Видео: Dame Tu cosita ñ (Септември 2024)
Сигурността седна на задно място по време на събитието на Microsoft Windows 10 в сряда, но това не означава, че Редмънд не е направил никакви промени в сигурността.
Windows 10 има "много дълъг списък от функции за подобрена защита, разработени в тази нова кодова база, заедно с огромно количество нова атакуваща повърхност, въведена с тази нова платформа", пише в публикация в блог Kurt Baumgartner, старши изследовател в лабораторията на Kaspersky.
Проект Спартан - Нови главоболия на браузъра?
Една от най-големите промени е в уеб браузъра, тъй като повечето потребители няма да виждат Internet Explorer в Windows 10. Новият браузър, който в момента върви Project Spartan, е почивка от Internet Explorer, тъй като идва с чисто нов двигател за визуализация, Въпреки това, Microsoft разбира съвместимост с обратна връзка и каза, че Project Spartan ще може да зареди IE11 двигателя, ако потребителят се опитва да получи достъп до съществуващи корпоративни уеб сайтове, специално създадени за Internet Explorer.
Предполага се, че двигателят на Project Spartan разполага с HTTP Strict Transport Security (HSTS), според Microsoft. HSTS е HTTP заглавие, което информира браузъра винаги да изисква даден домейн през SSL. Това ще помогне да се намали атаката на човек в средата. Microsoft не е разкрила други функции за сигурност, практики за разработка или пясъчни кутии за Project Spartan.
Дори и така, като се има предвид, че има над 200 уязвимости, закърпени само в различни версии на IE само през 2014 г., изоставянето на кодовата база и преминаването към минималистично обновяване с Project Spartan изглежда като добра идея. „Най-просто казано, уеб браузърът IE беше забит през 2014 г. във всички Windows платформи, включително и най-новата им“, каза Баумгартнер.
Въпреки това, какво да не кажа Project Spartan, с големи количества нов код за комуникации и споделяне на данни, няма ли просто да следва историята на Microsoft, че трябва да кръпка стотици уязвимости годишно? „Дано екипът им да не носи този багаж със себе си, но товарът изглежда доста тежък с новата функционалност“, каза той.
Обратната съвместимост с IE двигателя също може да създаде някои проблеми. "Повече функции + поддръжка на платформа + съвместимост назад = много по-голяма база от кодове (милиони редове код", каза Франклин Джоунс, заместник-председател на маркетинга в Spikes Security. Много по-голяма база от кодове означава, че потенциално би имало много повече уязвимости и много по-голяма повърхност за атака, която кибер престъпниците да експлоатират, каза той.
Удостоверяване и доверие
Microsoft ще блокира ненадеждните приложения да се инсталират в системата. Надеждността ще бъде потвърдена с цифровия подпис на приложението. Въпреки че този надежден модел за подписване е подобрение, Баумгартнер заяви, че начинът, по който Windows 10 ще се справи с него, „не е перфектен“. Миналите атаки за кибер шпионаж показаха, че цифровите сертификати лесно се открадват и използват повторно при атаки. Актьорите споделят сертификатите на групи и разбиват модела на доверие, каза той.
Windows 10 ще има вградена защита на идентичността и контрол на достъпа, за да издържа на фишинг атаки, двуфакторно удостоверяване, изискващо потребителите да използват ПИН или биометричен, и инструмент за предотвратяване на загуба на данни за автоматично криптиране на корпоративни данни, записани на предварително определени места, Microsoft каза по-рано.
Новата операционна система може да се похвали с безпроблемна интеграция на услугите за споделяне на данни в изчислителни ресурси, което означава, че автентификацията и техните основни идентификационни данни и маркери не могат да бъдат изтекли в услуги, приложения и устройства, отбеляза Baumgartner. Но не е ясно Windows 10 има защити за защита срещу техники за предаване на хеш, атаки срещу Active Directory с помощта на „скелетни ключове“ или атаки срещу Hyper-V и модела на контейнери за достъп и злоупотреба с маркери. Изследователите по сигурността трябва да се съсредоточат върху това как Microsoft внедрява предоставяне на идентификационни данни и управление на маркери за достъп, каза той.
"Внедряването на DLP за сигурно споделяне на корпоративни данни също е обнадеждаващо, но колко силна може да бъде тя в целия мобилен хардуер с ограничена енергия?" - попита Баумгартнер.
