13.1.2. Відповідність вимогам стандартів безпеки

Під час створення Windows із самого початку було поставлено завдання розроби­ти операційну систему, яка б відповідала вимогам рівня захищеності класу C2 за «Критеріями ощнювання захищених комп'ютерних систем» (TCSEC) [91]. Виходячи з вимог.класу C2, система має забезпечувати:

• обов'язкову ідентифікацію й автентифікацію всіх користувачів ОС;

• розмежувальний контроль доступу - надання користувачам можливості за­хисту даних, що їм належать;

• системний аудит _г.- здатність системи вести докладний аудитусіхдій, що ви­конуються користувачами та самою операційною системою;

• захист об'єктів від повторного використання — здатність системи запобігати доступу користувача до ресурсів, з якими до цього працював іншиіі.користу-вач (наприклад, унеможливлення повторногавикористання звільненої пам'я­ті або читання інформації з файлів, що було вилучено).

Операційні системи Windows NT 40 Workstation i Windows NT 4.0 Server щі в 1999 році успішно пройшли сертифікацію за класом C2. Для Windows 200( процедуру сертифікації було проведено в 2002 році за міжнародним стандарто» ISO 15408. У 2005 році Windows XP SP2 пройшла експертне оцінювання на від повідність вимогам чинних в Україні нормативних документів щодо захищеносі інформації від несанкціонованого доступу.

13.2. Архітектура системи 13.2.1. Основні концепції

Ще на самому початку розроблення Windows для неї було обрано багаторівневу aj хітектуру і впроваджено концепцію мікроядра [91, 96, 106-110]. У Windows мі кроядерну архітектуру реалізовано не повністю, але навіть така її реалізація ма значні переваги порівняно з монолітною архітектурою ядра UNIX і Linux. Позая: чіткого визначення ядра ОС не існує, ядром вважають програмний код, що викону ється у привілейованому режимі процесора (який називають режимом ядра) [93 Розробники Windows виокремили в ядрі компонент, який назвали мікроядром і д< якого долучили саме ті функції, що зазвичай реалізують в ядрі мікроядерних еистек

• перемикання контекстів, збереження і відновлення стану потоків;

• планування виконання потоків;

• реалізація засобів підтримки апаратного забезпечення.

У Windows у привілейованому режимі крім мікроядра виконуються ще й інш програмні компоненти.

Значних зусиль було докладено до локалізації апаратно залежного коду н; спеціальному рівні абстрагування від обладнання (Hardware Abstraction Level HAL), і частково — у мікроядрі системи.

На рис. 13.1 показано основнікомпоненти Windows (вертикальна декомпо-зиція) і шляхи звернень ПЗ до ресурсів [91, 96].

13.2.2. Компоненти системи захисту

Vindows мас чітко визначений комплекс засобів захисту 1117-119]. Нижче пе-елічено компоненти та бази даних, з яких складається K33 Windows.

• Монітор безпеки (Security Reference Monitor, SRM) — компонент системи (\WnWW\System32\Ntoskrnlexe), що виконується в режимі ядра і забезпе­чує перевірку прав доступу до об'єктів, операції над привілеями (правами ко­ристувачів) і генерування повідомлень аудита безпеки.

• Підсистема локальної автентифікації (Locai Security Authentication Subsystem Service, Lsass) — процес режиму користувача (\WINNTYSystem32\Lsass.exe), відповідальний за політику безпеки в локальній системі (визначає коло ко­ристувачів, що мають право входити в систему; правила використання паро­лів; надані користувачам та їхнім групам привілеї; параметри аудита безпеки системи) та автентифікацію користувачів і передавання даних аудита безпеки в журнал (Event Log). Основну функціональність реалізує сервіс локальної автентифікацВ LSASRV (\WI>WT\System32\Lsasrv.dII) - DLL-модуль, що завантажується Lsass.

► База даних політики Lsass — база даних параметрів політики безпеки локаль­ної системи, розташована в розділі реєстру HKLM\SECURITY. Вона містить інформацію про те, яким доменам довірено автентифікацію спроб входження в систему, хто має права на доступ до системи та яким чином і кому надані ті чи інші привілеї, а також які види аудита потрібно виконувати. База даних по­літики Lsass зберігає «таємниці»; реєстраційні дані, що застосовують для вхо­дження у домен і під час виклику Win32-cepeicie.

• Диспетчер облікових записів безпеки (Security Account Manager, SAM) — на­бір процедур для підтримки бази даних імен користувачів і груп, визначених на локальній машині. Служба SAM реалізована у модулі \WINNTV>ystem32\ Samsrv.dll і виконується у процесі Lsass.

• База даних SAM - база даних з інформацією про локальних користувачів та групи разом з їхніми паролями та іншими атрибутами. Цю базу даних роз­міщено в розділі реєстру HKLM\SAM.

• Active Directory - служба каталогів, що зберігає базу даних із відомостями про об'єкти в домені. Домен - це сукупність комп'ютерів і зіставлених з ними груп безпеки, керування якими здійснюється як єдиним цілим. Active Direc­tory зберігає інформацію про об'єкт домену, зокрема про користувачів, групи та комп'ютери. Інформація про паролі та привілеї користувачів домену та їхні групи зберігається в Active Directory та реплікується на комп'ютери, що вико­нують роль контролерів домену. Сервер Active Directory реалізований у мо­дулі \WINNT\System32\Ntdsa.dIl і виконується в процесі Lsass.

▼ Пакети автентифікації — DLL-модулі, що виконуються у контексті процесу Lsass і реалізують політику автентифікації у Windows. Вони реалізують пере­вірку пароля та імені користувача і забезпечують повернення процесу Lsass (у разі вдалої перевірки) докладної інформації щодо прав користувача,

f Процес Logon (Winlogon) - процес режиму користувача (\WWNT\System32\ Winlogon.exe), що відповідає за підтримку SAS (Secure Attention Sequence) і керування сеансами інтерактивного входження у систему. В процесі реєстра­ції користувача WinIogon створює оболонку - інтерфейс користувача.

♦ Графічна бібліотека ідентифікації та автентифікації (Graphical Identification and Authentication, GlNA) — бібліотека режиму користувача, що виконується в процесі Winlogon і застосовується для отримання пароля та імені користу­вача або PrN-коду смарт-карти. Стандартна бібліотека GINA розміщується у \WINNT\System32\Msgina.dlJ.

4- Служба мережного входження у систему Net Logon) — Win32-cepBic OvWTNNT\ System32\Netlogon.dll), який виконується в Lsass і реагує на запити мережно­го входження від Майкрософт LAN Manager 2 під керуванням Windows (будь-яких версій до Windows 2000). Автентифікація виконується так само, як і під час локальної реєстрації; дані передаються Lsass для перевірки. У Netlogon та­кож вбудовано службу локатора, що здійснює пошук контролерів домену.

♦ Бібліотека функцій режиму ядра (Kernel Security Device Driver, KSecDD) — це бібліотека (\WINNT\System32\Drivers\Ksecdd.sys), що реалізує інтерфейси локального виклику процедур (Local Procedure CaII, LPC), які використову­ють інші компоненти захисту режиму ядра, зокрема файлова система, яка надає доступ до зашифрованих файлів (Encrypting File System, EFS), для вза­ємодії з Lsass у режимі користувача.

На рис. 13.2 показано взаємозв'язки між деякими з цих компонентів та базами даних, якими вони керують.

Монітор безпеки SRM і база даних Lsass взаємодіють між собою за допомогою механізму LPC. Під час ініціалізації операційної системи SRM створює порт SeRmCommandPort, до якого підключається Lsass. Під час запуску Lsass створю­ється LPC-nopT SeLsaCommandPort, до якого підключається SRM. Останній створює розділ спільної пам'яті для передавання повідомлень, довших за 256 байт, і передає його визначник під час запиту на з'єднання* Оскільки після з'єднання на етапі ініціалізації системи SRM і Lsass більше не прослуховують свої порти, жоден процес користувача підключитися до цих, портів не може.