Af Mette Eklund, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Windows 8, Metro, Win 8-smartphones og Surface-tablets. – De har travlt i Redmond. Mens Microsoft ruller sit nye operativsystem ud, er det med rette, at vi alle er begejstrede. Men mens alles øjne er rettet mod det funklende nye system, er det nemt at overse en mere jordbunden, men vigtig del – nemlig sikkerheden.
I løbet af de seneste 12 til 18 måneder har sikkerhed – eller manglen på samme – kastet en voksende skygge over Windows samt antivirusfirmaerne, som vi stoler på, skal beskytte os online. Nogle har endda hævdet, at de onde er ved at tage overhånd. Så spørgsmålet er: Vil Windows 8 lade os sove trygt om natten?
Læs også: Windows 8: Den endelige dom.
Sikkerhed som standard
For at hjælpe os med at beskytte Windows-maskiner har Microsoft i lang tid tilbudt sit Security Essentials-antivirusprogram som en gratis download. På trods af dette er det anslået, at næsten en fjerdedel af alle pc’er med Windows 7 ikke har nogen anti-malware-software installeret. For at afhjælpe dette problem har Microsoft valgt at installere Windows 8 Defender som standard.
Windows 8 Defender er et kombineret system. Det er sammenligneligt med Security Essentials, med basale beskyttelsesfunktioner for at bekæmpe almindelige trusler.
Vi er bestemt glade for dette træk, da det er det første skridt til at gøre det sværere for virusskabere. Men da vi spurgte Collin Davis, senior director for engineering hos Symantec, om Defender, var hans svar klart: »Det er ikke nok.« Davis siger, at det vil blive virus-skabernes første mission at omgå Defender.
»Det vil ikke være anstrengelserne værd at skabe malware, der ikke kan slå den,« advarer han. Davis forklarede fra sin pind i Californien, hvordan lyssky elementer har brudt Windows 7’s sikkerhedsfunktioner. Siden Windows 7 og 8 har så meget til fælles under kølerhjelmen, vil Windows 8’s default-sikkerhed ikke kunne – efter hans mening – udfodre malwareskaberne ret meget.
Boot level-protection
Grav lidt dybere ned i Windows 8, og det hele ser ikke så slemt ud. Under pc-bootfasen har Microsoft gjort fremskridt for at hindre fremtidig malware.
Læs også: Her er de danske priser på Windows 8
Boot gennem bios har været rime-ligt uændret i næsten 30 år. I dens hjerte er en kæde af moduler, der bli-ver afviklet i rækkefølge. Processen begynder med, at bios’en vågner, håndterer rom-baserede operationer og kalder på master boot record. Kæden kulminerer i Windows-kernen, og drivere bliver loadet og kører.
Hvis malware kan penetrere denne proces, vil det næste program, der kører, blive korrumperet. Kort sagt kan man ikke stole på nogen proces efter dette.
Malware såsom Mebroot, TidServ og StuxNet kobler dem selv ind i den-ne kritiske kæde af handlinger og kompromitterer Windows på et meget lavt og fundamentalt niveau. Fra så pri-viligeret en position er den svær at detektere og svær at fjerne.
For at bekæmpe dette problem har Windows 8 inkluderet en trio af teknologier, som er kendt kollektivt som Secure Boot Architecture. Den første komponent er Unified Extensible Firmware Interface, eller uefi. Hvis din hardware er relativt ny og understøtter det, skulle uefi gøre livet betydeligt sværere for virusskabere.
Ligesom bios udfører uefi-systemet en sekvens af moduler, der leder til os’et. I et uefi-system er modulerne dog sikkerhedssignerede, og hvert modul må tjekke den følgende operations signatur, før den tillader, at den næste proces kan gennemføres. Uefi-kæden kan opdateres med en hvidliste af certifikater, man stoler på.
Funktioner og fejl
Uefi-system har dog et par fejl. Selvom alle nye Windows-systemer vil få det som standard, vil ældre pc’er stadig bruge bios-loadingprocessen og derfor stadig være sårbare.
Uefi-certificationsystemet har også ophidset Linux-brugere, da det gør det svært at installere open source-os’er.
Den næste teknologi af betydning i Windows 8 er Early Load Anti-Malware (ELAM).
Ifølge Microsoft: »[ELAM] starter før andre bootstartdrivere og gør det muligt at evaluere disse drivere og hjælpe Windows-kernen med at beslutte, om de bør initialiseres.« Det er kort sagt en måde at op-dage malware gennem bootprocessen og blokere den på.
Windows 8 er dog designet til at boote meget hurtigt, hvilket sætter en grænse for, hvad ELAM kan nå. Windows 8-specifikationer sætter også en begrænsning på grund af den mængde plads, den kan konsumere. Fordi den kører så tidligt i bootsekvensen og under sådanne begrænsninger, har Symantec allerede udtalt: »ELAM gør ikke meget for at forbedre sikkerheden« (Windows 8 Security, november 2011).
Secure Boot Architectures sidste gren på stammen er Remote Attestation. Her tager systemet tid på, hvor lang tid visse bootprocesser tager om at blive færdige, og sender disse tidsmålinger til en ser-ver, der ved, hvor lang tid de bør tage.
Hvis de to tider ikke matcher, antager man, at bootprocessen er blevet kompromitteret.
Remote Attestation er en valgfri funktion. Hvis den implementeres, sænker den uundgåeligt bootprocessen, hvilket kan blive upopulært hos pc-byggere. Hvis du opgraderer eller piller med din pc, skal timing check-systemet også genkalibreres. Remote Attestation ser derfor ud til at være en funktion, der er bedst egnet til firmaer, hvor systemer som regel ikke bliver ændret.
Metro-spørgsmålet
Windows 8 handler om Metro-interfacet – en samling af fliser, der er linket til programmer. Bare stryg gennem væggen af informationer og billeder, og tryk derefter på det program, du vil køre. Hvis du ikke har en tablet eller andre trykfølsomme enheder, kan du bruge grænsefladen med mus og tastatur i stedet.
Der er to versioner af Windows 8 – en designet til at køre på x86-chips og en anden kompileret til de energibesparende Arm-processorer. De pc-firmaer, vi talte med, havde meget lidt at sige om den sidste version, og det er usandsynligt at malwareskabere har kunnet forske meget i den. Hvis Windows RT (som Arm-versionen hedder) bliver en succes, vil den formodentlig få fokus fra malwareskabere, men i øjeblikket er det umuligt at sige.
Når vi ser på x86-inkarnationen, forklarede Collin Davis, at Windows 7 og Windows 8 Classic er nære familiemedlemmer. Derfor vil det meste malware, der kører på Windows 7, virke på Windows 8. Metro er dog til en vis grad en anden familie.
Janus-os’et
Fra et sikkerhedsperspektiv er det let at se på Windows 8 som to operativsystemer: Metro og Classic. Ingen af dem kan køre programmer, der er designet til den anden. Metro er det mest restriktive af de to, da du kun vil være i stand til at få programmer fra Microsofts app-store, men skellet mellem Metro og Classic Windows er ikke helt klart.
Hver Metro-app virker i et lukket miljø, hvilket betyder, at det ikke kan interagere med andre programmer. Med andre ord virker Metro meget på samme måde som Apples sandkasse-iOS – et os, der indtil videre har undgået større sikkerhedsbrud. At “sandboxe” noget skal dog ikke ses som en sølvkugle. Det er, med Davis’ ord, »et af mange værktøjer, [...] der virker godt, hvis det er lavet godt«.
Da vi spurgte, om Microsoft havde implementeret sin sandboxing godt, svarede Davis: »Det er for tidligt at sige.«
Der er en stor bule i Metros sandkassepanser. Metro ligner meget Windows Media Center – et miljø, der effektivt er placeret på toppen af Windows Classic.
Davis siger, at det betyder, at »en Metro-app ikke kan angribe en Classic-app, men en Classic-app kan godt angribe en Metro-app.« Han tilføjer, at udvikle malware til Metro vil ikke være sværere eller dyrere for virusskabere.
Det ser ud til, at Windows 8 gør sikkerhedsverdenen på din pc en smule anderledes, men overordnet set det samme. Samme regler, samme krav og åbenbart samme risici, så brugere bør installere et sikkerhedsprogram med gode karakterer og holde det opdateret.
Læs også: 10 grunde til at vælge Windows 8.
Sandboxing – en mekanisme til at køre programmer separat – er et vigtigt sikkerhedsværktøj, men ikke et perfekt et. Sandbox virker ved strengt at kontrollere de ressourcer, som gæsteprogrammer har til rådighed. Dette kunne være begrænset neværk og hukommelsesressourcer og et midlertidigt “scratch space” på harddisken. Google Chrome kører hjemmesider i en individuel sandbox, hvilket giver browseren dens rygte for stabilitet og sikkerhed. Systemet er særligt effektivt til at forhindre, at malware spreder sig rundt i pc-systemet.
På dette års CanSec-West sikkerhedskonference blev Chrome optrevlet med ødelæggende konsekvenser. På konferencen tilbød Google en gevinst på 60.000 dollars for en »full Chrome exploit – Chrome/Windows 7 lokal os-brugerkonto-stabilitet kun ved at bruge bugs i Chrome.«
Prisen blev vundet af en 17-årig hacker, der opdagede og derefter kædede seks bugs sammen i browseren.
Resultatet gjorde et program i stand til at hoppe ud af sandboxen ...
Googles Jason Kersey fremhævede teenagerens handling: »Tillykke til Pinkie Pie (aka PwniePie) for et smukt stykke arbejde!«
En anden deltager, Sergej Gatsunov, vandt også en pris for på lignende måde at tvinge Chrome til at lukke et program ud af sandbox’en. Gatsunov udnyttede 10 kendte bugs for at opnå målet.
Det gjorde Google i stand til at opdage og patche problemerne i browseren. Det hævdes, at Google privat har sat en dusør på en halv million dollars til hackere, som har rapporteret bugs til dem – et meget smart træk, siden ubemærkede bugs i kritiske programmer kan skifte hænder for mange penge på det sorte marked.
Malware var oprindeligt skrevet for at tjene penge, men det ændrede sig alt sammen i midten af 2010 med opdagelsen af Stuxnet-ormen. Dens hovedformål var ødelæggelse på en potentiel massiv skala. Stuxnet var et stykke malware som taget fra en film, designet til at få centrifugerne på det iranske Natanz atomforskningscenter til at eksplodere. Virussen brugte hidtil usete niveauer af softikerede genistreger og tilsløring.
Identiteten af Stuxnets skaber har været emne i mange diskussioner siden dens opdagelse. Selvom ingen organisation er blevet fundet skylidg, ser det ud til at være mest sandsynligt, at det har været en regering, der har forsøgt at få Irans atomprogram til at løbe af sporet. Pludselig er malware ikke kun forbeholdt det sorte marked, men måske regeringer, der vil erklære en usynlig krig mod deres modstandere.
Konceptet om regeringsstøttet malware dukkede igen op til overfladen med Duqu – et stykke kode designet, ifølge Kaspersky Lab, til at »stjæle alt«. Duqu var et spionageværktøj designet til at finde industrielle hemmelligheder på en industriel skala. Og så var der Flame. Stor både på en skala og i ambitioner.
Flame lurede ubemærket i Mellemøsten og fiskede hemmeligheder fra pc’er brugt i forsvaret og olieindustrien. Beskrevet af F-Secure som “limited edition”-malware, det gik efter meget specifikke industrielle brugere. Dens skala og tilsløring var så stor (den forblev ubemærket for omkring fem år), at det skræmte professionelle malwarebekæmpere.
F-Secures Mikko Hypponen bemærkede, at »Flame var en fejl for antivirus-industrien. Vi skulle have været i stand til at gøre det bedre. Men det gjorde vi ikke. Vi blev slået.«
Analyser af koden antyder, at alle tre stykker malware – Stuxnet, Duqu og Flame – var skabt af den samme, men med vidt forskellige målsætninger.
