Os artigos que mostram como contornar o TPM 2.0 e o Secure Boot no Windows 11 se multiplicaram na internet, e já temos até ferramentas que desabilitam ambos os requisitos automaticamente ao criar um pendrive de instalação. No entanto, parte do trabalho da Microsoft é explicar por que é necessário usar TPM 2.0 e Secure Boot no Windows 11. Seu canal oficial Microsoft Mechanics publicou um vídeo de 17 minutos no início de outubro que explora as duas tecnologias com mais profundidade, e que vale a pena assistir.
O outro lado da moeda
A decisão da Microsoft é controversa, ninguém questiona isso. Da divisão instantânea de sua base de usuários até a recomendação de comprar novos equipamentos em plena crise de semicondutores, o Windows 11 mostrou que os problemas de tato e comunicação em Redmond continuam vigentes. Mas agora que o novo sistema operacional já está entre nós, a Microsoft busca transmitir aos seus usuários as principais razões pelas quais é necessário usar TPM 2.0 e Secure Boot no Windows 11… ou melhor, "recomendado".
Isso nos leva a um vídeo publicado no Microsoft Mechanics, um dos canais oficiais da empresa no YouTube. O canal costuma gerar conteúdo voltado para profissionais de TI, no entanto, este vídeo de 17 minutos faz um trabalho decente ao descrever os benefícios diretos dessas tecnologias de segurança para um público mais amplo, e inclui alguns ataques como demonstração.
TPM 2.0 e Secure Boot no Windows 11, explicado pela Microsoft
- O primeiro ataque explora a exposição do RDP à internet. Primeiro localiza o alvo com Shodan, depois parte para o Kali Linux e, finalmente, usa o Hydra para realizar um ataque de força bruta usando um banco de dados com senhas básicas. A simulação leva alguns segundos, mas sabemos bem que um ataque de força bruta pode se estender por dias e é muito pouco prático realizá-lo às cegas. Com acesso completo, o atacante injeta seu payload.
- O segundo ataque é realizado diretamente em um dispositivo sem segurança baseada em virtualização (VBS). Com a ajuda de um acessório que utiliza o PCILeech, o atacante consegue modificar/substituir o código de autenticação biométrica para impressões digitais com um patch, de modo que possa entrar usando algo tão simples quanto uma goma de apagar. O VBS anula essa possibilidade ao isolar elementos fundamentais (chaves, assinaturas, etc.) da sessão padrão, ambos separados por hardware. Ao habilitar o recurso, o ataque fica neutralizado.
- A próxima fase explica o papel do TPM 2.0, que é proteger chaves de criptografia, credenciais de usuário e outros dados delicados com uma barreira de hardware. Nesse ponto, devemos lembrar que muitos computadores já têm suporte para TPM 2.0 (o próprio vídeo fala de "computadores nos últimos cinco anos"), mas ele fica desativado no UEFI. Muitos usuários podem instalar o Windows 11 sem problemas apenas ativando-o.
- A combinação de UEFI, Secure Boot e Trusted Boot bloqueia ataques como o que vimos no primeiro exemplo, ou minimiza os danos se o computador já estiver comprometido. No vídeo, aprendemos a ativar o Secure Boot, que por sua vez exige desativar o Legacy Mode ou CSM. As modificações na sequência de inicialização são rejeitadas, e o computador retorna a um login convencional do Windows 11.
Pequenos detalhes
Um dos aspectos mais interessantes aparece no final do vídeo, no qual eles essencialmente admitem que o aumento nas medidas de segurança pode impactar o desempenho do computador, e é aí que entram os novos chips da Intel e da AMD. Além disso, todos os requisitos de segurança do Windows 11 são opcionais no Windows 10 e podem ser habilitados pelo usuário quando desejar.
Em relação aos ataques, gostaria de acrescentar o seguinte: por um lado, muitos dos resultados apresentados pelo Shodan revelam que o RDP está exposto em computadores com Windows 8.1 ou inferior, ou seja, o problema não é um desenvolvimento recente. E por outro lado, se um atacante obtém acesso físico ao dispositivo, não é absurdo declará-lo comprometido desde o início. Em resumo, nunca é demais receber informações adicionais, e a ideia é que o usuário tenha mais poder de decisão, seja para procurar um computador novo, seja para estender o ciclo de vida em hardware perfeitamente funcional.
