Mdulo TPM 2.0, requisito do Windows 11, foi burlado em menos de 30 minutos durante teste

A Microsoft anunciou recentemente o Windows 11, e alguns requisitos mínimos para a instalação do novo sistema operacional têm causado confusões. É o caso do TPM, sigla para Trusted Platform Module, que se tornou um item fundamental durante o processo.

A empresa explicou as razões pelas quais exigirá o TPM, que não é exatamente um hardware novo; muitos computadores já têm esse criptoprocessador pré-instalado.

Mas mesmo com essa preocupação sobre a segurança dos usuários, não existe nada 100% seguro. Especialistas da empresa de segurança digital Dolos Group precisaram de menos de 30 minutos para burlar o módulo TPM de um notebook Lenovo.

Em resumo, o TPM é um componente de segurança que, no Windows, é utilizado para criptografia de disco por meio do BitLocker, detecção de malwares durante o processo de boot, autenticação via Windows Hello, entre outros. Normalmente é utilizado em computadores de ambientes corporativos.

A Dolos recebeu um notebook corporativo com uma série de mecanismos de segurança ativados. O computador foi cedido para a empresa checar a segurança da rede de um cliente. Porém, nenhuma senha foi fornecida, tampouco qualquer outra informação que pudesse auxiliar os pesquisadores a acessar o equipamento.

A equipe logo notou que, assim que ligado, o computador mostra logo a tela de login, sem nenhum campo para digitação de PIN ou senha aparecendo no meio do caminho. Esse comportamento sugere que a chave de descriptografia da unidade é obtida unicamente a partir do TPM.

Após essa constatação, os pesquisadores tiveram a ideia de extrair a tal chave do chip. Ao notarem que o módulo TPM do notebook se comunicava com a CPU por meio de um barramento serial, o SPI (Serial Peripheral Interface).

O ideal seria que a comunicação entre os dois componentes fosse feita a partir de um barramento dedicado, mas, por questões relacionadas a design e custos, não é incomum que o SPI seja usado para esse fim.

No entanto, essa abordagem deu abertura para que os pesquisadores obtivessem a chave interceptando a conexão entre TPM e CPU. Depois de uma investigação, a equipe da Dolos descobriu que o mesmo barramento SPI era compartilhado com o chip CMOS, que é responsável por armazenar as configurações de BIOS do equipamento.

Esse chip tem pontos de contato muito maiores na comparação com o módulo TPM. Bastou conectar um analisador lógico ao CMOS para extrair o tráfego de dados que passa pelo barramento SPI. Usando uma ferramenta chamada bitlocker-spi-toolkit, eles conseguiram isolar a chave do volume de dados extraídos.

Assim, a proteção proporcionada pelo TPM havia sido superada em menos de 30 minutos. Com a chave de descriptografia em mãos, os pesquisadores acessaram a unidade de armazenamento do notebook e encontraram um cliente de VPN corporativo pré-configurado. Esse tipo de cliente tem uma particularidade: a conexão com o servidor é estabelecida antes de o usuário iniciar a sessão.

Isso significa que, se o computador for invadido, o servidor acessado via VPN poderá ser comprometido de diversas formas. Esse não é o único perigo: a máquina invadida também pode ser usada em uma série de ações maliciosas ou dar acesso a dados sigilosos eventualmente armazenados nela.

Apesar de os especialistas da Dolos Group terem conseguido burlar o TPM, esse módulo continua sendo um importante componente de segurança. Note que a vulnerabilidade não estava no chip em si, mas em seu método de implementação na placa-mãe. Além disso, esse tipo de ataque exige acesso físico ao equipamento e bastante conhecimento técnico sobre o assunto.

De modo geral, o experimento serve para reforçar que todo cuidado é pouco quando o assunto é segurança digital e que, com base nisso, não é prudente confiar em uma única solução ou em configurações padrão. Uma senha ou PIN para acesso ao computador, por exemplo, pode servir como uma boa barreira protetiva.