Istruttore: In questa lezione esploreremo
alcune delle funzioni di
sicurezza del BIOS e dell'UEFI.
Oltre a fornire protezioni sulla nostra rete
e nell'ambiente del nostro sistema operativo,
dobbiamo anche considerare la sicurezza
del nostro ambiente pre-operativo.
Questa è l'area del computer
che può essere attaccata durante la fase di avvio
e pertanto è necessario considerare le protezioni
del bootloader, comprese le password del BIOS e dell'UEFI, il processo di avvio
sicuro e l'impostazione delle autorizzazioni sulle porte
USB della scheda madre.
Ricordiamo che il BIOS e l'UEFI sono due tipi diversi
di firmware utilizzati nei nostri computer per assistere
il caricamento e l'avvio del sistema operativo.
Ogni computer può avere il BIOS o l'UEFI,
ma non entrambi.
Il BIOS è il sistema di input/output di base ed è
un'interfaccia firmware che inizializza l'hardware
di un sistema operativo per consentirne l'avvio.
I computer che si affidano al BIOS utilizzano un
master boot record, o MBR, per contenere le informazioni di avvio e identificare
le partizioni di un determinato disco rigido che contengono
il sistema operativo da caricare.
Il BIOS è il tipo di firmware più vecchio e tradizionale.
L'UEFI, o unified extensible firmware initiative,
invece, è un tipo di firmware più recente.
L'UEFI è un tipo di firmware di sistema che supporta
le operazioni della CPU a 64 bit all'avvio, un'interfaccia utente
grafica completa e le operazioni del mouse all'avvio e una migliore
sicurezza all'avvio.
I computer che si affidano a UEFI utilizzano una
tabella di partizione GUID nota come GPT per contenere le informazioni di avvio.
UEFI consente l'accesso e l'avvio da dischi
di dimensioni superiori a due terabyte e fornisce
un'architettura e dei driver indipendenti dalla CPU,
oltre a un ambiente pre-OS che può includere funzionalità
di rete e accesso alla navigazione web.
In generale, l'UEFI è più recente e più avanzato del BIOS e fornisce
ulteriori controlli di sicurezza e integrità
durante il processo di avvio, compreso l'avvio sicuro.
Ora, anche il BIOS e l'UEFI possono essere protetti
con diversi tipi di password.
La password comprende la password del supervisore,
dell'amministratore o di impostazione, la password dell'utente o del sistema e la
password dell'unità di archiviazione o del disco rigido.
La password di supervisore, amministratore o configurazione
è il primo tipo di password che si trova quando
si utilizza il BIOS o l'UEFI.
Questa password serve a proteggere l'accesso
al BIOS o al programma di configurazione UEFI e impedisce
agli utenti non autorizzati di accedere a questo
strumento di configurazione sensibile.
Se si imposta questa password, ogni volta che qualcuno tenta
di entrare nel BIOS o nell'UEFI, verrà richiesto di
inserire la password prima di concedere l'accesso,
ma non si impedirà a qualcuno di accendere il computer e avviare
il normale ambiente del sistema operativo.
Questa password viene quasi sempre impostata sui computer
di una rete aziendale o di un'impresa, in modo
che gli utenti finali non possano accedere al BIOS o all'UEFI, ma gli amministratori
e i tecnici del sistema possano farlo se dispongono della
password giusta.
La password utente o di sistema è il secondo
tipo di password che può essere configurata nel BIOS o nell'UEFI.
Questa password viene utilizzata per bloccare l'accesso all'intero computer.
Ogni volta che il computer viene
acceso, si ferma e chiede una password.
Se l'utente finale inserisce la password corretta, il computer
continuerà a caricare il sistema operativo e ad avviarsi.
Sebbene questo sia un metodo molto sicuro per proteggere un computer,
non viene quasi mai utilizzato nelle reti aziendali o di impresa, perché
la password dovrebbe essere condivisa con
tutti gli utenti che accedono a quel computer, e questa password
condivisa annulla parte della sicurezza che stiamo cercando
di ottenere.
Di solito, invece, la password utente o di sistema viene utilizzata
solo sul computer di qualcuno, quando
è l'unico utente a utilizzarla.
Si tratta di una password separata e diversa
da quella dell'utente che verrà utilizzata
per accedere a Windows, Linux o al sistema MacOS, e garantisce invece
all'utente l'accesso al sistema in quell'ambiente
pre-operativo.
Il terzo tipo di password è noto come password
di archiviazione o di disco rigido.
Questo tipo di password era molto diffuso prima
dell'inclusione del modulo di piattaforma affidabile
o del modulo di sicurezza hardware nei computer moderni.
Questa password bloccherebbe l'accesso a un disco
rigido collegato al sistema e richiederebbe all'utente
finale di inserire la password per poter leggere
il disco rigido e caricare il sistema operativo.
A differenza della password utente o di sistema, che blocca l'utente
dall'intero sistema fino all'inserimento della
password corretta, la password di archiviazione o del
disco rigido blocca solo il disco rigido e la
possibilità di avviare il sistema operativo da esso.
La prossima funzione di sicurezza che dobbiamo
trattare è nota come avvio sicuro.
L'avvio sicuro può essere attivato nell'interfaccia
e nelle impostazioni UEFI e non è supportato dal BIOS.
Se abilitato, eseguirà tre diverse verifiche durante il processo
di avvio di Windows o di altri sistemi operativi
che supportano questa funzionalità, al fine di garantire che
il computer non sia stato dirottato da un qualche tipo
di codice dannoso iniettato nel sistema operativo.
Diamo un'occhiata al processo di avvio completo
di un normale sistema Windows.
La prima fase del processo avviene all'avvio di un computer
Windows, con il caricamento dei componenti di avvio del firmware
e l'avvio del boot manager.
Successivamente, viene avviato il caricatore
di Windows, il kernel di Windows
e le installazioni dei driver critici
per l'avvio.
A questo punto, vengono eseguite le inizializzazioni aggiuntive
del sistema operativo e, infine, viene presentata all'utente
la schermata di accesso a Windows.
Quando i componenti di avvio del firmware vengono
caricati durante un avvio sicuro, il firmware verifica innanzitutto
che tutti i file eseguibili UV e lo stesso caricatore del sistema operativo abbiano
la loro integrità e non siano stati compromessi
da alcun tipo di malware.
Ciò significa che saranno sicuri da caricare.
Successivamente, i componenti di avvio di Windows verificheranno
la firma digitale di ciascun componente prima
di caricarlo.
Se un componente non supera il controllo della
firma, non verrà caricato e verrà emesso un avviso
all'utente finale.
Infine, i driver critici per l'avvio vengono controllati
con i loro hash noti e, se superano questo controllo,
vengono caricati come parte finale del processo
di avvio sicuro.
Ora, per quanto riguarda l'avvio sicuro, vorrei che
ricordaste che si tratta di una procedura utilizzata
per garantire che il sistema operativo stesso sia affidabile
e non sia vittima di un tipo speciale di malware noto come
root kit.
Affinché il secure boot funzioni, deve essere
abilitato all'interno del sistema UEFI e anche il sistema
operativo deve supportarlo.
L'ultima funzione di sicurezza che dobbiamo trattare all'interno
del BIOS o dell'UEFI è l'impostazione dei permessi per le porte USB della
scheda madre.
Ora, la maggior parte dei sistemi moderni può essere configurata
per attivare o disattivare le porte USB sulla scheda madre,
e alcuni consentono persino di limitare le porte USB in modo che
non supportino alcuni tipi di dispositivi
USB, pur consentendo l'utilizzo di altri.
Ora, la preoccupazione maggiore è normalmente rappresentata
dalle minacce informatiche e dalla perdita di dati.
In termini di malware, le porte USB possono rappresentare un'ottima
via d'attacco per chi cerca di introdursi
nel vostro sistema.
Ad esempio, se carico una chiavetta USB con un po' di
malware, posso lasciarla cadere in un parcheggio fuori
dall'edificio di un ufficio e se qualcuno, incuriosito,
la raccoglie e la inserisce nel suo computer,
può installare il malware nei vostri sistemi.
Per evitare che ciò accada, disabilitiamo la capacità dell'USB
di leggere e scrivere dai dispositivi di archiviazione di massa.
È possibile bloccare del tutto l'USB, ma in
tal caso non sarebbe possibile utilizzare
cuffie, webcam, mouse e tastiere e simili.
Per questo motivo, si potrebbe limitare la possibilità
di utilizzarli come dispositivi di archiviazione di
massa, impedendo la connessione al sistema di
unità USB, unità flash o dischi rigidi esterni.
Questo può aiutarci a prevenire l'introduzione
di malware nel nostro sistema.
Ma oltre a questo, potrebbe anche aiutarci a evitare che
i dati escano dal nostro sistema.
Ad esempio, supponiamo che lavoriate per un'organizzazione
top secret del governo.
Non vorrete che qualcuno possa entrare
con una piccola chiavetta USB, collegarla al computer, scaricare
tutte le vostre informazioni e poi uscire
dalla porta di casa con quella.
Per evitare che ciò accada, è possibile configurare l'UEFI in modo da
bloccare le porte USB o impedire che vengano utilizzate per i dispositivi
di archiviazione di massa, bloccando così la possibilità di utilizzare
chiavette e dischi rigidi esterni, in modo che le persone
non possano uscire dalla porta di casa
con le vostre informazioni critiche.
Quando si parla di sicurezza, ci sono tre cose principali
che il BIOS o l'UEFI possono fornire.
La prima è la possibilità di impostare password per controllare
l'accesso a diverse parti del sistema.
Il secondo è la possibilità di attivare l'avvio sicuro per
garantire che il sistema operativo non sia stato compromesso
prima del suo caricamento.
Il terzo è la possibilità di limitare o disabilitare le porte USB sulla
scheda madre per impedire l'introduzione
di malware nel sistema o l'esfiltrazione
di dati dal sistema.