[情報] Windows 11 BitLocker加密仍有漏洞，實

[hn9480412 (ilinker)]

Windows 11 BitLocker加密仍有漏洞，實體接觸即可迅速破解


文/李建興 | 2025-01-02發表

資深安全研究員兼硬體駭客Thomas Lambertz在CCC（Chaos Communication Congress）大會上重現Windows 11 BitLocker漏洞攻擊手法，即便使用者已安裝微軟修復相關漏洞的更新，攻擊者仍然可以使用新的攻擊手法繞過BitLocker加密保護，取得Windows 11系統中的資料。

BitLocker是微軟提供的全磁碟加密技術，被廣泛用於一般與企業使用者的Windows 11系統中，並已作為部分設備的預設加密功能。在預設模式下，BitLocker會在系統靜止的時候加密磁碟，當合法的Windows系統啟動時則會自動解密，但是這個便利性卻成為漏洞攻擊的核心，從Thomas Lambertz的示範可以看出現有的更新並未完全修復漏洞。

該漏洞被歸類在CVE-2023-21563，是一種稱為bitpixie的攻擊，這是在2022年就被揭露的攻擊手法。微軟曾在2022年底宣布完成修補該漏洞，但是Thomas Lambertz展示透過降級攻擊，攻擊者依然能夠利用漏洞取得加密金鑰，並成功存取Windows 11中受保護的資料。

bitpixie的攻擊概念在於利用Secure Boot機制啟動一個過時的Windows啟動載入程式，讓系統在恢復模式下將加密金鑰存入記憶體，接著使用經過特別更改過的Linux系統，利用核心漏洞讀取記憶體內容，並擷取BitLocker解密金鑰。該過程讓攻擊者不需直接操作磁碟，也不需要打開機殼，即可完成解密，這也正是Thomas Lambertz演講Screwed without a Screwdriver主題的由來，意思是不使用螺絲起子拆解設備，攻擊者還是能輕易突破加密。

之所以這個漏洞如此難以修復，主要技術挑戰在於UEFI韌體的儲存空間有限，導致微軟無法立即以雜湊值黑名單撤銷所有存在漏洞的啟動載入程式憑證，微軟預計要到2026年才能全面更新的Secure Boot憑證，而這也才能推動主機板製造商更新UEFI，徹底解決這個問題。

由於該攻擊需要實體接觸，因此對一般使用者來說風險相對較低，但是對於企業與政府等注重資安的機構則需要提高警戒，因為Thomas Lambertz展示攻擊僅需要短暫的實體接觸，就可完成攻擊。在微軟完全解決該問題之前，使用者可以設置PIN碼強化BitLocker防護，或是直接在BIOS停用網路功能，避免攻擊者使用像是USB網路卡等裝置竊取機密資料。


https://www.ithome.com.tw/news/166795

所以還是要實體接觸才有可能產生這漏洞，大概就筆電需要擔心這問題吧

--
 標題  [新聞] 狂！大谷翔平敲三分砲 大聯盟首轟震撼美                           
 時間  Wed Apr  4 11:36:35 2018                                               
噓 ultratimes: 他打的又不是鮑爾或是骷髏伯，人家對他期待是打這些
2018/04/05 [新聞]大谷翔平連2場開轟　今天苦主是去年賽揚投手

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 59.125.187.40 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1735830859.A.388.html
推 guogu: 太好了 不怕資料救不出來
推 Rust: 我第一想法和樓上一樣
推 arabeske: 微軟越來越替使用者著想了
推 WestDoor0204: 被BL鎖遺失使用者比起被保護得多
推 labbat: 嗯 所以誰用過時的啟動載入程式
推 paul40807: 幫親友設定新筆電的第一件事情就是關掉
→ paul40807: 加密 硬碟資料不見比較靠北
→ cp296633: BL鎖好用啊 雙系統 一個上鎖一個來玩蠱
→ cp296633: 風靈月影漢化gal就靠煉蠱系統跑互相隔離
→ yunf: 別傻了不要相信這世界上會有沒漏洞的加密 只
→ yunf: 是什麼時候被揭發而已
→ yunf: 這些措施基本上來說只是造成使用者的麻煩 協
→ yunf: 作廠商在某種程度上也只是使用者
→ yunf: 你可以想一下從千禧蟲開始 這個洞他埋了多久
→ yunf: 才挖出來？
→ yunf: https://tinyurl.com/2yu9ehen 當年提出的可
→ yunf: 信計算看來還很遙遠
→ yunf: 我隨便想一下就可以輕易地繞開他這次做的防
→ yunf: 禦
推 CLisOM: 之前幫同事更新office，整個過程最難的步
→ CLisOM: 驟是要她想起bitLocker密碼跟金鑰放在哪
推 Gwaewluin: 這樣看感覺是UEFI的限制才不好修正？
→ w1222067: 正常吧，沒有沒漏洞的
→ JoyRex: 這是微軟配合FBI或CIA留的吧
→ benen: 您可能是正版的 _ _ 者
推 franchy: Secure Boot安全性不足很難解決吧
→ aq981334: 主要搞不懂這功能下放到民用是要幹嘛
→ hn9480412: 因為水果很早就把相同技術（FileVaul
→ hn9480412: t）下放到消費層級了
→ hn9480412: Mac有T2和M1以後的cpu都預設會開啟
推 birdy590: 就不知道是誰一直想把行動裝置裡那套
→ birdy590: 搬到桌機筆電來~ 搞到資料常常救不回來
→ birdy590: 兩邊的背景和常見需求根本就不一樣
推 felaray: 這不是更好嗎
推 tsairay: 微軟就沒競爭對手,所以亂搞啊,win11那個
推 Arbin: 使用者根本就沒有在分情境 平時沒事不會怎
→ Arbin: 樣 出事都嘛叫叫叫 想要救自己手機資料的
→ tsairay: 品質像是有QA過嗎
→ Arbin: 也不在少數 結論還是老話 你沒備份代表你
→ Arbin: 的資料不重要
→ Arbin: 行動裝置只是你吃屎吃習慣了 不然資料全加
→ Arbin: 密對一般使用者根本沒好處
推 GTR34: 這個一定要的 不然筆電資料就毀了
→ hidexjapan: FileVault 蘋果2009就有了，到M1也是
→ hidexjapan: 變成在開機設定問你要不要開，哪有直
→ hidexjapan: 接預設開
→ hn9480412: 你要不要看apple怎麼寫的
→ hn9480412:  https://i.imgur.com/EmdMDPv.jpeg
→ hn9480412: 再說FileVault最早在10.3和10.4就出現
→ hn9480412: 了
→ YouCantGetME: 所謂的預設開啟是拆機不能直接讀
→ YouCantGetME: Apple SSD綁定加密IC就是預設開啟
→ YouCantGetME: 這套問題在完全硬體綁定 壞了沒救
→ YouCantGetME: BL有金鑰還可以換機讀 各有問題
推 arnold3: 手機壞了沒密碼也救不回來啊
→ arnold3: 去手機店常常看到壞掉要搶救照片的
→ aq981334: 對商業、政府單位來說，電腦會存放重要
→ aq981334: 資料，但是對普通人來說手機會存重要資
→ aq981334: 料，所以手機加密我是沒甚麼意見
→ aq981334: 現在手機銀行、股票、行動支付、信用卡
→ aq981334: ，隨便一個人手機被破解被竊取都能讓個
→ aq981334: 人使用者損失十幾萬，但是民用電腦基本
→ aq981334: 上就不可能造成多少大損失，給民用電腦
→ aq981334: 加密就真的找人麻煩
推 tcchu: 問題主要在win的bl secure boot問題不大
推 Bf109G6: 官辦勒索程式
→ Bf109G6: 之前買二手筆電 某天忽然就說BL鎖住 跑去
→ Bf109G6: 外國子龍 還好保固內不跟我收錢 嚇到我挫
→ Bf109G6: 尿
→ Arbin: 老實說要比資料敏感，一般人電腦的瀏覽器
→ Arbin: 根本就不亞於手機lol
→ Arbin: 麻煩就是麻煩，沒第二句話
→ Arbin: 加密放在哪邊，都是麻煩
→ Arbin: 然後麻煩就算了，連選擇權都沒有，這才靠
→ Arbin: 北。行動裝置就是這樣，感覺Windows也會往
→ Arbin: 這方面靠攏。然後資料被盜，病毒、惡意軟
→ Arbin: 體的計畫遠大於把你的裝置搶過來解密
→ Arbin: *機會
→ birdy590: 行動裝置怕人撿去用 那麼大一台電腦
→ birdy590: 甚至是伺服器 會被人"撿去"撈裡面資料?
→ Arbin: 不用撿啊
→ Arbin: 你系統有漏洞你的資料就有機會被扒了
→ Arbin: 你被裝木馬病毒也是有機會被扒
→ Arbin: 所以行動裝置怕被實體扒所以搞加密 但是有
→ Arbin: 了更多不方便 這是什麼傷敵50自損100的行
→ Arbin: 為 lol
→ Arbin: 真的有機敏資料 那也該是要做局部加密 全
→ Arbin: 部做加密在搞啥？
→ Arbin: 連不重要的資料都沒辦法方便讀 資料救不回
→ Arbin: 來靠北靠母
→ yunf: 多得是你沒想過的問題
→ yunf: 如果一間公司老闆跑路設備被法拍就有可能產
→ yunf: 生外流的情形 如果這個設備剛好被同業買走然
→ yunf: 後裡面有別間公司的商業機密導致另外一間公
→ yunf: 司倒閉也是有可能的事情
→ yunf: 因為資料這種東西就是見光死 尤其是賣資訊差
→ yunf: 的產業
→ Arbin: 你們都在強調公司伺服器balabala，可是我
→ Arbin: 都在說一般使用者喔？
→ Arbin: 對一般使用者，啊就用不到公司企業級的加
→ Arbin: 密，到底為什麼要強迫一般使用者呢？
→ Arbin: 應該說就算有用到範圍也比公司企業要求小
→ Arbin: 很多，不太懂連一般使用者一定要搞個強制
→ Arbin: 全碟加密是在幹嘛？
→ birdy590: 想到倒閉的公司會不會扯太遠了?
→ birdy590: 跟重要的系統搞丟救不回來相比哪個常見
→ yunf: 你去孤狗一下一大堆案例
→ yunf: https://tinyurl.com/25lgmgws
→ yunf: 商業機密外洩導致公司倒閉算常識吧
→ yunf: 沒想到我已經到要幫小朋友把屎把尿的年紀
→ yunf: https://tinyurl.com/25f9paau
→ yunf: 數位韌性與科技倫理
→ yunf: https://tinyurl.com/2x9nsnev
→ yunf: 以前還有某台灣自製繪圖軟體大公司 硬體外流
→ yunf: 剛剛去看了那間公司的轉變還真精彩
→ yunf: 你講的都是小朋友的我講的可以關乎全球產業
→ yunf: 板塊變動
→ birdy590: 那是入侵 不是什麼倒閉的公司流出資料
→ birdy590: 公司都倒閉了是還想有什麼珍貴的資料?
→ birdy590: 事實上 會有從實體機器撈資料出來的需求
→ birdy590: 十之八九都是為了資料救援, 救不回來比
→ birdy590: 什麼虛無飄眇的機密外洩實際多了