[ A Windows Vista biztonsági szolgáltatásai ]

A Windows Vista biztonsági szolgáltatásai

  • 2006-11-26 23:11
Ha négy-öt évvel ezel?tt azt mondtuk volna, a Windows egy biztonságos rendszer, talán sokan megmosolyogtak volna minket. Tény, hogy a korábbi id?kben a Microsoft kissé elhanyagolta a biztonsági fejlesztéseket, a használhatóság sokszor a megbízhatóság rovására ment. Szerencsére Redmondban még id?ben észbe kaptak a fejleszt?k, így lassan fordulni látszik a kocka. A Windows XP második szervízcsomagja már jelent?s változásokat hozott a biztonság terén, a Vista-val pedig még tovább szigorodnak a szabályok, ami végs?soron csak nekünk lehet jó.

A Microsoft a világ legnagyobb szoftvergyártó cége, ez a vállalat rendelkezik a legnagyobb ügyfélkörrel, beleszámítva az otthoni hobbiszámítógépeseket, a nagyvállalati, közigazgatási és egyéb hivatalos partnereket is. A feladat és a felel?sség óriási: olyan rendszert kell építeni, mely minden réteg igényét kiszolgálja, a családi videók és fényképalbumok kezelését?l egészen a legkomolyabb vállalatirányítási vagy kutatási, fejlesztési célokig. Mindezt úgy, hogy nemcsak egy könnyen használható eszközt kapjunk, de biztonságban tudhassuk legkényesebb adatainkat és rábízhassuk akár az "életünket" is. Mint említettem, a korábbi id?kben a biztonsági tényez?k talán nem voltak olyan fontosak, mint ma, így az egyszer? használatért és b?vebb funkcionalításért bizony néha kemény árat kellett fizetnünk. Jó példa erre a szinte születése óta kritizált ActiveX technológia. Az elgondolás remek: lehet?ségünk van az internetböngész?b?l közvetlenül vezérelnünk különböz? programokat, melyek vagy az asztalon vagy magában a böngész?ben futnak b?vítményként. A megvalósítás azonban szinte több problémát vetett fel, mint amennyi hasznunk származott eddig a létezéséb?l. Eddig, mivel mint kés?bb láthatjuk, ezen a területen is lényeges változásokra került sor.

A világ nagyot változott néhány év alatt, az internetes b?nözés soha nem látott "népszer?ségnek" örvend, a vírusok, trójaik és egyéb kisebb hatásfokú kártev?k mellett megjelentek a kéretlen reklám- és hamis levelek, ezekhez kapcsolódóan pedig az adathalász weboldalak, melyek egy-egy hivatalos intézménynek kiadva magukat, személyes adatainkra és pénzünkre pályáznak. Az információ pénz, a pénz pedig hatalom és néhány év alatt egy egész iparág fejl?dött ki annak érdekében, hogy minél több - jogtalanul szerzett - információt adhassanak el minél több pénzért. Mivel a b?nözés ezen formájával rendkívül nehéz felvenni a harcot, jelen esetben a legjobb védekezés a megel?zés. Noha a rosszfiúk mindig egy lépéssel el?ttünk járnak majd - a világ már csak ilyen - megfelel? védelemmel és odafigyeléssel elejét vehetjük a nagyobb bajnak. Ebben segít minket a Microsoft és az új, valóban biztonságos operációs rendszer a Windows Vista.


BitLocker

A felmérések szerint a legtöbb kényes vállalati és személyes információ elveszett vagy ellopott számítógépekr?l, f?ként notebook-okról jut illetéktelen kezekbe. Éppen ezért egyre inkább elvárás, hogy adataink még a számítógép kikapcsolt állapotában is védve legyenek. A Windows Vista ezt is lehet?vé teszi a BitLocker meghajtótitkosítás segítségével. A BitLocker egy vadonatúj technológia, mely a merevlemez tartalmát még a gép szétszerelése és a lemezhez való közvetlen hozzáférés esetén is olvashatatlan adathalmazzá változtatja. Természetesen - mivel az operációs rendszer ilyenkor nem fut - ehhez küls? segítségre van szüksége, nevesül a TPM, azaz Trusted Platform Module chipre (ez a modul a legújabb számítógépekben már beépítve megtalálható). A BitLocker két f? funkcióval védi adatainkat: a lemez tartalmának teljes titkosításával és a boot-folyamat el?tt(!) a kritikus rendszerfájlok integritásának ellen?rzésével. A rendszer még akkor sem indítható el, ha valamilyen küls? eszközzel esetleg "megpiszkálták" volna a betöltést végz? komponenseket, így próbálván kiiktatni a titkosítást. Bár a BitLocker a teljes fájlrendszert - beleértve a lapozó- és hibernációs fájlt is - titkosítja, csak a rendszermeghajtóra aklalmazható, valamint m?ködéséhez szükség van egy nem titkosított kisebb partícióra a merevlemezen. A BitLockert használhatjuk TPM chip nélkül is, ekkor egy USB modulon elhelyezett személyes kódunkat használhatjuk a rendszer indítására. A Microsoft által ajánlott konfiguráció a TPM chip használata.

[ A BitLocker meghajtótitkosítás ]
A BitLocker meghajtótitkosítás

A BitLocker m?ködéséhez az alábbi feltételek szükségesek:

  • Windows Vista Enterprise vagy Ultimate Edition
  • Integrált, legalább 1.2-es verziójú TPM chip a számítógépben és az ezt kezelni képes BIOS
  • A BIOS-nak támogatnia kell az USB szabványú eszközökr?l történ? olvasást és írást
  • A merevlemezen két partíció szükséges, egy NTFS fájlrendszer?, az operációs rendszert és az adatokat tartalmazó részt, melyet a BitLocker titkosít, valamint egy legalább 1,5 GB méret?, szintén NTFS-t használó "rendszerpartíciót", mely a betöltéshez szükséges alapvet? eszközmeghajtókat tartalmazza. Ezt a partíciót a BitLocker nem titkosítja.

Bár a BitLocker vonzó megoldás lehet az adatok teljes kör? titkosítására és a számítógép védelmére, bánjunk vele óvatosan, hiszen ha elveszítjük USB-indítókulcsunkat, és elfelejtjük a helyreállító jelszót is, búcsút inthetünk adatainknak.


ASLR - Address Space Layout Randomization

[ Véletlenszer?en kiosztott memóriacímek ]

Véletlenszer?en kiosztott memóriacímek
Az Address Space Layout Randomization talán az egyik legnagyszer?bb biztonsági újítás a Vista-ban, mégis méltatlanul kevés szó esik róla. A technológia lényegében egy memóriavédelmi megoldás, mely azáltal, hogy véletlenszer?en összekeveri a memóriacímeket, nagyban megnehezíti a káros programok m?ködését. Az eljárás lényege, hogy a Windows egy-egy rendszerkomponenst minden alkalommal véletlenszer?en meghatározott memóriacímekre tölt be. Ha egy vírus megpróbál káros kódot injektálni a memóriába el?ször megpróbál meghívni egy rendszerfüggvényt, majd vár ennek a függvénynek a visszatérési értékére. Mivel az ASLR véletlenszer?en mozgatja a függvényeket a memóriában (egészen pontosan 256 különböz? helyre töltheti be ?ket minden egyes alkalommal), a vírusnak 1/256-od esélye van hogy éppen eltalálja azt a memóriacímet, ahol a kiszemelt DLL tartózkodni fog.

Az ASLR viszonylag kés?n, a Beta 2 verzióban került be el?ször a rendszerbe, de annyira hatékony védelemnek bizonyult, hogy végül szerves részévé vált a Windows memóriakezelésnek, így nem lehet kikapcsolni sem, de engedélyezni sem kell - a háttérben észrevétlenül teszi a dolgát.


DEP - Data Execution Prevention

[ Kép ]

Adatvégrehajtás elleni védelem
Szintén az operatív tár védelmét hivatott ellátni a Data Execution Prevention (más néven NX), azaz az adatvégrehajtás-megtagadás. A technológia m?ködése már nevéb?l is adódik: megakadályozza, hogy a memóriába olyan területr?l tölt?djön be kód, ahol csak adatok tartózkodhatnának. A korszer? vírusok egyik kedvelt szokása a buffer-túlcsordulásos támadás, ahol is az ártó kód minden esetben adat képében érkezik a kiszemelt alkalmazásba. A DEP úgy védekezik az efajta támadások ellen, hogy az adatszegmensek számára fenntartott memóriacímeket "nem-futtathatóként" jelöli meg, így ezekr?l a területekr?l nem indítható kód. A DEP m?ködéséhez operációs rendszer- és processzor-szint? támogatás is kell, tehát ez a fajta memóriavédelem csak akkor elérhet?, ha a CPU DEP-kompatibilis. (A legtöbb ma kapható processzor már rendelkezik ezzel a funkcióval.) A DEP alapértelmezésként csak a beépített Windows szolgáltatásokra engedélyezett, ha minden alkalmazásra ki akarjuk terjeszteni a m?ködését, azt kézzel kell beállítanunk a vezérl?pultban.


UAC - User Account Control

Ellentétben az ASLR-rel és a DEP-pel, a User Account Control-tól hangos az internet, amióta csak az els? nyilvános Vista bétaváltozatok megjelentek. A legtöbb helyen els?ként említik az új rendszer legidegesít?bb tulajdonságai között, állandó felbukkanó figyelmeztet? és kérd? ablakaival, amikkel csak megnehezíti a munkavégzést. El?ször is szögezzük le, ez ebben a formában nem igaz. A UAC csak programtelepítéskor és adminisztratív feladatok indításakor (pl. rendszerkonfiguráció, vagy hibakeresés) tesz fel kérdéseket, a mindennapi használat közben szinte alig találkozunk vele.

[ UAC hozzáférés-meger?sítés ]

UAC hozzáférés-meger?sítés

Hozzáférés-meger?sítés

Az UAC legszembet?n?bb megnyilvánulása a rendszerm?veletek végrehajtásakor (akár egy Registry Editor, vagy eseménynapló indításakor) felbukkanó figyelmeztet? ablak, mely rákérdez, vajon valóban mi kezdeményeztük-e a programindítást. Ez els?re talán bután hangzik, egy id? múva pedig akár valóban idegesít?vé is válhat. De gondoljunk csak bele, mi történne, ha történetesen mégsem mi, hanem egy rendszerre bejutott vírus kezdene el garázdálkodni a gépen (és természetesen sokkal súlyosabb dologat m?velve, mint egy ablak megnyitása). Láthatjuk, hogy a "biztosan Te nyomtad meg a gombot?" típusú kérdések egyáltalán nem is olyan fölöslegesek. Hogy miért kér a rendszer meger?sítést annak ellenére, hogy adminisztrátori jogaink vannak? Mert nincsenek. Hiába áll felhasználónevünk mellett az "administrator" rang, a Windows Vista-ban minden egyes felhasználó korlátozott jogosultsággal ténykedik. Amikor egy m?velet végrehajtásához "valódi" rendszergazda jogok szükségesek, az UAC egy úgynevezett szintemel?, vagy eleváló promptot jelenít meg, ahol - beállítástól függ?en egy gombnyomással vagy jelszó megadásával - egy szinttel feljebb léphetünk, és az adott feladatot (és csak azt!) már rendszergazdaként végezhetjük el. Az UAC azonban sokkal több, mint egy egyszer? meger?sítést kér? párbeszédablak. Lássuk, milyen egyéb feladata van még a User Account Control-nak.

Internet Explorer Protected Mode

Az UAC nemcsak figyelmeztet? ablakok feldobálására alkalmas, de neki köszönhetjük, hogy az Internet Explorer 7 képes úgynevezett "védett módban" futni. A védett mód nem más, mint az alkalmazás számára létrehozott virtuális homokozó, ahol kedvére törhet-zúzhat, ha éppen úgy tartja kedve. Ennek a védett módnak akkor vesszük igazán hasznát, ha minden figyelmeztetés, tiltás és riasztás ellenére mégis bejut valahogy egy ártó program az Internet Explorer-en keresztül. Ilyenkor, mivel maga a böngész? is alacsony jogosultsági szinten fut - s?t még alacsonyabban, mint a többi (err?l kés?bb) - a problémás kód nem férhet hozzá szinte semmihez az adott böngész?ablakon kívül, ténykedését pedig igen egyszer?en besz?ntethetjük, mégpedig az Internet Explorer ablak bezárásával.

File- és registry-virtualizáció

[ Kép ]
UAC fájlrendszer-virtualizáció
Régebben sok problémát okozott egy-egy alkalmazásnál, hogy - tervezési hibából vagy egyéb okokból kifolyólag - csak teljes rendszergazdai jogosultsággal voltak képesek megfelel?en futni. Ez a Windows Vista-ban gondot jelenthet, mivel mint minden más alkalmazás, ezek a programok is csökkentett hatókörrel kell hogy beérjék. A megoldás megint csak a virtuális homokozó. Az olyan programok esetén, melyek a rendszerleíró-adatbázis vagy a fájlrendszer védett helyeire szeretnének írni, az UAC virtualizálja nekik a helyet, vagyis egy könyvtár vagy registry-ág pontos másával "elhiteti" az alkalmazásokkal, hogy tulajdonképpen a megfelel? helyre írnak, holott természetesen csak a felhasználó profilkönyvtárában létrehozott mappa- és registry-másolatokban tevékenykednek. Ezzel a módszerrel megakadályozhatjuk, hogy a régi alkalmazások teleszemeteljék a rendszermappákat és a registry-adatbázist, valamint elejét vehetjük egy véletlen (vagy rosszindulatú) módosítás okozta rendszerösszeomlásnak.

Az imént szót ejtettem arról, hogy az Internet Explorer még a szokásos csökkentett jogosultsági szintnél is alacsonyabban dolgozik. Lássuk most kicsit részletesebben, milyen "láthatatlan" biztonsági szintek védenek még minket és adatainkat.


MIC - Mandatory Integrity Control

A következ?kben bemutatásra kerül? védelmi eljárás még egy, az 1970-es években született elgondoláson alapszik, megvalósítására azonban csak napjainkban került sor. Míg a fájlrendszer-jogosultságok könnyen kezelhet? és hatékony védelmet nyújtanak az illetéktelen hozzáférésekt?l, a technológia rendelkezik némi korlátoltsággal. Hiába védjük másoktól a fájlokat, ha magát a tulajdonost is viszonylag könnyen rávehetjük, hogy lefuttasson egy-egy parancsot - természetesen adminisztrátori jogokkal. A MIC alapelgondolása a következ?: a csökkentett megbízhatósági szinten dolgozó alanyok nem módosíthatnak magasabb szinten lév? objektumokat, a magasabb szinten létez? objektumok pedig nem kényszeríthet?k, hogy megbízzanak alacsonyabb szintr?l érkez? utasításokban vagy adatokban. A kulcsszó itt a "megbízhatóság", a MIC pedig ezt az információáramlási szabályt valósítja meg a Windows Vista-ban.

Amikor bejelentkezünk, a Windows egy adott integritási azonosítót rendel a felhasználónkhoz. Ez az azonosító tartalmazza mindazt az információt, amib?l a rendszer megállapítja, hogy mely területekhez van hozzáférésünk és melyekhez nincs. Nemcsak a felhasználók, de a védeni kívánt rendszerobjektumok, úgy mint fájlok, mappák, adatcsatornák, folyamatok (processzek), folyamatszálak (thread-ek), az ablakkezel?, registry-kulcsok, szolgáltatások, nyomtatók, megosztások, ütemezett feladatok, stb. is kapnak egy-egy saját szintazonosítót. Ezek az azonosítók a System Access Control List-ben (SACL) tárolódnak, hasonlóan ahhoz, ahogy a fájlrendszer-jogosultságok az egyes fájlokhoz tartozó Access Control List-ekben (ACL).

Amikor a felhasználó egy m?veletet végez, a Windows még azel?tt, hogy a fájlrendszer-jogosultságokat vizsgálná, összehasonlítja a felhasználó integritás-szintjét a m?veletben részt vev? objektumokéval. Ha a felhasználó szintje a domináns - vagyis az objektuméval megegyez? vagy magasabb - a Windows engedélyezi a feladat végrehajtását - feltéve, hogy fájlrendszer-szinten is megvan hozzá a kell? engedélye. Ha a felhasználó alacsonyabb szintr?l próbál manipulálni egy objektumot, a Windows nem engedélyezi a hozzáférést, függetlenül attól, hogy magához a fájlhoz, registry-kulcshoz, vagy egyéb komponenshez különben meglenne a hozzáférése. Láthatjuk tehát, hogy az integritás-szintek minden esetben a fájlrendszer-jogosultságok, vagyis az ACL fölött állnak.

A Windows Vista-ban négy integritás-szintet definiáltak a fejleszt?k: alacsony, közepes, magas és rendszer. Az egyszer? felhasználók közepes, a (valódi) rendszergazda jogosultságúak pedig magas szinten tevékenykednek. A felhasználó által indított folyamatok vagy az általa létrehozott objektumok öröklik a felhasználó integritás-szintjét, a rendszerszolgáltatások a "rendszer" szintre kapnak belép?t. Ha valamilyen okból kifolyólag egy objektum nem kap integritásszint-jelölést, az operációs rendszer automatikusan közepes szintre sorolja be, ezzel megakadályozva, hogy az alacsony szinten futó folyamatok hozzáférhessenek a nem jelölt objektumokhoz. Az operációs rendszer fájljai alapértelmezésként nem jelöltek, így közepes szinten tartózkodnak, valamint természetesen alkalmazódnak rájuk a megfelel? fájlrendszer-jogosultsági beállítások (ACL) is.

Hogy miért szükséges ez a b?vészkedés a jogosultsági szintekkel? Képzeljük el a következ? helyzetet: kapunk egy e-mailt egy csatolmánnyal. Mikor lementjük a fájlt, az rögtön alacsony integritás-szintre kerül, mivel az internetr?l - egy nem megbízható helyr?l érkezett. Ezért aztán bármi legyen is a fájl tartalma, mikor lefuttatjuk azt semmi különös nem történhet, mivel - a fentiek alapján - egy alacsony szinten futó folyamat nem férhet hozzá a felhasználó magas, vagy nem jelölt, így közepes szinten lév? adataihoz. Az Internet Explorer védett módja a megbízhatósági szintek köré épült, és mivel a böngész? alapértelmezésként alacson integritás-szinten fut, biztosak lehetünk benne, hogy az Internet Explorer-en kereszül nem települhet többé a rendszerre semmilyen ártó kód. Ezen túlmen?en, mivel a Windows munkaasztal közepes szintre van besorolva, a böngész?ben esetlegesen lefuttatott ActiveX vezérl? sem küldhet többé olyan megtéveszt? üzeneteket a desktopra, miszerint vírustámadás áldozatai lettünk és azonnali hatállyal töltsük le ezt-és-ezt a programot - ami valójában maga a vírus.

[ Alacsony integritás-szinten futó Internet Explorer ]
Alacsony integritás-szinten futó Internet Explorer


PatchGuard

A Windows rendszermag módosítását korlátozó PatchGuard körül az utóbbi id?ban nagy port kavartak a különböz? védelmi szoftvereket gyártó cégek (pl. a Symantec vagy a McAfee) által kirobbantott nyilatkozatháborúk. Állításuk szerint a Microsoft kizárja ?ket a versenyb?l azzal, hogy lehetetlenné teszi a Windows kernel módosítását, így veszélynek teszik ki a felhasználókat is. Ez talán már els?re is furcsán hangzik, de lássuk mi van a dolgok mögött.

Mi a kernel? A kernel, vagyis a rendszermag a legalacsonyabb szint? komponense az operációs rendszernek. A boot-folyamat során els?ként tölt?dik be, majd olyan feladatokat lát el, mint a programok indítása, memória-, és a fájlrendszer kezelése. A kernel teszi lehet?vé, hogy az egyes alkalmazások "beszélgethessenek" a hardvereszközökkel, így a mag sebessége és megbízhatósága alapvet? fontosságú a rendszer egészére nézve.

Mi a kernel-patchelés? A kernel küls? eszközök igénybevételével történ?, nem támogatott módosíta, mellyel szükségszer?en megbomlik a mag integritása, ami kihatással lehet a Windows teljesítményére, stabilitására, de akár biztonságára is. A különböz? védelmi programok (antivírusok, anti-spyware alkalmazások) gyártói a múltban gyakran alkalmazták ezt az eljárást, hogy elejét vegyék egy-egy fert?zésnek azáltal, hogy közvetlenül kernelszinten akadályozták meg egyes ártalmas programoknak, hogy bizonyos rendszerfüggvényeket hívjanak meg. Sajnos azonban nemcsak az antivírus cégek alkalmazták a kernel-módosítást, hanem a különböz? vírusokat készít? programozók is, hiszen ilyen módon akár a fájlkezel?k el?l is elrejt?zni képes, úgynevezett rootkit-eket is bejuttathattak a rendszerbe, amik aztán szabadon garázdálkodhattak anélkül, hogy bármely védelmi program tudomást szerzett volna a fert?zésr?l.

A kernel-módosítás elleni védelem nem újkelet?, el?ször a Windows XP és a Windows Server 2003 64 bites változataiban találkozhattunk vele az AMD64 és Intel EMT64T processzorok bevezetésének ideje körül. A 64 bites Windows Vista-ban azonban megkerülhetetlen lett a technológia, amint a Windows jogosulatlan kernel-módosítást érzékel automatikusan leállítja a rendszert.

Az antivírus cégek szemében ez persze érthet? módon szálkát jelent, hiszen a továbbiakban nem alkalmazhatják a régi jól bevált módszert, a kernel módosítását. A Microsofthoz még olyan abszurd kérés is érkezett ezekt?l a vállalatoktól, hogy a védelem fenntartásával együtt tegyék lehet?vé az ismert patnercégek számára, hogy csak ?k módosíthassák a kernelt. Ez nyilvánvalóan kivitelezhetetlen, hiszen hogyan különböztetné meg a Windows a valóban jóindulatú és a csak jóindulatúnak t?n? programokat, valamint mi akadályozná meg a víruskészít?ket abban, hogy egy ismert antivírus termék digitális aláírását felhasználva bejussanak a kernelbe?

Bár a felháborodás jogosnak t?nhet, a Microsoft olyan további technológiákat bocsájt a cégek rendelkezésére, melyekkel a kernel módosítása nélkül is megfelel? kiegészít? védelemmel láthatják el a rendszert:

Windows Filtering Platform - olyan hálózati m?veletek engedélyezése, mint a csomagelemzés, például harmadik félt?l származó t?zfal m?ködésének támogatásához.

File System Mini Filter - programok hozzáférésének biztosítása a fájlrendszer-m?veletek figyeléséhez.

Registry Notification Hooking - a Windows XP-ben bemutatott, de a Vista-ban továbbfejlesztett eljárás, mely lehet?vé teszi a programoknak, hogy valós id?ben kövessék a rendszerleíró-adatbázis módosulásait.

A PatchGuard-on kívül a Vista 64 bites változatainál további megszorításként ezentúl csak digitálisan aláírt és megfelel?en kitesztelt eszközmeghajtók telepíthet?k a rendszerre, ezáltal is növelve a Windows stabilitását.

[ A 32 bites változatokban még lehet?ségünk van kihagyni az aláírás-ellen?rzést ]

A 32 bites változatokban még lehet?ségünk van kihagyni az aláírás-ellen?rzést


Session 0 izoláció

A Windows XP és Windows Server 2003 rendszerekben minden operációs rendszer-komponens a bejelentkezett felhasználóéval megegyez? munkafázisban, a "session 0"-ban futott. Ez biztonsági problémákat vethet fel, mert a magas jogosultságú "Local System" felhasználói fiókkal futó Windows szolgáltatások kedvelt célpontjai voltak az ártalmas programoknak, hiszen egy interaktív m?velettel akár ?k maguk is emelt jogosultsági szintre juthattak. A Windows Vista-ban a nulladik munkafázis izolálva lett, így a bejelentkez? felhasználó már a következ?, 1-es fázisba lép be, ezzel együtt pedig a session 0 elvesztette interaktivitását, vagyis a szolgáltatások nem jeleníthetnek meg többé üzeneteket vagy párbeszédablakokat. Ezzel az elszigeteléssel megakadályozható, hogy a felhasználó szintjér?l bármilyen kód átnyúlhasson arra a munkafázisra, ahol a rendszerszolgáltatások dolgoznak. Ha a Windows feladatkezel?ben engedélyezzük a munkafázisok megjelenítését, láthatjuk, hogy a szolgáltatások és a felhasználói programok egymástól elszigetelt szinteken futnak.

Ez a védelmi eljárás nyilvánvalóan kompatibilitási problémákat is felvet, hiszen a régebbi szolgáltatások (például eszközmeghajtók telepítésekor) megpróbálhatnak egy-egy üzenetet vagy ablakot megjeleníteni. Ezzel viszonylag ritkán találkozhatunk, de ha mégis el?fordul a szolgáltatás telepítése ekkor hibával leállna. A Windows Vista erre is kínál megoldást: abban az esetben, ha interaktív szolgáltatással lenne dolgunk, az ablak megjelenítésének idejére a rendszer automatikusan átkapcsol a nulladik munkafázisra (ekkor elt?nik a szokásos Windows asztal), majd amint a program befejezte a m?ködést visszatérünk a saját felhasználói szintünkre.

[ Egy interaktív szolgáltatás üzenetet jelenít meg a nulladik munkafázisban ]

Egy interaktív szolgáltatás üzenetet jelenít meg a nulladik munkafázisban


Service Hardening

Most, hogy eljutottunk a szolgáltatásokig és a Local System fiókig, nézzük, milyen egyéb biztonsági újítások jelentek meg ezen a területen.

A Windows Vista-ban nemcsak a felhasználói fiókok, hanem a szolgáltatások is saját egyedi biztonsági azonosítóval (SID) rendelkeznek. Ez megakadályozhatja, hogy az egyes szolgáltatások "átnyúljanak" egymás munkaterületére és olyan obkjektumokat módosítsanak, amelyekhez egyébként semmi közük.

Talán sokan emlékeznek a hírhedt Blaster vírusra, mely a Windows egyik alapszolgáltatását, az RPC-t (távoli eljáráshívás) kerítette hatalmába, így abszolút hatalmat szerzett a teljes rendszer fölött. A Vista esetében egy ilyen jelleg? támadás már nem okozna rendszerszint? összeomlást, mivel még a "mindenható" RPC-nek sincs joga kritikus rendszerfájlokat vagy registry-bejegyzéseket módosítania. A Windows Vista esetében egyébként - bár a rendszer több szolgáltatást tartalmaz - kevesebb fut alapértelmezettként, mint a korábbi verziókban.

Néhány szó a Local System fiókról

A Local System felhasználói fiók egy el?re definiált hozzáférés a Windows beépített szolgáltatásainak futtatásához. A Local System fiók nem rendelkezik jelszóval, mégis teljes hozzáférése van a rendszer egészéhez, magában foglalja a beépített adminisztrátor csoport jogosultsági körét is, hálózati környezetben pedig ez a szolgáltatás testesíti meg magát a "számítógépet", tehát a hálózati hitelesítés is ezen a fiókon keresztül történik.

A szolgáltatások korábban szinte kivétel nélkül a "Local System" felhasználó nevében futottak, így sokszor szükségtelen jogosultságokat kaptak, ami az el?bb leírtakat figyelembe véve komoly biztonsági aggályokat vethet fel. A Windows Vista-ban az XP-hez képest a szolgáltatások töredéke fut helyi rendszerfiókkal, a többségük átkerült a csökkentett jogosultságokkal rendelkez? "Local Service", illetve "Network Service" fiókba. A szolgáltatások biztonsági azonosítója szorosan kapcsolódik a t?zfal házirendjéhez, így megakadályozható, hogy egy szolgáltatás a hatókörén kívül es? hálózati er?forrást érhessen el.
[ Az RPC szolgáltatás immár a csökkentett jogosultságú "Network Service" felhasználó nevében fut ]
Az RPC szolgáltatás immár a csökkentett jogosultságú "Network Service" felhasználó nevében fut


Végezetül tekintsük át újra, mely biztonsági szolgáltatások védik a Windows Vista rendszert és a felhasználók adatait:

  • BitLocker meghajtótitkosítás
  • ASLR - rendszerkomponensek véletlenszer? memóriacímre történ? betöltése
  • DEP - kódvégrehajtás tiltása a memóriába beolvasott adatszegmensek helyén
  • UAC - hozzáférés-meger?sítés, Internet Explorer védett mód, fájlrendszer- és registry-virtualizáció
  • MIC - megbízhatósági szintek a fájlrendszer-jogosultságok fölött
  • PatchGuard - jogosulatlan kernel-módosítások megel?zése
  • Session 0 izoláció - a szolgáltatások elkülönített munkafázisban történ? futtatása
  • Service Hardening - egyedi biztonsági azonosítókkal rendelkez? szolgáltatások

A Windows Vista ezen "láthatatlan" védelmi képességein kívül természetesen olyan kiegészít? eszközökkel is óvhatjuk rendszerünket, mint az Internet Explorer 7 adathalász-, vagy a Windows Mail levélszemét-sz?r?je, vagy a kém- és egyéb ártó programok távoltartását segít? Windows Defender.

Amikor legközelebb bekapcsoljuk számítógépünket, és elindítjuk a Windows Vista-t, gondoljunk egy kicsit ezekre az észrevétlenül, de annál hatékonyabban m?köd? technológiákra, melyek mind azért dolgoznak a háttérben, hogy mi felhasználók biztonságos környezetben kapcsolódhassunk ki vagy végezhessük munkánkat. Aki képes az üvegesen csillogó Aero felület mögé pillantani és akár egy pillanatra is meglátni azt a rengeteg fejlesztést, amin a rendszer átment, az talán nem is tartja majd olyan nevetséges kijelentésnek, hogy a Windows Vista napjaink egyik legbiztonságosabb személyi számítógépes platformjává vált.
Üdv Mindenkinek!

Szerintem egy hozzászoló sem értette meg Kabuki kérdését.
A hozzászólásában sehol sem állította, hogy az UAC egy t?zfal vagy hogy az UAC-re nincs (vagy volna) szükség. Csak élt egy hasonlattal, amit félre lehet magyarázni, de az ilyen segítséget mindenki tartsa meg magának. Ha nem tud megoldást, akkor ne írjon.

Sajnos ez a probléma még most az SP1 után is megmaradt és lehet, én nem (vagy én sem) értem az okát. És való igaz, hogy ha egy t?zfal állandóan kérdezgetné, hogy kiakarom-e engedni a letölt?programomat a netre, amit már ezerszer kiengedtem és ki is akarom engedni a jöv?ben is milliószor, akkor a használhatósága er?sen megkérd?jelez?dik, bármennyire fontos is a védelem és a biztonság, amit nyújt. A lényeg, hogy ne kérdezgesse már meg percenként esetleg évekig. Ha én megbízom egy programban, f?leg, ha egy gyári cd-r?l való, akkor miért nem mondhatom meg az UAC-nak (ami NEM t?zfal), hogy az a program biztonságos és slussz, nem akarok fel?le több engedélykérést, üzenetet stb?

A problémára lehet, hogy már van megoldás, én most a netet kutatva találtam rá erre a cikkre, remélvén, hogy választ kapok a kérdésre és ha valaki már tudja a megoldást azt szívesen venném.

El?re is köszönöm.
Pisti
Nagyon érdekes és alapos cikk, mint valamennyi másik az oldalon. Mióta felfedeztem ,egyik kedvenc oldalammá vált, csak így tovább. ;-)

Viszont ami eszembe jutott, hogy ha így állunk, meddig garantált a kompatibilitás régi programokkal? Így is vannak kedves régi dolgaim, amik csak egy virtuális gépen futnak 98 alatt, de ezt pl. játékokkal nem tudom megtenni.

2007-05-18 18:44
DJS: Had osszak meg egy nagy bölcsességet (már nem tudom ki mondta, de sok okasat mondott): a biztonság nem állapot, hanem folyamat. Véleményem szerint a különböz? biztonsági technológiák az id?vel csak veszítenek a megbízhatóságukból (kivéve talán a tanulásra épít? technológiák), ahogy az ártó szándékú emberek megtanulják kicselezni ?ket, de az ipar mindig kitalál majd valami újat. A leggyengébb pont különben is a felhasználó. Leginkább saját magától kell megvédenie ?t egy rendszernek.
Jók ezek, csak nagyon újak. Még jópár évbe telik majd, amíg igazán megbízhatóak lesznek, nem?
Köszi a cikket!
Ez mind nagyon szép, de most már nagyon jó lenne, ha a magyarországi vista guruk nekifeküdnének annak a problémának, hogy a media center TV-néz? funkciója használhatatlan.
Csatornakeres? magyar régióbeállítással nem m?ködik csak némettel, ami 262 csatornát letölt, ebb?l kb. 50-en van adás, a többi üres. Ezeket az üres csatornákat egyenként kell kikapcsolni, a csatornák sorrendjét egynként lépkedve kell beállítani, de mit sem ér, mert a guide frissítés naponta visszaírja. Plusz még a csatornák neveit nem lehet átírni. Így teljes a gyönyör.
Szóval erre kellene valami okosat kitalálni. Nem értem, hogy az RC1 ota senkinek nem tünt fel és nem sikoltozott emiatt.
Engem ez ezerszer jobban érdekel, mint pl. a regisztrivel trükközés.

Amúgy szuper a WindowsPortal és ez a cikk is.

2006-11-27 21:24
robi mitrt ne lehetne   másolva
http://picbox.cjb.hu/kepestar/upload/0/0/3/3b4b305ee6.jpg

hu mérges is lenék mert nemtudnám felolvastatni speakboard-al

2006-11-27 21:08
Tényleg? Mutass már egyetlen helyet, ahol azt javasolják, hogy ne használj t?zfalat.

Mert régi, nem támogatott böngész?t használsz.
"?k" MS
"Ott ahol a t?zfalat" nem mondod :D

nem ide való kérdés: miért nem lehet oldalról másolni a szövegeket?
Szóval valami "hozzáért?" riogatja a "hozzáért?ket"?

2006-11-27 19:27
Hagyjuk már a hülyeséget. A Wikipédiába bárki beírhat mindeféle baromságot.
http://hu.wikipedia.org/wiki/Windows_XP

Ajánlom figyelmébe mindenkinek a Problémák részt.
Tényleg ilyen ganyé az xp? és ha igen akkor hol tudom legyilkolni?
"Hol lehet kikapcsolni az UAC-ot?"

ott ahol a t?zfalat

2006-11-27 18:10
Milyen ?k?

Nemlehet.
Hol lehet kikapcsolni az UAC-ot?
?k? :D

2006-11-27 17:38
Ki mondta, hogy nem kell t?zfal?

Azt hiszem Kabuki teljesen téves úton jársz az UAC-vel. Az UAC nem t?zfal és nem is antivírus. Az UAC nem a programokat hivatott ellen?rizni, hanem a felhasználót - ez a nevében is benne van. Az UAC integritás-szint váltásakor lép közbe, nem pedig egy-egy alkalmazástól függ a m?ködése.

Egyébként kíváncsi voltam ezek után jön-e valaki azzal, hogy hol lehet kikapcsolni az UAC-t. Nyertem. :-)

A Vista próbaváltozatáról egyel?re semmit nem tudni, valószín?leg csak a kereskedelmi megjelenés után várható, de ez is csak hasraütés. Türelem.
Pedig azt mondták nem kell t?zfal :D

2006-11-27 17:03
Kabuki: "nem értem hogy az User Account Control-nál, miért nem csinálták meg, hogy megjegyezze az engedélyezett programokat/folyamatokat,,, mint pl egy t?zfalproginál"
Nagyon egyszer? az oka... ha mondjuk egy olyan oldalra mentél föl, amelyik kártékony tartalmat akar futtatni a gépen, akkor azt szépen eléd dobja, hogy mit akarsz kezdeni vele... ez ugye eddig is tiszta volt...
tegyük fel, van az usernek webtárhelye, és mondjuk nem az IE7-et használja, és a böngész?jén (bármely okból kifolyólag) biztonsági rés keletkezik, és mondjuk a webtartalom se marad kártékony kód nélküli...
teszem azt, letöltesz err?l a webhelyr?l egy vírusos alkalmazást, és automatikusan futtatni szeretné a vírust...DE ekkor az UAC megin beszól, hogy ugyan már, te voltál, vagy valaki szaraxik?...remélem tovább nem kell kommentálni...:)

UI.:Az UAC nem t?zfal...
Szóval 32bites rendszeren, usb kulcs nélkül felét se ér a rendszer?:
Jan. 30 el?tt biztosan nem lesz.
Hello! Moonman: Azt szeretném megkérdezni (tudom, hogy nem ide vág) de mikor lehet proba verziót rendelni Vistabol? És még azt, hogy ha lehet, akkor számithatunk arra, hogy kiteszitek hírbe, hogy honna lehet rendelni 180 próbát?
Nagyon jó a cikk!
Köszi moonman.
Meg szeretném kérdezni hogy a User Account Control-t hol lehet kikapcsolni?

2006-11-27 06:45
Kabuki

1 et étek veled
http://picbox.cjb.hu/kepestar/upload/0/0/3/daeb63e5bd.jpg

Oldalak közti navigálás