Windows 8 se snaží nebýt bezpečnostní outsider, jako jeho předchůdci

Pokud jde o bezpečnost, Microsoft se pořád snaží získat zpět důvěru, kterou ztratil především v éře XP. Průměrný čas do infekce neaktualizovaných XP malwarem byl v roce 2008 odhadován na 4 minuty.

Postupem času se Windows alespoň v tomto hledisku výrazně zlepšovali - četnost infekcí klesla ve Vistách na polovinu, oproti verzi XP. Tento trend pokračoval i u Windows 7.

Windows z pochopitelných důvodů čelí stále nejvíce útokům ze všech operačních systémů. Proto se snaží zlepšovat. Třeba rozdíl mezi W7 a W8 není již pouze kosmetický. Následuje přehled těch nejvýznamnějších novinek, které budou plně k dispozici od připravované verze Windows 8.1. Ta má vyjít za zhruba 2 měsíce.

Secure Boot je první ze dvou technologií soustřeďujících se na včasnou detekci malware. Je vlastností standardu UEFI, který postupně nahrazuje BIOS. Strategie útočníků se totiž stále zlepšují, systém je nutné chránit ještě před jeho kompletním nabootováním. Hooky různých rootkitů mohou být umístěné brzo před tím, než se spustí klasické antivirové programy. Secure Boot a ELAM (o něm později) jsou tu právě pro takové případy. Speciálně bootkity (rootkity zaměřené na jádro) jdou většinou velmi těžko odstranit. Usazují se v MBR či VBR. Nejznámnějšími příklady jsou třeba Mebroot či Rovnix. Secure Boot jim má zabránit v instalaci, může však stížit instalaci jiných operačních systémů na disk již obsahující W8. Kritikům se také na Secure Boot nelíbí to, že se mnohem více prováže SW s HW. To by však v korporátním světě nemuselo tolik vadit. Jeho provoz umožňuje pouze certifikovaný hardware. Za zmínku jistě stojí skutečnost, že na konferenci Black Hat byly tento rok představeny dva exploity, obcházející i tuto ochranu. Je však pravdou, že bylo místo Secure Boot spíše využito špatné implementace standardu UEFI výrobci počítačů. Více o Secure Bootu třeba na Rootu.

Technologií ELAM (Early Launch Anti-Malware) vlastně Windows 8 získávají skener, kontrolující drivery operačního systému. Je totiž spouštěn před ostatními drivery a může tak zkontrolovat, zda se nenacházejí na blacklistu známých infekcí. Společnosti navíc mohou využívat tzv. group police editor, který jím umožňuje nastavit si ELAM přesně podle svých potřeb. Například lze úplně zakázat boot systému v případě detekce neznámých ovladačů. Více informací o ELAM naleznete třeba na stránkách Microsoftu.

Windows Defender patří do kategorie utilit, které W8 zdědily od svého předchůdce a jsou užitečné, když už systém plně běží. V sedmičkách byl WD anti-malware skener, nyní rozšířil svoji působnost a jeho úkolem je také sledování podezřelých síťových aktivit a detekce signatur malware.

Sandboxing s AppContainerem je asi nejzajímavější novinkou ve W8, pracující za běhu systému. Aplikace totiž může běžet s sandboxu a na základě jeho nastavení lze aplikaci nastavit její interakci s nižšími vrstvami operačního systému. Aplikace tak může třeba pracovat pouze s omezenou části disku, může se ovlivnit povolení čtení či zápisu a nebo třeba modifikování systémových souborů. Celkem neveselou zprávou však je, že AppContainer byl vytvořen pro Metro. Nelze ho využít pro obyčejné desktopové aplikace. Jeho použití v Metru připomíná instalaci mobilní aplikace pro Android, kdy se rozhodujeme s jakými daty či funkcemi bude moci aplikace pracovat. Přeci jen ještě jedno využití však AppContainer má - v Internet Exploreru 11. Tam do něj mohou být umístěny aplikace, které v něm běží a zůstat tak izolovány v prohlížeči.

Další bezpečnostní novinkou W8 je Windows To Go. Je určena pro firmy a umožňuje nahrání instalace systému a jeho následné spuštění na flashce. To by mělo zajistit bezchybnou konfiguraci, jež umožní bezpečné přistupování třeba k firemní VPN. Další možností je také data na flash disku šifrovat MS technologií Bitlocker.