Báječné vyhlídky s Vyhlídkou?

Ostatní | 12.06.07

Nový klientský OS Windows Vista je realitou. Po letech dohadů, testovacích verzí uvádí Microsoft novou verzi platformy pro PC, jejíž předchůdci podle hrubého odhadu sídlí na více než 90 % klientských počítačů třídy PC.





Jde i nadále o systém pro 90 % „koncových“ PC? Ačkoliv zlí jazykové tvrdí, že Microsoft uvolnil nový větší „service pack“ svého operačního systému, Windows Vista jsou o dost více než pěkně vymalovaná záplata. Změn je opravdu hodně a proto jsme se rozhodli zaměřit na oblasti, jež patří mezi nejzajímavější a dlouhodobě nejsledovanější: zabezpečení operačního systému a připojení k sítím. Jak bude z následujících odstavců zřejmé, i jen tyto oblasti jsou zásobou zajímavých inovací.


Část první: bezpečnější Vyhlídky (1)
V duchu prosazování doktríny za důvěryhodnější platformu PC se výrobce Visty zaměřil na klíčovou oblast: zabezpečení nových Windows na ještě vyšší úrovni, než jaká byla dosud dostupná. Nové bezpečnostní funkce či vylepšení starých, již používaných principů patří mezi nejproklamovanější inovace. Proto se i my v první části článku zaměříme na tuto funkcionalitu a představíme si proměny, jež mohou překvapit, potěšit a někdy zle potrápit.

Kým skutečně jste? Naučte se přihlašovat!
Jedním z bolestných míst systému Windows bývala nutnost vlastnit administrátorská práva na řadu operací, jež jsme chtěli a potřebovali běžně provádět. Jinými slovy, aby „vše fungovalo“, mají uživatelé sklony být běžně přihlášen s právy administrátora, což ohromně usnadňuje cestu škodlivému kódu či neopatrné instalaci problémového softwaru. Boj s touto výzvou je ve Vistě patrný na upravené koncepci uživatelských účtů a celý balíček změn je označován jako User Account Control.
Windows Vista rozlišují dvě úrovně uživatelských účtů. Administrator Users jsou oněmi uživateli se silnými právy, kdežto Standard Users jsou silně limitováni ve svých možnostech. Důležité je, že systém se v řadě situací chová právě podle toho, do jaké úrovně uživatel patří: dle příslušnosti jsou pak zobrazovány varovné dialogy či dochází k výzvám o jednorázové povýšení práv (elevation) při snaze o akci, jež vyžaduje administrátorská práva. Koncepce klasifikovaných účtů tedy slouží k praktickému rozlišení a „uvědomění si“, kam patříme a co se opravdu chystáme se systémem udělat. Nápad byl rozvinut do té šíře, že pomocí nastavení příslušné politiky lze navodit situaci, kdy veškeré spouštěné aplikace běží na „hladině“ Standard User, a to i v případě, že jste přihlášeni jako administrátoři. Teprve ve chvíli, kdy se libovolný program pokusí skutečně učinit operaci, jež opravdu potřebuje vysoká práva, Vista nabízí dialogy a vyžaduje potvrzení akce. Na tuto koncepci velmi těsně navazuje mechanismus popsaný v dalším odstavci.

V souvislosti se snahou omezit akce pod administrátorskými účty byly také běžným uživatelům povoleny některé akce, jež dříve vyžadovaly práva silnější. Nově lze třeba měnit časovou zónu či koukat na hodiny a kalendář, přidávat tiskárny, vytvářet chráněná spojení VPN či instalovat fonty písem.

Opravdu to chcete? Kontrola na každém kroku
Již trendy na platformě Windows XP a pozdější experimenty či vývojové verze dávaly tušit, že důsledná kontrola spouštění aplikací patří k nejakcentovanějším možnostem zabezpečení operačního systému v podání Microsoftu. Ve Vistě byla tato logika dovedena do důsledné implementace, díky jejímuž používání můžete stejně dobře systém ochránit, jako skončit na pokraji šílenství. Podívejme se tedy těmto funkcím na „zoubek“. Výchozí myšlenka je vlastně prostá: významným ohrožením je nenápadné či záludné spuštění aplikace, jež zneužije administrátorských práv přihlášeného uživatele a napáchá škodu – proto je potřeba tomuto zabránit. K tomuto cíli lze dospět několika cestami.

Jednou z nejúčinnějších metod je důsledná kontrola při každém spuštění programového kódu, jenž vyžaduje administrátorská oprávnění (viz výše o UAC). V závislosti na tom, pod jakým účtem je momentální uživatel přihlášen, je zobrazena buď výzva k dodatečnému přihlášení administrátorského účtu (pouze pro tuto operaci), či alespoň k potvrzení této akce. (Jste si jisti, že to chcete udělat?). Myšlenka dobrá, provedení důsledné, následky... někdy pekelné. První dny používání přinejmenším uživatelům ukážou, jak často nevědomky silných oprávnění používali. Ano, tato pekelná situace, kdy bude potřeba potvrdit a dodatečně odsouhlasit opravdu leccos, odhaluje v úplné nahotě historické souvislosti – Microsoft vychoval tvůrce aplikací k tomu, aby se ve Windows chovali, jako by jim systém bez omezení patřil. Snaha vyrvat tento princip i s kořeny nyní bude velmi bolet, a to v konečném důsledku hlavně uživatele. Neradi bychom ale tuto výbornou ochranu devalvovali. Její nasazení přináší nezanedbatelné posílení bezpečnosti, neboť potlačuje spouštění akcí s širokým a nekontrolovaným dosahem a dovoluje opravdu podrobně sledovat, jaký program se snaží vysokých oprávnění použít. Problém však právě je, že ve světě aplikací, jež toto nemusely nikdy opravdu důsledně dodržovat, řada uživatelů brzy funkci vypne, aby se prostě nezbláznili. Oklikou se tak vlastně řeší problém, který tvůrci Windows vyrobili sami a záměrně. Inu, kdo seje vítr... Uživateli nezbývá, než buď vydržet nepříjemné dialogy, nebo rezignovat na bezpečnost a riskovat.



Dovnitř i ven bezpečně: inovace osobního firewallu
Ačkoliv při pohledu do historie verzí Windows představuje komponenta Windows Firewall poměrně mladou součást, patří určitě k těm, jež do operačního systému zapadly nejlépe a sžily se s ním. Při používání na platformě Windows XP se stále objevovaly částečně oprávněné hlasy, že jako osobní firewall to není špatné, ale tu a tam něco chybí. Tvůrcům verze ve Vistě je třeba přiznat, že postoupili nekompromisně vpřed.

Důležitou změnou je rozdělení systémové součásti „firewall“ na dvě funkční části. Pro základní použití je určen program s podobným rozhraním a funkcionalitou, jaké jsme našli u verzí Windows XP SP2 a Windows Server 2003 SP1. Novinkou je pak pokročilejší Windows Firewall With Advanced Security (firewall s rozšířeným zabezpečením), jenž zvyšuje laťku kvality komponenty a nabízí velmi podrobné možnosti nastavení, výbornou ovladatelnost a možnosti centrální správy. Právě v této nové části je ukryta zásoba zajímavých inovací.

Jednou z nejvýraznějších novinek je možnost ochrany a limitace odchozího síťového spojení, což byla dosud jedna z citelných slabin. V tuto chvíli je možné pomocí sady podrobných pravidel kontrolovat jak příchozí, tak odchozí provoz v podstatě rovnocenným způsobem. Velmi zásadní bezpečnostní problém – nekontrolovaná aktivita běžících aplikací při přístupu na síť – se tak dostal pod kontrolu. I zde tedy můžeme pracovat jak s logikou kontroly pomocí tradičních sí-ťových pravidel, tak s vazbou „na aplikaci“.

Z pohledu ovládání firewallu je významnou novinkou možnost konfigurace v prostředí příkazového řádku pomocí nástroje Netsh. Tento všestranný program obsahuje nový kontext (skupinu přepínačů), uvozenou zápisem netsh advfirewall. Už z názvu je patrno, že je určen pro pokročilá nastavení prostřednictvím skriptů. A když už hovoříme o spravovatelnosti, je třeba zmínit nová vylepšení v mechanizmu centrální správy Group Policy. Windows Firewall je nyní možné totálně ovládat a řídit i ve velmi rozsáhlých sítích pomocí zavedeného postupu. O firewallu samotném by bylo možné hovořit ještě dlouho, a proto se podívejme ještě alespoň na jednu změnu. Jeho ovládání je nyní integrováno s konfigurací pokročilého ochranného prostředku, síťové technologie IPSec, nově vytvořené grafické rozhraní je poměrně přehledné a dobře ovladatelné. Ani tady ovšem nechybí konfigurace pomocí příkazového řádku.















Komentáře