Microsoft разработала режим Windows Protected Print (WPP), задача которого — значительно повысить безопасность системы печати в Windows и защитить пользователя от эксплуатации ряда уязвимостей.
Сами разработчики отмечают:
«Режим WPP основан на уже существующем стеке печати IPP, где поддерживаются только сертифицированные Mopria принтеры. При этом отключается возможность загружать сторонние драйверы».
«Таким образом, мы можем внести ощутимые улучшения по части безопасности процесса печати в Windows. Стоит учитывать, что связанные с печатью уязвимости сыграли немалую роль в атаках Stuxnet и PrintNightmare».
Обратите внимание, что как только WPP введут в эксплуатацию на всех системах Windows, Microsoft откажется от запуска спулера печати от имени SYSTEM. Вместо этого служба получит ограниченный доступ.
Такой подход должен серьёзно ограничить использование ресурсов и привилегий, а также, соответственно, нивелирует возможность эксплуатации уязвимостей с помощью спулера.
Другими словами, корпорация избавится от несколько векторов, через которые ранее атаковали пользователей Windows. В этом также помогут несколько дополнительных мер:
- Технология Control Flow Enforcement (CFG, CET). Аппаратная мера ограничения, защищающая от атак на основе возвратно-ориентированного программирования (return oriented programming, ROP).
- Отключение создания дочернего процесса. В этом случае злоумышленник не сможет создать новый процесс, даже в том случае, если ему удастся выполнить код в спулере.
- Redirection Guard (защита от редиректа) — защищает от атак через перенаправление пути (они часто нацелены на спулер печати).
- Arbitrary Code Guard (защита от произвольного кода) — предотвратит генерацию динамического кода внутри процесса.
«WPP пока тестируется в сборках Insider, и мы надеемся, что вы поможете нам доработать новую функциональность, дав обратную связь. Пользователи могут включить режим с помощью этих инструкций», — пишет Microsoft.
