Varnost v platformi Vista

1. Varnost v platformi Vista Matjaz Ladava, MCT, CISSP Senior Consultant Microsoft Corporation matjaz.ladava@microsoft.com A computer lets you make more mistakes faster than any invention in human history - with the possible exceptions of handguns and tequila.

2. Agenda • Zaščita podatkov • Zaščita pred napadi • Varnostni mehanizmi za podjetja • Povzetek Want to make your computer go really fast? Throw it out a window.

3. Varnost v platformi Vista • Evolucija varnosti • Reševanje problemov od včeraj • Poskus preprečevanja napadov v prihodnosti • Varnost skozi razvoj • Centralno upravljanje in nadzor • Razumevanje varnostnih mehanizmov v novi platformi… • …in kako jih izkoristiti If builders built houses the way programmers built programs, the first woodpecker to come along would destroy civilization.

4. Zagon sistema Varen zagon(BitLock) Integracija z TPM in BIOS Zagotavlja zaupanje za CI, LUA Polna enkripcija diska Integriteta sistema (CI) Preveri integriteto binarnih datotek v času prenosa v spomin Pokriva x64 jedro Podpora katalogu in vgrajenim digitalnim podpisom Unix gives you just enough rope to hang yourself -- and then a couple of more feet, just to be sure.

5. Integriteta sistema: Zaščita datotek sistema • Preveri integriteto vsake binarne datoteke • Implementiran kot filter v datotečnem sistemu • Preveri “hash” vsake naložene strani • Preveri vsako datoteko, ki se naloži v zaščiten proces • “Hash” je hranjen v sistemskem katalogu ali v X.509 digitalnem potrdilu v sami datoteki • Preveri integriteto zagonskega procesa • Preveri jedro, HAL in zagonske gonilnike • Če preverjanje ne uspe, se gonilnik ne naloži The trouble with doing something right the first time is that nobody appreciates how difficult it was.

6. Izboljšava avtentikacije • Nova prijavna arhitektura • GINA je preteklost (sedanji Windows prijavni modul). • Drugi lahko dodajo biometrične, OTP ali druge avtentikacijske mehanizme v sistem. • Lažja implementacija pametnih kartic • Gonilniki in Certificate Service Provider (CSP) vključena v sistem ali dodana v WU • Vsa prijavna okna za UAC podpirajo pametne kartice If you don't double-click me, I can't do anything.

7. Kontrola USB napravZaščita podatkov • Nadzor nameščanja USB naprav • Nadzor nad vrsto USB naprav • Centralno upravljanje preko skupinskih politik Getting information off the Internet is like taking a drink from a fire hydrant.

8. Windows BitlockerZaščita podatkov • Kraja in izguba računalnikov • Šifriranje particij • Varen zagon • Centralizirana obnova Why shouldn't a PC work like a refrigerator or a toaster?

9. User Account ControlZaščita pred napadi • Zmanjševanje privzetih pravic • Fleksibilnost navadnega uporabnika • Zaščita sistemov brez popravkov • Čim manj intervencij uporabnikov • Je vmesna pot do odprave lokalnih skrbnikov • Bolje biti navaden uporabnik brez… • Prilagajanje programske opreme If you can't beat your computer at chess, try kickboxing.

10. Kontrola integritete procesov • Omejitve trenutnih varnostnih mehanizmov • Preveč moči imajo lokalni skrbniki • Uporabnike lahko prepričamo da poženejo aplikacijo • MIC naredi LUA močno • Znanstveni model iz 70-ih let (Biba) • Preprosto pravilo • Objekti z nižjo integriteto ne morejo spreminjati objektov z višjo prioriteto • Objekti z višjo integriteto se ne morejo zanesti na objekte z nižjo prioriteto Hardware: the parts of a computer that can be kicked.

11. Kontrola integritete procesov • Kako deluje ? • Ob prijavi dobi uporabnik nivo integritete • Vista pozna štiri: nizko, srenje, visoki in sistemsko • Vsi objekti imajo svojo integriteto • Ko se preverjajo pravice se predhodno preveri integriteta • Privzeti uporabnik ima srednjo, IE uporabnik nizko, sistem sistemsko If debugging is the process of removing bugs, then programming must be the process of putting them in.

12. IE z nizkimi privilegiji • Uporabljeno, ko v internet zoni • Manj privilegijev kot LUA uporabnik • Lahko zapisuje samo v omejene dele sistema • Ne more manipulirati z procesi na nivojih višje integritete • Občutljiva opravila opravlja poseben proces • Nameščanje ActiveX kontrol • Spreminjanje internet nastavitev • Se ga ne da programsko upravljati • Uporablja kontrolo integritete in izolacijo UI

13. Windows defender • Zaščita pred zlonamernimi programi • Pripraven za odkrivanje, kaj se dogaja na sistemu • Del večje slike zaščite pred zlonamernimi programi If a trainstation is where the train stops, what's a workstation...?

14. Zaščita storitev • Zakaj so storitve nevarne ? • Zaščita storitev: Najnižji privilegiji • Zaščita storitev: Izolacija storitev • Zaščita storitev: Omejitev dostopa do omrežja • Zaščita storitev: Ogrodje za razvijalce An expert is a person who has made all the mistakes that can be made in a very narrow field.

15. Požarna pregrada Filtriranje izhodnega prometa Filtriranje glede na varnostne principale Boljše upravljanje Integracija z IPSec Trije profili Domenski Privazni Javni There is no reason for any individual to have a computer in his home.

16. NAP Brez zaupanja Zaupanje Avtentikacija opcijska Izolacija in zaupanje Nov PC Strežnik kontrole zdravlja Zahtevana avtentikacija Infrastrukturni strežniki X Požarne pregrade Na klientih Prehodi za dostop Naprave brez zaupanja Never trust a computer you can't throw out a window.

17. NAP The computer is a moron. 17

18. Kaj je NAP in kaj omogoča • Preverjanje politik • Preveri, ali so računalniki skladni z varnostni politiko podjetja. Zdravi računalniki, ki so skladni s politiko. • Omejevanje omrežja • Omejevanje dostopa do omrežja glede na zdravje računalnikov. • Remediacija • Zagotavljanje potrebnih popravkov, ki omogočajo računalnikom, da postanejo “zdravi”. Ko je to doseženo, se omejitve odpravijo. • Skladnost z politiko • Dinamično spreminjanje varnostne politike podjetja povzroči dinamično spreminjanje zdravja klientov. There is only one satisfying way to boot a computer.

19. Varna objava aplikacij • Zaščita oddaljenih programov z varno objavo • Zmanjšuje potrebo po VPN • Več-faktorska avtentikacija • Enak princip kot pri RPC/HTTP This problem, too, will look simple after it is solved.

20. Povzetek • Velik izbor varnostnih mehanizmov • Vsak se bo odločil katere uporabiti • Razumevanje varnostnik tehnologij je pomembno za razumevanje viste • Izkušnje uporabnikov ko niso lokalni skrbniki People in the computer industry use the term 'user,' which to them means 'idiot.'.

21. Q & A Asking if computers can think is like asking if submarines can swim.