Sikkerheds- og sikkerhedsfunktioner nye til Windows Vista - Security and safety features new to Windows Vista

Der er en række nye sikkerheds- og sikkerhedsfunktioner i Windows Vista , hvoraf de fleste ikke er tilgængelige i nogen tidligere version af Microsoft Windows -operativsystemet .

Fra begyndelsen af 2002 med Microsofts meddelelse om sit Trustworthy Computing -initiativ er der lagt et stort arbejde i at gøre Windows Vista til et mere sikkert operativsystem end sine forgængere. Internt vedtog Microsoft en " Sikkerhedsudviklingslivscyklus " med den underliggende etos "Sikker ved design, sikker som standard, sikker i implementering". Ny kode til Windows Vista blev udviklet med SDL -metoden, og al eksisterende kode blev gennemgået og refaktoreret for at forbedre sikkerheden.

Nogle specifikke områder, hvor Windows Vista introducerer nye sikkerheds- og sikkerhedsmekanismer, omfatter brugerkontokontrol, forældrekontrol, beskyttelse af netværksadgang , et indbygget anti- malware- værktøj og nye mekanismer til beskyttelse af digitalt indhold.

Brugerkontokontrol

Brugerkontokontrol er en ny infrastruktur, der kræver brugersamtykke, før der tillades handlinger, der kræver administrative rettigheder. Med denne funktion kører alle brugere, inklusive brugere med administrative rettigheder, som standard i en standardbrugerfunktion, da de fleste applikationer ikke kræver højere rettigheder. Når der forsøges en handling, der kræver administrative rettigheder, f.eks. Installation af ny software eller ændring af system- eller sikkerhedsindstillinger, vil Windows bede brugeren om at tillade handlingen eller ej. Hvis brugeren vælger at tillade, hæves processen, der starter handlingen, til en kontekst med højere privilegier for at fortsætte. Mens standardbrugere skal indtaste et brugernavn og en adgangskode til en administrativ konto for at få en proces forhøjet ( Over-the-shoulder Credentials ), kan en administrator vælge at blive bedt om bare at give samtykke eller bede om legitimationsoplysninger. Hvis brugeren ikke klikker på Ja, nægtes prompten efter 30 sekunder.

UAC beder om legitimationsoplysninger i en Secure Desktop -tilstand, hvor hele skærmen er falmet ud og midlertidigt deaktiveret, for kun at vise elevationsgrænsefladen. Dette er for at forhindre forfalskning af brugergrænsefladen eller musen af applikationen, der anmoder om forhøjelse. Hvis applikationen, der anmoder om forhøjelse, ikke har fokus, før skiftet til Secure Desktop sker, blinker dets proceslinjeikon, og når det er fokuseret, vises højde -brugergrænsefladen (det er dog ikke muligt at forhindre, at et ondsindet program lydløst opnår fokus) .

Da den Secure Desktop tillader kun højeste privilegium System applikationer til at køre, kan ingen brugertilstand ansøgning fremlægge sine dialogbokse på at skrivebordet, så enhver prompt for elevation samtykke kan sikkert antages at være ægte. Derudover kan dette også hjælpe med at beskytte mod sprængningsangreb , som opsnapper Windows-procesbehandlingsmeddelelser for at køre ondsindet kode eller forfalde brugergrænsefladen ved at forhindre uautoriserede processer i at sende meddelelser til processer med høje privilegier. Enhver proces, der ønsker at sende en besked til en proces med højt privilegium, skal få sig selv hævet til konteksten med højere privilegier via UAC.

Applikationer skrevet med den antagelse, at brugeren kører med administratorrettigheder, oplevede problemer i tidligere versioner af Windows, når de blev kørt fra begrænsede brugerkonti, ofte fordi de forsøgte at skrive til hele maskinen eller systemmapper (f.eks. Programfiler ) eller registreringsnøgler (især HKLM ) UAC forsøger at afhjælpe dette ved hjælp af File and Registry Virtualization , som omdirigerer skriver (og efterfølgende læsninger) til en per-bruger-placering i brugerens profil. For eksempel, hvis et program forsøger at skrive til "C: \ programfiler \ appnavn \ settings.ini", og brugeren ikke har tilladelse til at skrive til det bibliotek, bliver teksten omdirigeret til "C: \ Users \ brugernavn \ AppData \ Local \ VirtualStore \ Program Files \ appname \. "

Kryptering

BitLocker, tidligere kendt som "Secure Startup", tilbyder denne funktion fuld diskkryptering til systemets volumen. Ved hjælp af kommandolinjeværktøjet er det muligt at kryptere yderligere mængder. Bitlocker anvender en USB -nøgle eller Trusted Platform Module (TPM) version 1.2 af TCG -specifikationerne til at gemme sin krypteringsnøgle. Det sikrer, at computeren, der kører Windows Vista, starter i en kendt tilstand, og den beskytter også data mod uautoriseret adgang. Data om diskenheden er krypteret med en Full Volume Encryption Key (FVEK), som yderligere krypteres med en Volume Master Key (VMK) og gemmes på selve disken.

Windows Vista er det første Microsoft Windows -operativsystem, der tilbyder native support til TPM 1.2 ved at levere et sæt API'er, kommandoer, klasser og tjenester til brug og administration af TPM. En ny systemtjeneste, kaldet TPM Base Services, giver adgang til og deling af TPM -ressourcer for udviklere, der ønsker at bygge applikationer med support til enheden.

Krypterende filsystem (EFS) i Windows Vista kan bruges til at kryptere systemside- filen og off- cache- filer pr. Bruger . EFS er også mere tæt integreret med virksomhedens offentlige nøgleinfrastruktur (PKI) og understøtter brug af PKI-baseret nøglegendannelse, datagendannelse via EFS-gendannelsescertifikater eller en kombination af de to. Der er også nye gruppepolitikker for at kræve smartkort til EFS, håndhæve sidefilkryptering, fastsætte minimumslængder for EFS, håndhæve kryptering af brugerens Documents-mappe og forbyde selvsignerede certifikater. EFS -krypteringsnøglens cache kan slettes, når en bruger låser sin arbejdsstation eller efter en bestemt tidsbegrænsning.

Med guiden til genoprettelse af EFS kan brugeren vælge et certifikat til EFS og vælge og migrere eksisterende filer, der vil bruge det nyvalgte certifikat. Certificate Manager tillader også brugere at eksportere deres EFS -gendannelsescertifikater og private nøgler. Brugere bliver mindet om at sikkerhedskopiere deres EFS -nøgler ved første brug gennem en ballonmeddelelse . Vejledningsguiden kan også bruges til at migrere brugere i eksisterende installationer fra softwarecertifikater til smartkort . Guiden kan også bruges af en administrator eller brugere selv i gendannelsessituationer. Denne metode er mere effektiv end dekryptering og omkryptering af filer.

Windows Firewall

Windows Vista forbedrer firewallen betydeligt for at løse en række bekymringer omkring fleksibiliteten i Windows Firewall i et virksomhedsmiljø:

IPv6 -forbindelsesfiltrering
Udgående pakkefiltrering, der afspejler stigende bekymringer om spyware og vira, der forsøger at "ringe hjem".
Med det avancerede pakkefilter kan der også specificeres regler for kilde- og destinations -IP -adresser og portintervaller.
Regler kan konfigureres for tjenester ved hjælp af sit servicenavn valgt af en liste uden at skulle angive det fulde stifilnavn.
IPsec er fuldt integreret, hvilket tillader eller tillader forbindelser baseret på sikkerhedscertifikater, Kerberos -godkendelse osv. Kryptering kan også være påkrævet for enhver form for forbindelse. Der kan oprettes en forbindelsessikkerhedsregel ved hjælp af en guide, der håndterer den komplekse konfiguration af IPsec -politikker på maskinen. Windows Firewall kan tillade trafik baseret på, om trafikken er sikret med IPsec.
En ny administrationskonsol snap-in ved navn Windows Firewall med avanceret sikkerhed, som giver adgang til mange avancerede muligheder, herunder IPsec- konfiguration, og muliggør fjernadministration.
Mulighed for at have separate firewallprofiler, når computere er domenetilsluttet eller forbundet til et privat eller offentligt netværk. Understøttelse af oprettelse af regler for håndhævelse af server- og domæneisolationspolitikker.

Windows Defender

Windows Vista inkluderer Windows Defender, Microsofts anti-spyware-værktøj. Ifølge Microsoft blev det omdøbt til 'Microsoft AntiSpyware', fordi det ikke kun indeholder scanning af systemet for spyware, svarende til andre gratis produkter på markedet, men inkluderer også Real Time Security -agenter, der overvåger flere fælles områder af Windows for ændringer, som kan være forårsaget af spyware. Disse områder omfatter konfiguration og download af Internet Explorer, programmer til automatisk start, systemkonfigurationsindstillinger og tilføjelser til Windows, f.eks. Windows Shell-udvidelser.

Windows Defender inkluderer også muligheden for at fjerne ActiveX -programmer, der er installeret og blokere opstartsprogrammer. Det indeholder også SpyNet -netværket, som giver brugerne mulighed for at kommunikere med Microsoft, sende det, de anser for at være spyware, og kontrollere, hvilke applikationer der er acceptable.

Enhedsinstallationskontrol

Windows Vista tillader administratorer at håndhæve hardwarebegrænsninger via gruppepolitik for at forhindre brugere i at installere enheder, begrænse enhedsinstallation til en foruddefineret hvidliste eller begrænse adgangen til flytbare medier og enheder.

Forældrekontrol

Forældrekontrol i Windows Vista med funktioner til begrænsning af en Danielle standard brugerkonto

Windows Vista indeholder en række forældrekontrol for administratorer til at overvåge og begrænse computeraktivitet for standardbrugerkonti, der ikke er en del af et domæne ; Brugerkontokontrol håndhæver administrative begrænsninger. Funktioner inkluderer: Windows Vista -webfilter - implementeret som et Winsock LSP -filter til at fungere på tværs af alle webbrowsere - hvilket forbyder adgang til websteder baseret på kategorier af indhold eller specifikke adresser (med mulighed for at blokere alle filoverførsler); Tidsgrænser , som forhindrer standardbrugere i at logge ind på en dato eller et tidspunkt, der er angivet af en administrator (og som låser begrænsede konti, der allerede er logget ind i sådanne tider); Spilrestriktioner , som giver administratorer mulighed for at blokere spil baseret på navne, indhold eller vurderinger, der er defineret af et videospilindholdssystem, f.eks. Entertainment Software Rating Board (ESRB) , med indholdsbegrænsninger, der har forrang for vurderingsrestriktioner (f.eks. Alle 10+ (E10+) spil kan have tilladelse til at køre generelt, men E10+ spil med mildt sprog vil stadig blive blokeret, hvis det milde sprog er blokeret); Applikationsbegrænsninger , der bruger applikations hvidlister til specifikke applikationer; og aktivitetsrapporter , som overvåger og registrerer aktiviteter for begrænsede standardbrugerkonti.

Windows Forældrekontrol indeholder et sæt muligheder, der kan udvides, med programmeringsgrænseflader til programmer (API'er), som udviklere kan erstatte medfølgende funktioner med deres egne.

Udnyt beskyttelsesfunktionalitet

Windows Vista anvender Address Space Layout Randomization (ASLR) til at indlæse systemfiler på tilfældige adresser i hukommelsen. Som standard indlæses alle systemfiler tilfældigt på en af de mulige 256 placeringer. Andre eksekverbare filer skal specifikt angive en smule i overskriften på filen Portable Executable (PE) , som er filformatet for Windows -eksekverbare filer, for at bruge ASLR. For sådanne eksekverbare filer bestemmes den tildelte stak og bunke tilfældigt. Ved at indlæse systemfiler på tilfældige adresser bliver det sværere for ondsindet kode at vide, hvor privilegerede systemfunktioner er placeret, hvilket gør det usandsynligt for dem at forudsige dem. Dette hjælper med at forhindre de fleste fjernudførelsesangreb ved at forhindre retur-til-libc- bufferoverløbsangreb .

Det bærbare eksekverbare format er blevet opdateret for at understøtte indlejring af adresse til undtagelseshandler i overskriften. Når en undtagelse kastes, verificeres adressen på behandleren med den, der er gemt i det eksekverbare overskrift. Hvis de matcher, håndteres undtagelsen, ellers angiver det, at run-time-stakken er blevet kompromitteret, og derfor afsluttes processen.

Funktionspegere er tilsløret af XOR-ing med et tilfældigt tal, så den faktiske adresse, der peges på, er svær at hente. Så ville det være at ændre en markør manuelt, da den tilsløringsnøgle, der blev brugt til markøren, ville være meget svær at hente. Det er således gjort svært for enhver uautoriseret bruger af funktionsmarkøren at kunne faktisk bruge den. Også metadata for bunkeblokke er XOR-ed med tilfældige tal. Derudover opretholdes tjekbeløb for bunkeblokke, som bruges til at opdage uautoriserede ændringer og bunkekorruption. Når der opdages en bunkekorruption, dræbes applikationen for at forhindre en vellykket gennemførelse af udnyttelsen.

Windows Vista-binære filer inkluderer iboende support til påvisning af stack-overflow. Når et stakoverløb i Windows Vista -binarier opdages, dræbes processen, så den ikke kan bruges til at fortsætte udnyttelsen. Også Windows Vista -binære filer placerer buffere højere i hukommelsen og ikke -buffere, som pointers og medfølgende parametre, i lavere hukommelsesområde. Så for rent faktisk at udnytte, er en buffer underrun nødvendig for at få adgang til disse steder. Bufferunderskridelser er imidlertid meget mindre almindelige end bufferoverskridelser.

Applikationsisolering

Windows Vista introducerer obligatorisk integritetskontrol for at indstille integritetsniveauer for processer. En proces med lav integritet kan ikke få adgang til ressourcerne i en proces med højere integritet. Denne funktion bruges til at håndhæve applikationsisolering, hvor applikationer i et medium integritetsniveau, f.eks. Alle applikationer, der kører i standardbrugerkonteksten, ikke kan koble sig til processer på systemniveau, der kører i højt integritetsniveau, f.eks. Applikationer i administratortilstand, men kan tilslutte til processer med lavere integritet som Windows Internet Explorer 7 eller 8 . En proces med lavere privilegier kan ikke udføre en vindueshåndteringsvalidering af højere procesprivilegier, kan ikke SendMessage eller PostMessage til applikationsvinduer med højere privilegier, kan ikke bruge trådkroge til at knytte til en proces med højere privilegier, kan ikke bruge Journal -kroge til at overvåge en proces med højere privilegier og kan ikke udføre DLL -injektion til en proces med højere privilegier.

Forebyggelse af dataudførelse

Windows Vista tilbyder fuld understøttelse af NX (No-Execute) -funktionen i moderne processorer. DEP blev introduceret i Windows XP Service Pack 2 og Windows Server 2003 Service Pack 1. Denne funktion, til stede som NX (EVP) i AMD 's AMD64 processorer og som XD (EDB) i Intel ' s processorer, kan afmærke visse dele af hukommelsen som indeholdende data i stedet for eksekverbar kode, hvilket forhindrer overløbsfejl i at resultere i vilkårlig kodeudførelse.

Hvis processoren understøtter NX-bit, håndhæver Windows Vista automatisk hardware-baseret dataudførelsesforebyggelse på alle processer for at markere nogle hukommelsessider som ikke-eksekverbare datasegmenter (f.eks. Bunken og stakken), og efterfølgende forhindres alle data i at blive fortolket og udført som kode. Dette forhindrer, at exploit -kode injiceres som data og derefter udføres.

Hvis DEP er aktiveret for alle applikationer , får brugerne yderligere modstand mod nul-dages udnyttelser . Men ikke alle applikationer er DEP-kompatible, og nogle vil generere DEP-undtagelser. Derfor håndhæves DEP ikke for alle applikationer som standard i 32-bit versioner af Windows og er kun tændt for kritiske systemkomponenter. Windows Vista introducerer imidlertid yderligere NX-politikkontroller, der gør det muligt for softwareudviklere at aktivere NX-hardwarebeskyttelse for deres kode, uafhængigt af systemdækkende kompatibilitetshåndhævelsesindstillinger. Udviklere kan markere deres applikationer som NX-kompatible, når de er bygget, hvilket gør det muligt at håndhæve beskyttelse, når programmet installeres og kører. Dette muliggør en højere procentdel af NX-beskyttet kode i softwareøkosystemet på 32-bit platforme, hvor standardpolitikken for systemkompatibilitet for NX er konfigureret til kun at beskytte operativsystemkomponenter. For x86-64-applikationer er bagudkompatibilitet ikke et problem, og derfor håndhæves DEP som standard for alle 64-bit programmer. Desuden bruges kun processor-håndhævet DEP i x86-64 versioner af Windows Vista for større sikkerhed.

Digital rettighedsstyring

Nye digitale rettighedsforvaltninger og indholdsbeskyttelsesfunktioner er blevet introduceret i Windows Vista for at hjælpe digitale indholdsudbydere og virksomheder med at beskytte deres data mod at blive kopieret.

PUMA: Protected User Mode Audio (PUMA) er den nye UMA -lydstabel i User Mode Audio. Formålet er at skabe et miljø for lydafspilning, der begrænser kopiering af ophavsretligt beskyttet lyd og begrænser de aktiverede lydudgange til dem, der er tilladt af udgiveren af det beskyttede indhold.
Protected Video Path - Output Protection Management (PVP -OPM) er en teknologi, der forhindrer kopiering af beskyttede digitale videostreams eller deres visning på videoenheder, der mangler tilsvarende kopibeskyttelse (typisk HDCP ). Microsoft hævder, at uden disse begrænsninger kan indholdsindustrien forhindre pc'er i at afspille ophavsretligt beskyttet indhold ved at nægte at udstede licensnøgler til den kryptering, der bruges af HD DVD, Blu-ray Disc eller andre kopibeskyttede systemer.
Beskyttet videosti-Bus-tilgængelig bus (PVP-UAB) ligner PVP-OPM, bortset fra at den anvender kryptering af beskyttet indhold over PCI Express- bussen.
Rights Management Services (RMS) support, en teknologi, der giver virksomheder mulighed for at anvende DRM-lignende begrænsninger på virksomhedsdokumenter, e-mails og intranet for at beskytte dem mod at blive kopieret, udskrevet eller endda åbnet af personer, der ikke er autoriseret til at gøre det.
Windows Vista introducerer en beskyttet proces , der adskiller sig fra sædvanlige processer i den forstand, at andre processer ikke kan manipulere tilstanden i en sådan proces, og der kan heller ikke introduceres tråde fra andre processer i den. En beskyttet proces har forbedret adgang til DRM-funktioner i Windows Vista. I øjeblikket er det imidlertid kun applikationer, der bruger Protected Video Path, der kan oprette beskyttede processer.

Inkluderingen af nye funktioner til digital rettighedsstyring har været en kilde til kritik af Windows Vista .

Windows Service Hærdning

Windows Service Hærdning opdeler tjenesterne således, at hvis en tjeneste kompromitteres, kan den ikke let angribe andre tjenester på systemet. Det forhindrer Windows -tjenester i at udføre operationer på filsystemer, registreringsdatabaser eller netværk, som de ikke skal, og reducerer derved den samlede angrebsoverflade på systemet og forhindrer adgang til malware ved at udnytte systemtjenester . Tjenester tildeles nu et sikkerhedsidentifikator (SID) pr. Service , som gør det muligt at kontrollere adgangen til tjenesten i henhold til den adgang, der er angivet af sikkerhedsidentifikatoren. Et SID pr. Service kan tildeles under serviceinstallationen via ChangeServiceConfig2 API eller ved hjælp af SC.EXEkommandoen med sidtype- verbet. Tjenester kan også bruge adgangskontrolister (ACL) til at forhindre ekstern adgang til ressourcer, der er private for sig selv.

Tjenester i Windows Vista kører også på en mindre privilegeret konto, f.eks. Lokal service eller netværkstjeneste , i stedet for systemkontoen . Tidligere versioner af Windows kørte systemtjenester i den samme login-session som den lokalt loggede bruger (session 0). I Windows Vista er Session 0 nu forbeholdt disse tjenester, og alle interaktive logins udføres i andre sessioner. Dette er beregnet til at hjælpe med at afbøde en klasse af bedrifter af Windows-beskedoverføringssystemet, kendt som Shatter-angreb . Processen, der er vært for en tjeneste, har kun de rettigheder, der er angivet i registreringsværdien RequiredPrivileges under HKLM \ System \ CurrentControlSet \ Services .

Tjenester har også brug for eksplicitte skrivetilladelser for at skrive til ressourcer pr. Service. Ved at bruge et skrivebegrænset adgangstoken får kun de ressourcer, der skal ændres af en tjeneste, skriveadgang, så forsøg på at ændre enhver anden ressource mislykkes. Services vil også have forudkonfigureret firewall-politik, som kun giver det så meget privilegium, som det er nødvendigt for, at det fungerer korrekt. Uafhængige softwareleverandører kan også bruge Windows Service Hærdning til at hærde deres egne tjenester. Windows Vista hærder også de navngivne rør, der bruges af RPC -servere for at forhindre andre processer i at kunne kapre dem.

Godkendelse og logon

Grafisk identifikation og godkendelse ( GINA ), der bruges til sikker godkendelse og interaktiv logon, er blevet erstattet af legitimationsudbydere . Kombineret med understøttende hardware kan Credential Providers udvide operativsystemet, så brugerne kan logge på via biometriske enheder (fingeraftryk, nethinden eller stemmegenkendelse), adgangskoder, PIN-koder og smartkortcertifikater eller enhver tilpasset godkendelsespakke og skema fra tredjepartsudviklere ønsker at skabe. Smartkortgodkendelse er fleksibel, da certifikatkravene lempes. Virksomheder kan udvikle, implementere og eventuelt håndhæve tilpassede godkendelsesmekanismer for alle domænebrugere. Legitimationsudbydere kan være designet til at understøtte Single Sign-on (SSO), der godkender brugere til et sikkert netværksadgangspunkt (udnytter RADIUS og andre teknologier) samt maskinlogon. Legitimationsudbydere er også designet til at understøtte applikationsspecifik legitimationsindsamling og kan bruges til godkendelse til netværksressourcer, tilslutning af maskiner til et domæne eller til at give administrators samtykke til brugerkontokontrol . Godkendelse understøttes også ved hjælp af IPv6 eller webtjenester . En ny sikkerhedstjenesteudbyder, CredSSP er tilgængelig via Security Support Provider Interface, der gør det muligt for et program at delegere brugerens legitimationsoplysninger fra klienten (ved hjælp af klientsiden SSP) til målserveren (via serversiden SSP). CredSSP bruges også af Terminal Services til at levere single sign-on .

Windows Vista kan godkende brugerkonti ved hjælp af Smart Cards eller en kombination af adgangskoder og Smart Cards ( tofaktorautentificering ). Windows Vista kan også bruge smartkort til at gemme EFS -nøgler. Dette sikrer, at krypterede filer kun er tilgængelige, så længe smartkortet er fysisk tilgængeligt. Hvis der bruges smartkort til logon, fungerer EFS i en enkelt logon- tilstand, hvor det bruger logon-smartkortet til filkryptering uden yderligere at spørge om PIN-koden.

Hurtig brugerskift, der var begrænset til arbejdsgruppecomputere på Windows XP, kan nu også aktiveres for computere, der er forbundet til et domæne, startende med Windows Vista. Windows Vista inkluderer også godkendelsessupport til de skrivebeskyttede domænecontrollere, der blev introduceret i Windows Server 2008 .

Kryptografi

Windows Vista har en opdatering af krypto -API'en kendt som Cryptography API: Next Generation (CNG). Den CNG API er en bruger-mode og kernel-mode API, der omfatter støtte til elliptisk kurve kryptografi (ECC) og en række nyere algoritmer, der er en del af National Security Agency (NSA) Suite B . Det kan udvides og understøtter tilslutning af brugerdefinerede kryptografiske API'er til CNG -runtime. Det integreres også med smartkort -undersystemet ved at inkludere et Base CSP -modul, der implementerer alle de standard backend -kryptografiske funktioner, som udviklere og smartkortproducenter har brug for, så de ikke behøver at skrive komplekse CSP'er . Microsoft- certifikatmyndigheden kan udstede ECC-certifikater, og certifikatklienten kan tilmelde og validere ECC- og SHA-2-baserede certifikater.

Tilbagekaldelsesforbedringer omfatter indbygget support til Online Certificate Status Protocol (OCSP), der giver validitetskontrol i realtid, forudindlæsning af CRL og CAPI2 Diagnostics. Certifikatindskrivning er guide-baseret, giver brugerne mulighed for at indtaste data under tilmelding og giver klare oplysninger om mislykkede tilmeldinger og udløbne certifikater. CertEnroll, en ny COM-baseret tilmeldings-API, erstatter XEnroll- biblioteket for fleksibel programmerbarhed. Legitimationsroamingfunktioner replikerer Active Directory -nøglepar, certifikater og legitimationsoplysninger, der er gemt i lagrede brugernavne og adgangskoder i netværket.

Fjernelse af metadata

Funktionen Fjern egenskaber og personlige oplysninger giver brugerne mulighed for at fjerne metadata fra filer, før de deler dem for at beskytte deres privatliv . Det understøtter et lille antal filformater og fjernelse af et begrænset antal egenskaber. Det er dog muligt for softwareudvikler at udvikle udvidelse til denne funktion, så den understøtter yderligere filformater og egenskaber. Det er blevet kritiseret for sin meget begrænsede understøttelse af filformater og metadataelementer og for at have en vildledende brugergrænseflade.

Netværksadgangsbeskyttelse

Windows Vista introducerer Network Access Protection (NAP), som sikrer, at computere, der opretter forbindelse til eller kommunikerer med et netværk, overholder et påkrævet systemtilstand som angivet af administratoren af et netværk. Afhængigt af den politik, der er angivet af administratoren, vil computere, der ikke opfylder kravene, enten blive advaret og givet adgang, tilladt adgang til begrænsede netværksressourcer eller nægtet adgang fuldstændigt. NAP kan også valgfrit levere softwareopdateringer til en ikke-kompatibel computer for at opgradere sig selv til det niveau, der kræves for at få adgang til netværket, ved hjælp af en Remediation Server . En klient, der er i overensstemmelse, får et sundhedscertifikat , som det derefter bruger til at få adgang til beskyttede ressourcer på netværket.

En netværkspolitisk server , der kører Windows Server 2008, fungerer som sundhedspolitisk server, og klienter skal bruge Windows XP SP3 eller nyere. En VPN -server, RADIUS -server eller DHCP -server kan også fungere som sundhedspolitisk server.

Andre netværksrelaterede sikkerhedsfunktioner

Grænsefladerne til TCP/IP -sikkerhed (filtrering til lokal værtstrafik), firewallkrogen, filterkrogen og opbevaring af pakkefilteroplysninger er blevet erstattet med en ny ramme, kendt som Windows Filtering Platform (WFP). WFP giver filtreringsevne på alle lag af TCP/IP -protokolstakken. WFP er integreret i stakken og er lettere for udviklere at bygge drivere, tjenester og applikationer, der skal filtrere, analysere eller ændre TCP/IP -trafik.
For at give bedre sikkerhed ved overførsel af data over et netværk giver Windows Vista forbedringer til de kryptografiske algoritmer, der bruges til at skjule data. Understøttelse af 256-bit og 384-bit elliptisk kurve Diffie-Hellman (DH) algoritmer samt 128-bit, 192-bit og 256-bit Advanced Encryption Standard (AES) er inkluderet i selve netværksstakken og i Kerberos -protokol og GSS -beskeder . Direkte support til SSL- og TLS -forbindelser i den nye Winsock API giver socketapplikationer mulighed for direkte at kontrollere deres trafiks sikkerhed over et netværk (f.eks. At levere sikkerhedspolitik og krav til trafik, forespørge om sikkerhedsindstillinger) frem for at skulle tilføje ekstra kode for at understøtte et sikkert forbindelse. Computere, der kører Windows Vista, kan være en del af logisk isolerede netværk inden for et Active Directory -domæne. Kun de computere, der er i den samme logiske netværkspartition, vil have adgang til ressourcerne i domænet. Selvom andre systemer kan være fysisk på det samme netværk, medmindre de er i den samme logiske partition, kan de ikke få adgang til partitionerede ressourcer. Et system kan være en del af flere netværkspartitioner. Schannel SSP indeholder nye chiffer suiter, der understøtter Elliptic curve cryptography , så ECC cipher suites kan forhandles som en del af standard TLS håndtrykket. Schannel -grænsefladen kan plugges, så avancerede kombinationer af chiffer -suiter kan erstatte et højere funktionalitetsniveau.
IPsec er nu fuldt integreret med Windows Firewall og tilbyder forenklet konfiguration og forbedret godkendelse. IPsec understøtter IPv6, herunder understøttelse af internetnøgleudveksling (IKE), AuthIP og datakryptering, klient-til- DC- beskyttelse, integration med netværksadgangsbeskyttelse og understøttelse af netværksdiagnostik. For at øge sikkerheden og anvendeligheden af IPsec VPN'er inkluderer Windows Vista AuthIP, som udvider IKEs kryptografiske protokol til at tilføje funktioner som godkendelse med flere legitimationsoplysninger, alternativ metodeforhandling og asymmetrisk godkendelse.
Sikkerheden for trådløse netværk forbedres med bedre understøttelse af nyere trådløse standarder som 802.11i ( WPA2 ). EAP Transport Layer Security (EAP-TLS) er standardgodkendelsestilstand. Forbindelser foretages på det mest sikre forbindelsesniveau, der understøttes af det trådløse adgangspunkt. WPA2 kan bruges selv i ad hoc -tilstand. Windows Vista øger sikkerheden, når du tilslutter et domæne via et trådløst netværk. Det kan bruge Single Sign On til at bruge de samme legitimationsoplysninger til at slutte sig til et trådløst netværk såvel som domænet i netværket. I dette tilfælde bruges den samme RADIUS- server til både PEAP- godkendelse til tilslutning til netværket og MS-CHAP v2- godkendelse til at logge ind på domænet. En trådløs bootstrap -profil kan også oprettes på den trådløse klient, som først godkender computeren til det trådløse netværk og slutter sig til netværket. På dette tidspunkt har maskinen stadig ikke adgang til domæneressourcerne. Maskinen kører et script, der enten er gemt på systemet eller på et USB -drev, som godkender det til domænet. Godkendelse kan udføres, enten ved at bruge brugernavn og adgangskodekombination eller sikkerhedscertifikater fra en leverandør af en offentlig nøgleinfrastruktur (PKI), f.eks. VeriSign .
Windows Vista indeholder også en EAPHost -ramme ( Extensible Authentication Protocol Host), der giver mulighed for udvidelse af godkendelsesmetoder til almindeligt anvendte beskyttede netværksadgangsteknologier, f.eks. 802.1X og PPP. Det gør det muligt for netværksleverandører at udvikle og nemt installere nye godkendelsesmetoder, kendt som EAP -metoder.
Windows Vista understøtter brug af PEAP med PPTP . De understøttede godkendelsesmekanismer er PEAPv0/EAP-MSCHAPv2 (adgangskoder) og PEAP-TLS (smartkort og certifikater).
Windows Vista Service Pack 1 indeholder Secure Socket Tunneling Protocol , en ny Microsoft- proprietær VPN- protokol, der giver en mekanisme til at transportere Point-to-Point Protocol (PPP) trafik (inklusive IPv6- trafik) gennem en SSL- kanal.

x86-64-specifikke funktioner

64-bit versioner af Windows Vista håndhæver hardware-baseret dataudførelsesforebyggelse (DEP), uden softwaremulering. Dette sikrer, at den mindre effektive softwarestyrede DEP (som kun er sikker undtagelseshåndtering og ikke er relateret til NX-bit) ikke bruges. Desuden håndhæves DEP som standard for alle 64-bit applikationer og tjenester på x86-64 versioner og de 32-bit applikationer, der tilmelder sig. I modsætning hertil er softwarestyret DEP i 32-bit versioner en tilgængelig mulighed og er som standard kun aktiveret for væsentlige systemkomponenter.
En opgraderet Kernel Patch Protection , også kaldet PatchGuard , forhindrer tredjepartssoftware, herunder kernel-mode drivere, i at ændre kernen eller en hvilken som helst datastruktur, der bruges af kernen, på nogen måde; hvis der registreres en ændring, lukkes systemet. Dette formindsker en almindelig taktik, der bruges af rootkits til at skjule sig selv fra applikationer i brugertilstand. PatchGuard blev først introduceret i x64 -udgaven af Windows Server 2003 Service Pack 1 og blev inkluderet i Windows XP Professional x64 -udgaven.
Kernel-mode drivere på 64-bit versioner af Windows Vista skal være digitalt signeret; selv administratorer vil ikke være i stand til at installere usignerede kernel-mode drivere. Der er mulighed for en opstartstid for at deaktivere denne check for en enkelt session i Windows. 64-bit bruger-mode drivere skal ikke være digitalt signerede.
Kode Integritet check-summer signeret kode. Inden systembinarier indlæses, verificeres det mod check-summen for at sikre, at det ikke er ændret. Binærerne verificeres ved at slå deres signaturer op i systemkatalogerne. Windows Vista-boot loader kontrollerer kernens integritet, Hardware Abstraction Layer (HAL) og boot-start-driverne. Bortset fra kernehukommelsesrummet verificerer Code Integrity binære filer indlæst i en beskyttet proces og systeminstallerede dynamiske biblioteker, der implementerer kernekryptografiske funktioner.

Andre funktioner og ændringer

Der er foretaget en række specifikke ændringer i sikkerhed og pålidelighed:

Stærkere kryptering bruges til lagring af LSA -hemmeligheder (cachelagrede domæneregistreringer, adgangskoder, EFS -krypteringsnøgler, lokal sikkerhedspolitik, revision osv.)
Understøttelse af IEEE 1667 -godkendelsesstandarden for USB -flashdrev med en hotfix til Windows Vista Service Pack 2.
Kerberos SSP er blevet opdateret for at understøtte AES -kryptering. SChannel SSP har også stærkere AES -kryptering og ECC -understøttelse.
Softwarebegrænsningspolitikker, der blev indført i Windows XP, er blevet forbedret i Windows Vista. Det grundlæggende brugersikkerhedsniveau udsættes som standard i stedet for at blive skjult. Standard hash regel algoritme er blevet opgraderet fra MD5 til stærkere SHA256 . Certifikatregler kan nu aktiveres via dialogboksen Håndhævelsesegenskab inden for snap-in-udvidelsen til softwarebegrænsningspolitikker.
For at forhindre utilsigtet sletning af Windows tillader Vista ikke formatering af opstartspartitionen, når den er aktiv (højreklik på C: -drevet og vælg "Format" eller indtast "Format C:" (uden citater) i kommandoen Spørgsmål vil give en meddelelse om, at formatering af denne volumen ikke er tilladt). For at formatere hovedharddisken (drevet, der indeholder Windows), skal brugeren starte computeren fra en Windows -installationsdisk eller vælge menupunktet "Reparer din computer" fra de avancerede systemgendannelsesindstillinger ved at trykke på F8, når computeren tændes.
Yderligere EFS -indstillinger tillader konfiguration, når krypteringspolitikker opdateres, om filer, der flyttes til krypterede mapper, er krypterede, Offline Files cache -filer kryptering, og om krypterede elementer kan indekseres af Windows Search .
Funktionen Lagrede brugernavne og adgangskoder (Credentials Manager) indeholder en ny guide til at sikkerhedskopiere brugernavne og adgangskoder til en fil og gendanne dem på systemer, der kører Windows Vista eller nyere operativsystemer.
En ny politikindstilling i Gruppepolitik muliggør visning af dato og klokkeslæt for den sidste vellykkede interaktive logon og antallet af mislykkede logonforsøg siden den sidste vellykkede logon med det samme brugernavn. Dette vil gøre det muligt for en bruger at afgøre, om kontoen blev brugt uden hans eller hendes viden. Politikken kan aktiveres for lokale brugere såvel som computere, der er forbundet til et domæne på funktionsniveau.
Windows Ressourcebeskyttelse forhindrer potentielt skadelige systemkonfigurationsændringer ved at forhindre ændringer i systemfiler og indstillinger ved enhver anden proces end Windows Installer . Også ændringer af registreringsdatabasen af uautoriseret software blokeres.
Beskyttet tilstand Internet Explorer: Internet Explorer 7 og senere introducerer flere sikkerhedsændringer som f.eks. Phishing-filter, ActiveX- opt-in, beskyttelse af URL-behandling, beskyttelse mod script-angreb på tværs af domæner og forfalskning af statuslinjer. De kører som en proces med lav integritet i Windows Vista, kan kun skrive til mappen Midlertidige internetfiler og kan ikke få skriveadgang til filer og registreringsnøgler i en brugers profil, hvilket beskytter brugeren mod ondsindet indhold og sikkerhedssårbarheder, selv i ActiveX -kontroller . Internet Explorer 7 og senere bruger også den mere sikre Data Protection API ( DPAPI ) til at gemme deres legitimationsoplysninger, f.eks. Adgangskoder i stedet for den mindre sikre Protected Storage (PStore) .
Network Location Awareness -integration med Windows Firewall. Alle nyligt tilsluttede netværk får som standard "Offentlig placering", der låser lytteporte og -tjenester. Hvis et netværk er markeret som betroet, husker Windows denne indstilling for fremtidige forbindelser til dette netværk.
User-Mode Driver Framework forhindrer drivere i at få direkte adgang til kernen, men får i stedet adgang til den via en dedikeret API. Denne nye funktion er vigtig, fordi et flertal af systemnedbrud kan spores til forkert installerede tredjeparts enhedsdrivere.
Windows Security Center er blevet opgraderet til at registrere og rapportere tilstedeværelsen af anti- malware- software samt overvåge og gendanne flere Internet Explorer-sikkerhedsindstillinger og brugerkontokontrol. For antivirussoftware, der kan integreres med Security Center , præsenterer den løsningen for at løse eventuelle problemer i sin egen brugergrænseflade. Der er også tilføjet nogle Windows API -opkald for at lade applikationer hente den samlede sundhedsstatus fra Windows Security Center og modtage meddelelser, når tilstanden ændres.
Beskyttet lagring (PStore) er blevet forældet og derfor gjort skrivebeskyttet i Windows Vista. Microsoft anbefaler at bruge DPAPI til at tilføje nye PStore -dataelementer eller administrere eksisterende. Internet Explorer 7 og senere bruger også DPAPI i stedet for PStore til at gemme deres legitimationsoplysninger.
Den indbyggede administratorkonto er som standard deaktiveret ved en ren installation af Windows Vista. Det kan ikke tilgås også fra fejlsikret tilstand, så længe der er mindst en ekstra lokal administratorkonto.

Languages

In other projects