Principali caratterisitche di
sicurezza
Agenda
UAP (User Account Protection)
Parental Control
Internet Explorer 7.0
Protezione dai virus
Windows Service Hardening
Network Access Protection
Firewall
Avvio sicuro
User Account Protection
E’ molto frequente lavorare sui propri pc
come amministratori
Ci consente usabilità
Non ci consente sicurezza
Virus, worm e spyware penetrano nelle macchine e
usano questi privilegi amministrativi
Chi ha troppi diritti, può fare “troppi danni”…
Anche diverse applicazioni richiedono diritti di
Administrator o di Power User
Anche molte operazioni di gestione del
sistema operativo li richiedono
Cosa fa UAP…
Abilita gli utenti ad eseguire operazioni
come non-administrator
Solo l’utente built-in “Administrator” avrà
sempre pieni poteri amministrativi
Qualunque altro utente, anche facente parte
del gruppo “Administrators”, avrà inizialmente
poteri limitati
Se deve eseguire operazioni comuni, userà questi
suoi diritti limitati
Se deve eseguire operazioni amministrative, dovrà
effettuare un’elevazione dei suoi privilegi
In Windows Vista Beta1, UAP non è abilitato
per default. Nella Beta2 sarà attivo.
Come funziona UAP
Per utenti del gruppo “Users”
Ogni volta che devono eseguire operazioni
amministrative, sono richieste le credenziali di
un utente amministrativo (come prima, ma
senza obbligo di richiamare “Run as”)
Per utenti di un gruppo amministrativo
Al logon vengono dotati di uno “split-token”
Possiedono ora 2 tipi di credenziali : amministrative
e comuni. Quelle comuni sono utilizzate per tutte le
operazioni comuni (browser, posta, ecc…)
Per eseguire task amministrativi, un prompt chiede
all’utente di confermare le credenziali di admin
Per maggior scorrevolezza, è anche possibile far apparire
il prompt, senza richiesta di re-immettere la password
Protezione delle applicazioni (1)
Durante l’installazione
Windows Vista rileva ogni tentativo di lanciare
un Setup Installer
Il prompt chiede la conferma amministrativa
Dopo l’installazione
Vecchie applicazioni non funzionano
correttamente se non si è amministratori
Motivo : cercano di scrivere in parti di registro o in
cartelle di solito accessibili solo agli amministratori
Vista “virtualizza” queste parti di registro o
cartelle e le trascrive in parti accessibili agli
utenti standard (HKCU e per-user store)
Protezione delle applicazioni (2)
Le vecchie applicazioni funzionano ora
anche con diritti di standard user
UAP è da considerarsi come tecnologia di
transizione
Gli sviluppatori sono tenuti a scrivere
codice compatibile con Windows Vista
Usare tecnologia Windows Installer
Fare testing come “non-administrator”
Operazioni amministrative solo in installazione
Operazioni user in esecuzione
Esecuzione delle applicazioni
E’ sempre possibile indicare manualmente
ad una applicazione di essere eseguita
con privilegi elevati (“Run elevated”)
E’ possibile anche indicare ad una
applicazione di essere eseguita SEMPRE
con privilegi elevati (è il tab “Compatibility”
nelle proprietà dell’eseguibile)
Pulsante “Unlock” per alcuni strumenti del
Pannello di Controllo
Parental Control
Garantisce un uso “corretto” del pc ai
propri figli
Limita quando e per quanto un figlio può
utilizzare il computer
Limita quali siti web un figlio può visitare
Limita quali programmi un figlio può eseguire
Restringe l’accesso ad alcuni giochi
Esegue report dettagliati sull’utilizzo del
computer da parte dei figli
Internet Explorer 7.0
Basato su UAP
Esegue in modalità read-only (eccetto “File
Temporanei Internet” e “Cronologia)
Malware penetrato da Internet non può
eseguire operazioni dannose
Gli Add-on possono essere installati solo
col permesso dell’utente
Possibilità di cancellare tutta la cache e i
controlli ActiveX con un solo clic
Filtro anti-phishing integrato
Altre caratteristiche di IE7
Avvisa sempre l’utente quando inserisce
dati in un sito non protetto SSL/TLS
Viene evidenziata la barra degli indirizzi se
si è connessi ad un sito sicuro
“Tab browsing” integrato in RTM
Evidenzia il nome di dominio se questo è
un indirizzo IP o contiene caratteri speciali
IDN per gli URL con caratteri multilingua
Zoom delle pagine web senza perdere
qualità
SSLv3 e TLSv1 per la crittazione
IE6 in esecuzione come Admin
Accesso come Admin
Installa un driver,
Avvia Windows Update
Exploit possono
installare MALWARE
IE6
HKLM
Program Files
Accesso come User
Modifica impostazioni,
Download di immagini
HKCU
My Documents
Exploit possono
installare MALWARE
Startup Folder
Temp Internet Files
Cache dei contenuti
File e impostazioni non
fidati
IE7 in Protected Mode
Broker Process
Integrity Control
IE7 in
Protected
Mode
Compat Redirector
Accesso come Admin
Installa un
driver,
Installa un
controllo
ActiveX
Modifica delle
impostazioni,
Salva
immagini
Impostazioni e file rediretti
Contenuti in cache
HKLM
HKCC
Program Files
Accesso come User
HKCU
My Documents
Startup Folder
Temp Internet Files
File e impostazioni non
fidati
Protezione dai virus
Agente integrato che opera in due fasi:
Durante l’aggiornamento da XP a Vista,
verifica i file esistenti su disco alla ricerca di
virus (usa un database standard delle
signature)
Dopo l’installazione periodicamente Windows
Vista scarica nuovi database delle signature
da Windows Update
Windows Service Hardening
Impedisce ai servizi Windows critici di
eseguire attività dannose nel registro, nel
file system o in rete
Es. RPC bloccato nel modificare il registro
Ad ogni servizio sono associati un SID e
un profilo che consentono o negano
operazioni locali o di rete
Serve a bloccare i tentativi dei codici maligni
di costringere i servizi di sistema a eseguire
operazioni dannose
E’ ora difficile che software maligni si
propaghino da pc a pc
Network Access Protection
Agente che impedisce a un client di connettersi
alla rete interna se non dispone di ultime patch e
antivirus aggiornato
Dipende dalle caratteristiche dell’infrastruttura
server circostante (Longhorn Server)
Si applica a tecnologie DHCP, VPN, IEEE
802.1x, IPSec
Serve a impedire che computer non protetti si
connettano alla rete interna, diffondendo worm o
virus
Per informazioni sulla tecnologia
http://www.microsoft.com/technet/itsolutions/network/nap/naparch.mspx
Firewall
Basato sul firewall di Windows XP SP2
Filtri per il traffico in uscita
Configurabile tramite Group Policy
Configurabile tramite linea di comando
Avvio sicuro
Situazione attuale
Tanti programmi di cracking delle password
Attacchi off-line alle chiavi di sistema
Attacchi ai protocolli di sicurezza
Furto o perdita di pc o dischi rigidi
Compromissione dei file criptati
Difficoltà ad eliminare completamente dati
sensibili dai dischi (numerosi tools di analisi
e recupero)
Soluzioni di Windows Vista
TPM (Trusted Platform Module), metodo di
sicurezza hardware-based
Microchip installato su motherboard
Protegge da attacchi software, non da
operazioni di utenti riconosciuti
Memorizza in maniera sicura tutte le chiavi
di crittografia, password e certificati
Evita accessi al disco (in caso di furto)
Evita accessi ai dati da sistemi operativi
diversi
Struttura del disco
Le partizioni criptate
dell’OS contengono:
• OS crittato
• Page file crittato
• File temporanei criptati
• Dati criptati
• File di ibernazione
crittato
La System Partition contiene utility per il boot
(non criptate, 50MB)
MBR
Valore del Full Volume
Encryption
La crittazione del file di ibernazione
protegge dall’ibernazione di portatili con
documenti sensibili aperti
La Full Volume Encryption aumenta la
sicurezza di tutte le chiave di registry, file di
configurazione, file di paginazione e
ibernazione presenti sul disco crittato
La semplice distruzione della chiave
consente la dismissione sicura degli asset
aziendali
Scenari di ripristino
La chiave principale di crittazione, a scelta,
è memorizzabile su supporti esterni o in
AD, per successivo richiamo
Scenario di ripristino dopo rottura
dell’hardware
È possibile spostare il disco dal portatile rotto
al nuovo portatile
Scenario di ripristino dopo attacco
Cambiamento/cancellazione dei file del Boot
Loader
Ripristino dell’avvio sicuro
Accesso
alla rete
via AD
Abilitazione della funzione
Secure Startup Recovery
Key
Deposito della chiave
per esempio via AD
L’utente rompe
il computer
x
HD della macchina rotta
inserito nella nuova macchina
x
Alert: Secure Startup Recovery
Secure Startup Recovery has failed.
Please enter your Secure Startup
Recovery Key.
**** **** **** ****
You will not be able to start up your
computer nor access your data. Your
hard drive will remain encrypted until
you can provide either the recovery
media or your recovery key.
Ok
Cancel
Close
SysAdmin sblocca e
fornisce la chiave
utente dopo aver
verificato le credenziali
x
Secure Startup Recovery Mode
You have successfully recovered
your data.
The recovery process is complete.
Close
Utente chiama SysAdmin
EFS e FVE
Partner nella protezione
EFS
Fornisce sicurezza nel
contesto utente
Migliorato in Windows
Vista per incrementare la
sicurezza fornita all’utente
(smartcards)
Non misura l’integrità dei
singoli componenti del
processo di boot
Non fornisce protezione
offline per l’OS, file
temporanei, file di swap e
di ibernazione
FVE
Fornisce sicurezza nel
contesto macchina –
pensato per
proteggere l’OS
Protegge tutti i settori
sul volume di
installazione di
Windows, inclusi i file
temporanei, i file di
swap e ibernazione.
Non fornisce sicurezza
a livello utente
© 2005 Microsoft Corporation. All rights reserved.
This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.