Windows 10 zabezpieczy Edge wirtualizacją – tak jak robi to Joanna Rutkowska
Liczba zagrożeń dla bezpieczeństwa przeglądarek jakoś wcalenie maleje. Flash może i zanika, ale skutecznie w tej roli mogązastąpić go własnościowe wtyczki DRM, niezbędne do oglądanianp. Netfliksa. Microsoft zapowiada jednak nową architekturę, któraproblem zabezpieczania przeglądarek przeniesie na inny poziom. Możesamej przeglądarki zabezpieczyć się nie da, ale co, jeślibezpieczeństwo użytkownika będzie gwarantowane przez Windowsa? Wten sposób działa właśnie technologia o dość typowej dlaMicrosoftu nazwie – Windows Defender Application Guard forMicrosoft Edge, która trochę przypomina to, co Joanna Rutkowskarobi w systemie QubesOS.
Podwaliny pod nią w Windowsie 10 przyniosła rocznicowaaktualizacja systemu. Virtualization Based Security (VBS)wykorzystuje hiperwizor Hyper-V, by izolować niektóre wrażliwedane i procesy od reszty systemu. Najważniejszy z tak izolowanychkomponentów systemowych to Credential Guard, wykorzystywany doprzechowywania danych logowania do sieci i kryptograficznych skrótówhaseł, tak by nie dało się wydostać ich z systemu popularnymiżniwiarkami (o ile nie są uruchomione w trybieawaryjnym).
Taka wirtualna maszyna VBS jest maleńka, działa w niej tylkokilka prostych procesów. Nie ma co tego porównywać doprzeglądarki, która jest wręcz systemem operacyjnym samym w sobie,co więcej ma też własne mechanizmy izolacji – piaskownicę(sandbox), w której uruchamiany jest kod ze stron internetowych.Piaskownica ma w teorii bardzo ograniczony dostęp do systemu, alejak praktyka pokazuje, przeróżne exploity pozwalają się z niejwydostać i uruchomić zdalnie złośliwy kod (kiedy to ostatni razwidzieliśmy biuletyny bezpieczeństwa Microsoftu bez łatek naInternet Explorera/Edge?)
W kolejnych wydaniach Windowsa 10, przeglądarka Edge miałabyjednak zostać objęta taką samą ochroną, jak wspomnianyCredential Guard. Mechanizm Application Guard uruchamiałby większośćjej kodu w wirtualnej maszynie. W środku takiej maszyny nie byłobyoczywiście całego Windowsa, tylko te fragmenty jądra i usługi,które potrzeba do uruchomienia przeglądarki. Wirtualizacja byłabybarierą nie do przebicia – nawet jeśli złośliwy kod „uciekłby”z piaskownicy, to miałby dostęp tylko do tej minimalnej wersjisystemu, nie widziałby lokalnych zasobów, żadnych innychaplikacji, nie mówiąc już o jądrze systemu-gospodarza.
Początkowo Windows Defender Application Guard for Microsoft Edgebędzie dostępny, jak sama nazwa wskazuje, tylko dla przeglądarkiEdge, i to tylko w Windows 10 Enterprise. Żadna inna aplikacja niebędzie mogła skorzystać z API tego mechanizmu. Poprzez zarządzaniepolitykami grup będzie można oznaczyć jednak pewne strony jakozaufane, bezpieczne – i wówczas Edge będzie się uruchamiałopoza maszyną wirtualną. Będzie można też ustawić, co z tyminiezaufanymi stronami jest dopuszczalne, np. czy można je drukowaćlub lokalnie zapisywać.
Kolejnym krokiem miałoby być wprowadzenie takiej ochrony wkonsumenckich wersjach Windowsa, i to tak by obejmowała też inne,popularniejsze od Edge przeglądarki, ale póki co rozbija się to owiele problemów technicznych. Przede wszystkim obcowanie z takimzwirtualizowanym Edge jest jak korzystanie z przeglądarki non stop wtrybie incognito: wszystkie zapisywane dane, ciasteczka, hasła sąulotne, znikają po zamknięciu programu. Do tego dochodzi problemkompatybilności z innym oprogramowaniem – jako że takiezabezpieczenie wykorzystuje Hyper-V, a ten wymaga sprzętowejwirtualizacji na poziomie procesora (Intel VT-d lub AMD-V), to nieuruchomimy już wówczas innych hiperwizorów, np. VirtualBoksa czyVMware Workstation. Nie ruszą także emulatory Androida, takie jakBluestacks.
