Windows Vista Windows Vista (Longhorn) (Longhorn) 操作系统新的安全特性操作系统新的安全特性

褚诚云褚诚云软件开发组长软件开发组长微软微软 Windows Windows 安全部门安全部门chchu@microsoft.comchchu@microsoft.com

提纲提纲

安全启动安全启动代码完整性代码完整性设备驱动程序设备驱动程序系统服务保护（系统服务保护（ Service HardeningService Hardening ））用户帐号保护 （用户帐号保护 （ User Account ProtectionUser Account Protection ））IEIE 浏览器浏览器系统资源保护（系统资源保护（ Windows Resource Protection)Windows Resource Protection)

防火墙防火墙网络权限保护（网络权限保护（ Network Access ProtectionNetwork Access Protection ））总结，与总结，与 XPXP 相比相比局限局限问问 // 答答

安全启动：背景安全启动：背景

CNN, 2005/1/24CNN, 2005/1/24 ：据估计，：据估计， 20042004 上上半年，半年， 1130011300 笔记本电脑，笔记本电脑， 3140031400 掌上掌上电脑，和电脑，和 2000020000 手机丢失，三倍于手机丢失，三倍于20012001 年同期数目年同期数目密码恢复程序可针对密码恢复程序可针对 XPXP 的数据安全保护的数据安全保护机制进行系统离线攻击机制进行系统离线攻击

安全启动安全启动 :: 目的目的

即使物理设备丢失即使物理设备丢失 ,,仍能提供对仍能提供对WindowsWindows 客户端的客户端的安全保证安全保证特别针对他人以其他特别针对他人以其他OSOS 启动试图非法获启动试图非法获取对取对 WindowsWindows 系统系统文件的权限文件的权限

安全启动安全启动

基于基于 Trusted Platform Trusted Platform ModuleModule （ （ TPMTPM ））

http://www.microsoft.com/whdc/system/platforhttp://www.microsoft.com/whdc/system/platform/pcdesign/TPM_secure.mspxm/pcdesign/TPM_secure.mspx

硬盘全加密（硬盘全加密（ Full Volume Full Volume Encryption: FVMEncryption: FVM ））用户登陆后，对文件系统的访问如常用户登陆后，对文件系统的访问如常

FVM FVM 硬盘布局硬盘布局加密的加密的 OSOS 卷，包括：卷，包括：OSOS ，，页面文件页面文件临时文件临时文件数据数据休眠（ 休眠（ hibernationhibernation ）文件）文件

系统分区包括基本系统分区包括基本引导代码引导代码

MBRMBR

安全启动架构安全启动架构

安全启动：恢复安全启动：恢复

笔记本突然坏了，怎么办？笔记本突然坏了，怎么办？恢复密钥恢复密钥

代码完整性（代码完整性（ Code IntegrityCode Integrity ））

背景：系统文件可以被恶意篡改。背景：系统文件可以被恶意篡改。系统文件均有数字认证系统文件均有数字认证系统文件被装载内存的时候，会验证其文系统文件被装载内存的时候，会验证其文件的完整性件的完整性

设备驱动程序设备驱动程序

背景：有缺陷或恶意的驱动程序导致系统背景：有缺陷或恶意的驱动程序导致系统崩溃，不稳定，和安全问题崩溃，不稳定，和安全问题X64X64 平台上，平台上，

所有的设备驱动程序都必须有数字认证所有的设备驱动程序都必须有数字认证不允许修改系统的核心状态（不允许修改系统的核心状态（ Kernel StatKernel Statee ））

提供用户模式的驱动程序框架提供用户模式的驱动程序框架

系统服务保护：系统服务保护： Service Service HardeningHardening

背景：系统服务程序（背景：系统服务程序（ System ServicSystem Servicee ）被攻击次数日益增多）被攻击次数日益增多无需用户交互，即可自动运行无需用户交互，即可自动运行运行于“运行于“ System”System” 账号下账号下

系统服务保护系统服务保护

服务程序运行在最低权限服务程序运行在最低权限服务程序有相应的配置文服务程序有相应的配置文件，用以指定该服务可以件，用以指定该服务可以执行的文件，注册表和网执行的文件，注册表和网络行为络行为

文件系统

注册表

网络

用户帐号保护 用户帐号保护 UAPUAP

以前称为以前称为 LUA - Least-privileged LUA - Least-privileged User Account User Account

WC1262WC1262 ：： Windows Vista Windows Vista 安全特安全特性深入分析性深入分析 -- 用户帐号保护 （用户帐号保护 （ UAP/LUUAP/LUAA ））

用户帐号保护：背景用户帐号保护：背景

大部分用户以大部分用户以 AdminAdmin 权限登录权限登录许多应用程序需要许多应用程序需要 AdminAdmin 权限运行权限运行许多操作系统配置的修改需要许多操作系统配置的修改需要 AdminAdmin 权权限限计算机病毒，和间谍软件？计算机病毒，和间谍软件？

用户帐号保护：综述用户帐号保护：综述

用户登陆后的缺省权限是非用户登陆后的缺省权限是非 AdminAdmin 身份身份必须通过相应的必须通过相应的 UIUI 才能将权限升为才能将权限升为AdminAdmin

UAPUAP 兼容性兼容性

应用程序和系统管理工具可在应用程序和系统管理工具可在 Windows Windows VistaVista 的的 BetaBeta 版本上测试版本上测试Visual StudioVisual Studio 工具：工具： AppVerifier AppVerifier

IEIE 浏览器浏览器

IE 7IE 7WCI311WCI311 ：最新版本：最新版本 IE 7: IE 7: 先睹为快（上）先睹为快（上）WCI312WCI312 ：最新版本：最新版本 IE 7: IE 7: 先睹为快（下）先睹为快（下）

IEIE 浏览器：背景浏览器：背景

IEIE 的安全漏洞是病毒和间谍软件传播的主的安全漏洞是病毒和间谍软件传播的主要途径之一要途径之一针对普通用户的针对普通用户的 PhishingPhishing 攻击攻击

IEIE 浏览器：目的浏览器：目的

IEIE 运行于低权限模式下。以更安全访问互运行于低权限模式下。以更安全访问互联网，减少安全漏洞的影响范围联网，减少安全漏洞的影响范围对对 PhishingPhishing 攻击向用户提出警告攻击向用户提出警告

IEIE ：低权限模式：低权限模式

权限低于普通用户程序权限低于普通用户程序只能对文件系统的特定部分执行写操作只能对文件系统的特定部分执行写操作不能对高权限的其它进程操作不能对高权限的其它进程操作

敏感操作由代理进程（敏感操作由代理进程（ broker processbroker process ）执）执行 行

修改修改 InternetInternet 设置设置安装安装 ActiveXActiveX控件控件

IEIE ：低权限模式架构：低权限模式架构

IE低权限模式

IE低权限模式

IE代理进程

IE代理进程

缓存浏览页面

临时文件目录

安装驱动程序安装驱动程序

修改配置修改配置

管理员权限管理员权限

普通用户权限普通用户权限

PhishingPhishing

复制一个官方网站的主复制一个官方网站的主页，诱使用户输入个人页，诱使用户输入个人的机密信息，如银行账的机密信息，如银行账号，密码等等。号，密码等等。

实例实例

防止防止 PhishingPhishing 攻击攻击

保护保护 URLURL 显示显示PhishingPhishing 网页过滤器（ 网页过滤器（ FilterFilter ））

系统资源保护（系统资源保护（ Windows Resource Windows Resource Protection)Protection)

保护重要的系统资源保护重要的系统资源替代替代 SFPSFP:S:System File Protectionystem File Protection只有系统信赖的专门安装程序才可以修改只有系统信赖的专门安装程序才可以修改WRPWRP 保护的资源保护的资源操作系统的补丁操作系统的补丁

安装补丁必须有微软的数字认证安装补丁必须有微软的数字认证

防火墙防火墙

控制应用程序的对外网络连接控制应用程序的对外网络连接（（ application-aware outbound filteringapplication-aware outbound filtering ））

P2PP2P 软件软件与系统服务保护集成与系统服务保护集成设置可由系统管理员通过设置可由系统管理员通过 Group PolicyGroup Policy管理 管理

网络权限保护（网络权限保护（ Network access Network access protectionprotection ））

背景背景一台笔记本电脑被病毒感染一台笔记本电脑被病毒感染当该笔记本接入到公司内部网络时，病毒可以当该笔记本接入到公司内部网络时，病毒可以通过此电脑感染整个内部网络通过此电脑感染整个内部网络

网络权限保护：综述网络权限保护：综述

任何电脑必须通过系统健康检查后才能接任何电脑必须通过系统健康检查后才能接入公司内部网络入公司内部网络确保机器时刻保持健康状态确保机器时刻保持健康状态未通过系统健康检查的机器会被隔离到一未通过系统健康检查的机器会被隔离到一个受控网络个受控网络

网络权限保护网络权限保护

NAPNAP 客户端程序包括在客户端程序包括在 Windows Windows VistaVista 中中NAPNAP 服务端程序包括在服务端程序包括在 Longhorn Longhorn ServerServer 中中

安全运行安全运行用户帐号保护 用户帐号保护 设备驱动程序设备驱动程序系统服务保护系统服务保护IEIE

安全运行安全运行用户帐号保护 用户帐号保护 设备驱动程序设备驱动程序系统服务保护系统服务保护IEIE

安全通讯安全通讯网络权限保护网络权限保护防火墙防火墙

安全通讯安全通讯网络权限保护网络权限保护防火墙防火墙

安全维护安全维护系统资源保护系统资源保护代码完整性代码完整性

安全维护安全维护系统资源保护系统资源保护代码完整性代码完整性

安全启动安全启动硬件支持的安全启动硬件支持的安全启动磁盘全加密磁盘全加密

安全启动安全启动硬件支持的安全启动硬件支持的安全启动磁盘全加密磁盘全加密

Version 1.0Version 1.0

总结 总结

Windows XPWindows XPUser

Kernel

Admin

System Services 1. Few

layers

2. Mostly privileged

3. Limited guards between layers

Windows VistaWindows Vista

System Services

DDD

User Account

Protection (LUA)

Service Hardenin

g

Admin

Service 1

DDD

Kernel

Service 2

Service 3

DDD

Low Privilege Services

Low rights programs

1. Increase # layers

2. Segment services

3. Reduce size of high risk layers

LUA User

Svc 6

Svc 7

User mode drivers

局限局限

Windows VistaWindows Vista 的改进不能解决所有的的改进不能解决所有的安全问题安全问题操作系统只是整个安全解决方案的一部分操作系统只是整个安全解决方案的一部分物理设备安全物理设备安全用户教育用户教育社会工程方式攻击社会工程方式攻击

资源资源

Windows Vista Security: http://www.microsoft.com/windowsvista/basics/security.mspx

Device Driver

http://www.microsoft.com/whdc/winhec/default.mspx

IE 7

http://www.microsoft.com/windows/IE/ie7/default.mspx

信息安全 Blog

http://blogs.itecn.net/blogs/chengyun_chu

欢迎大家的反馈！欢迎大家的反馈！