Uma nova apresentação no Chaos Communication Congress (CCC) revelou uma vulnerabilidade alarmante no BitLocker, o sistema de criptografia de disco do Windows. O pesquisador de segurança Thomas Lambertz, em sua palestra intitulada “Windows BitLocker: Screwed without a Screwdriver”, demonstrou como é possível contornar a criptografia BitLocker para acessar dados sensíveis, mesmo em sistemas que receberam patches contra a falha. A vulnerabilidade, chamada “bitpixie” (CVE-2023-21563), foi originalmente corrigida pela Microsoft em novembro de 2022, mas o ataque mostrado indica que os sistemas ainda podem estar vulneráveis.

O método explorado por Lambertz utiliza um bootloader do Windows desatualizado para comprometer o recurso Secure Boot e extrair as chaves de criptografia do BitLocker. A técnica exige apenas acesso físico breve ao dispositivo e uma conexão de rede, sem necessidade de ferramentas sofisticadas ou ataques complexos de hardware. Isso torna o ataque mais acessível e perigoso, especialmente em ambientes corporativos ou governamentais.

A falha tem origem na capacidade limitada de armazenamento de certificados dentro do UEFI, componente essencial no processo de inicialização dos sistemas. Essa limitação impede a geração de novos certificados para o Secure Boot antes de 2026, prolongando o período de exposição. Lambertz sugere medidas paliativas, como configurar PINs personalizados no BitLocker ou desativar o acesso à rede diretamente pela BIOS. Contudo, ele ressalta que até dispositivos USB básicos conectados a uma rede podem ser explorados para viabilizar o ataque.