Foi realizada uma análise de algumas características de segurança do sistema operacional Windows 7, versão Ultimate, especialmente para a Revista Digital do jornal O Globo. A seguir vocês encontram a integra da entrevista e demais informações sobre testes complementares feito pelo Blog Blindagem Digital.
O Windows 7 já está disponível para as empresas e logo, logo chegará aos usuários finais. Será o primeiro Windows a surgir em meio a debate sobre computação na nuvem e todas as suas consequências na segurança. Perguntamos, então, ao consultor Alexandre Freire, que já está usando o RC (Release Candidate) do sistema, quais foram as principais características de segurança implementadas nele.
Em relação aos Windows XP e Vista, que incrementos de segurança podemos ver no Windows 7 ?
Com o Windows Vista a Microsoft trabalhou para reduzir significativamente a superfície de exposição do sistema operacional a diversos ataques e incidências de códigos hostís apresentando os conceitos de Data Execution Prevention (Prevenção contra Execução de Dados), especialmente desenvolvida contra os chamados ataques de “buffer overflow”, também conhecidos como estouro de memória , e também com o conceito de UAC (User Access Control), que provê a notificação e necessidade de surprir as credenciais administrativas para diversas tarefas do SO dificultando as ações de códigos hostis como cavalos-de-tróia ou rootkits.
No Windows 7 tivemos modificações destes serviços com uma inteligência maior por parte do Data Execution Prevention e alterações no UAC de forma que o usuário possa configurar diferentes níveis de notificação em relação a mudanças que são executadas no SO. A Microsoft teve que implementar os diferentes níveis de segurança do UAC no Windows 7 porque os usuários reclamaram muito da implementação do Windows Vista que notificava sobre toda e qualquer mudança em curso no SO. Este é um ponto de atenção pois a empresa teve que ceder a conveniência por parte de grandes reclamações dos usuários abrindo mão da implementação segura do modo UAC que pudemos observar no Windows Vista. Teoricamente um código hostil (já existe um exploit como prova de conceito para este ataque) poderia ser executado no Windows 7 alterando a proteção do UAC e desligando este controle.
Imagem: User Account Control Settings (UAC)
Porém para executar o exploit o invasor deveria executar o código com privilégios administrativos, o que minimiza a possibilidade deste fato efetivamente ocorrer.
A Microsoft trabalhou também na redução do número de aplicações que necessitam de permissões administrativas para serem executadas. Com isso no Windows 7 os usuários não serão tão solicitados para suprir credenciais administrativas durante a execução de aplicações quanto no Windows Vista. Esta é uma ótima notícia pois a remoção de privilégios administrativos para a execução de aplicações garante um maior nível de segurança. Isso evita que, mesmo em caso de comprometimento das aplicações por potenciais invasores, os intrusos não consigam acesso privilegiado ao shell do sistema operacional.
Uma mudança muito interessante do Windows 7 foi a abstração do Security Center encontrado no Vista e a introdução do Action Center. Esta nova interface reune os principais controles de segurança, manutenção, troubleshooting e recovery. O Action Center notifica periodicamente o usuário caso algum controle não esteja ativado ou configurado de forma correta no sistema operacional. Os usuários são notificados através de mensagens mensagens que são exibidas de forma residente no “system tray”. O Action Center notifica caso o programa de antivírus não esteja funcionando de forma adequada, critica se a configuração de segurança do Internet Explorer não estiver rodando da forma sugerida, orienta sobre a necessidade de configuração do backup de dados e de configurações do UAC.
Imagem: Action Center do Windows 7
O Windows 7 trouxe uma grande melhoria em relação ao suporte nativo da autenticação a partir de mecanismos de biometria. No Windows Vista, se o usuário optasse por utilizar biometria no processo de logon, seria necessário usar o software de fingerprint fornecido pelo fabricante do sensor No Windows 7 os usuários podem facilmente utilizar centenas de dispositivos biométricos que são reconhecidos pelo sistema operacional e podem programar o processo de “enrollment” (leitura das digitais) a partir de uma interface muito simples que possibilita que qualquer dedo seja cadastrado para o processo de logon no sistema operacional.
Durante os testes que realizamos o Windows 7 detectou o leitor biométrico presente no notebook Dell Latitude D630 e o logon foi realizado com sucesso em 100% das tentativas. Leitura da identidade foi muito precisa. Testamos também o logon com diversos dedos não cadastrados no processo e o resultado foi de 100% de acerto.
O Windows 7 Biometric Framework permite que desenvolvedores utilizem a biometria nativa para acoplar a suas aplicações. Algo bem interessante.
Imagem: Registro das digitais para logon
Como está o Windows Defender no novo sistema?
O Windows Defender ganhou uma nova interface que é muito mais intuitiva para a compreensão do usuário do que a versão anterior e teve seus alertas integrados ao Action Center para que os usuários entendam de forma rápida e simples sobre as detecções e varreduras da ferramenta. Em linhas gerais o produto foi melhorado para prover a monitoração continua do sistema operacional.
O novo SO tem coisas como possibilidade de múltiplos firewalls, acesso direto a vpns, bitlocker portável, o Applocker, que tranca aplicações indesejadas… como essas coisas funcionam?
O Application Locker (AppLocker) é uma nova característica do Windows 7 que restringe, a partir da configuração de políticas, a execução de programas (aplicações) baseados em diversos parâmetros. É uma implementação de segurança mais avançada voltada para que administradores de rede configurem restrições no uso de aplicações para a criação de sistemas computacionais mais seguros. Dificilmente um usuário doméstico fará uso dessa característica (somente usuários mais experientes).
O Bitlocker evoluiu em relação a versão presente no Windows Vista. A aplicação está mais intuitiva e a característica de criptografar dispositivos removiveis como HDs externos ou USB drivers foi adicionada. Com este modo é possível garantir a segurança implementando a criptografia de dados quando em trânsito. É uma solução bastante interessante que permite o uso de solução nativa do sistema operacional para criptografia de discos e dispositivos móveis de forma semelhante a encontrada no famoso software PGP.
A questão de múltiplos Firewalls na verdade é uma implementação que permite que você tenha regras específicas para redes distintas. Você pode, no Windows 7, configurar políticas específicas para diferentes redes (domínio, redes privadas ou redes públicas) em que um desktop ou notebook se conecta. É possível bloquear programas baseados no perfil de rede em questão. É possível, por exemplo, permitir que um programa acesse a Internet apenas no ambiente de trabalho, mas não no ambiente doméstico. É possível também configurar para que um programa só use a Internet quando estiver conectado em redes identificacas como confiáveis.
É fácil para o usuário mexer nas configurações de segurança?
Sim. Na visualização padrão do painel de controle os icones de configuração foram organizados em grupos que sintetizam os principais pontos de atenção, inclusive os de segurança.
Como está o gerenciamento de contas de usuário, e os filtros para pais?
O controle de filtro dos pais foi remodelado para controlar, nativamente, 3 ações básicas das crianças no uso do ambiente computacional : limite de tempo para uso do computador, controle do conteúdo de jogos e bloqueio de aplicativos específicos. O filtro de jogos é bem poderoso pois utiliza diversos mecanismos que categorizam as diferentes classificações de jogos (violentos, pornográficos entre outras classificações).
Porém, no Windows 7 o parental controls não traz mais nativamente a classificação de acesso a sites Internet e monitoramento de conversas a partir do Microsoft Messenger (no Windows Vista isso fazia parte da solução). Agora estes controles dependem de provedores externos de segurança de conteúdo para instalar “add-ons” para filtrar conteúdo de acesso a Internet no que tange a classificação de sites. Alguns rumores dizem que a Microsoft foi forçada a permitir aos usuários flexibilidade na escolha do provedor de controle de pais a exemplo do que já ocorre com antivirus, browsers e mecanismos de busca. De qualquer forma os pais devem ficar atentos porque agora a configuração para filtro de navegação deve ser realizada de forma manual.
Assim como existe a necessidade de se instalar software de antivírus é importante que os pais tenham a conscientização da importância e necessidade de baixar e configurar os provedores de segurança para controle de navegação das crianças. O próprio provedor da Microsoft está disponível para ser baixado. Trata-se do Microsoft’s Windows Live Family Safety. A instalação fará com que o controle dos pais volte a funcionar exatamente como na versão encontrada anteriormente no Windows Vista (excelente por sinal). .
O Internet Explorer 8 está mais seguro. Mas ele não estará em todos os Windows 7. Na Europa, por causa do processo antitruste contra a Microsoft, ele poderá ser removido e outros navegadores usados em seu lugar. O que acha disso para a segurança? Acha que Firefox ou Chrome seguram a onda dos ataques? Que recursos importantes o IE 8 oferece, em sua opinião?
Acredito que os browsers que se destacarão serão aqueles que terão a capacidade plena de integração as características de segurança do sistema operacional em que se baseiam. Na minha opinião não existe browser com tantas funcionalidades de segurança do que o IE a partir de sua versão 7.
O grande advento de segurança para proteger o usuário e o sistema computacional Windows de ameaças virtuais foi sem dúvida alguma a dobradinha Internet Explorer 7 e Windows Vista. O browser foi muito aprimorado e tirou proveito também das características de segurança providas pelo sistema operacional para dificultar a ação de códigos hostis como cavalo-de-tróia, rootkits e proliferação de outros malwares. As excepcionais características do IE 7 como filtro de phishing (agora se chama SmartScreen Filter), o Protect Mode (impede o escalonamento de privilégios) e o Dynamic Security Protection (redução da superfície de ataque coibindo a instalação de códigos maliciosos no SO) foram mantidas e aperfeiçoadas no IE 8.
A versão IE 8 trouxe inovações em relação a proteção dos dados e manutenção da privacidade do usuário durante o acesso a sites web com o conceito chamado de “In Private Browsing”. Neste modo de navegação o browser abre uma nova instância em janela separada exibindo um logotipo “In Private” tendo como objetivo proporcionar uma navegação previnindo que os sites armazenem informações sobre a navegação, o que inclui o não recebimento de cookies, arquivos temporários da navegação, registro de histórico da navegação e outros dados. Todas as toolbars e extensões do browser são desabilitadas no momento da navegação.
O “In Private Browsing” é algo extremamente útil ao se navegar por sites que nào são tão conhecidos e evita a captura e registros das preferências de navegação dos usuários por parte destes sites. Garantia da confidencialidade do processo de navegação.
O IE também funciona integrado ao sistema operacional colocando em prática as configurações que foram definidas no controle de pais. Isso é um grande diferencial em relação aos demais browsers.
O Mozzila se tornou muito popular mas é um browser que ainda possui um grande histórico de vulnerabilidades. Uma pesquisa divulgada pela empresa de segurança Secunia (umas das referências de segurança na Internet) reportou que o browser Mozilla foi o browser que teve a maior quantidade de falhas em 2008. O Firefox teve mais falhas em 2008 do que todos os seus concorrentes juntos (diga-se Internet Exploter, Opera e Safari). O número de vulnerabilidades reportadas do Firefox em 2008 (115) ultrapassa a soma de todos os seus concorrentes. Segundo a Secunia o Internet Explorer fechou o ano com 31 vulnerabilidades, contra 32 do Safari e 30 do Opera. A Microsoft só dormiu no ponto quando o assunto foi vulnerabilidade crítica, as chamadas zero-day.
Denomina-se ataque zero-day a divulgação de toda e qualquer nova falha em sistemas operacionais ou aplicativos e que acompanhem o código (exploit) para que esta falha seja explorada antes do conhecimento dos próprios fabricantes. Esta é uma das piores condições uma vez que o usuário ficará vulnerável até que a empresa se movimente para pesquisar a origem do problema, desenvolver os patches de segurança e distribuí-los aos usuários. O Firefox se mostrou mais ágil na correção de vulnerabilidades deste tipo, apesar de ser o browser com a maior quantidade de vulnerabilidades reportadas em 2008. No ponto de vulnerabilidades críticas o time do Firefox costuma ter a capacidade de reposta superior a da Microsoft.
O último ataque zero day em browser Internet Explorer ocorreu meses atrás já afetando a versão IE 8. Durante a conferência hacker PWN2OWN um participante conseguiu a façanha de invadir um notebook Sony Vaio rodando com versão beta do sistema operacional Windows 7 explorando uma vulnerabilidade ainda não conhecida do novo browser (IE 8). A empresa de segurança patrocinadora do evento, TippingPoint, confirmou a grave vulnerabilidade “zero day” repassando as informações para o time de segurança da Microsoft, que por sua vez reproduziu o ambiente em laboratório confirmando o furo de segurança.
Durante esta conferência todas as versões atualizadas do browsers IE, Firefox e Safari foram comprometidas. O IE e o Firefox levaram mais tempo do que o Safari, que caiu em segundos. O único sobrevivente foi o Google Chrome.
Acredito que no próximo ano os olhos estarão voltados sem dúvida alguma para o Google Chome browser uma vez que ele será o centro da interface do sistema operacional Google Chrome OS, onde a google promete um ambiente computacional seguro a partir de um completo redesenho da arquitetura de segurança subjacente ao kernel do Linux de forma a eliminar de uma vez por todas a preocupação que os usuários possuem com vírus, malware e necessidades de atualizações de segurança. O Google quer o usuário concentrado apenas em sua produtividade sem passar por problemas relacionados a incidentes de segurança.
Resta saber o que o Google irá tirar da manga para prover um ambiente computacional seguro utilizando sistema operacional baseado em Linux livre de código malicioso. Tudo indica que o o Chrome browser seguirá os passos observados no Internet Explorer, a partir de sua versão 7, onde cada vez mais o browser foi potencializado para aproveitar as características de segurança presentes no sistema operacional para criar uma blindagem extra durante a navegação do usuário.
É muito bom ver um competidor ameaçando o reinado da Microsoft em desktops, sobretudo quando o assunto é o provimento de um ambiente computacional mais seguro. Quem não quer navegar na Internet sem risco de contaminação por vírus, worms, cavalos-de-tróia, adwares, spywares entre outros códigos hostis? Esta será uma competitividade muito interessante uma vez que as empresas apostam nos mesmos conceitos para aumentar a segurança do usuário sem impactar na sua experiência final.
E os contras da segurança? Já ouvi dizer que o modo XP é ruim nesse aspecto, e muitos usuários vão querer usar esse modo. Como ficar seguro usando esse modo XP? Que outras falhas você encontrou?
O modo XP tem sido criticado por algumas empresas de segurança justamente pelo fato de você ter o ônus de cuidar da segurança de um segundo sistema operacional, no caso o Windows XP, que roda “virtualizado” dentro do Windows 7. Faz sentido. Devemos enxergar o XP mode como um computador totalmente independente. Esta máquina virtual não será protegida pelo antivírus usado pelo Windows 7, nem terá a sua disposição todas as implementações de segurança do Windows 7 como UAC, Data Execution Prevention entre outras.
Os usuários que forem utilizar o XP mode deverão customizar a máquina virtual com os padrões normais de segurança (antivírus, firewall, atualizações/correções entre outras tarefas) e deverão ter bastante critério no entendimento das aplicações que deverão ser instaladas no Windows XP e o real motivo de utilizá-las pois nada impede que a máquina virtual seja infectada e que proliferação de vírus e outras pragas se espalhem para o computador host (Windows 7) e para as demais máquinas de um ambiente de rede doméstico ou corporativo. É importante compreender que ao ativar o XP mode o usuário passa a ter “mais um computador dentro de casa”.
Qual o recurso de segurança que você achou mais interessante e útil para o usuário?
Sem dúvida alguma o Action Center com a centralização de eventos e mensagens importantes com orientações sobre os controles de segurança do sistema operacional e o Bitlocker com a capacidade de criptografar os dados em dispositivos removíveis (pen drives / usb hard drives). Gostei muito também do Parental Controls com a funcionalidade de controle de jogos violentos.
O suporte aos antivírus existentes está funcionando 100% ou há algum problema de drivers?
Os principais antivírus do mercado (AVG/McAfee/Symantec/Panda) já atualizaram suas versões para o Windows 7. A lista dos provedores está em http://www.microsoft.com/windows/antivirus-partners/windows-7.aspx todos essas empresas estão homologadas para soluções de suite de antivírus.
Testou algum antivírus com ele? Qual ou quais? Comportou-se bem?
Testei o AVG e McAfee e funcionaram perfeitamente integrando-se, inclusive, ao Action Center do Windows 7
fonte: Imasters
Nenhum comentário:
Postar um comentário