Impedire a estranei di accedere al PC e leggere i file

Allontanarsi dalla scrivania anche solo per prendere un caffè lascia il computer esposto a chiunque voglia frugare nei file o inserire una chiavetta dannosa. La classica schermata di accesso di Windows non basta a fermare un collega impiccione o un ladro se le porte fisiche e il disco restano aperti a qualsiasi lettura.

Per trasformare una postazione di lavoro in una fortezza inespugnabile occorre agire a cerchi concentrici: prima si velocizza il blocco dello schermo in nostra assenza, poi si congela l'accesso a tentativi ripetuti e infine si rende la memoria illeggibile in caso di furto dell'apparecchio. Partendo dalle basi, possiamo verificare come bloccare lo schermo del PC con password, anche automatico e rivedere le impostazioni per proteggere l'accesso al PC Windows con blocco schermo e password prima di applicare i controlli più severi.

Bloccare lo schermo in automatico quando ci si allontana

Il blocco dinamico sfrutta la portata del Bluetooth per rilevare quando lo smartphone abbinato esce dal raggio d'azione del computer. Se il segnale radio decade perché ci spostiamo in un'altra stanza, Windows attende circa trenta secondi di assenza e congela la sessione, richiedendo il PIN per rientrare.

La distrazione più comune consiste nel dimenticare di premere la combinazione rapida Tasto Windows + L quando ci si alza dalla sedia. Per attivare la barriera automatica basata sulla presenza fisica dello smartphone, basta collegare prima il telefono nelle impostazioni Bluetooth del computer e poi accedere al blocco automatico o dinamico di Windows:

• Aprire il menu delle Impostazioni premendo Windows + I e cliccare sulla sezione Account.
• Selezionare la voce Opzioni di accesso nel riquadro centrale.
• Scorrere fino alla riga Blocco dinamico ed espandere il menu a tendina.
• Spuntare la casella per consentire a Windows di bloccare automaticamente il dispositivo in assenza dell'utente.

Questa funzione agisce come un paracadute: non sostituisce il gesto volontario di bloccare la tastiera, ma interviene in nostro soccorso se una telefonata improvvisa o un'emergenza ci costringe ad allontanarci di fretta lasciando lo schermo visibile.

Congelare l'account dopo troppi tentativi errati di password

Un intruso che siede alla nostra scrivania può digitare sequenze di PIN o combinazioni arbitrarie all'infinito se il sistema non pone un freno temporale. Nelle versioni standard di Windows questa soglia di sicurezza non è attiva, consentendo attacchi ripetuti senza alcuna penalità.

Per fermare chi cerca di indovinare le credenziali occorre stabilire una regola ferrea nel gestore delle utenze, associando queste modifiche alle regole di scadenza Password in Windows. L'operazione si esegue dal Prompt dei comandi avviato con diritti amministrativi:

1. Digitare cmd nella casella di ricerca del menu Start, fare clic con il tasto destro sull'icona e scegliere la voce per avviare come amministratore.
2. Inserire la seguente istruzione per fissare il tetto massimo a tre errori consecutivi e premere Invio:

net accounts /lockoutthreshold:3

3. Impostare subito dopo il tempo di sospensione forzata a trenta minuti digitando questo comando:

net accounts /lockoutduration:30

Al terzo tentativo fallito la schermata si blocca completamente e respinge qualsiasi inserimento per la mezz'ora successiva, azzerando le speranze di chi tenta la fortuna a mano. Chi preferisce non condividere dati con i server cloud può approfondire la procedura per creare un account locale su Windows e comprendere come cambiare tipo di account in Windows per togliere privilegi di sistema a colleghi o familiari.

Usare una chiavetta USB per sbloccare il sistema

Digitare una parola chiave su una tastiera espone sempre al rischio che qualcuno alle nostre spalle memorizzi le dita o che un lettore hardware nascosto registri i tasti battuti.

Il metodo per scavalcare del tutto la digitazione a schermo consiste nello spostare il consenso all'accesso su un oggetto fisico. Possiamo creare una chiavetta USB che blocca e sblocca il computer tramite programmi dedicati: inserendo l'unità nella presa USB il desktop si apre all'istante, mentre estraendola il computer oscura lo schermo e disabilita mouse e tastiera fino al nostro ritorno.

Cifrare il disco fisso e forzare il PIN prima dell'avvio

Impostare password complesse all'avvio non protegge affatto i documenti se il ladro asporta fisicamente il computer portatile. Basta svitare le viti sul fondo dello chassis, estrarre l'unità SSD e collegarla a un secondo computer tramite cavo adattatore per copiare tutte le cartelle personali senza digitare alcuna parola d'ordine di Windows.

La barriera insormontabile contro questa manovra è la crittografia totale dei settori di memoria:

• BitLocker. Disponibile nelle versioni Pro ed Enterprise di Windows, cifra l'intera partizione sfruttando il chip di sicurezza TPM saldato sulla scheda madre. I file risultano leggibili unicamente quando il disco si avvia all'interno di quella specifica macchina autorizzata, mentre su qualsiasi altro apparecchio appaiono come rumore binario incomprensibile.
• VeraCrypt. Rappresenta la scelta primaria per chi possiede Windows in edizione Home o desidera una cifratura indipendente dai software proprietari. Tramite la funzione di protezione dell'avvio, il programma impone l'inserimento di una password complessa prima ancora che il sistema operativo cominci a caricare i propri file di sistema.

Per raggiungere il livello di difesa più alto con BitLocker non bisogna fermarsi alla configurazione predefinita, che sblocca il disco in automatico appena si preme il tasto di accensione. Aprendo l'Editor Criteri di gruppo locali con il comando gpedit.msc, possiamo raggiungere il percorso dei modelli amministrativi relativo alla crittografia delle unità di sistema e attivare la voce per richiedere autenticazione aggiuntiva all'avvio. In questo modo si forza la richiesta di un PIN numerico su schermo nero prima ancora che compaia il logo di Windows, impedendo qualsiasi attacco alla memoria volatile del computer spento.

Proteggere il BIOS per impedire l'avvio da sistemi esterni

Uno dei trucchi storici più usati per bypassare il login di Windows prevede l'inserimento di una chiavetta USB contenente un sistema Linux avviabile. Facendo partire il computer da quella chiavetta, l'intruso ottiene il controllo totale dei dischi interni senza dover conoscere le credenziali del nostro profilo.

Per sbarrare questa strada occorre entrare nelle impostazioni della scheda madre. Consultando la guida per accedere al BIOS o UEFI nei nuovi PC all'avvio della macchina, applichiamo tre modifiche determinanti:

1. Impostare una Password di Amministrazione (Supervisor Password) per impedire che altri possano accedere a queste schermate e annullare le nostre scelte.
2. Modificare la sequenza di boot impostando il disco interno come unica sorgente consentita e disattivando l'avvio da periferiche rimovibili USB.
3. Verificare che l'opzione Secure Boot sia abilitata, bloccando l'esecuzione di qualsiasi codice privo di certificazione digitale approvata.

Disattivare le memorie esterne e difendersi dai dispositivi dannosi

Se un collega si avvicina alla nostra postazione mentre ci siamo allontanati senza bloccare la sessione, può collegare un disco esterno e sottrarre decine di gigabyte di dati riservati in pochi secondi.

Per prevenire l'esfiltrazione possiamo bloccare porte e collegamenti USB non autorizzati su PC lasciando funzionanti mouse, tastiere e stampanti ma impedendo il montaggio delle memorie di massa. Questa regola si applica modificando il Registro di sistema:

• Premere Windows + R, digitare regedit e premere Invio per aprire l'editor di configurazione.
• Navigare tra le cartelle seguendo questo percorso:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR

• Fare doppio clic sul valore denominato Start nel riquadro di destra.
• Sostituire il valore predefinito 3 con il numero 4 e confermare con il tasto OK.

Da questo momento qualsiasi pendrive o disco esterno inserito nelle porte non verrà riconosciuto da Windows, rendendo impossibile scaricare documenti dal computer. Bisogna però tenere a mente un limite di questo blocco: l'istruzione ferma unicamente i dispositivi di archiviazione, ma non blocca gli strumenti programmabili che simulano una tastiera rapida. Se il computer resta con la sessione sbloccata, un malintenzionato può inserire un piccolo dispositivo emulatore che digita sequenze di comandi PowerShell in tre secondi, scavalcando qualsiasi blocco sulle memorie di massa.

Bloccare l'accesso diretto alla memoria tramite porte Thunderbolt e USB4

Sui computer portatili moderni provvisti di connettori Thunderbolt o USB4 esiste una via di aggressione hardware spesso ignorata. Queste porte consentono il passaggio diretto dei dati verso la memoria RAM del sistema tramite l'accesso diretto alla memoria (DMA).

Un aggressore dotato di un adattatore specifico può collegarsi alla presa esterna ed estrarre le chiavi di cifratura o i dati di sessione direttamente dai banchi di memoria senza toccare la tastiera. Per neutralizzare questa minaccia occorre verificare all'interno delle informazioni di sistema che la voce Protezione DMA kernel risulti impostata su Attiva. Questa funzione isola i canali di comunicazione esterni finché l'utente legittimo non ha sbloccato la sessione di Windows tramite la password o il riconoscimento biometrico.

Chiudere le connessioni di Desktop Remoto inutilizzate

Concentrarsi sulla postazione fisica serve a poco se lasciamo una porta virtuale aperta verso la rete locale o verso internet. La funzione di Desktop Remoto integrata in Windows rappresenta uno dei bersagli preferiti dagli aggressori per intrufolarsi silenziosamente da un altro computer.

Se non abbiamo l'esigenza quotidiana di manovrare il PC da un'altra stanza, questo servizio va spento subito: basta aprire il menu Impostazioni, selezionare Sistema, scorrere fino alla voce Desktop remoto e verificare che l'interruttore principale sia posizionato su Disattivato. Questa mossa chiude la porta di rete 3389, facendo sparire l'apparecchio dai radar dei software di scansione automatici.

Le falle fisiche più trascurate negli uffici condivisi

Accanto ai software e ai registri di sistema esistono vulnerabilità materiali che richiedono accortezze manuali:

• Disattivazione degli account predefiniti. Nel pannello di Gestione computer è fondamentale verificare le opzioni per proteggere gli account amministratore e guest, disabilitando l'utenza ospite e assegnando password complesse a qualsiasi profilo residuo.
• Copertura dell'obiettivo visivo. Oltre a impedire l'accesso a webcam e microfono tramite i permessi delle applicazioni, applicare uno sportellino scorrevole in plastica sull'ottica della fotocamera toglie ogni dubbio sulla riservatezza visiva.
• Protezione dell'hardware da aperture non autorizzate. Sui computer fissi aziendali, un malintenzionato potrebbe aprire il pannello laterale ed eseguire il reset della batteria tampone del BIOS per cancellare la password di protezione della scheda madre. L'applicazione di un cavo antifurto Kensington o di un piccolo lucchetto all'asola metallica del telaio impedisce l'accesso diretto alla componentistica interna.

Diario di bordo di Navigaweb

Durante una verifica di sicurezza in ufficio ho provato a collegare una finta tastiera programmabile a un computer con le memorie USB bloccate via registro: in tre secondi netti ha aperto la console ed eseguito uno script, dimostrando che disabilitare i soli dischi rimovibili non ferma le iniezioni di tasti simulate. Da quella prova ho capito che la vera difesa fisica è impedire che qualcuno tocchi una sessione aperta. La mia abitudine inderogabile è diventata combinare la pressione immediata di Windows e L con un PIN di pre-avvio su BitLocker: senza quel codice digitato a freddo, il computer non carica nemmeno il sistema operativo.