Microsoft: Новые подходы к безопасности в Windows 7

На конференции по безопасности RSA 2009 представители Microsoft рассказали о новых программных решениях, встроенных в Windows 7 и предназначенных для обеспечения безопасности данных и самой операционной системы. Директор направления Windows Client Enterprise Securitу Пол Кук заявил, что в финальной версии Windows 7 появится значительно обновленная система управления пользовательскими записями и привилегиями (UAC), которая с одной стороны обеспечит пользовательские данные в большей сохранности, а с другой избавит пользователей от бесконечных напоминаний, надоевших пользователям Windows Vista.

По словам Кука, пользователи Windows 7 смогут сами контролировать уровень системных подсказок и напоминаний об опасности. Подстроить уровень частоты предупреждений можно будет при помощи обычных ползунков.

Изначально UAC создавалась для мониторинга системы и уведомления пользователей о необходимых дополнительных полномочиях, которые требуются той или иной программе.

Две другие важные и не имеющие аналогов в Windows Vista функций, заявленные в Windows 7 - это DirectAccess и BitLocker To Go.

Функция DirectAccess предлагает удаленным пользователям тот же уровень прозрачной и безопасной работы, что и в локальной системе в офисе. "Система автоматически создает защищенный канал в корпоративной сети прозрачно для пользователя, поэтому ему не нужно быть специалистом по защите данных, чтобы обеспечить возможность безопасных транзакций информации", - рассказывает Кук. Кроме того, DirectAccess позволит системным администраторам обновлять клиентские данные и операционные системы удаленных сотрудников без физического доступа к компьютерам.

Что касается BitLocker To Go, то она является дальнейшим развитием технологии BitLocker, появившейся в Windows Vista. В Windows 7 шифровать данные через BitLocker можно будет не только локально, но и на съемных носителях и флеш-картах, а пароли и цифровые сертификаты можно передавать на смарт-картах. Однако работает данная функция только в Windows 7, в XP или Vista она недоступна.

Поставщик смарт-карт Gemalto уже ведет разработку карт, поддерживающих многофакторную аутентификацию в Windows 7.

Помимо всего прочего, в Windows 7 появится также система App Locker, позволяющая ИТ-администраторам контролировать программное обеспечение, работающее в корпоративной сети. Сообщается, что контролировать можно будет не только на уровне приложений, но и на уровне скриптов, инсталляторов и системных библиотек. "Также эта функция может блокировать пиратский софт", - говорит Пол Кук.

Источник 

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Баг Google Photos сливал геолокацию и другие метаданные изображений

Google устранила уязвимость в своем сервисе Google Photos, которая позволяла условному злоумышленнику получить метаданные изображения. Например, в случае удачного использования этой бреши киберпреступник мог узнать данные геолокации фотографии, которую пользователь хранит в аккаунте Google Photos.

Подобную атаку эксперты в области безопасности называют утечкой по сторонним каналам браузера. Для ее реализации злоумышленник должен заманить жертву на вредоносный сайт.

На этом сайте располагается JavaScript-код, который «прощупывает» открытые аккаунты пользователя. Затем этот код замеряет время, которое требуется атакуемому сайту на ответ (это может быть даже ответ «отказано в доступе»).

Атакующий сравнивает полученные ответы, чтобы определить, имеются ли артефакты в аккаунте пользователя. Именно так эксперт Imperva Рон Масас обнаружил проблему Google Photos, которая приводила к утечке метаданных фото.

Специалист написал код JavaScript, который эксплуатировал функцию поиска в Google Photos. После того как пользователь попадал на вредоносный сайт, скрипт начинал использовать его браузер в качестве прокси для отправки запросов и поиска по учетной записи Google Photos.

По словам Масаса, он использовал для поиска фразу «мои фото из Исландии», чтобы определить, посещал ли пользователь когда-нибудь Исландию. В процессе импровизированной атаки эксперт замерял размер HTTP-ответа и время, которое требовалось Google Photos на ответ для каждого поискового запроса.

Также исследователь использовал интервалы дат, чтобы определить, когда атакуемый пользователь посещал определенное место. Другие данные можно было получить таким же способом, просто потребовались бы свои специфические запросы.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru