Usa una chiavetta USB per bloccare e sbloccare il computer

Trasformare una penna USB come chiave per entrare nel PC, bloccare e sbloccare il computer senza uso di password

La sicurezza informatica vive di un eterno compromesso tra protezione e comodità. Dover digitare una password complessa ogni volta che ci si allontana dalla postazione per pochi minuti è un deterrente che spinge molti a disattivare il blocco schermo, lasciando il computer esposto a colleghi curiosi o accessi non autorizzati. La soluzione ideale risiede nel mondo fisico: utilizzare un oggetto che abbiamo sempre in tasca per autenticarci. In questo articolo vedremo come trasformare una comune memoria esterna in un token di sicurezza hardware, capace di bloccare il sistema appena viene scollegato e sbloccarlo al reinserimento.

Seguendo la rotta di Navigaweb, abbiamo scartato le vecchie soluzioni a pagamento o non più supportate (come il vecchio Predator) per concentrarci su software gratuiti, open source e metodi di sistema che garantiscono longevità e affidabilità su Windows, macOS e Linux.

Come scritto nella guida su come proteggere il computer e Windows con password di accesso, ci sono diversi altri modi per bloccare il computer, anche più comodi di una password che richiede comunque di essere ricordata e scritta ogni volta.
Per esempio, con Windows 11 e 10 ci sono sistemi di protezione biometrici oppure il PIN o la password grafica (vedi gestione utenti e password in Windows).

Se si cerca un modo molto potente e imbattibvile di bloccare il computer in modo automatico è l'uso di una chiavetta USB che può essere utilizzata come fosse la chiave della macchina, da inserire per entrare nel PC.

Windows: La sicurezza di USB Raptor

Per gli utenti Windows, lo strumento di riferimento è senza dubbio USB Raptor. Questo software open source si distingue per non richiedere installazione (è portabile) e per la capacità di legare il blocco non solo alla presenza di un file, ma al numero seriale univoco della chiavetta, impedendo che una semplice copia dei file su un altro drive possa aggirare la protezione.

Configurazione essenziale

Il funzionamento si basa su un controllo continuo della porta USB. Ecco come impostarlo correttamente per evitare falsi positivi:

Scaricare ed estrarre l'archivio di USB Raptor in una cartella sicura (es. C:\Programmi\USBRaptor).
Avviare l'eseguibile e concedere i permessi di rete se richiesti (serve per le funzioni di sblocco remoto, opzionali).
Inserire la chiavetta USB scelta. Non è necessario che sia vuota; i file di sicurezza coesisteranno con i vostri dati.
Nella schermata principale, impostare una password di emergenza. Questo passaggio è importante: senza questa password, in caso di smarrimento della chiavetta, l'accesso a Windows diventerebbe complesso.
Selezionare la lettera del drive USB e cliccare su Create k3y file. Verrà generato un file crittografato sul dispositivo.
Spuntare la casella Enable USB Raptor in alto a destra. Da questo momento, il software è armato.

Ottimizzazione avanzata

Per rendere il sistema a prova di errore, suggeriamo di attivare la Advanced Mode. Qui è possibile abilitare il controllo del numero di serie USB (USB Serial Number check). Senza questa spunta, chiunque copi il file unlock.k3y su un'altra penna USB potrebbe sbloccare il PC. Con il controllo seriale attivo, serve quella specifica chiavetta fisica.

Un altro parametro da regolare è il Lock delay (ritardo di blocco). Impostare 3 o 5 secondi evita che il PC si blocchi se la chiavetta viene urtata accidentalmente perdendo il contatto per una frazione di secondo.

MacOS: Automazione intelligente

L'ecosistema Apple è molto più chiuso riguardo l'interazione a basso livello con l'hardware USB. Le app che promettevano questa funzione in passato sono spesso incompatibili con le versioni moderne di macOS (Sonoma o Sequoia). Piuttosto che affidarsi a software che potrebbero smettere di funzionare al prossimo aggiornamento, è preferibile usare l'automazione.

L'approccio migliore prevede l'uso di Amphetamine. Sebbene nasca per impedire lo stop del Mac, le sue funzioni di "Trigger" sono potenti.

Nelle preferenze di Amphetamine, sotto la scheda Triggers, è possibile configurare un'azione specifica: quando un determinato dispositivo USB viene disconnesso, l'app può disattivarsi e lanciare uno script o forzare il blocco schermo. È una soluzione meno "chiavi in mano" rispetto a Windows, ma sfrutta meccanismi stabili del sistema operativo.

Per chi cerca immediatezza senza configurazioni, l'alternativa integrata sono gli Angoli Attivi. Impostare un angolo dello schermo per attivare il blocco immediato richiede un gesto del mouse invece della rimozione di una chiavetta, ma offre una sicurezza infallibile senza dipendenze hardware.

Linux: La gestione tramite PAM

Su Linux la gestione è nativa e potente, ma richiede attenzione poiché si agisce sui moduli di autenticazione del sistema (PAM). Il pacchetto di riferimento è pam_usb. A differenza degli altri sistemi, qui la chiavetta può sostituire completamente la digitazione della password, anche per i comandi sudo nel terminale.

Dopo l'installazione tramite il gestore pacchetti della propria distribuzione (es. apt install pamusb-tools), la configurazione avviene da riga di comando:

Si registra il dispositivo: sudo pamusb-conf --add-device MyUSB
Si autorizza l'utente: sudo pamusb-conf --add-user nomeutente
Si testa l'autenticazione: pamusb-check nomeutente

Se configurato correttamente, Linux rileverà la chiavetta come un token di fiducia. Attenzione: modificare i file in /etc/pam.d/ in modo errato può impedire il login. Si raccomanda di tenere sempre aperta una sessione di root di riserva durante le prove.

Uno sguardo al futuro: YubiKey e FIDO2

Mentre l'uso di una normale chiavetta USB è un ottimo sistema "fai da te", l'industria si sta spostando verso standard più elevati. Le chiavette standard non sono progettate per la crittografia hardware. Il passo successivo per chi cerca la massima sicurezza è l'adozione di chiavi di sicurezza dedicate come le YubiKey o dispositivi compatibili con lo standard FIDO2.

Questi dispositivi non usano file copiabili, ma un protocollo crittografico challenge-response. Windows supporta nativamente queste chiavi per l'accesso tramite Windows Hello, eliminando la necessità di software di terze parti come Raptor. Se la necessità di sicurezza è professionale o aziendale, investire in una chiave hardware dedicata è la scelta più lungimirante rispetto al riciclo di un vecchio drive USB.

Rischi e precauzioni

Prima di implementare questo sistema su base quotidiana, è necessario valutare alcuni aspetti critici:

La porta USB si usura: Inserire e togliere una chiavetta decine di volte al giorno può danneggiare fisicamente la porta del computer. L'uso di una piccola prolunga USB o di un hub da scrivania preserva l'integrità del PC.
Backdoor necessaria: Non disabilitate mai completamente l'accesso via password. Se la chiavetta si rompe, si perde o si corrompe il file system, dovete poter entrare nel vostro account.
Sicurezza dei dati: Bloccare lo schermo impedisce l'uso del PC, ma non cifra i dati sull'hard disk. Se qualcuno ruba il computer, potrà comunque accedere ai file smontando il disco. Per una protezione totale, questo metodo va abbinato alla crittografia del disco (BitLocker su Windows o FileVault su Mac).