ČLÁNEK

Windows Vista jsou na trhu již šest měsíců a nabízí se tak velmi zajímavá možnost bilancování nad tím, zdali tento systém splnil obecná očekávání, či nikoli. Pokud vynecháme jiné oblasti a budeme se držet tématu (tedy bezpečnosti), může být tento systém na sebe náležitě hrdý. Podíváme-li na podrobné statistiky nalezených chyb (např. Secunia - http://secunia.com), přidáme dobu odezvy, za jakou je Microsoft schopen tyto chyby odstraňovat a porovnáme-li toto vše s jinými systémy na trhu (např. WindowsXP, Redhat, Ubuntu, Mac OS) rychle zjistíme, že Vista je na špici a můžeme ji dnes klidně označit za klientský nejbezpečnější systém. Co ale Vistám k tomuto výsledku pomohlo? Jistě to jsou právě mnohé bezpečnostní novinky, o kterých budou následující řádky.

Jednou z nejvíce viditelných a kontroverzních změn je UAC – česky „řízení uživatelských účtů“. Je to důsledek změny, která se v systému odehrála pod jeho povrchem. Microsoft se od prvních verzí Vista snažil maximálně o to, aby od sebe oddělil ty části systému, které jsou životně důležité, od částí, které obsahují uživatelská nastavení. Právě to, že v minulých verzích systému Windows toto nebylo dodržováno, způsobovalo mnohé bezpečnostní průniky. Nakonec se ale podařilo a díky tomu máme tyto části od sebe striktně odděleny – systém / uživatel. Na disku, v registrech, ale i v nastavení procesů a aplikací. V praxi to znamená, že každý spuštěný program běží pouze pod právy běžného uživatele. Pokud chce program zasáhnout do chráněné části systému, musí zažádat o elevaci uživatelských práv. Pokud jsem přihlášen jako administrátor, stačí tento dialog jen potvrdit. Pokud ale jen jako normální uživatel, musím se autentizovat právy někoho, kdo má administrátorská oprávnění. Spolu s touto změnou přišly i další změny. Dnes je jasné, že není dobré, aby uživatelé pracovali na svých stanicích pod právy administrátorů, takže se změnila i systémová práva - uživatel už nemusí být administrátor na to, aby mohl provádět některé změny (např. nastavení napájení, VPN, instalace vybraných ovladačů, změna časového pásma, atd.). To zvyšuje pravděpodobnost, že uživatelé nebudou na svých Windows přihlášeni pod těmito vysokými právy a spolu s UAC tak výrazně sníží pravděpodobnost napadení systému škodlivým kódem (virus, spyware, atd.).

BitLocker™ je systém ochrany dat, uložených na disku. Primárně je určen k ochraně diskového oddílu, na kterém se nacházejí Windows Vista. Tak, aby nebylo možné při ztrátě, či odcizení (např. notebooku), nastartovat do jiného operačního systému a z disku tak zcizit nejen citlivá data, ale hlavně prolomit další uživatelská hesla a získat tím mnohem širší a efektivnější možnosti útoku na takto „prolomený“ systém. Podotýkám, že BitLocker™ používá šifrování pomocí AES 128bit, což je velmi silná ochrana. Jakmile ale začneme hovořit o šifrování, musíme mít nějaké bezpečné úložiště pro ochranu klíčů, kterými budeme šifrovat. Toho je dosaženo pomocí bezpečnostního modulu na základní desce – „Trusted Platform Module”, verze 1.2. Tento bezpečnostní modul vytváří, ukládá a spravuje nezbytné klíče (obdobně jako SmartCard). Pokud ale myslíte, že když nemáte TPM, že nemůžete BitLocker™ použít – jste na omylu. Vista vám umožňují uložení těchto klíčů na externí medium (USB klíč). A nejen to. Ve firemních sítích správci jistě ocení možnost rozšíření schématu Active Directory a ukládání klíčů přímo tam! BitLocker™ je rozhodně krok správným směrem, ale je potřeba mít stále na mysli, že chrání systém pouze před neoprávněným a prolomením a zcizením dat ze systémového oddílu. Jakmile tedy jednou Visty už běží – byly nastartovány, musíte se chránit proti dalším útokům zcela stejně, jako na jiném systém bez BitLocker™.

Dalším velmi zajímavým prvkem, hlavně ve firemní sféře, je nový Vista firewall. Kromě změn oproti WindowsXP (např. kontroluje komunikaci všemi směry, všechny protokoly, atd.) je zde zásadní posun pro navýšení bezpečnosti komunikace jako takové. Nejedná se již „jen“ o firewall, ale o centrální řešení bezpečné komunikace celého systému. Spojuje se nám tak dohromady několik komponent, které byly dodnes od sebe oddělené. Ve chvíli, kdy začneme povolovat nějaký komunikační kanál (např. protokol, nebo port), máme možnost ovlivnit i to, že tento kanál bude otevřen jen pro ověřená spojení (např. doménovým řadičem). K tomu všemu si na takto vytvořeném spojení mohu vynutit i šifrování (IPSec)! To dává administrátorům do ruky nástroj, jak v sítích vytvářet různé izolace komunikace mezi ověřenými a anonymními přístupy.

Na předchozí téma bych mohl rovnou navázat a pokračovat – opět se jedná o řešení bezpečné komunikace, ale tentokrát ještě více do hloubky. Pomocí DHPC, VPN, nebo 802.1X síťových prvků (switch, WiFi router) máme možnost ověřovat, zdali Vista klienti splňují námi definované podmínky (např. instalace konkrétní opravy, nebo přítomnost a běh antivirového programu). Pokud ano, je těmto klientům umožněn přístup do LAN sítě. Pokud ne, jsou odmítnuti. NAP klient se vyskytuje zatím pouze ve Windows Vista a bude uvolněn také pro WindowsXP (v rámci SP3). Nicméně ta nejdůležitější komponenta bude uvolněna až na konci letošního roku – jedná se o Windows Server 2008. Jedná se tedy o velmi zajímavý příslib do budoucna a zatím nezbývá, než se těšit a případně testovat dostupné beta verze.

Bezpečnostních novinek je ve Windows Vista ještě mnoho, zmíním tedy alespoň krátce ty nejzajímavější. Pomocí „Group Policy“ je nyní možné ovlivňovat instalaci externích zařízení (např. USB disků) a zabránit tak např. zcizení firemních dat. Vista obsahují také nejnovější prohlížeč internetových stránek - Internet Explorer 7, nebo velmi kvalitní nástroj boje proti spyware – Windows Defender.

Není možné na tak krátkém prostoru popsat všechny bezpečnostní novinky Windows Vista, ale i tak jsem se snažil o přehledné popsání alespoň těch nejdůležitějších.