// TOM'S HARDWARE ITALIA — MONDO
Nove falle nella cifratura: chi usa CryptoPro in Italia verifichi la versione installata
Chi gestisce ATM, apparati integrati o postazioni Windows in Italia deve verificare se nella propria catena tecnologica compare CryptoPro Secure Disk e quale release sia installata. Come emerge dall’inchiesta sulle falle di CryptoPro, nove vulnerabilità capaci di aggirare i controlli d’integrità sono state corrette in due fasi, con le versioni 7.7.2 e 7.7.3.
Per banche, fornitori industriali e organizzazioni italiane, la decisione non riguarda soltanto l’aggiornamento di un componente. Gli intermediari devono ricondurre la verifica nel framework DORA; le imprese soggette alla NIS2 devono invece considerare gli obblighi sulla filiera introdotti dal decreto legislativo 138/2024. In entrambi i casi servono inventario, conferma del fornitore, test della correzione e tracciabilità del rilascio.
Il ricercatore Matt Burch, impegnato da cinque anni nella sicurezza degli ATM, ha presentato alle conferenze Black Hat e DEF CON di Las Vegas le nove vulnerabilità individuate nel software di cifratura del disco e autenticazione precedente all’avvio. Secondo quanto riportato, un attaccante avrebbe potuto eludere le verifiche d’integrità e ottenere accesso completo ai dispositivi cifrati.
Il prodotto è sviluppato dalla società tedesca CryptWare e viene commercializzato sia per gli ATM sia per produttori di dispositivi integrati e grandi organizzazioni che utilizzano Microsoft Windows. La distribuzione trasversale dello stesso componente amplia il lavoro necessario per individuare tutti i sistemi interessati: il nome del software può non essere visibile all’utilizzatore finale quando è incorporato in una soluzione più ampia.
L’amministratore delegato di CryptWare, Uwe Saame, ha riferito che esistono centinaia di clienti nei settori automobilistico, bancario, pubblico, manifatturiero, sanitario, finanziario e della ricerca, oltre a installazioni estese negli ATM. L’articolo non pubblica un elenco dei clienti e non identifica installazioni italiane: non vi sono quindi basi per attribuire un’esposizione specifica a singole aziende del Paese.
Burch ha verificato che le patch correggono effettivamente i problemi individuati e ha descritto CryptWare come tempestiva e collaborativa durante la divulgazione. Il punto tecnico resta la possibilità, nelle versioni vulnerabili, di superare i controlli d’integrità di CryptoPro, cioè una funzione collocata proprio nella catena che dovrebbe impedire l’avvio di un ambiente alterato.
La correzione deve completare almeno tre passaggi operativi: lo sviluppatore del componente pubblica la patch; il produttore che lo integra prepara e valida un aggiornamento compatibile con la propria soluzione; il cliente finale programma infine l’installazione sui sistemi in esercizio. Un’interruzione in qualunque punto lascia in campo una release vulnerabile nonostante la disponibilità del rimedio.
Saame ha spiegato che CryptWare dispone di accordi di manutenzione con tutti i clienti e li avvisa in anticipo delle vulnerabilità e dei tempi di risoluzione. La società, tuttavia, mantiene non pubbliche le note di aggiornamento. Per un responsabile IT ciò rende insufficiente affidarsi soltanto a bollettini pubblici o scanner basati sulle release note: la conferma deve arrivare anche dal canale contrattuale e dal fornitore che ha integrato il componente.
CryptoPro è presente anche nella soluzione di cifratura del disco della Diebold Nixdorf. Il produttore di ATM ha precisato che solo due delle nove vulnerabilità riguardavano la propria implementazione e che le relative correzioni sono state distribuite a dicembre. Secondo l’azienda, quei due difetti non avrebbero consentito, da soli, di compromettere un suo sportello automatico.
La distinzione tra il componente originario e la sua implementazione è visibile anche nella scheda del sistema Vynamic, che include Vynamic Security Hard Disk Encryption. Ne deriva una verifica su due livelli: accertare la versione del componente e chiedere al produttore della soluzione quali vulnerab