Новые функции безопасности и защиты в Windows Vista

имеется ряд новых функций безопасности и защиты В Windows Vista , большинство из которых недоступны ни в одной из предыдущих Microsoft Windows версий операционной системы .

Начиная с начала 2002 года, когда компания Microsoft объявила о своей инициативе «Надежные вычисления» , была проделана большая работа по превращению Windows Vista в более безопасную операционную систему, чем ее предшественники. Внутри Microsoft принят « Жизненный цикл разработки безопасности ». с основополагающим принципом «Безопасность по замыслу, безопасность по умолчанию, безопасность при развертывании». Новый код для Windows Vista был разработан с использованием методологии SDL, а весь существующий код был проверен и реорганизован для повышения безопасности.

Некоторые конкретные области, в которых Windows Vista представляет новые механизмы защиты и защиты, включают контроль учетных записей пользователей, родительский контроль, защиту доступа к сети , встроенный инструмент защиты от вредоносных программ и новые механизмы защиты цифрового контента.

Контроль учетных записей пользователей

Основная статья: Контроль учетных записей пользователей

Контроль учетных записей пользователей — это новая инфраструктура, которая требует согласия пользователя, прежде чем разрешать любые действия, требующие административных привилегий. Благодаря этой функции все пользователи, включая пользователей с правами администратора, по умолчанию работают в режиме стандартного пользователя, поскольку большинству приложений не требуются более высокие привилегии. Когда предпринимается какое-либо действие, требующее административных привилегий, например, установка нового программного обеспечения или изменение настроек системы или безопасности, Windows предложит пользователю разрешить это действие или нет. Если пользователь решает разрешить, процесс, инициирующий действие, получает более высокий контекст привилегий для продолжения. В то время как стандартным пользователям необходимо ввести имя пользователя и пароль учетной записи администратора, чтобы получить повышенные права процесса ( Учетные данные через плечо ), администратор может выбрать, будет ли ему запрошено только согласие или запрос учетных данных. Если пользователь не нажмет «Да», через 30 секунд запрос будет отклонен.

UAC запрашивает учетные данные в режиме безопасного рабочего стола , где весь экран затемняется и временно отключается, чтобы отображался только пользовательский интерфейс повышения прав. Это необходимо для предотвращения подмены пользовательского интерфейса или мыши приложением, запрашивающим повышение прав. Если приложение, запрашивающее повышение прав, не имеет фокуса до переключения на безопасный рабочий стол , то его значок на панели задач мигает, а при фокусировке отображается пользовательский интерфейс повышения прав (однако невозможно предотвратить незаметное получение фокуса вредоносным приложением). .

Поскольку Secure Desktop позволяет запускать только системные приложения с наивысшими привилегиями, ни одно приложение пользовательского режима не может отображать свои диалоговые окна на этом рабочем столе, поэтому любой запрос на получение согласия на повышение прав можно с уверенностью считать подлинным. Кроме того, это также может помочь защитить от разрушительных атак , которые перехватывают межпроцессные сообщения Windows для запуска вредоносного кода или подмены пользовательского интерфейса, предотвращая отправку неавторизованными процессами сообщений процессам с высокими привилегиями. Любой процесс, который хочет отправить сообщение процессу с высокими привилегиями, должен получить повышение до контекста с более высокими привилегиями через UAC.

Приложения, написанные с предположением, что пользователь будет работать с правами администратора, в более ранних версиях Windows сталкивались с проблемами при запуске с ограниченными учетными записями пользователей, часто из-за попыток записи в общемашинные или системные каталоги (например, Program Files ) или разделы реестра. (особенно HKLM ) UAC пытается облегчить эту проблему с помощью виртуализации файлов и реестра , которая перенаправляет запись (и последующее чтение) в местоположение каждого пользователя в профиле пользователя. Например, если приложение пытается выполнить запись в «C:\program files\appname\settings.ini», а у пользователя нет прав на запись в этот каталог, запись будет перенаправлена ​​в «C:\Users\username». \AppData\Local\VirtualStore\Program Files\имя_приложения\».

Шифрование

Основные статьи: BitLocker , шифрованная файловая система и модуль доверенной платформы.

BitLocker, ранее известный как «Безопасный запуск», эта функция обеспечивает полное шифрование диска для системного тома. С помощью утилиты командной строки можно зашифровать дополнительные тома. Bitlocker использует USB-ключ или доверенный платформенный модуль (TPM) версии 1.2 спецификаций TCG для хранения своего ключа шифрования. Это гарантирует, что компьютер под управлением Windows Vista запускается в заведомо исправном состоянии, а также защищает данные от несанкционированного доступа. Данные на томе шифруются с помощью ключа полного шифрования тома (FVEK), который далее шифруется с помощью главного ключа тома (VMK) и сохраняется на самом диске.

Windows Vista — первая операционная система Microsoft Windows, предлагающая встроенную поддержку TPM 1.2, предоставляя набор API, команд, классов и служб для использования и управления TPM. Новая системная служба, называемая базовыми службами TPM, обеспечивает доступ и совместное использование ресурсов TPM для разработчиков, желающих создавать приложения с поддержкой устройства.

Шифрованную файловую систему (EFS) в Windows Vista можно использовать для шифрования системного файла подкачки каждого пользователя и кэша автономных файлов . EFS также более тесно интегрирована с корпоративной инфраструктурой открытых ключей (PKI) и поддерживает восстановление ключей на основе PKI, восстановление данных с помощью сертификатов восстановления EFS или их комбинацию. Существуют также новые групповые политики, требующие смарт-карт пользователя для EFS, обеспечивающие шифрование файлов подкачки, определяющие минимальную длину ключей для EFS, принудительное шифрование папки «Документы» и запрещающие самозаверяющие сертификаты. Кэш ключей шифрования EFS можно очистить, когда пользователь блокирует свою рабочую станцию ​​или по истечении определенного периода времени.

Мастер смены ключей EFS позволяет пользователю выбрать сертификат для EFS, а также выбрать и перенести существующие файлы, которые будут использовать новый выбранный сертификат. Диспетчер сертификатов также позволяет пользователям экспортировать свои сертификаты восстановления EFS и закрытые ключи. Напоминаем пользователям о необходимости резервного копирования ключей EFS при первом использовании с помощью всплывающего уведомления . Мастер смены ключей также можно использовать для миграции пользователей в существующих установках с сертификатов программного обеспечения на смарт-карты . Мастер также может использоваться администратором или самими пользователями в ситуациях восстановления. Этот метод более эффективен, чем расшифровка и повторное шифрование файлов.

Брандмауэр Windows

Основная статья: Брандмауэр Windows

Windows Vista значительно улучшает брандмауэр для решения ряда проблем, связанных с гибкостью брандмауэра Windows в корпоративной среде:

• IPv6- соединений Фильтрация
• Фильтрация исходящих пакетов, отражающая растущую обеспокоенность по поводу шпионского ПО и вирусов , которые пытаются «дозвониться домой».
• С помощью расширенного фильтра пакетов также можно указать правила для IP-адресов источника и назначения, а также диапазонов портов.
• Правила можно настроить для служб по имени службы, выбранному из списка, без необходимости указывать полный путь к файлу.
• IPsec полностью интегрирован, что позволяет разрешать или запрещать соединения на основе сертификатов безопасности, аутентификации Kerberos и т. д. Для любого типа соединения также может потребоваться шифрование. Правило безопасности подключения можно создать с помощью мастера, который выполняет сложную настройку политик IPsec на компьютере. Брандмауэр Windows может разрешать трафик в зависимости от того, защищен ли трафик с помощью IPsec.
• Новая консоли управления оснастка под названием «Брандмауэр Windows в режиме повышенной безопасности» , которая обеспечивает доступ ко многим дополнительным параметрам, включая настройку IPsec , и позволяет удаленное администрирование.
• Возможность иметь отдельные профили брандмауэра, когда компьютеры присоединены к домену или подключены к частной или общедоступной сети. Поддержка создания правил для обеспечения соблюдения политик изоляции сервера и домена.

Защитник Windows

Основная статья: Защитник Windows

Windows Vista включает в себя Защитник Windows, утилиту Microsoft для защиты от шпионского ПО. По заявлению Microsoft, оно было переименовано в «Microsoft AntiSpyware», поскольку оно не только обеспечивает сканирование системы на наличие шпионских программ, как и другие бесплатные продукты на рынке, но также включает в себя агенты безопасности в реальном времени, которые отслеживают несколько общих областей Windows на предмет изменений, которые могут может быть вызвано шпионским ПО. Эти области включают настройку и загрузку Internet Explorer, автоматический запуск приложений, параметры конфигурации системы и надстройки для Windows, такие как расширения оболочки Windows.

Защитник Windows также включает возможность удалять ActiveX установленные приложения и блокировать автозагрузку программ. Он также включает в себя сеть SpyNet , которая позволяет пользователям связываться с Microsoft, отправлять то, что они считают шпионским ПО, и проверять, какие приложения приемлемы.

Контроль установки устройств

Windows Vista позволяет администраторам применять аппаратные ограничения с помощью групповой политики, чтобы запретить пользователям устанавливать устройства, ограничить установку устройств заранее определенным белым списком или ограничить доступ к съемным носителям и классам устройств.

Родительский контроль

Родительский контроль Windows Vista отображает функции ограничения Даниэль стандартной учетной записи пользователя

Windows Vista включает ряд средств родительского контроля , позволяющих администраторам отслеживать и ограничивать компьютерную активность обычных учетных записей пользователей, не являющихся частью домена ; Контроль учетных записей пользователей обеспечивает соблюдение административных ограничений. Возможности включают в себя: Веб-фильтр Windows Vista — реализованный как фильтр Winsock LSP для работы во всех веб-браузерах — который запрещает доступ к веб-сайтам на основе категорий контента или определенных адресов (с возможностью блокировки всех загрузок файлов); Ограничения по времени , которые не позволяют обычным пользователям входить в систему в течение даты или времени, указанных администратором (и которые блокируют учетные записи с ограниченным доступом, которые уже вошли в систему в такое время); Ограничения игр , которые позволяют администраторам блокировать игры на основе названий, содержания или рейтингов, определенных системой рейтинга контента видеоигр, такой как Совет по рейтингу развлекательного программного обеспечения (ESRB) , при этом ограничения контента имеют приоритет над ограничениями рейтинга (например, «Все 10+») . (E10+) игры в целом можно разрешить, но Игры E10+ с нецензурной лексикой все равно будут заблокированы, если сама мягкая лексика заблокирована); Ограничения приложений , которые используют белые списки приложений для конкретных приложений; и «Отчеты о деятельности» , которые отслеживают и записывают действия обычных учетных записей пользователей с ограниченным доступом.

Родительский контроль Windows включает расширяемый набор опций с интерфейсами прикладного программирования (API), позволяющими разработчикам заменять встроенные функции своими собственными.

Функциональность защиты от эксплойтов

Windows Vista использует рандомизацию адресного пространства (ASLR) для загрузки системных файлов по случайным адресам в памяти. По умолчанию все системные файлы загружаются случайным образом в любое из 256 возможных мест. Для использования ASLR другим исполняемым файлам необходимо специально установить бит в заголовке файла Portable Executable (PE) , который является форматом файлов для исполняемых файлов Windows. Для таких исполняемых файлов выделение стека и кучи определяется случайным образом. Загружая системные файлы по случайным адресам, вредоносному коду становится сложнее узнать, где расположены привилегированные системные функции, что делает маловероятным их предсказуемое использование. Это помогает предотвратить большинство атак удаленного выполнения, предотвращая возврата в LIBC атаки переполнения буфера .

Формат переносимого исполняемого файла был обновлен для поддержки встраивания адреса обработчика исключений в заголовок. Всякий раз при возникновении исключения адрес обработчика сверяется с адресом, хранящимся в заголовке исполняемого файла. Если они совпадают, исключение обрабатывается, в противном случае это указывает на то, что стек времени выполнения скомпрометирован, и, следовательно, процесс завершается.

Указатели функций запутываются с помощью операции XOR со случайными числами, поэтому фактический адрес, на который они указывают, трудно получить. То же самое можно сделать и с изменением указателя вручную, поскольку ключ обфускации, используемый для указателя, будет очень трудно получить. Таким образом, любому неавторизованному пользователю указателя на функцию становится трудно реально его использовать. Кроме того, метаданные для блоков кучи обрабатываются методом XOR со случайными числами. Кроме того, сохраняются контрольные суммы для блоков кучи, которые используются для обнаружения несанкционированных изменений и повреждения кучи. При обнаружении повреждения кучи приложение закрывается, чтобы предотвратить успешное завершение эксплойта.

Двоичные файлы Windows Vista включают встроенную поддержку обнаружения переполнения стека. При обнаружении переполнения стека в двоичных файлах Windows Vista процесс завершается, и его нельзя использовать для продолжения эксплойта. Кроме того, двоичные файлы Windows Vista размещают буферы выше в памяти, а небуферы, такие как указатели и предоставляемые параметры, — в нижней области памяти. Таким образом, для фактического использования необходимо опустошение буфера, чтобы получить доступ к этим местам. Однако опустошение буфера встречается гораздо реже, чем его переполнение.

Изоляция приложений

Основные статьи: Обязательный контроль целостности и изоляция привилегий пользовательского интерфейса

Windows Vista представляет обязательный контроль целостности для установки уровней целостности процессов. Процесс с низкой целостностью не может получить доступ к ресурсам процесса с более высокой целостностью. Эта функция используется для обеспечения изоляции приложений, когда приложения со средним уровнем целостности, например все приложения, работающие в контексте обычного пользователя, не могут подключаться к процессам системного уровня, которые выполняются с высоким уровнем целостности, например приложениям в режиме администратора, но могут перехватывать на процессы с более низкой целостностью, такие как Windows Internet Explorer 7 или 8 . Процесс с более низкими привилегиями не может выполнять проверку дескриптора окна для более высоких привилегий процесса, не может отправлять сообщение или PostMessage в окна приложений с более высокими привилегиями, не может использовать перехватчики потоков для подключения к процессу с более высокими привилегиями, не может использовать перехватчики журнала для мониторинга процесса с более высокими привилегиями и не может выполнять DLL – внедрение в процесс с более высокими привилегиями.

Предотвращение выполнения данных

Основная статья: Предотвращение выполнения данных

Windows Vista предлагает полную поддержку функции NX (без выполнения) современных процессоров. DEP был представлен в пакете обновления 2 для Windows XP и пакете обновления 1 для Windows Server 2003. Эта функция, представленная как NX (EVP) в AMD процессорах AMD64 и как XD (EDB) в процессорах Intel , может помечать определенные части памяти. как содержащий данные вместо исполняемого кода, что предотвращает возникновение ошибок переполнения, приводящих к выполнению произвольного кода.

Если процессор поддерживает бит NX, Windows Vista автоматически применяет аппаратное предотвращение выполнения данных для всех процессов, чтобы пометить некоторые страницы памяти как неисполняемые сегменты данных (например, кучу и стек), и впоследствии интерпретация любых данных становится невозможной. и выполняется как код. Это предотвращает внедрение кода эксплойта в виде данных и его последующее выполнение.

Если DEP включен для всех приложений , пользователи получают дополнительную защиту от эксплойтов нулевого дня . Однако не все приложения совместимы с DEP, а некоторые создают исключения DEP. Таким образом, DEP по умолчанию не применяется для всех приложений в 32-разрядных версиях Windows и включается только для критически важных компонентов системы. Однако в Windows Vista представлены дополнительные элементы управления политикой NX, которые позволяют разработчикам программного обеспечения включать аппаратную защиту NX для своего кода независимо от общесистемных настроек обеспечения совместимости. Разработчики могут помечать свои приложения как NX-совместимые при создании, что позволяет обеспечить защиту при установке и запуске этого приложения. Это обеспечивает более высокий процент кода, защищенного NX, в экосистеме программного обеспечения на 32-битных платформах, где политика совместимости системы по умолчанию для NX настроена на защиту только компонентов операционной системы. Для приложений x86-64 обратная совместимость не является проблемой, поэтому DEP применяется по умолчанию для всех 64-разрядных программ. Кроме того, в версиях Windows Vista x86-64 для большей безопасности используется только DEP с поддержкой процессора.

Управление цифровыми правами

Основная статья: Защищенный путь мультимедиа

новые функции управления цифровыми правами В Windows Vista были представлены и защиты контента, которые помогают поставщикам цифрового контента и корпорациям защитить свои данные от копирования.

• PUMA: Protected User Mode Audio (PUMA) — это новый аудиостек User Mode Audio (UMA). Его цель — предоставить среду для воспроизведения звука, которая ограничивает копирование аудио, защищенного авторским правом, и ограничивает включенные аудиовыходы теми, которые разрешены издателем защищенного контента.
• Protected Video Path — Управление защитой вывода (PVP-OPM) — это технология, которая предотвращает копирование защищенных цифровых видеопотоков или их отображение на видеоустройствах, не имеющих эквивалентной защиты от копирования (обычно HDCP ). Microsoft утверждает, что без этих ограничений индустрия контента может помешать ПК воспроизводить контент, защищенный авторским правом, отказываясь выдавать лицензионные ключи для шифрования, используемого HD DVD, Blu-ray Disc или другими системами, защищенными от копирования.
• Защищенный путь видео — доступная пользователю шина (PVP-UAB) аналогичен PVP-OPM, за исключением того, что он применяет шифрование защищенного контента по шине PCI Express .
• Поддержка Службы управления правами (RMS) — технологии, которая позволит корпорациям применять ограничения, подобные DRM, к корпоративным документам, электронной почте и интранетам, чтобы защитить их от копирования, печати или даже открытия людьми, не уполномоченными на это.
• Windows Vista представляет защищенный процесс , который отличается от обычных процессов тем, что другие процессы не могут манипулировать состоянием такого процесса, а также в него нельзя внедрять потоки других процессов. имеет Защищенный процесс расширенный доступ к функциям DRM Windows Vista. Однако в настоящее время только приложения, использующие защищенный путь видео , могут создавать защищенные процессы.

Включение новых функций управления цифровыми правами стало источником критики в адрес Windows Vista .

Усиление защиты служб Windows

Укрепление служб Windows разделяет службы таким образом, что если одна служба скомпрометирована, она не может легко атаковать другие службы в системе. Он не позволяет службам Windows выполнять операции с файловыми системами, реестром или сетями. чего они не должны делать, тем самым уменьшая общую поверхность атаки на систему и предотвращая проникновение вредоносных программ путем использования системных служб . Службам теперь присваивается идентификатор безопасности (SID) для каждой службы, который позволяет контролировать доступ к службе в соответствии с доступом, указанным идентификатором безопасности. SID для каждой службы можно назначить во время установки службы через API ChangeServiceConfig2 или с помощью SC.EXE команда с глаголом sidtype . Службы также могут использовать списки управления доступом (ACL) для предотвращения внешнего доступа к частным ресурсам.

Службы в Windows Vista также запускаются под менее привилегированной учетной записью, например «Локальная служба» или «Сетевая служба» , вместо системной учетной записи. Предыдущие версии Windows запускали системные службы в том же сеансе входа в систему, что и локально вошедший в систему пользователь (сеанс 0). В Windows Vista сеанс 0 теперь зарезервирован для этих служб, и все интерактивные входы в систему выполняются в других сеансах. Это призвано помочь смягчить класс эксплойтов системы передачи сообщений Windows, известных как атаки Shatter . Процесс, в котором размещается служба, имеет только привилегии, указанные в RequiredPrivileges значении реестра в разделе HKLM\System\CurrentControlSet\Services .

Службам также необходимы явные разрешения на запись в ресурсы для каждой службы. с ограничением записи При использовании токена доступа доступ на запись предоставляется только тем ресурсам, которые должны быть изменены службой, поэтому попытка изменить любой другой ресурс не удалась. Службы также будут иметь предварительно настроенную политику брандмауэра, которая дает им ровно столько привилегий, сколько необходимо для их правильной работы. Независимые поставщики программного обеспечения также могут использовать усиление безопасности служб Windows для повышения уровня защиты своих собственных служб. Windows Vista также усиливает защиту именованных каналов, используемых серверами RPC , чтобы другие процессы не могли их перехватить.

Аутентификация и вход в систему

Основная статья: Winlogon

Графическая идентификация и аутентификация ( GINA ), используемая для безопасной аутентификации и интерактивного входа в систему, была заменена поставщиками учетных данных . В сочетании с вспомогательным оборудованием поставщики учетных данных могут расширить операционную систему, чтобы пользователи могли входить в систему с помощью биометрических устройств (отпечатков пальцев, сетчатки или распознавания голоса), паролей, ПИН-кодов и сертификатов смарт-карт или любого специального пакета аутентификации и схемы сторонних разработчиков. желание творить. Аутентификация по смарт-карте является гибкой, поскольку требования к сертификатам смягчены. Предприятия могут разрабатывать, развертывать и, при необходимости, применять собственные механизмы аутентификации для всех пользователей домена. Поставщики учетных данных могут быть разработаны для поддержки единого входа (SSO), аутентификации пользователей в защищенной точке доступа к сети (с использованием RADIUS и других технологий), а также входа в систему на компьютере. Поставщики учетных данных также предназначены для поддержки сбора учетных данных для конкретных приложений и могут использоваться для аутентификации на сетевых ресурсах, присоединения компьютеров к домену или для предоставления согласия администратора на Контроль учетных записей пользователей . Аутентификация также поддерживается с использованием IPv6 или веб-сервисов . Новый поставщик услуг безопасности CredSSP доступен через интерфейс поставщика поддержки безопасности , который позволяет приложению делегировать учетные данные пользователя от клиента (с помощью клиентского SSP) на целевой сервер (через серверный SSP). CredSSP также используется службами терминалов для обеспечения единого входа .

Windows Vista может аутентифицировать учетные записи пользователей с помощью смарт-карт или комбинации паролей и смарт-карт ( двухфакторная аутентификация ). Windows Vista также может использовать смарт-карты для хранения ключей EFS . Это гарантирует, что зашифрованные файлы будут доступны только до тех пор, пока смарт-карта физически доступна. Если для входа в систему используются смарт-карты, EFS работает в режиме единого входа , в котором смарт-карта для входа используется для шифрования файлов без дальнейшего запроса PIN-кода.

Быстрое переключение пользователей , которое было ограничено компьютерами рабочих групп в Windows XP, теперь можно включить и для компьютеров, присоединенных к домену, начиная с Windows Vista. Windows Vista также включает поддержку аутентификации для контроллеров домена только для чтения, представленных в Windows Server 2008 .

Криптография

Основная статья: Криптографический API

В Windows Vista имеется обновление криптографического API, известное как Cryptography API: Next Generation (CNG). CNG API — это API пользовательского режима и режима ядра , который включает поддержку криптографии на основе эллиптических кривых (ECC) и ряда новых алгоритмов, входящих в Агентства национальной безопасности (АНБ) пакет B . Он является расширяемым и поддерживает подключение пользовательских криптографических API к среде выполнения CNG. Он также интегрируется с подсистемой смарт-карт путем включения модуля Base CSP , который реализует все стандартные внутренние криптографические функции, необходимые разработчикам и производителям смарт-карт, поэтому им не нужно писать сложные CSP . Microsoft Центр сертификации может выдавать сертификаты ECC, а клиент сертификатов может регистрировать и проверять сертификаты на основе ECC и SHA-2.

Улучшения в отзыве включают встроенную поддержку протокола статуса онлайн-сертификатов (OCSP), обеспечивающего проверку действительности сертификата в реальном времени, предварительную выборку списка отзыва сертификатов и диагностику CAPI2. Регистрация сертификатов осуществляется с помощью мастера, позволяет пользователям вводить данные во время регистрации и предоставляет четкую информацию о неудачных регистрациях и сертификатах с истекшим сроком действия. CertEnroll, новый API регистрации на основе COM, заменяет библиотеку XEnroll и обеспечивает гибкую программируемость. Возможности роуминга учетных данных реплицируют пары ключей Active Directory, сертификаты и учетные данные, хранящиеся в именах пользователей и паролях, сохраненных в сети.

Удаление метаданных

Функция «Удалить свойства и личную информацию» позволяет пользователям удалять метаданные из файлов перед их публикацией, чтобы защитить свою конфиденциальность . Он поддерживает небольшое количество форматов файлов и удаление ограниченного количества свойств. Однако разработчик программного обеспечения может разработать расширение для этой функции, чтобы обеспечить поддержку дополнительных форматов и свойств файлов. Его критиковали за очень ограниченную поддержку форматов файлов и элементов метаданных, а также за вводящий в заблуждение пользовательский интерфейс.

Защита доступа к сети

Основная статья: Защита доступа к сети

В Windows Vista реализована защита доступа к сети (NAP), которая гарантирует, что компьютеры, подключающиеся к сети или взаимодействующие с ней, соответствуют требуемому уровню работоспособности системы , установленному администратором сети. В зависимости от политики, установленной администратором, компьютеры, не соответствующие требованиям, будут либо предупреждены, либо им предоставлен доступ, либо разрешен доступ к ограниченным сетевым ресурсам, либо полностью запрещен доступ. NAP также может дополнительно предоставлять обновления программного обеспечения несовместимому компьютеру для его обновления до уровня, необходимого для доступа к сети, с помощью сервера исправлений . Соответствующему клиенту предоставляется сертификат работоспособности , который он затем использует для доступа к защищенным ресурсам в сети.

Сервер сетевой политики под управлением Windows Server 2008 действует как сервер политики работоспособности, и клиентам необходимо использовать Windows XP SP3 или более позднюю версию. сервер VPN- , сервер RADIUS или сервер DHCP также могут выступать в качестве сервера политики работоспособности.

Другие функции безопасности, связанные с сетью

• Интерфейсы безопасности TCP/IP (фильтрация трафика локального хоста), перехватчик брандмауэра, перехватчик фильтра и хранение информации о фильтре пакетов были заменены новой структурой, известной как Платформа фильтрации Windows (WFP). WFP обеспечивает возможность фильтрации на всех уровнях стека протоколов TCP/IP. WFP интегрирован в стек, и разработчикам проще создавать драйверы, службы и приложения, которые должны фильтровать, анализировать или изменять трафик TCP/IP.
• Чтобы обеспечить лучшую безопасность при передаче данных по сети, Windows Vista предоставляет усовершенствования криптографических алгоритмов, используемых для сокрытия данных. Поддержка 256-битных и 384-битных алгоритмов Диффи-Хеллмана (DH), а также 128-битных, 192-битных и 256-битных алгоритмов Advanced Encryption Standard (AES) включена в сам сетевой стек и в Протокол Kerberos и сообщения GSS . Прямая поддержка соединений SSL и TLS в новом Winsock API позволяет приложениям сокетов напрямую контролировать безопасность своего трафика в сети (например, обеспечивать политику безопасности и требования к трафику, запрашивать настройки безопасности) вместо необходимости добавлять дополнительный код для поддержки безопасного соединения. связь. Компьютеры под управлением Windows Vista могут быть частью логически изолированных сетей в домене Active Directory . Только компьютеры, находящиеся в одном логическом разделе сети, смогут получить доступ к ресурсам домена. Даже если другие системы могут физически находиться в той же сети, если они не находятся в одном логическом разделе, они не смогут получить доступ к разделенным ресурсам. Система может быть частью нескольких сетевых разделов. Канал SSP включает новые наборы шифров, которые поддерживают криптографию на основе эллиптических кривых , поэтому наборы шифров ECC можно согласовывать как часть стандартного подтверждения TLS. Интерфейс Schannel является подключаемым, поэтому расширенные комбинации наборов шифров могут заменить более высокий уровень функциональности.
• IPsec теперь полностью интегрирован с брандмауэром Windows и предлагает упрощенную настройку и улучшенную аутентификацию. IPsec поддерживает IPv6, включая поддержку обмена ключами в Интернете (IKE), AuthIP и шифрования данных, защиту между клиентом и контроллером домена , интеграцию с защитой доступа к сети и поддержку платформы диагностики сети. Чтобы повысить безопасность и удобство развертывания IPsec VPN , Windows Vista включает AuthIP , который расширяет криптографический протокол IKE , добавляя такие функции, как аутентификация с использованием нескольких учетных данных, согласование альтернативных методов и асимметричная аутентификация.
• Безопасность беспроводных сетей улучшается за счет лучшей поддержки новых стандартов беспроводной связи, таких как 802.11i ( WPA2 ). EAP Transport Layer Security (EAP-TLS) — это режим аутентификации по умолчанию. Подключения выполняются на самом безопасном уровне соединения, поддерживаемом точкой беспроводного доступа. WPA2 можно использовать даже в режиме ad hoc. Windows Vista повышает безопасность при присоединении к домену по беспроводной сети. Он может использовать единый вход, чтобы использовать одни и те же учетные данные для подключения к беспроводной сети, а также к домену, находящемуся в сети. В этом случае один и тот же сервер RADIUS используется как для аутентификации PEAP для присоединения к сети, так и для аутентификации MS-CHAP v2 для входа в домен. На беспроводном клиенте также можно создать загрузочный профиль беспроводной сети, который сначала проверяет подлинность компьютера в беспроводной сети и присоединяется к ней. На этом этапе машина все еще не имеет доступа к ресурсам домена. Машина запустит сценарий, хранящийся либо в системе, либо на флэш-накопителе USB, который аутентифицирует ее в домене. Аутентификацию можно выполнить либо с помощью комбинации имени пользователя и пароля, либо с помощью сертификатов безопасности от поставщика инфраструктуры открытых ключей (PKI), такого как VeriSign .
• Windows Vista также включает в себя платформу расширяемого протокола аутентификации (EAPHost), которая обеспечивает расширяемость методов аутентификации для широко используемых технологий защищенного доступа к сети, таких как 802.1X и PPP. Это позволяет поставщикам сетевых услуг разрабатывать и легко устанавливать новые методы аутентификации, известные как методы EAP.
• Windows Vista поддерживает использование PEAP с PPTP . Поддерживаемые механизмы аутентификации: PEAPv0/EAP-MSCHAPv2 (пароли) и PEAP-TLS (смарт-карты и сертификаты).
• Пакет обновления 1 для Windows Vista включает протокол туннелирования защищенных сокетов — новый собственный протокол VPN Microsoft , который обеспечивает механизм передачи трафика протокола «точка-точка » (PPP) (включая трафик IPv6 ) через канал SSL .

особенности x86-64

• В 64-разрядных версиях Windows Vista применяется аппаратное предотвращение выполнения данных (DEP) без резервной программной эмуляции. Это гарантирует, что менее эффективный программный DEP (который представляет собой только безопасную обработку исключений и не связан с битом NX) не будет использоваться. Кроме того, DEP по умолчанию применяется для всех 64-разрядных приложений и служб в версиях x86–64, а также для тех 32-разрядных приложений, которые согласились на него. Напротив, в 32-разрядных версиях программно-принудительный DEP является доступной опцией и по умолчанию включен только для основных компонентов системы.
• Модернизированная защита от исправлений ядра , также называемая PatchGuard , не позволяет стороннему программному обеспечению, включая драйверы режима ядра, каким-либо образом изменять ядро ​​или любую структуру данных, используемую ядром; при обнаружении каких-либо изменений система отключается. Это смягчает распространенную тактику, используемую руткитами для сокрытия себя от приложений пользовательского режима. PatchGuard впервые был представлен в выпуске x64 Windows Server 2003 с пакетом обновления 1 (SP1) и был включен в выпуск Windows XP Professional x64.
• Драйверы режима ядра в 64-разрядных версиях Windows Vista должны иметь цифровую подпись; даже администраторы не смогут устанавливать неподписанные драйверы режима ядра. Доступна опция во время загрузки, позволяющая отключить эту проверку для одного сеанса Windows. 64-битные драйверы пользовательского режима не обязаны иметь цифровую подпись.
• Код целостности кода , подписанный контрольными суммами. Перед загрузкой двоичных файлов системы они сверяются с контрольной суммой, чтобы убедиться, что она не изменилась. Двоичные файлы проверяются путем поиска их подписей в системных каталогах. Загрузчик Windows Vista проверяет целостность ядра, уровня абстракции оборудования (HAL) и драйверов запуска загрузки. Помимо пространства памяти ядра, Code Integrity проверяет двоичные файлы, загруженные в защищенный процесс , и установленные в системе динамические библиотеки, реализующие основные криптографические функции.

Другие особенности и изменения

Был внесен ряд конкретных изменений в области безопасности и надежности:

• Более сильное шифрование используется для хранения секретов LSA (кэшированные записи домена, пароли, ключи шифрования EFS, локальная политика безопасности, аудит и т. д.).
• Поддержка стандарта аутентификации IEEE 1667 для USB-накопителей с исправлением для Windows Vista с пакетом обновления 2.
• Kerberos SSP обновлен для поддержки шифрования AES . SChannel SSP также имеет более надежное шифрование AES и поддержку ECC .
• Политики ограничения программного обеспечения, представленные в Windows XP, были улучшены в Windows Vista. Уровень безопасности пользователя «Базовый» по умолчанию открыт, а не скрыт. по умолчанию Алгоритм правил хеширования был обновлен с MD5 до более сильного SHA256 . Правила сертификатов теперь можно включить через диалоговое окно «Свойство принудительного применения» из расширения оснастки «Политики ограничения программного обеспечения».
• Чтобы предотвратить случайное удаление Windows, Vista не позволяет форматировать загрузочный раздел, когда он активен (щелкните правой кнопкой мыши диск C: и выберите «Форматировать» или введите «Формат C:» (без кавычек) в командной строке. В результате появится сообщение о том, что форматирование этого тома запрещено). Чтобы отформатировать основной жесткий диск (диск с Windows), пользователю необходимо загрузить компьютер с установочного диска Windows или выбрать пункт меню «Восстановить компьютер» из дополнительных параметров восстановления системы, нажав F8 при включении компьютера.
• Дополнительные параметры EFS позволяют настроить время обновления политик шифрования, шифрование файлов, перемещенных в зашифрованные папки, шифрование файлов кэша автономных файлов и возможность индексации зашифрованных элементов с помощью поиска Windows .
• Функция « Сохраненные имена пользователей и пароли (диспетчер учетных данных)» включает новый мастер для резервного копирования имен пользователей и паролей в файл и их восстановления в системах под управлением Windows Vista или более поздних операционных систем.
• Новый параметр политики в групповой политике позволяет отображать дату и время последнего успешного интерактивного входа в систему, а также количество неудачных попыток входа в систему с момента последнего успешного входа в систему с тем же именем пользователя. Это позволит пользователю определить, использовалась ли учетная запись без его ведома. Политику можно включить для локальных пользователей, а также для компьютеров, присоединенных к домену функционального уровня.
• Защита ресурсов Windows предотвращает потенциально опасные изменения конфигурации системы. предотвращая изменения системных файлов и настроек любым процессом, кроме установщика Windows . Также блокируются изменения реестра неавторизованным ПО.
• Защищенный режим Internet Explorer: в Internet Explorer 7 и более поздних версиях представлено несколько изменений безопасности, таких как фильтр фишинга, поддержка ActiveX , защита обработки URL-адресов, защита от атак с использованием междоменных сценариев и подмена строки состояния. Они запускаются как процессы с низким уровнем целостности в Windows Vista, могут записывать только в папку «Временные файлы Интернета» и не могут получить доступ на запись к файлам и разделам реестра в профиле пользователя, защищая пользователя от вредоносного контента и уязвимостей безопасности даже в элементах управления ActiveX. . Кроме того, Internet Explorer 7 и более поздние версии используют более безопасный API защиты данных ( DPAPI ) для хранения своих учетных данных, таких как пароли, вместо менее безопасного защищенного хранилища (PStore) .
• Интеграция Network Location Awareness с брандмауэром Windows. Для всех вновь подключенных сетей по умолчанию устанавливается режим «Общественное расположение», который блокирует порты и службы прослушивания. Если сеть помечена как доверенная, Windows запоминает этот параметр для будущих подключений к этой сети.
• Платформа драйверов пользовательского режима не позволяет драйверам напрямую обращаться к ядру, а вместо этого получает доступ к нему через специальный API. Эта новая функция важна, поскольку большинство сбоев системы можно отнести к неправильной установке сторонних драйверов устройств.
• Центр безопасности Windows был обновлен, чтобы обнаруживать и сообщать о наличии антивирусного программного обеспечения, а также отслеживать и восстанавливать некоторые параметры безопасности Internet Explorer и контроль учетных записей пользователей. Антивирусное программное обеспечение, которое интегрируется с Центром безопасности , предоставляет решение для устранения любых проблем в собственном пользовательском интерфейсе. Кроме того, были добавлены некоторые вызовы Windows API , позволяющие приложениям получать совокупное состояние работоспособности из Центра безопасности Windows и получать уведомления при изменении состояния работоспособности.
• Защищенное хранилище (PStore) устарело и поэтому доступно только для чтения в Windows Vista. Microsoft рекомендует использовать DPAPI для добавления новых элементов данных PStore или управления существующими. Internet Explorer 7 и более поздние версии также используют DPAPI вместо PStore для хранения своих учетных данных.
• Встроенная учетная запись администратора по умолчанию отключена при чистой установке Windows Vista. Доступ к нему также невозможен из безопасного режима , если существует хотя бы одна дополнительная учетная запись локального администратора.

См. также

• Компьютерная безопасность

Внешние ссылки

• Уязвимости Vista от SecurityFocus