Архив за день: 29 октября, 2008

>“Ну да, конечно”, или не полагайтесь на средства защиты сверх меры. Часть 10.

>

UAC

image Один из моментов, в которых я коснусь конкретной технологии. Просто потому, что это та самая технология, шумиха вокруг которой поднята из-за неверного понимания ее предназначения, ее возможностей и сценариев ее использования. Непонимание это, как мы полностью согласились с Вадимсом Подансом, вина целиком и полностью компании Microsoft. Они не смогли донести до общественности простые достаточно истины. Впрочем, и обчественность хороша. Лишь бы обгадить светлое дело коммунизма защиты информации. =) Потому на данный момент сложились два радикальных мнения на UAC:

1)      UAC это то, что необходимо выключить немедля.

2)      UAC защищает от взломов, хулиганов, тайфунов, землетрясений и бородавок, а так же помогает в любви.

Я постараюсь, как всегда, плюнуть посередине, так что получайте мой взгляд. Данный функционал не защищает Ваш компьютер. У него нет такого назначения. Так же, как нет такого назначения у NAP – он не несет с собой никакой активной защиты. Наличие UAC просто-напросто позволяет наиболее удобным пока способом из всех, мне известных, реализовать принцип наименьших привилегий. Плюс к этому даже администратору оно по умолчанию обрезает привилегии (что вовсе не является оправданием работы из-под оного администратора). Плюс к этому наблюдаются некоторые побочные эффекты. Например, на момент публикации вот этого моего сообщения не было известно ни одного руткита, который устанавливался бы при включенном UAC. А если посмотреть на последний бюллетень по безопасности от MS, то выяснится еще такая картинка (кликабельно):image Как видим, уязвимость везде, кроме Vista и Server 2008 оценена как Critical. При чем, если почитать оный бюллетень внимательно, то выяснится, что именно UAC’у Vista и Server 2008 обязаны снижением уровня опасности до Important. Так что штука достаточно полезная и сама по себе.

Однако, в этой серии я взял за правило ругать технологии, а не хвалить их. Продолжаем в том же духе. Итак, недостатки.

1)      если его отключить, он не будет работать. «так это… того… если антивирус отключить, то он тоже не будет работать»,- возразите Вы. Да так-то оно так. Только когда я гуглю название антивируса, то первым выскакивает сайт компании, а в случае с UAC первым идет

image 

дадада, первыми идут разные “взломщики UAC”. На втором месте UAC Step By Step Guide от Microsoft, на третьем информация о том, что UAC создан для того, чтобы раздражать пользователей. На 4м почетном месте та самая моя статья. А дальше в перемешку советы как эту функцию отключить и почему этого делать вроде бы как и нельзя. Учитывая, сколько пользователей попало ко мне на блог по различным сочетаниям слов “Vista”, “UAC” и “отключить”…

Мало того, ативирусы научились быть практически незаметными, а UAC нет. Потому неподготовленному пользователю он якобы мешает, отчего он и начинает попадать на мой блог ;)

2)      в случае, когда UAC работает по стандартной схеме, а не так как предложил Артем Проничкин в одном из комментариев к моему прошлому сообщению на тему UAC, то есть у пользователя есть доступ к учетной записи с административными привилегиями… короче, в этом случае именно пользователь определяет, что разрешить запускать, а что не разрешать. А пользователь, как мы давно уже выяснили, это обычно слабое звено. То есть вполне может решить, что вот именно эту музыкальную открытку в формате .exe ему следует запустить.

3)      Если вредоносная программа уже на компьютере и работает, то, насколько я понял из объяснений того же Артема, ей ничего не стоит влезть в административную сессию с повышенными привилегиями, когда пользователь ее начнет.

Итак, я пока закончил свою серию публикаций про недостаточность многих технических и прочих средств обеспечения безопасности самих по себе. Вроде бы ничего не забыл. Если забыл – дайте знать – исправлюсь. =)

 

Ссылки на публикации серии:

Часть 1: вводная

Часть 2: антивирус

Часть 3: Firewall

Часть 4: SSL

Часть 5: VPN + обновления

Часть 6: процедуры и регламенты + принцип наименьших полномочий

Часть 7: резервное копирование

Часть 8: контроль доступа и биометрия

Часть 9: шифрование

>“Ну да, конечно”, или не полагайтесь на средства защиты сверх меры. Часть 9.

>

Шифрование данных.

image Предположим, что Ваши данные все-таки украли. После этого, если Вас волнует, конечно, конфиденциальность данных больше, чем их доступность, возможны два варианта:

1) Вы зашифровали данные

2) Эти данные перестали быть конфиденциальны.

Есть, правда третий вариант – украденный носитель вору интереснее, чем то, что на нем записано. Но нам этот вариант неинтересен, в этом случае потери минимальны.

В данный момент я бы различал три типа средств шифрования:

1) Шифрование отдельных файлов/папок (а-ля EFS).

2) Шифрование всего диска/раздела (BitLocker).

3) Создание зашифрованного виртуального диска внутри ОС (SafeDisk).

В принципе, все три метода имеют свои преимущества и недостатки. Давайте на них взглянем пристальнее.

1) Наши файлы шифруются на индивидуальной основе.

a. +

image i. Файлы, которые не являются конфиденциальными, не подвергаются шифрованию, потому производительность системы затронута по минимуму.

ii. В случае утери ключа данные можно восстановить при помощи агента восстановления (это про EFS, но у других производителей также реализованы свои методы восстановления)

iii. Можно предоставлять общий доступ к данным нескольким пользователям.

iv. Файл от копирования на другой носитель не перестает быть зашифрованным (UPD: В случае EFS это не так, если мы копируем на другую файловую систему. Скажем, FAT. За примечание спасибо Вадимсу Подансу =) ).

v. Если повреждена часть файла, то поврежден только этот файл.

b. –

i. Пользователю необходимо решать, какие данные нуждаются в шифровании. Не всегда он способен это решить правильно.

ii. Если не задан агент восстановления (стандартный случай при отсутствии домена, скажем), то многие простые, казалось бы, ситуации (переустановка Windows, удаление профиля, etc…), грозят утерей данных.

iii. Любой из пользователей, которым предоставлен доступ, может им злоупотребить.

2) Шифрование раздела

a. +

i. Шифруется все. То есть подлезть к конфиденциальным данным путемimage изменения неконфиденциальной части и/или ОС не получится.

ii. Так же есть способы резервирования ключей шифрования. Потеря оных не страшна, если задуматься над ней заранее.

iii. Некоторые технологии позволяют контролировать целостность данных на Вашем винчестере и, в случае попыток подделки просто не дадут Вашему компьютеру загрузиться.

iv. При повреждении кластера на диске пропадет только тот файл, который там записан. Все остальное останется неизменным.

b. –

i. Так как шифруется все, то есть некоторое падение производительности. На деле, с тем же самым BitLocker – обычно не более 5%.

ii. Если не побеспокоиться заранее, то разрушение ключевой информации будет фатальным. Не сможете восстановить ничего.

iii. Файлы, скопированные с такого компьютера на любой носитель, будут расшифрованы.

iv. Требует определенной культуры поведения. Например, Ваш ноутбук должен быть настроен как минимум на режим гибернации при закрытии крышки. И на уход в него же при длительном простое. Просто потому, что защита срабатывает только в том случае, если компьютер выключен.

3) Виртуальный зашифрованный диск

a. +

image i. Шифруется только то, что нужно – падение производительности так же, как и в первом случае, минимальное.

ii. Обычно бывают какие-то решения по хранению ключей, но сказать подробнее не могу, потому виртуально запишем в плюс =)

iii. В некоторых случаях позволяет переносить с одного компьютера на другой весь контейнер целиком.

iv. Не требует особых навыков от пользователя.

b. –

i. В случае повреждения файла контейнера обычно теряется вся информация, содержащаяся в нем.

ii. Пользователь опять же должен решать, что нужно, а что не нужно шифровать.

Плюс к этому есть еще пара общих факторов, влияющих на эффективность шифрования: если пользователь ушел и оставил рабочее место незалоченным, а виртуальный шифрованный диск еще и не размонтированным… Что ж. То же касается вирусов на Вашем компьютере. Если Вы расшифровали файл и используете его, то вирус тоже может его использовать.

Ссылки на публикации серии.
Часть 1: вводная
Часть 2: антивирус
Часть 3: Firewall
Часть 4: SSL
Часть 5: VPN + обновления
Часть 6: процедуры и регламенты + принцип наименьших полномочий
Часть 7: резервное копирование
Часть 8: контроль доступа и биометрия
Часть 9: шифрование
Часть 10: UAC