Il primo Patch Tuesday del 2020 contiene una correzione che non conviene rimandare. È la CVE-2020-0601, già ribattezzata CurveBall, e riguarda crypt32.dll, la libreria con cui Windows verifica i certificati digitali. A segnalarla a Microsoft è stata la NSA, l’agenzia statunitense per la sicurezza nazionale. Che la NSA consegni una falla invece di tenersela è abbastanza raro da dire qualcosa sulla sua gravità.
Windows 10 accetta certificati basati su curve ellittiche (ECC) con parametri personalizzati. Durante la verifica, però, non controlla fino in fondo che quei parametri coincidano con quelli dell’autorità di certificazione fidata. Un attaccante può così costruire un certificato falso che il sistema considera emesso da un’autorità affidabile.
Le conseguenze sono due, entrambe spiacevoli. Un eseguibile malevolo può presentarsi come firmato da un produttore legittimo, ingannando sia te sia l’antivirus. E un sito o un server falso può esibire un certificato HTTPS che Windows ritiene valido, aprendo la strada all’intercettazione delle connessioni e alla lettura di dati riservati.
Chi deve aggiornare, e in che ordine
Sono vulnerabili Windows 10, a 32 e 64 bit, e Windows Server 2016 e 2019. Windows 7, Windows 8.1 e i server più vecchi non sono colpiti, perché non supportano i parametri ECC personalizzati. Né Microsoft né la NSA hanno osservato attacchi reali prima della patch. L’agenzia statunitense per la cybersicurezza ha comunque emanato una direttiva d’emergenza che impone agli enti federali di aggiornare entro pochi giorni.
Installa gli aggiornamenti cumulativi di gennaio su tutti i PC Windows 10 e sui server 2016 e 2019, partendo da quelli esposti su Internet: server web, proxy, VPN, controller di dominio. Se usi proxy o sistemi di ispezione del traffico TLS basati su Windows, mettili in cima alla lista, perché sono loro a decidere quali certificati considerare validi per tutta la rete. Finché l’ultimo sistema non è aggiornato, la firma digitale di un file non basta a dirti che è sicuro.
Le prime dimostrazioni pratiche dell’attacco circolano già. Ogni giorno senza patch, qualcuno può fingersi un’azienda di cui ti fidi.
