una panoramica estremamente interessante sulle dinamiche di funzionamento dei sensori di impronte digitali normalmente installati sui computer oggigiorno sul mercato.

Senza voler svelare trucchi malevoli è bene sapere che i lettori in argomento (compatibili con Windows Hello) si avvalgono di sensori “match on chip”, ovvero dotati di autonomi processori e dispositivi di archiviazione che scansionano le impronte e le memorizzano senza coinvolgere il computer che li ospita. Questo sistema isola i dati delle impronte ed evita che possano essere accessibili in caso di manomissione fisica o logica del personal computer.

Il punto debole che avrebbe permesso di scassinare una simile cassaforte virtuale sarebbe stato il “Secure Device Protection Protocol” (SCDP). ovvero la modalità (sviluppata da Microsoft) con cui il pc verifica l’affidabilità del sensore e della procedura di cifratura dei dati nel dialogo tra il lettore e il computer che se ne serve. In ognuno dei tre “goal” mandati a segno sono stati trovati errori diversi nell’implementazione e nell’uso di quel protocollo di comunicazione, ma in ogni caso il risultato è sempre stato lo stesso: il computer è stato “bucato” e il suo legittimo possessore è finito virtualmente in mutande.