De Poolse rootkit-expert Joanna Rutkowska maakte onlangs de overstap van Windows Vista naar Mac OS X, maar ze mist de BitLocker encryptie-software van Microsoft. Alle andere encryptie oplossingen zijn namelijk bagger, zo laat de Poolse weten. Het grote verschil met de concurrentie, is dat BitLocker als enige een trusted boot proces toepast. In dit geval wordt er geboot van een stukje firmware code die altijd te vertrouwen is. De code start een proces waarbij elk component in de keten de volgende controleert.

De firmware berekent de hash van de BIOS, die weer de waarde van de PCI EEPROM en de MBR controleert voordat die aan de slag mogen. Dan volgt de bootloader en daarna de loader voor het besturingssysteem. BitLocker gebruikt dit proces om ervoor te zorgen dat alleen een vertrouwd systeem toegang tot de decryptiesleutel krijgt. "In andere woorden, BitLocker vertrouwt de Trusted Platform Module dat het de decryptiesleutel alleen maar beschikbaar stelt als de status van de gekozen PCR registers hetzelfde is als het was toen de decryptiesleutel aan de TPM werd toegevoegd."

EEPROM aanval
Volgens Rutkowska biedt dit proces bescherming tegen een eenvoudige twee-fase aanval, waarbij een aanvaller de onbeheerd achtergelaten laptop vanaf een USB-stick start en een backdoor in het EEPROM of de MBR plaatst die de encryptiesleutel probeert te achterhalen. De tweede keer dat de aanvaller terugkomt kan die zijn backdoor uitlezen en heeft hij toegang tot het systeem. De manier waarop BitLocker werkt zorgt ervoor dat deze aanval niet is uit te voeren. Het zal sinds de aanpassing van het EEPROM geen wachtwoordvenster tonen.

Rutkoswka merkt op dat de software van Microsoft in theorie zo hoort te werken, omdat ze de beschreven aanval nog niet zelf heeft uitgevoerd. "Dat komt omdat er nog geen klanten zijn gekomen waarvoor we de BitLocker implementatie moesten evalueren. Daarnaast wil ik vermelden dat ik niet door Microsoft betaald ben om dit artikel te schrijven." De Poolse hoopt dat andere aanbieders van encryptie-software, zoals TrueCrypt en Apple, een soortgelijk proces zullen implementeren.

BIOS wachtwoord
Sommige critici zullen zeggen dat als je een BIOS wachtwoord instelt, de aanval niet is uit te voeren, aangezien er niet van de USB-stick gestart kan worden. "Dat is een geldig punt, maar het vertrouwen in BIOS wachtwoorden om je gegevens te beschermen is niet zo'n goed idee." Rutkowska doelt dan op de standaard wachtwoorden die in veel BIOS software aanwezig zijn.

Daarnaast kan de aanvaller het CMOS-geheugen legen en dan de MBR herprogrammeren zodat er een vals wachtwoordvenster wordt getoond. BitLocker biedt geen bescherming tegen MBR virussen of BIOS/PCI rootkits, iets wat Microsoft had kunnen voorkomen. Dat neemt niet weg dat de Poolse lovend over de software is. "BitLocker is gewoon het tofste onderdeel van Vista en iets dat ik echt mis in alle andere besturingssystemen."