PKfail, la falla di Secure Boot scoperta a luglio è più diffusa del previsto

La grave vulnerabilità PKfail, che era stata scoperta nel corso del mese di luglio e che avevamo definito "vergognosa" sta avendo conseguenze più preoccupanti del previsto, in quanto interessa un numero di dispositivi molto più ampio rispetto a quanto si pensasse inizialmente.

Ricordiamo velocemente che PKfail è una vulnerabilità che nasce dall'uso improprio, per oltre un decennio, di chiavi crittografiche di test (come "DO NOT SHIP" e "DO NOT TRUST") non destinate alla produzione che sono rimaste salvate in centinaia dispositivi con la conseguenza di rendere potenzialmente inaffidabili le protezioni Secure Boot.

I ricercatori di Binarly, la società di sicurezza che a luglio ha scoperto il problema, hanno recentemente aggiornato le loro stime: il numero di modelli di dispositivi che utilizzano le chiavi di test è quasi raddoppiato, salendo dai precedenti 513 a 972, così come sono più che raddoppiati quelli che impiegano le chiavi compromesse presenti su GitHub, passando da 215 a circa 490. Inoltre, sono state scoperte quattro nuove chiavi di test, portando il totale a circa 20.

E c'è un'ulteriore novità: tutte le chiavi compromesse scoperte inizialmente erano state generate da AMI, uno dei tre principali fornitori di kit per sviluppatori che sono usati dai produttori di dispositivi per la personalizzazione del firmware UEFI. Binarly ha però scoperto, nelle sue indagini più recenti, che anche gli altri due fornitori Insyde e Phoenix hanno generato e utilizzato chiavi compromesse.

La situazione è ulteriormente aggravata dal fatto che PKfail interessa non solo i dispositivi elettronici di consumo: i ricercatori di Binarly hanno infatti riscontrato la presenza delle chiavi di test anche su dispositivi medici, server aziendali e anche sistemi utilizzati per operazioni di voto elettronico. Binarly non ha ancora divulgato dettagli e informazioni sui modelli specifici colpiti dalla vulnerabilità dal momento che attualmente non sono ancora disponibili patch correttive.

È importante sottolineare che PKfail rappresenta una minaccia significativa solo per i dispositivi che utilizzano Secure Boot, una protezione obbligatoria per alcuni appaltatori governativi e ampiamente adottata in contesti aziendali. Per gli utenti e i dispositivi che non fanno affidamento su Secure Boot, PKfail non comporta rischi aggiuntivi.