Рождение мифа
Подавляющее большинство угроз защите информации исходит из ошибок, допущенных при разработке программного кода. Поэтому создание Vista велось на базе так называемого «безопасного» цикла разработки (Security Development Lifecycle, SDL), призванного уменьшить число ошибок в исходном коде системы. Конечно же, это значит не то, что программистов заставили подписать договор о полагающихся им наказаниях после обнаружения проблем в системе, а то, что разработчики Windows прислушивались к советам гуру безопасности, ходили на тренинги, где моделировались атаки, а также тестировали свой труд на стойкость к взлому.
В результате, программисты решили по-новому реализовать работу сервисов в данной ОС. Изменениям подверглись службы Windows Vista: теперь каждому пользователю нельзя запустить их с тем же уровнем полномочий, что и в Windows XP (мы все помним один вирус, который внедрялся в систему и выключал SVCHOST, что приводило к перезагрузке без сохранения данных). Поэтому сейчас администраторы могут назначать привилегии каждому пользователю в его личном профиле (механизм User Account Control (UAP) (контроль за правами пользователей)): как будет использоваться файловая система, сеть, реестр, системные файлы. Конечно же, и раньше такое можно было настроить, но для этого требовалась установка стороннего программного обеспечения, причем Shareware, а теперь такие функции стали штатными.
Еще в Windows Vista очень детально проработан механизм определения входа в систему — он позволяет работать с различными биометрическими устройствами и кратковременными паролями, при этом затраты на шифрование данных снижаются. Модифицирована и схема применения смарт-карт в режиме Plug'n'Play (соответствующие драйверы и Certificate Service Provider включены в комплект поставки). Главное отличие Vista от предыдущих версий Windows кроется в обеспечении защиты информации от неавторизованных пользователей и мошенников и называется BitLocker Drive Encryption (шифрование диска). При этом возможны разные варианты хранения ключей, например, TPM-чип, USB Flash, PIN-код, а также их комбинации. Для поддержки политик безопасности при распространении документов в системе предлагается использовать модернизированный механизм управления правами доступа к информации (Information rights management).
В дополнение к этому, в Windows Vista появился ряд сервисов, доступных раньше только счастливым обладателям «продвинутых» решений класса Internet Security. Речь идет о функции PatchGuard, которая отслеживает изменения в таблицах сервисов и дескрипторах ядра системы, а также о режиме Mandatory Kernel Mode & Driver Signing, который позволяет проверить наличие цифровой подписи у любого модуля или драйвера уровня ядра. Если помните, цифровая проверка подписи драйвера была простой профанацией в Windows XP.
Но проблема кроется не только внутри, но и извне — ведь вирусы распространяются по большей части через интернет. Как раз для этого в Windows Vista встроен Internet Explorer 7.0, который, вслед за Mozilla FireFox 2.0, стал поддерживать защиту от фишинга, уведомление о небезопасных установках, дефолты для международных доменных имен (International Domain Names), унификацию разбора URL, технологию ActiveX Opt-in. Плюс ко всему, обновился и встроенный файерволл — Windows Firewall. Если раньше его назвали «дырявым ведром», и каждый приличный аналогичный продукт от стороннего разработчика отключал Центр обеспечения безопасности Windows XP, то сейчас он неплохо справляется с работой по обеспечению безопасного доступа к Сети. В том числе за счет аутентификации и авторизации всех соединений, применения защищенных протоколов работы (DHCP, VPN, IPsec, 802.1X) и доступа на базе политик, конфигурируемых системными администраторами. Кроме того, с вредоносным и шпионским программным обеспечением борется и Windows Defender — интегрированный сервис по защите данных.
О том, как миф стал жизнью
Но перейдем теперь от слов к делу и рассмотрим последствия применения того или иного механизма в Windows Vista. Начнем с того, что Windows Vista уже взломали и выложили на сотне файлообменных сайтов. Описывать технически, как это произошло, не имеет смысла, вопрос заключается в том, что активация Windows Vista, которая обещала стать еще более изощренной, чем у Windows XP, обойдена.
Замечательный в своей идее механизм User Account Control на деле оказался редкостно занудным нотифом, возникающим время от времени, когда пользователь делает что-то не так, например, ставит неподписанный софт. Но раньше Windows XP «рисовала» облачка в районе трея, которые преспокойно отключались в реестре, а сегодня Vista привлекает к себе внимание, блокируя управление компьютером. На деле это похоже на ту картинку, которую видел пользователь, выключающий Windows XP: но здесь экран становится полупрозрачно-серым (а не черно-белым), и всплывающее окно предлагает выбрать действие — если пользователь имеет права администратора, то он просто должен подтвердить свое решение, а вот обычный пользователь… он должен идти к кому-нибудь с соответствующими правами и просить ввести администраторский пароль. Как известно, благими намерениями вымощена дорога в ад, и все эти окна, призванные обезопасить пользователя, только заставляют его лишний раз нервничать по поводу своих действий.
Продолжаем в том же духе — на очереди Internet Explorer 7.0, претендующий на защиту информации пользователя непосредственно в Сети. Как и в IE 6.0, работает «старая песня о главном», а именно, предупреждения об использовании ActiveX сценариев или JavaScript, но на этот раз они стали невыносимыми. Любой скрипт (даже самый безобидный) вызывает у браузера навязчивое желание спросить «у тополя», то есть у пользователя: быть или не быть?
Встроенный Windows Firewall, хоть и стал работать неплохо, с точки зрения обнаружения новых угроз остался практически на том же уровне, что и в Windows XP. Лаборатория Касперского, в частности, отмечает, что Windows Defender не является антивирусным пакетом и покрывает только одно подмножество всех существующих вредоносных программ, не защищая от вирусов, троянских программ, червей, а его показатель детектирования угроз оценивается как «ниже среднего».
Встроенный PatchGuard позволяет не только отслеживать изменения в ядре системы, но и вводить производителей антивирусного программного обеспечения в замешательство по поводу корреляции их продуктов с Windows Vista. Поэтому проактивная защита системы может быть под угрозой из-за нереализованного функционала антивирусного софта.
В отношении обновления программного обеспечения, в частности, происходящего на наших глазах перехода на Windows Vista, у пользователей решений Internet Security есть возможность обновить свои продукты бесплатно.
На самом деле, механизм проверки подписания драйверов тоже может быть обойден — в отчете Secunia упомянуто несколько брешей в новой системе, причем две из них до сих пор не исправлены. Примечателен тот факт, что обе уязвимости (Windows Vista ATI Radeon Kernel Mode Driver Denial of Service и Microsoft Windows Directory Monitoring Information Disclosure Weakness) относятся как раз к юрисдикции Mandatory Kernel Mode & Driver Signing.
Рождение трагедии из мифа
С момента объявления начала разработки системы до ее релиза было отмечено порядка 20-30 уязвимостей (количество 27 достаточно условное), из них 12 устранено в оперативные сроки, хотя и не так шустро, как в Windows XP. Кстати, в XP ошибок было 39, а исправили 37. Большинство моих знакомых, занятых в IT-сфере, отнюдь не стоит в очереди за новой версией ОС, даже имея подходящие конфигурации своих машин для ее установки и деньги для покупки легальной версии, а ждет первый Service Pack.
Примечателен и тот факт, что крупнейшие антивирусные компании еще не прошли сертификацию своих продуктов под новую операционную систему (Trend Micro PC-Cilin в расчет для статистики не берется). Symantec периодически выступает с заявлениями «доработать UAP», а эксперты McAfee считают, что Vista создает у пользователей ложное чувство полной защищенности, в результате чего они могут совсем отказаться от использования антивирусных программ сторонних производителей. Конечно, если послушать архитектора систем безопасности Windows Славу Кавсана, то использование сторонних приложений не снижает уровень безопасности работы в системе, так как защита реализована на более глубоком уровне, а старые («антикварные») вирусы не будут работать в новой Windows, при этом проблема уязвимостей «нулевого дня» остается. Да и вообще, результаты тестирования CRN Test Center показали, что все старые дыры Windows XP достались и новому коду Vista. Как говорит Слава Кавсан, введение нового кода — это «палка о двух концах» — с одной стороны, оно несет ошибки, а с другой — без нового кода нет прогресса в области программного обеспечения. Но другие специалисты, в частности Торалв Дирро из уже упоминавшейся McAfee, утверждают, что новые системы безопасности построены таким образом, что если хакер сумеет обойти их, то он уже не столкнется ни с какими ограничениями и автоматически получит полный доступ к системе. Кроме того, повышенная защищенность системы не позволяет многим производителям антивирусных программ проводить работу по перехвату и отслеживанию системных вызовов, обработке и использованию прочей «низкоуровневой» функциональности и информации на таком уровне, как они это делали в более ранних версиях Windows.
В сухом остатке мы имеем практически ту же Windows XP по уровню защиты, отличия кроются лишь во внешней «мишуре» дополнительных функций, прислоненных к старым «ранам» (vulnerabilities), поэтому не использовать дополнительное антишпионское (хотя бы SpyBot Searh and Destroy с его EggTimer) и антивирусное (тот же Agnitum Outpost Security Suite) программное обеспечение на Windows Vista — это настоящее безумие.
