Відео: Смешные ошибки Windows #25|Windows Me, Windows 10, Windows Whistler, Windows Millenium и Windows 8.1 (Вересень 2024)
Безпека зайняла місце на засіданні Microsoft Windows 10 в середу, але це не означає, що Редмонд не робив жодних налаштувань безпеки.
У Windows 10 "дуже довгий список розширених функцій безпеки, розроблених у цій новій кодовій базі, а також величезна кількість нової атакової поверхні, представленої на цій новій платформі", написав у своєму блозі старший науковий співробітник лабораторії Касперського Курт Баумгартнер.
Проект "Спартан" - нові головні болі в браузері?
Однією з найбільших змін є веб-браузер, оскільки більшість користувачів не побачать Internet Explorer в Windows 10. Новий браузер, який зараз працює Project Spartan, є відривом від Internet Explorer, оскільки він постачається з абсолютно новим механізмом візуалізації . Однак Microsoft розуміє зворотну сумісність, і заявив, що Project Spartan зможе завантажити движок IE11, якщо користувач намагається отримати доступ до існуючих корпоративних веб-сайтів, спеціально розроблених для Internet Explorer.
Як повідомляє Microsoft, двигун проекту Spartan повинен мати сувору безпеку транспорту HTTP (HSTS). HSTS - заголовок HTTP, який повідомляє браузеру завжди запитувати даний домен через SSL. Це допоможе зменшити напад атаки. Корпорація Майкрософт не розкривала інших функцій безпеки, практик розробки або пісочниці для Project Spartan.
Тим не менше, враховуючи, що лише у 2014 році було зафіксовано понад 200 вразливих версій у різних версіях IE, відмова від кодової бази та перехід на мінімалістичне оновлення Project Spartan здається гарною ідеєю. "Простіше кажучи, веб-браузер IE був забитий у 2014 році на всіх платформах Windows, включаючи їх останню", - сказав Баумгартнер.
Однак, що не сказати, проект Spartan з великою кількістю нового коду для комунікацій та обміну даними не буде просто слідувати історії Microsoft про необхідність виправляти сотні вразливостей щороку? "Сподіваємось, їх команда не принесе цей багаж із собою, але навантаження виглядає досить великим завдяки новій функціональності", - сказав він.
Сумісність з двигуном IE також може створювати деякі проблеми. "Більше функцій + підтримка між платформами + зворотна сумісність = набагато більша база коду (мільйони рядків коду", - сказав Франклін Джонс, віце-президент з маркетингу Spikes Security. Набагато більша база коду означає, що потенційно може бути набагато більше вразливостей і набагато більша поверхня для атаки кіберзлочинців, він сказав.
Автентифікація та довіра
Microsoft буде блокувати ненадійні програми від встановлення в системі. Надійність буде підтверджено цифровим підписом програми. Хоча ця модель надійного підпису є вдосконаленням, Баумгартнер заявив, що спосіб Windows 10 поводиться з цим "не ідеально". Минулі атаки в кібер-шпигунстві показали, що цифрові сертифікати легко викрадаються та повторно використовуються в атаках. Актори діляться сертифікатами по групах і порушують модель довіри, сказав він.
У Windows 10 буде вбудований захист ідентичності та контроль доступу, щоб протистояти фішинг-атакам, двофакторна аутентифікація, що вимагає від користувачів використання PIN-коду або біометричного даних, та інструмент запобігання втратам даних для автоматичного шифрування корпоративних даних, збережених у заздалегідь визначених місцях, Microsoft сказано раніше.
Нова операційна система може забезпечити безперебійну інтеграцію служб обміну даними між обчислювальними ресурсами, а це означає, що аутентифікація та їх основні облікові дані та маркери не можуть просочуватися через сервіси, програми та пристрої, зазначив Баумгартнер. Але не ясно, що в Windows 10 є захист для захисту від методів передачі хешу, атак на Active Directory з використанням "ключів скелета" або атак на Hyper-V та моделі контейнерів для доступу та зловживань жетонами. Дослідники з питань безпеки повинні зосередитись на тому, як Microsoft впроваджувала надання облікових даних та керування доступом до токенів.
"Впровадження DLP для безпечного обміну корпоративними даними також підбадьорює, але наскільки вона може бути сильною для мобільного обладнання з обмеженою енергією?" - запитав Баумгартнер.
