Виртуализация

Аппаратные средства обеспечения безопасности и изоляции занимают ключевое место в стратегии безопасности платформы. В Windows 10 используется технологии виртуализации, которые ранее применялись лишь в сценариях для серверов Windows. Использование их в клиентской среде позволяет добиться непревзойденного уровня защиты. С помощью преимуществ безопасности на базе виртуализации, реализованной на технологии Hypervisor, Windows может перенести наиболее уязвимые процессы Windows в среду безопасного выполнения в целях предотвращения их незаконного изменения, а также в том случае, когда ядро Windows полностью скомпрометировано. В Windows 10 безопасность на основе виртуализации лежит в корне работы таких компонентов, как Device Guard и Credential Guard, которые отлично противодействуют вредоносному ПО, средствам взлома и брешам.

Биометрические датчики

Биометрия доступна на платформе и устройствах Windows уже довольно давно, однако до выпуска Windows 10 она относилась скорее к факторам удобства. Такой подход к вводу имени пользователя и пароля просто позволял сделать процедуру входа более индивидуализированной, однако весь потенциал биометрии в отношении проверки подлинности так и не был реализован. Но все изменилось с выходом Windows 10 и появлением Microsoft Passport и Windows Hello. Эти технологии корпоративного уровня предоставляют обширные возможности для многофакторной проверки подлинности, которые аналогичны смарт-картам, но при этом отличаются большей гибкостью благодаря использованию преимуществ методик распознавания отпечатков пальца, лиц и радужной оболочки глаза.

Примером могут служить устройства Windows с биометрическими датчиками для распознавания отпечатков пальца и лиц, такими как Intel^®. RealSense^™ Всеми преимуществами Microsoft Passport и Windows Hello можно пользоваться уже сейчас. Канал продаж поставщиков вычислительной техники заполнен новыми потребительскими и бизнес-устройствами, которые способствуют распространению биометрии в Windows.

Защита удостоверений

Если говорить о брешах в сети, основными составляющими успеха злоумышленника являются кража учетных данных пользователей и вредоносные программы, которые часто применяются в комбинации друг с другом. Если не позаботиться об обеих областях, то можно стать легкоуязвимыми для злоумышленника.

Если говорить о защите удостоверений, прежде всего следует отказаться от однофакторной проверки подлинности учетных данных пользователей, например паролей, в пользу многофакторных решений. Во-вторых, производные учетные данные, используемые для единого входа, необходимо защитить с помощью аппаратных решений, которые отсутствовали на рынке до выхода Windows 10.

Windows 10 предлагает удобные решения для защиты удостоверений, простые в развертывании и управлении. Значимые решения по обеспечению безопасности редко обладают такими функциями, однако благодаря Microsoft Passport, Windows Hello и Credential Guard вам не придется чем-либо жертвовать.

Microsoft Passport

Не секрет, что однофакторная проверка подлинности уже давно не справляется с возложенной на нее задачей, а пароли неприемлемы, так как сейчас их легко можно получить с помощью фишинга, подобрать и украсть. В 2014 году одна преступная организация заявила о получении доступа к 1,2 миллиарда украденных сочетаний имен пользователей и паролей. Подумав об этом, приняв во внимание, сколько людей по всему миру находятся в сети.

Решением данной проблемы является многофакторная проверка подлинности, например смарт-карта, однако часто она оказывается слишком дорогой в развертывании, слишком неудобной в использовании и плохо совместимой с современными устройствами, которыми все мы хотим пользоваться (например, ультрамобильными и легкими телефонами). Другая сложность заключается в зависимости от инфраструктуры открытых ключей (PKI), которая ведет к существенному усложнению комплексного решения.

В Windows 10 для устранения основных проблем современных многофакторных решений контроля удостоверений использовано Microsoft Passport, который обладает всеми преимуществами смарт-карт и не имеет характерных для них недостатков. Например, с помощью Microsoft Passport можно использовать уже имеющееся устройство, такое как ПК или Windows Phone, в качестве одного из двух факторов. Потребность в дополнительных средствах, таких как токены, карты и устройства чтения, отсутствует. Microsoft Passport можно использовать как совместно с PKI, так и отдельно от нее, что делает это решение оптимальным для потребителей, организаций малого и среднего размера и даже для предприятий, которые хотят снизить требования к инфраструктуре для удостоверений пользователей.

Windows Hello

Microsoft Passport — это ваше новое решение для двухфакторной проверки подлинности, однако используемые им учетные данные представляют лишь одну из двух составляющих проверки. В качестве второго фактора может выступать PIN-код, а на современных устройствах с биометрическими датчиками можно использовать отпечаток пальца, лицо и даже радужную оболочку глаза. Этот основанный на биометрии процесс взаимодействия мы называем Windows Hello.

Windows Hello предоставляет более индивидуализированный способ входа на устройства Windows 10, в приложения и веб-службы. Пользователи могут получить доступ ко всем необходимым данным, просто взглянув на датчик или коснувшись его. В отличие от многих созданных ранее биометрических решений, Windows Hello обеспечивает безопасность корпоративного уровня и предоставляет средства противодействия спуфингу, чтобы защитить биометрические и конфиденциальные данные пользователей. Существующие устройства со сканерами отпечатков пальцев поддерживают Windows Hello, а новые устройства, в которых применена технология распознавания лиц и радужной оболочки (например, ИК-камера), уже поступили в продажу. Все готово для того, чтобы Windows Hello и биометрическая проверка подлинности стали общедоступными на устройствах Windows.

Credential Guard

Перевод пользователей на решение многофакторной проверки подлинности, такое как Microsoft Passport, является важным первым шагом на пути к защите их удостоверений. Не менее важен и следующий шаг — защита производных учетных данных пользователей, используемых для единого входа. Злоумышленники могут легко украсть эту конфиденциальную информацию и использовать ее для представления другим пользователем, даже не зная его имя и пароль и не имея доступа к его средству многофакторной проверки (например, смарт-карте или PIN-коду). Злоумышленнику нужно лишь получить административный доступ к устройству, например с помощью уязвимости или вредоносного ПО, чтобы осуществить процедуру, которая часто называется передачей хэша, или "pass the hash".

До Windows 10 было выпущено несколько компонентов, нацеленных на предотвращение таких атак, однако все они не позволили кардинально изменить ситуацию. В Windows 10 этого удалось добиться с помощью Credential Guard, который использует функции безопасности на базе виртуализации (VBS), чтобы изолировать производные учетные данные пользователей от операционной системы Windows. Благодаря этому даже в случае полной компрометации операционной системы конфиденциальная информация вместе со средой VBS остаются в безопасности.