GreatXML: BitLocker-Umgehung via Recovery-Partition
Der Sicherheitsforscher Chaotic Eclipse hat eine neue Sicherheitslücke in Windows BitLocker öffentlich gemacht. Der Exploit trägt die Bezeichnung GreatXML und ermöglicht es, die Verschlüsselung zu umgehen – durch Manipulation von XML-Dateien in der Recovery-Partition des Systems.
Wie funktioniert der Angriff?
Die Lücke nutzt XML-Dateien aus, die in der Windows Recovery-Partition gespeichert sind. Diese Dateien sind für die Notfallwiederherstellung des Systems zuständig. Der Exploit zeigt, dass diese Dateien unter bestimmten Bedingungen als Angriffsfläche dienen können, um die BitLocker-Verschlüsselung zu umgehen.
Characteristically war die Entdeckung unbeabsichtigt – der Forscher benötigte nur etwa 4 Stunden, um die Schwachstelle zu finden. Das deutet darauf hin, dass ähnliche Sicherheitsprobleme möglicherweise übersehen worden sind.
Kontext: Windows Defender Offline Scan
Die Veröffentlichung des GreatXML-Exploits folgt unmittelbar nach einer weiteren Sicherheitsmitteilung des gleichen Forschers, die ein anderes Windows-Feature betrifft – den Windows Defender Offline Scan. Dies ist ein wichtiger Kontext, denn beide Exploits deuten auf ein Muster hin: Recovery- und Offline-Features des Windows-Betriebssystems könnten als Schwachstellen missbraucht werden.
Was bedeutet das für BitLocker-Nutzer?
BitLocker ist Microsofts Verschlüsselungslösung, die insbesondere in Unternehmensumgebungen und bei sensiblen Daten zum Standard gehört. Eine praktikable Umgehung könnte erhebliche Sicherheitsimplikationen haben – besonders für:
- Unternehmen, die auf BitLocker als primäre Sicherheitsmaßnahme verlassen
- Mobile Geräte und Laptops mit verschlüsselten Festplatten
- Compliance-Anforderungen, die auf Full-Disk-Encryption basieren
Nächste Schritte
Microsoft wird voraussichtlich in den kommenden Sicherheitsupdates eine Patch bereitstellen müssen. Bis dahin sollten Administratoren prüfen, ob zusätzliche Sicherheitsmaßnahmen rund um die Recovery-Partition erforderlich sind. Dazu gehören auch physische Zugriffsbeschränkungen auf Systeme.
Die schnelle Entdeckung dieser Lücke zeigt erneut, dass auch etablierte Sicherheitsfeatures regelmäßig überprüft werden müssen – besonders bei System-kritischen Funktionen wie Recovery-Partitionen.