Механизмы защиты операционных систем семейства Windows
Оглавление
Введение…………………………………………………………
1. История операционных систем семейства Windows…………………………………….3
2.Механизмы защиты операционных систем…………………………….…………………….8
3.Механизмы защиты операционных систем семейства Windows………………..13
Заключение……………………………………………………
Список литературы……………………………………………………
Введение
Тема моей работы актуальна в связи с тем, что операционная система Windows за последние 10 лет стала самой распространенной операционной системой из всех существующих на данный момент. Знание системы Windows – необходимое звено в системе познания ПК. На сегодняшний момент операционная система Windows фирмы Microsoft во всех ее проявлениях бесспорно считается самой распространенной операционной системой на ПК: в мире более 150 миллионов IBM PC-совместимых компьютеров, и система Windows установлена на 100 миллионах из них. Очевидно, что ознакомление с персональным компьютером необходимо начинать с ознакомления с Windows. Но, как известно, для безопасного пользования операционной системой Windows необходимо знать механизмы ее защиты. Предлагаю рассмотреть существующие механизмы в моей работе.
История операционных систем семейства Windows
В настоящее время наблюдается бурный количественный и качественный рост компьютерных сетей. Эта тенденция, которая очевидно сохранится в ближайшие десятилетия, хорошо иллюстрируется беспрецедентным ростом сети Интернет, охватившей все страны мира. Локальные компьютерные сети, являющиеся основой автоматизации деятельности предприятий и фирм, и распределенные сети, охватывающие города, регионы и континенты, проникли во все сферы человеческой деятельности, включая экономику, науку, культуру, образование, промышленность и т.д.
Современные компьютерные сети обеспечивают пользователям широкий набор услуг, включая электронную почту, передачу факсимильных и голосовых сообщений, работу с удаленными базами данных в реальном масштабе времени, службу новостей и другие услуги. На базе компьютерных сетей реализуется: дистанционное обучение, телемедицина, телеконференции, телебиржи и телемагазины и т.д.
Быстрый рост числа компьютерных сетей, успехи в развитии оптоволоконных и беспроводных средств связи, сопровождаются непрерывной сменой сетевых технологий, направленной на повышение быстродействия и надежности сетей, возможности интегрированной передачи данных, голоса и видеоинформации.
Самая распространенная в мире многозадачная операционная система для ПК – это Microsoft Windows, которая приобретает все большую популярность с каждым годом. В версии ОС Windows используются возможности увеличения производительности сети, обеспечения повышенной надежности и эффективности.
Ввиду невозможности внесения в MS DOS необходимых принципиальных усовершенствований, корпорация Microsoft была вынуждена создать новое семейство операционных систем, под общим названием Windows (Окна), обеспечивающих надлежащий сервис для пользователей и разработчиков, поддерживающих многозадачность, средства защиты данных и позволяющих эффективнее использовать современные микропроцессоры. Разработчики и пользователи оценили достоинства этих операционных систем, и теперь самыми распространенными и популярными считаются операционные системы Microsoft Windows.
Первой операционной системой этого семейства, получившей широкое распространение и популярность, была Windows 95 , появившаяся в 1995 году. Выпущенные до этого Windows 3.x и Windows for Workgroups были фактически операционными оболочками с графическим интерфейсом и требовали для своей работы однозадачной операционной системы DOS.
Windows 95 - это 32-разрядная, многозадачная операционная система. Отличительной ее особенностью стал простой и удобный графический интерфейс, обеспечивший простоту и естественность общения пользователя с компьютером. Появившаяся в 1998 году операционная система Windows 98 ( windows98) стала продолжением развития Windows 95. Но внутренняя структура была значительно переработана. Для нее характерна возросшая скорость выполнения программ, поддержка работы с несколькими мониторами, поддержка универсальной последовательной шины (USB), упрощающей установку нового оборудования без перезагрузки компьютера, поддержка современных протоколов передачи информации между различными устройствами, более широкая, чем прежде, интеграция с Интернетом.
Выпущенная вслед за Windows 98 операционная система Windows Me ( windows me) продолжала линию Windows 9x и имела много новых возможностей: средства восстановления информации после сбоев, улучшенные возможности работы с мультимедиа и ряд других.
Параллельно с Windows 9x, начиная с 1993 года, выпускалась корпоративная операционная система Windows NT (NT - New Technology (Новая технология)), которая с самого начала проектировалась с учетом всех требований, предъявляемых к современным операционным системам: расширяемости, переносимости, надежности, совместимости, производительности. Эти свойства были достигнуты за счет применения передовых технологий структурного проектирования, таких как клиент-сервер, микроядра, объекты.
В отличие от Windows 9x, в которой реализована многозадачность без вытеснения, в Windows NT используется механизм многозадачности с вытеснением.
Windows NT поддерживает симметричную многопроцессорную организацию вычислительного процесса, в соответствии с которой операционная система может выполняться на любом свободном процессоре или на всех процессорах одновременно, разделяя память между ними. Учитывая, что многозадачность реализуется на уровне нитей, разные части одного и того же процесса могут действительно выполняться параллельно.
Windows NT поддерживает существующие файловые системы, включая файловую систему MS-DOS (FAT), файловую систему CD-ROM, файловую систему OS/2 (HPFS) и собственную новую файловую систему (NTFS).
В отличие от большинства других операционных систем, Windows NT изначально разрабатывалась с учетом возможности работы в сети. В результате этого функции совместного использования файлов, устройств и объектов встроены в интерфейс с пользователем.
Дальнейшая эволюция операционных систем семейства Windows привела к объединению технологии NT с линейкой 9х. В 2000 году появилась операционная система Windows 2000, построенная на технологии NT и вобравшая в себя все лучшие качества Windows 9х. Наиболее важные отличия этой системы от предыдущих заключаются в использовании нового ядра Windows NT, что повысило надежность работы операционной системы с точки зрения корректности выполнения многозадачных приложений, расширило возможности сетевых настроек и позволило использовать файловую систему NTFS (New Technology File System - Файловая система NT), надежность которой подтверждена годами использования на серверных платформах.
Прямой наследницей Windows 2000 явилась вышедшая в 2002 году операционная система Windows XP (eXPerience - опыт) , также созданная на основе технологии NT. Система стала более простой, надежной, безопасной и быстрой.
В Windows XP используется привычный интерфейс Windows, но более простой и «интеллектуальный». Удалены лишние элементы пользовательского интерфейса, а стандартные элементы стали интуитивно понятными. Упрощен механизм поиска информации, ставший при этом более эффективным. Обеспечивается поддержка многих национальных языков. Благодаря использованию новых программ-мастеров, упрощена настройка системы для подключения новых устройств, сетевых соединений и т.д. Имеются эффективные, встроенные в систему инструменты для работы в Интернете, которые ускоряют навигацию и поиск информации в WWW, позволяют передавать мгновенные текстовые сообщения, общаться в режиме реального времени посредством передачи звука и видео.
Поддерживаются устройства нового поколения: компьютеры с возможностью управления питанием, шины AGP, USB и IEEE 1394, DVD-диски, адаптеры ATM, кабельные модемы и т.д. Имеется встроенная сетевая поддержка для подключения к системам Windows NT Server, Novel NetWare и Unix.
В Windows XP появилось множество средств для индивидуальных домашних пользователей, в том числе поддержка профессиональной работы с цифровым мультимедиа -цифровыми изображениями, музыкой, видео, DVD-файлами, а также многие другие возможности.
В настоящее время последней разработкой компании Microsoft является ОС Windows 7. Корпорация Microsoft планировала разработку операционной системы Blackcomb, которая была переименована в Vienna, а затем стала известна как Windows 7, с 2000 года. Blackcomb должна была заменить Windows XP, но стала преемницей Vista. В октябре 2008 года Windows 7 стало официальным названием ОС. Ожидалось, что финальная версия Windows 7 выйдет во второй половине 2009 года, однако позже Microsoft назвала в качестве срока начало 2010 года. В конце октября 2008 Microsoft продемонстрировала Windows 7. Позднее вышли бета-версия и релиз-кандидат ОС. Окончательная версия системы появилась 22 июля. Windows 7, в том числе и российская версия, появилась в магазинах 22 октября 2009 года.
Механизмы защиты операционных систем
Основными задачами защиты операционных систем являются идентификация, аутентификация, разграничение доступа пользователей к ресурсам, протоколирование и аудит самой системы.
Идентификация и аутентификация
Для начала рассмотрим проблему
контроля доступа в систему. Наиболее
распространенным способом контроля доступа
является процедура регистрации. Обычно
каждый пользователь в системе имеет уникальный
идентификатор. Идентификаторы пользователей
применяются с той же целью, что и идентификаторы
любых других объектов, файлов, процессов. Идентификация
В этой связи встает вопрос об уязвимости паролей для подбора и хранения паролей.
Шифрование паролей в операционных системах
Для хранения секретного списка паролей на диске во многих ОС используется криптография. Система задействует одностороннюю функцию, которую просто вычислить, но для которой чрезвычайно трудно (разработчики надеются, что невозможно) подобрать обратную функцию.
Например, в ряде версий Unix в качестве односторонней функции используется модифицированный вариант алгоритма DES. Введенный пароль длиной до 8 знаков преобразуется в 56–битовое значение, которое служит входным параметром для процедуры crypt(), основанной на этом алгоритме. Результат шифрования зависит не только от введенного пароля, но и от псевдослучайной последовательности битов, называемой привязкой (переменная salt). Это сделано для того, чтобы решить проблему совпадающих паролей. Очевидно, что саму привязку после шифрования необходимо сохранять, иначе процесс не удастся повторить. Модифицированный алгоритм DES выполняется, имея входное значение в виде 64–битового блока нулей, с использованием пароля в качестве ключа, а на каждой следующей итерации входным параметром служит результат предыдущей итерации. Всего процедура повторяется 25 раз. Полученное 64–битовое значение преобразуется в 11 символов и хранится рядом с открытой переменной salt.
В ОС Windows NT преобразование исходного пароля также осуществляется многократным применением алгоритма DES и алгоритма MD4.
Хранятся только кодированные
пароли. В процессе аутентификации
При удаленном доступе к ОС нежелательна передача пароля по сети в открытом виде. Одним из типовых решений является использование криптографических протоколов. В качестве примера можно рассмотреть протокол опознавания с подтверждением установления связи путем вызова – CHAP (Challenge Handshake Authentication Protocol).
Авторизация
После успешной регистрации
система должна осуществлять авторизацию
(authorization) – предоставление субъекту прав
на доступ к объекту. Средства авторизации контролируют
Выявление вторжений. Аудит системы защиты
Даже самая лучшая система защиты рано или поздно будет взломана. Обнаружение попыток вторжения является важнейшей задачей системы защиты, поскольку ее решение позволяет минимизировать ущерб от взлома и собирать информацию о методах вторжения. Как правило, поведение взломщика отличается от поведения легального пользователя. Иногда эти различия можно выразить количественно, например, подсчитывая число некорректных вводов пароля во время регистрации.
Основным инструментом выявления вторжений является запись данных аудита. Отдельные действия пользователей протоколируются, а полученный протокол используется для выявления вторжений.
Аудит, таким образом, заключается в регистрации специальных данных о различных типах событий, происходящих в системе и так или иначе влияющих на состояние безопасности компьютерной системы. К числу таких событий обычно причисляют следующие:
1) вход или выход из системы;
2) операции с файлами (открыть, закрыть, переименовать, удалить);
3) обращение к удаленной системе;
4) смена привилегий или иных атрибутов безопасности (режима доступа, уровня благонадежности пользователя и т. п.).
Если фиксировать все события, объем регистрационной информации, скорее всего, будет расти слишком быстро, а ее эффективный анализ станет невозможным. Следует предусматривать наличие средств выборочного протоколирования как в отношении пользователей, когда слежение осуществляется только за подозрительными личностями, так и в отношении событий. Слежка важна в первую очередь как профилактическое средство. Можно надеяться, что многие воздержатся от нарушений безопасности, зная, что их действия фиксируются.
Помимо протоколирования, можно периодически сканировать
1) короткие или легкие пароли;
2) неавторизованные программы, если система поддерживает этот механизм;
3) неавторизованные программы в системных директориях;
4) долго выполняющиеся программы;
5) потенциально опасные списки поиска файлов, которые могут привести к запуску "троянского коня";
6) изменения в системных программах, обнаруженные при помощи контрольных сумм.
Любая проблема, обнаруженная сканером безопасности, может быть, как ликвидирована автоматически, так и передана для решения менеджеру системы.
Правила разграничения доступа
Компьютерная система может быть смоделирована как набор субъектов (процессы, пользователи) и объектов. Под объектами мы понимаем как ресурсы оборудования (процессор, сегменты памяти, принтер, диски и ленты), так и программные ресурсы (файлы, программы, семафоры), то есть все то, доступ к чему контролируется. Каждый объект имеет уникальное имя, отличающее его от других объектов в системе, и каждый из них может быть доступен через хорошо определенные и значимые операции.
Операции зависят от объектов. Например, процессор может только выполнять команды, сегменты памяти могут быть записаны и прочитаны, считыватель магнитных карт может только читать, а файлы данных могут быть записаны, прочитаны, переименованы и т. д.
Желательно добиться того, чтобы процесс осуществлял авторизованный доступ только к тем ресурсам, которые ему нужны для выполнения его задачи. Это требование минимума привилегий, полезно с точки зрения ограничения количества повреждений, которые процесс может нанести системе. Например, когда процесс P вызывает процедуру А, ей должен быть разрешен доступ только к переменным и формальным параметрам, переданным ей, она не должна иметь возможность влиять на другие переменные процесса. Аналогично компилятор не должен оказывать влияния на произвольные файлы, а только на их хорошо определенное подмножество (исходные файлы, листинги и др.), имеющее отношение к компиляции. С другой стороны, компилятор может иметь личные файлы, используемые для оптимизационных целей, к которым процесс Р не имеет доступа.
Различают дискреционный (
Механизмы защиты операционных систем семейства Windows
С момента выхода версии 3.1 осенью 1993 года в Windows NT гарантировалось соответствие высокому уровню безопасности. Начиная с 1999 года сертифицирована версия NT 4 с Service Pack 6a с использованием файловой системы NTFS в автономной и сетевой конфигурации. Следует помнить, что это не подразумевает защиту информации, передаваемой по сети, и не гарантирует защищенности от физического доступа.
Компоненты защиты NT (под NT понимается вся линейка операционных систем Windows NT/2000/XP) частично встроены в ядро, а частично реализуются подсистемой защиты. Подсистема защиты контролирует доступ и учетную информацию. Кроме того, Windows NT имеет встроенные средства, такие как поддержка резервных копий данных и управление источниками бесперебойного питания, но в целом повышают общий уровень безопасности.
Ключевая цель системы защиты Windows NT – следить за тем, кто и к каким объектам осуществляет доступ. Система защиты хранит информацию, относящуюся к безопасности для каждого пользователя, группы пользователей и объекта. Единообразие контроля доступа к различным объектам (процессам, файлам, семафорам и др.) обеспечивается тем, что с каждым процессом связан маркер доступа, а с каждым объектом – дескриптор защиты. Маркер доступа в качестве параметра имеет идентификатор пользователя, а дескриптор защиты – списки прав доступа. ОС может контролировать попытки доступа, которые производятся процессами прямо или косвенно инициированными пользователем.
Windows NT отслеживает и контролирует доступ как к объектам, которые пользователь может видеть посредством интерфейса (такие, как файлы и принтеры), так и к объектам, которые пользователь не может видеть (например, процессы и именованные каналы). Любопытно, что, помимо разрешающих записей, списки прав доступа содержат и запрещающие записи, чтобы пользователь, которому доступ к какому–либо объекту запрещен, не смог получить его как член какой–либо группы, которой этот доступ предоставлен.
Система защиты ОС Windows NT состоит из следующих компонентов:
1) Процедуры регистрации (Logon Processes), которые обрабатывают запросы пользователей на вход в систему. Они включают в себя начальную интерактивную процедуру, отображающую начальный диалог с пользователем на экране и удаленные процедуры входа, которые позволяют удаленным пользователям получить доступ с рабочей станции сети к серверным процессам Windows NT.
2) Подсистемы локальной авторизации (Local Security Authority, LSA), которая гарантирует, что пользователь имеет разрешение на доступ в систему. Этот компонент – центральный для системы защиты Windows NT. Он порождает маркеры доступа, управляет локальной политикой безопасности и предоставляет интерактивным пользователям аутентификационные услуги. LSA также контролирует политику аудита и ведет журнал, в котором сохраняются сообщения, порождаемые диспетчером доступа.
3) Менеджера учета (Security Account Manager, SAM), который управляет базой данных учета пользователей. Эта база данных содержит информацию обо всех пользователях и группах пользователей. SAM предоставляет услуги по легализации пользователей, применяющиеся в LSA.
4) Диспетчера доступа (Security Reference Monitor, SRM), который проверяет, имеет ли пользователь право на доступ к объекту и на выполнение тех действий, которые он пытается совершить. Этот компонент обеспечивает легализацию доступа и политику аудита, определяемые LSA. Он предоставляет услуги для программ супервизорного и пользовательского режимов, для того чтобы гарантировать, что пользователи и процессы, осуществляющие попытки доступа к объекту, имеют необходимые права. Данный компонент также порождает сообщения службы аудита, когда это необходимо.
Защита в открытых версиях Windows
Открытых операционных систем много – одних лишь различных дистрибутивов Linux насчитывается несколько десятков. Но миллионы человек используют Windows и для них переход на открытую ОС другого типа очень сложен. Выходом из сложившейся ситуации могла бы стать Windows с открытым исходным кодом. И такая операционная система уже разрабатывается.
ReactOS это попытка разработать клон Windows c открытым исходным кодом. В качестве образца для копирования была выбрана Microsoft Windows NT 4.0. Перед разработчиками стоит цель не просто сделать среду, в которой бы запускались Windows–программы, а написать полноценную операционную систему, совместимую с Windows NT на уровне, как приложений, так и драйверов.
ReactOS была спроектирована для обеспечения
высокого уровня безопасности и в перспективе
не должна иметь проблем, присущих другим
операционным системам. По сути, данная
система начала разрабатываться с середины
90–х годов и до сих пор имеет лишь альфа
версии. Однако версии регулярно обновляются
и доступны к бесплатному скачиванию на
сайте разработчика. В перспективе данная
операционная система должна решать стандартный
набор задач: идентификация, аутентиф
Индивидуальные профили пользователей Windows
В отличие от операционных систем Windows 9x, позволявших всем пользователям компьютера иметь одинаковые настройки и работать с общим рабочим столом, Windows NT использует понятие профиля пользователя, который хранит все личные данные и настройки. В этой операционной системе отсутствует возможность использования одного профиля всеми пользователями компьютера, а данные профиля надежно защищены от других пользователей.
Профиль пользователя – специальная папка на локальном компьютере, в которой хранятся файлы и настройки конкретного пользователя. По умолчанию приложения, совместимые с Windows NT, сохраняют свои данные и настройки пользователя в одну из папок профиля пользователя.
Заключение
Рассмотрев механизмы защиты операционных систем я пришел к выводу, что современные программисты уделяют особое внимание безопасности программного обеспечения. Их деятельность направлена на обеспечение сохранности операционных систем. В особенности операционной системы Windows. Это связано с тем, что OC Windows получила наибольшее распространение среди других операционных систем благодаря своей доступности, практичности, простоте и многофункциональности. OC Windows сочетает в себе все достижения в сфере безопасности, дизайна, коммуникаций и широкой совместимости с разными устройствами. В настоящее время Microsoft Windows установлена примерно на 92 % персональных компьютеров и рабочих станций. По данным компании Net Applications, в апреле 2010 года рыночная доля Windows составляла 91,5 %.
Список литературы
- Кастер, Х. Основы Windows NT и NTFS. Русская редакция / Х. Кастер. – М., 2006.
- Проскурин, В.Г. Защита в операционных системах / В.Г. Проскурин, С.В. Крутов, И.В. Мацкевич. – М. : Радио и связь, 2005.
- Олифер, В.Г. Сетевые операционные системы / В.Г. Олифер, Н.А. Олифер. – СПб. : Питер, 2007. – 544 с.
- Дейтел, Х.М. Операционные системы. Ч. 1: Основы и принципы / Х.М. Дейтел, П.Дж. Дейтел, Д.Р. Чофнес. – М. : Бином, 2007.
- Гордеев, А.В. Операционные системы : учебник для вузов / А.В. Гордеев. – СПб. : Питер, 2008. – 416 с.
