Petrillo's Blog: COLD BOOT ATTACK: VIOLARE LA SICUREZZA DEI PC LEGGENDO LA MEMORIA RAM

Ho trovato un articolo molto interessante che mi ha aperto gli occhi su un aspetto che ignoravo completamente. Contrariamente a quanto si crede comunemente, la memoria "volatile" di un personal computer in assenza di alimentazione non perde immediatamente il contenuto della memoria. Il tempo richiesto varia da memoria a memoria e da PC a PC, ma generalmente è nell'ordine dei secondi. Questo permette un meccanismo di attacco relativamente semplice denominato "cold boot attack", ovvero "attacco dell'avvio a freddo", che consiste nel rimuovere l'alimentazione di un computer (o di un server) e riavviarlo immediatamente da un disco esterno (CD/USB) o dalla rete per copiare il contenuto della memoria su di un supporto esterno.

A questo punto il sistema operativo del sistema avviato o una analisi a posteriori, possono consentire di risalire alle password dei sistemi che si stavano utilizzando, ad esempio le password delle utenze del sistema operativo, come anche quelle dei broswer, ma soprattutto le ricercatissime immagini delle chiavi di cifratura asimmetriche.

La ricerca pubblicata dalla Princeton University (citp.princeton.edu/memory/) mostra che le memorie DRAM mantengono inalterato il loro contenuto per diversi secondi. Questo può variare da pochi fino a una decina di secondi in funzione della configurazione memoria/PC e della temperatura ambientale. Attraverso uno spray di gel freddo da inettare sul processore è possibile mantenere il 99,9% del contenuto della memoria per 60 secondi, quindi con una perdita trascurabile, compatibile con le moderne tecnologie di ricostruzione della memoria.

La ricerca riporta che attualmente non ci sono contromisure per mettersi al sicuro dal cold boot attack. Un buon consiglio che mi permetto di suggerire a quanti gestiscono dati sensibili e usano sistemi di cifratura asimmetrici è configurare una password di bios e bloccare l'avvio del PC/server dai dischi esterni e dalla rete, perchè in questo modo non sarà possibile avviare banalmente il sistema con un sistema operativo esterno.