Как устроена защита Windows Vista

[SDA]

Мы представляем отчет, основанный на опыте работы с несколькими beta-версиями Windows Vista за последние несколько месяцев. Это своего рода краткий обзор изменений, произошедших в системе безопасности новой ОС. Конечно же, работа осуществлялась с в beta-версиями и не может быть названа исчерпывающей.

1. Самым приятным нововведением в Windows Vista, является новая система доступа пользователя к системе - UAC (User Account Control). Для начала своей работы современному вредоносному объекту необходимо, чтобы пользователь вошел в систему под учетной записью администратора. К сожалению, большое количество пользователей так делают постоянно.

Система UAC поможет избежать подобных неприятностей, поскольку большинство программ будут запускаться в соответствии с ограниченными правами пользователя, даже если пользователь вошел в систему как администратор. Такая система безопасности не имеет ни чего общего с расширениями Restricted SID или Security ID, которые сейчас используются в Windows XP. Например, если пользователь выполнил вход как администратор, то Internet Explorer все равно будет работать с ограниченными правами, но если действительно понадобятся права администратора, тогда пользователю всего лишь нужно будет повторно внести свой пароль.

2. ОС Windows Vista будет содержать встроенную защиту от программ-шпионов. Безусловно, это благоприятно повлияет на общую безопасность. Подобную защиту будет содержать и реестр. В целях защиты данных, находящихся в реестре, будет создаваться второй, виртуальный реестр.

3. В Vista будет реализована функция безопасного начала работы. Для пользователей корпоративной версии Windows Vista Enterprise, это будет означать следующее: с помощью этой функции можно будет прописать, какой жесткий диск считать основным при загрузке. Ключ этой подписи будет храниться в особом чипе Trusted Platform Module на системной плате. Таким образом, большинство уловок по завладению контролем над файловой системой NTFS просто не сработают.

5. Улучшен общий аудит системы, теперь можно отсекать любые внешние программы, пытающиеся оказать влияние извне. Так же улучшена работа служб, не требующих пароля для удостоверения пользователя (смарткарты, считыватель отпечатков пальцев и т.д.). Ключи к системе шифрования файлов EFS (Encrypting File System), могут храниться на смарткартах.

6. Службы ОС Windows всегда были слабым местом и часто являлись причиной переполнения буфера обмена данных. Microsoft пытается с этим покончить. Несмотря на то, что служб в Windows Vista стало значительно больше, чем раньше, почти все они будут работать в режимах локальной службы (Local Service) и сетевой службы (Network Service), а не в режиме Local System, как это было ранее. Одновременно с этим будет постоянно отслеживаться уязвимость служб. Каждой службе будет присвоен личный идентификатор защиты (SID), который представляет собой идентификационный номер, используемый системой. Номер уникален во времени и в памяти, он идентифицирует пользователя, группу или процесс в системе защиты. Идентификатор будет выдавать разрешения на доступ к настройкам в работе служб, и фиксировать их изменения.

7. Microsoft добавила новые возможности работы с системой NTFS ACE (access control entry), которые называются Creator Owner. С помощью этой функции станет возможно задавать более подробные настройки для новых объектов в системе и задавать права их владельцев. В настоящее время, разрешения, связанные с NTFS, объединяются в особую группу Creator Owner. Функция ACE является полной противоположностью, и позволяет системе организовать работу с разрешениями по другому принципу.

8. Скорей всего, группа Power User исчезнет или утратит свою значимость. Защита будет организована так, что при любом несанкционированном проникновении извне система мгновенно среагирует и сообщит об этом пользователю.

9. Появится новая консоль безопасности, которая будет называться Windows Firewall with Advanced Security, она будет предназначена для улучшенной настройки и совместной работы IPSec и firewall’ов.

10. Стало известно, что Microsoft отказалась от размещения данных с использованием функций расстановки типа MD5 и SHA-1, ввиду очевидного конфликта их совместной работы. Было решено, что в Windows Vista будет применяться более сложная система размещения SHA-256.

11. В Windows Vista работа с патчами организована весьма удобно. После установки патча, выполняется перезагрузка системы, причем все работающие приложения после перезагрузки продолжат исправно работать. Появится улучшенный клиент защиты обеспечения доступа к сети (NAP). Но пока что интерфейсная и функциональная части этого клиента требуют доработки.

12. Естествеено, Windows Vista будет содержать улучшенный Internet Explorer 7.0. В новую версию включено множество новых групповых политик для объектов (GPO).


Источник: PC Advisor

[CKYHC]

По поводу п.2: Я начал просто обожать Jetico Firewall, на которую переполз с ZAPro: минимум ресурсов (при работе BitComet и EDonkey - ZAPro отъедала до 52% CPU time и до 47 мегов ОЗУ - на PIII-800/384 это было ОЧЕНЬ ощутимо - а Джетико замечательно довольствуется 24 Мб ОЗУ и 12-17% CPU time. Ещё огромный плюс - для меня, по крайней мере - что настройки НАДО СОХРАНИТЬ ВРУЧНУЮ перед перезагрузкой, помогает при слишком много запрашивающих онлайн-инсталляторах/патчерах.То есть поставил игру, разрешил инсталлятору ВСЕ запросы - но не сохранив установки fw - обновления выкачанны, да порты остались после перезагрузки закрытыми.
Но пользователям я всё-таки ставлю ZA: ни одного червя не пробилось за год, в частности, у ex-жены.

[G@D]

1. угу и все новые программы как и в xp будут требовать войти в режиме admin для установки :-) даже инсталятор косынки
2. а сейчас реестр как интересно работает 8-) ага а как сейчас на всех сайтах на всплывающие сообщение в ие о блокированном активХ всплывает подсказка, что делать чтоб установить супер мощный поисковик )
3. новые материнские платы?? ну надеюсь хоть опционально?
5. ага, RPC ошибка, перезагрузка через 5... 4... 3... 2... 1...
11. ОЧЕНЬ удобно, особенно то, что уже в хр реализованна возможность работы без перезагрузок. Вообще непонятно зачем перезагружаться если изменения в реестр можно вносить "на лету".