Новые функции безопасности Windows Vista непосредственно повлияют на работу специалистов по ИТ и администраторов (и не всегда только позитивно). Как сообщили сами представители Microsoft, компания сделала Vista самой защищенной из когда-либо выпущенных версий Windows, но многие отраслевые аналитики уверены, что эти функции безопасности могут оказаться обременительными для пользователя и что даже самую защищенную версию Windows нужно будет еще дополнительно «укрепить». Данный материал открывает цикл статей, посвященных обсуждению вопросов, касающихся безопасности Vista.
Что не будет обсуждаться
Когда речь идет о новых программах, трудно не остановиться на элементах, которые сразу обращают на себя внимание в графическом интерфейсе. В Vista этот список включает Windows Security Center, Windows Defender, Windows Firewall, средства родительского контроля, Internet Explorer (IE) 7.0 Protected Mode, Windows Update и Automatic Updates. Об этих самых заметных возможностях мы расскажем в других статьях, а здесь пропустим их и сосредоточимся на базовых низкоуровневых технологиях, влияние которых пользователи ощутят в повседневной работе.
Учетные записи пользователей и UAC
Как и в предшествующих версиях Windows, в Vista типы учетных записей определяют, какие задания пользователям разрешается выполнять и к каким ресурсам они могут получить доступ. Предыдущие версии Windows предусматривали четыре основных типа учетных записей, от наиболее ограниченных в полномочиях до наименее ограниченных, и включали Guest, Standard User, Power User и Administrator. В Vista тип Power User, который представляет собой нечто среднее между Standard User и Administrator, отсутствует, и все типы пользователей, включая Administrator, более ограничены в своих возможностях по умолчанию, чем ранее. Результат — более простая и лучше управляемая группа типов учетных записей.
Все реализованные в Vista изменения возможностей учетных записей нацелены на обеспечение более высокого уровня безопасности. На первый взгляд кажется, что предусмотренная по умолчанию административная учетная запись — Administrator — исчезла. Однако она лишь скрыта и может быть активирована, если потребуется. Хотя первая учетная запись, создаваемая для любого устанавливаемого экземпляра Vista, — это учетная запись административного уровня, поэтому в действительности в активации Administrator необходимости нет. По существу, самое лучшее — оставить учетную запись Administrator скрытой, поскольку по умолчанию Administrator не имеет пароля.
Самое важное новшество, касающееся учетных записей, — это функция контроля учетной записи User Account Control (UAC), которая из всех нововведений Vista может в большей степени раздражать пользователей. Однако, на мой взгляд, она представляет собой одно из наиболее значимых изменений, реализованных в новой операционной системе. UAC позволяет существенно ограничить доступ к системе Vista и обеспечить ее максимальную безопасность в предусмотренном по умолчанию активном состоянии. Однако всякий раз, когда пользователь запускает приложение, оснастку, панель управления или любой другой элемент, способный повлиять на состояние системы, Vista открывает режимное диалоговое окно поверх затемненного текущего рабочего стола. Необходимо отреагировать на запрос в этом окне, прежде чем можно будет продолжать работу. Вот почему я употребил слово «раздражать» — все это чрезвычайно досаждает. Диалоговые окна слегка различаются в зависимости от типа учетной записи пользователя.
Ранее, т.е. до появления Vista, в Windows XP пользователи с учетной записью администратора могли делать все, включая помещение системных файлов в корзину. При этом возможности пользователей типа Standard были весьма ограниченны — они даже не могли насладиться большинством игр. Благодаря UAC пользователь с учетной записью Standard User теперь вполне «дееспособен»; но всякий раз, когда Standard User пытается выполнить задание административного уровня, появляется диалоговое окно с требованием ввести имя администратора и пароль.
Интересно, что даже Administrator вынужден иметь дело с диалогом UAC, хотя такому пользователю достаточно лишь нажать кнопку Continue. Для пользователей с административными привилегиями работа функции UAC, по существу, эквивалентна проверке типа «вы в этом уверены?» в среде безопасного рабочего стола Secure Desktop (обычно появляющегося при вводе комбинации Ctrl+Alt+Del в XP или Vista) и предназначена для предотвращения проникновения вредоносных программных средств.
Больше всего в UAC впечатляет то, что эта функция позволяет ограничить предусмотренные по умолчанию возможности административных учетных записей. Даже если при входе в систему вы регистрируетесь как Administrator, Vista уменьшает ваши привилегии. Учетные записи Administrator обычно работают с теми же привилегиями, что и Standard User. Если необходимо временно расширить полномочия, Vista открывает диалог UAC, позволяющий повысить привилегии лишь для конкретного задания. Большинство действий в Vista, требующих повышенных привилегий, предусматривают отображение маленького графического экрана, позволяющего получить представление о происходящем. В некоторых случаях можно вручную запускать конкретные задания от имени администратора. Например, можно щелкнуть правой кнопкой на приглашении к вводу команды в меню Start и выбрать Run as administrator для запуска конкретного приложения с повышенными привилегиями.
Кроме того, этот метод придется использовать, если предполагается выполнить какие-либо задания административного уровня из командной строки. Можно создавать «быстрые клавиши», всегда запускающие отдельные приложения от имени администратора, однако в данном случае все равно придется реагировать на окна UAC всякий раз при использовании этих быстрых клавиш.
На первый взгляд UAC кажется сбывшейся мечтой. Однако большинство пользователей вскоре начнет раздражать эта функция. Диалоговое окно UAC появляется очень часто в самом начале работы с Vista, т.е. при установке приложений, задании настроек функций и вводе параметров и обычно при выполнении самостоятельной настройки системы. После того как вы станете реально использовать Vista, функция UAC будет вам досаждать значительно меньше.
Такие операционные системы, как Mac OS X и Linux на базе UNIX-кода, тоже используют запросы, подобные диалогам UAC. И, поскольку указанные системы обычно требуют от конечных пользователей применения в повседневной работе неадминистративных учетных записей, эти запросы раздражают еще больше, чем UAC, так как всегда требуют ввода пароля. Особо озабоченные вопросами защиты пользователи Vista могут настроить UAC на постоянную выдачу запроса на ввод пароля, как это сделано в OS X и Linux. Это обеспечит еще более надежную защиту, чем предусмотренная по умолчанию конфигурация, хотя также обременительно при использовании.
BitLocker Drive Encryption
Учитывая, какое количество корпоративных ноутбуков ежегодно похищается или теряется, неудивительно, что стоимость замены этих устройств не может сравниться с ценностью хранящейся на них информации. Практически каждый месяц в газетах попадаются публикации о том, что некто потерял ноутбук с частной информацией о клиентах, и это вынуждает компанию вести дорогостоящий открытый процесс для улаживания неприятностей. Потеря или кража ноутбука легко может привести к массовой пропаже персональных данных. Чтобы предотвратить подобную утрату информации, необходимо шифровать данные, хранящиеся на ноутбуке, что исключает возможность доступа посторонних лиц к содержимому жесткого диска.
В NT-версиях Windows, таких как XP и Windows 2000, уже не один год используется шифрующая файловая система Encrypting File System (EFS). Система EFS обеспечивает гибкие возможности шифрования индивидуальных каталогов на жестком диске, что гарантирует защиту от незаконного доступа всех содержащихся в этих каталогах данных, включая документы и другие файлы, добавляемые после шифрования каталога. EFS выполняет свою работу с минимальным влиянием на производительность и демонстрирует довольно хорошие результаты.
Версии Vista Enterprise и Vista Ultimate включают еще одну, более примечательную функцию — BitLocker Drive Encryption, которая автоматически шифрует весь том Windows (т.е. раздел, где расположен каталог Windows, обычно это диск C) без необходимости какой-либо настройки со стороны пользователя. Администраторы могут легко распространить эту функцию на руководителей и других сотрудников, путешествующих с ценными корпоративными данными.
Однако достоинства BitLocker этим не ограничиваются. Изначально предполагалось, что основную часть Vista составят технологии в рамках программы Microsoft под названием Next-Generation Secure Computing Base (NGSCB, ранее — Palladium). Сегодня BitLocker Drive Encryption — одна из немногих основанных на NGSCB технологий, оставшихся в составе продукта. NGSCB-компонент BitLocker работает с аппаратной микросхемой Trusted Platform Module 1.2 на материнской плате, обеспечивая целостность основных системных компонентов во время загрузки. Такая проверка целостности гарантирует, что жесткий диск, защищенный функцией BitLocker, не был помещен на другой компьютер, а также позволяет предотвратить атаки, которые могут быть предприняты во время запуска, до загрузки операционной системы.
Для тех, кто не располагает аппаратной микросхемой защиты данных Trusted Platform Module 1.2, Microsoft предлагает несколько менее эффективную версию BitLocker, предполагающую использование ключа защиты памяти — USB Memory Key. Этот вариант обеспечивает все функциональные возможности BitLocker по шифрованию диска, но не предусматривает проверки целостности. Для конечного пользователя установка BitLocker Drive Encryption несколько трудоемка. Необходимо зарезервировать на жестком диске ноутбука второй активный раздел размером не менее 1,5 Гбайт. Этот том не будет зашифрован и будет содержать файлы, необходимые для корректной загрузки компьютера.
Если вы не предусмотрели правильное разбиение системы во время начальной настройки, придется найти Vista-совместимую надежную утилиту, способную выполнить эту задачу. Пользователи Vista Ultimate имеют доступ к бесплатному дополнению BitLocker Drive Preparation Tool, выполняющему такое разбиение на разделы. Разработчикам Microsoft следует подумать о том, что пользователи Vista Enterprise также должны иметь возможность справляться с этой задачей.
В одной небольшой статье все функции безопасности Vista не охватить. В следующем номере мы поговорим об усовершенствованиях EFS, виртуализации файловой системы и реестра, изоляции служб, подписи драйверов и функциях проверки целостности кода, комплексе рандомизации адресного пространства Address Space Layout Randomization и функциях безопасности, присутствующих только в x64-версиях Vista.
Поль Тюрро - Редактор новостей в Windows IT Pro. Готовит еженедельные выпуски Windows IT Pro UPDATE, а также ежедневные выпуски новостей WinInfo. thurott@win2000mag.com
Система безопасности Vista
ДОСТОИНСТВА: Windows Vista включает значительные усовершенствования системы безопасности по сравнению с Windows XP.
НЕДОСТАТКИ: безопасность в Vista по-прежнему лишь базового уровня, без антивирусных средств; неясно, как Vista будет приспосабливаться к возникающим угрозам.
РЕКОМЕНДАЦИЯ: Vista разрабатывалась с нуля как более защищенная операционная система и включает многие низкоуровневые и ориентированные на пользователя функции обеспечения безопасности. Однако по-прежнему предусмотрены не все необходимые виды защиты. В частности, в Vista отсутствует антивирусное решение и некоторые функции безопасности, такие как Windows Firewall и Defender, не отличаются надежностью.
КОНТАКТЫ: Microsoft, http://www.microsoft.com
ПОЛНЫЙ АНАЛИЗ: http://www.winsupersite.com/showcase/winvista-security.asp
Дополнения VISTA ULTIMATE
ДОСТОИНСТВА: в отличие от предшествующих пакетов дополнений (Plus!), некоторые дополнения действительно полезны, даже для сотрудников предприятий.
НЕДОСТАТКИ: дополнения недоступны без приобретения Windows Vista Ultimate, тогда как должны быть открыты и для других пользователей Vista за отдельную плату.
РЕКОМЕНДАЦИЯ: для обеспечения преимущества клиентам, приобретающим самую дорогую версию Vista – Vista Ultimate, предусмотрен новый набор загружаемых средств под названием Windows Ultimate Extras. В настоящее время единственным примечательным дополнением является Windows Bitlocker Drive Preparation Tool — утилита типа «мастер», автоматизирующая процесс добавления к системе функции Bitlocker Protection.
КОНТАКТЫ: Microsoft, http://www.microsoft.com
ПОЛНЫЙ АНАЛИЗ: http://www.winsupersite.com/reviews/winvista_ultimate_extras.asp