Информация о Брайане Кребсе
Более подробную информацию о Брайане Кребсе ищите по ссылкам:
• Брайан Кребс в Twitter: https://twitter.com/briankrebs;
• профиль Брайана Кребс на LinkedIn: https://www.linkedin.com/in/bkrebs.
30. Безопасность операционной системы
Вот одна из самых популярных шуток об информационной безопасности: «Если вы хотите безопасный компьютер, то:
• заприте его в шкафу, предварительно вынув сетевую карту;
• выбросите клавиатуру;
• избавьтесь от конечного пользователя».
Популярные компьютерные операционные системы стали более безопасными, чем когда-либо. Они поставляются с довольно безопасными настройками по умолчанию, требуют паролей, автоматически обновляются, шифруют данные и поставляются со множеством других функций. Это не означает, что все они имеют одинаковый уровень безопасности или успех. Тем не менее общий успех достиг того уровня, когда большинство хакеров и вредоносных программ прибегают к социальной инженерии или используют уязвимость, возникшую из-за того, что пользователь своевременно не применил патч.
Это произошло не случайно. Вендорам потребовались годы, если не десятилетия, опыта и анализа, чтобы найти приемлемую грань между слишком безопасной и слишком небезопасной системами. Конечные пользователи просто хотят, чтобы их ОС работали по назначению без особых помех. Если конечному пользователю будет слишком сложно работать с системой, он либо попытается обойти функцию безопасности, отключив ее, либо выберет совершенно другую операционную систему. Многие сотрудники безопасности заведомо уменьшают возможности любой операционной системы, которая принимает не самые надежные, но зато удобные для конечного пользователя, решения. С учетом сказанного, можно догадаться, что есть очень безопасные ОС.
Как защитить операционную систему
Существует три основных способа защиты ОС: изначально создать ее безопасной и сделать безопасные алгоритмы по умолчанию, повысить безопасность с помощью средств настройки безопасности или следовать рекомендациям по обеспечению безопасности. Большинство современных операционных систем используют все эти методы.
Создание безопасной операционной системы
Лучший, а по мнению некоторых, единственный способ получить безопасную операционную систему – создать ее. Она должна быть не только надежно спроектирована, но и иметь соответствующие функции безопасности с настройками по умолчанию. Исследование за исследованием показывают, что большинство конечных пользователей принимают параметры безопасности по умолчанию, поэтому, если такое значение установлено неправильно, это подрывает безопасность.
Общие критерии
Международный стандарт оценки и ранжирования безопасности операционной системы известен как общий критерий оценки безопасности информационных технологий, хотя его часто называют единым критерием. Вендоры представляют свои ОС или приложения для оценки по общим критериям, надеясь получить сертификат как определенный уровень оценки гарантии и надежности, который варьируется с возрастающими сложностью и безопасностью от EAL1 до EAL7. Хотя кажется естественным предположить, что все вендоры операционных систем, которые заботятся о безопасности, хотели бы получить самый высокий рейтинг (EAL7), это не так. Уровни EAL5 и выше не только очень трудно заработать, но и, как правило, они требуют операционной системы, которая не всегда хорошо функционирует в реальном мире. Хотите подключиться к Интернету и скачать программу? Вероятно, вы не сделаете этого с системой уровня EAL5 или выше.
EAL5 и более высокие уровни обычно зарабатываются очень специфическими приложениями безопасности (например, смарт-картами, модулями аппаратного хранения и т. д.) или связанными с правительством ОС высокого риска, такими как ракетные системы. Большинство операционных систем, которые мы знаем и любим сегодня, включая конкретные версии Microsoft Windows, Linux, Solaris, AIX и BSD, имеют рейтинг EAL4 или EAL4+ (знак «плюс» указывает на то, что он чуть лучше, чем просто EAL4, но недотягивает до EAL5). Предпринимаются усилия для перехода от рейтингов EAL к так называемым профилям защиты (PP). Более подробную информацию можно найти по ссылке: https://blogs.ca.com/2011/03/11/common-criteria-reforms-sink-or-swim-how-should-industry-handle-the-revolution-brewing-with-commoncriteria/.
Примечание. Насколько мне известно, Apple iOS никогда не проходила традиционный процесс сертификации EAL.
Соответствие более высоким общим критериям EAL или PP не означает, что хакер не может успешно взломать рейтинговую систему, но говорит о сложности процесса. Это также не означает, что нерейтинговая операционная система небезопасна или не будет соответствовать той же сертификации, если пройдет ее.
Федеральные стандарты обработки информации
Соединенные Штаты имеют другой популярный стандарт под знаменем федеральных стандартов обработки информации (FIPS), по которому операционные системы или их части могут быть оценены и сертифицированы. Хотя FIPS (https://www.nist.gov/topics/federal-information-standards-fips) официально относится только к правительству, связанному с компьютерными системами, это уважаемый мировой стандарт. Сертификаты FIPS известны по определенному номеру, например 199-3 или 140-2. FIPS 140-2 применяется к криптографическим процедурам, и представленные продукты могут быть сертифицированы как FIPS 140-2, уровня с 1 по 4, при этом 4 – показатель самой высокой безопасности.
Из-за потребительского спроса большинство вендоров операционных систем и приложений, которые получают общие критерии или сертификацию FIPS, обычно сей факт рекламируют. Некоторые клиенты требуют определенной оценки или рейтинга, прежде чем задумаются о покупке продукта.
История о двух безопасных операционных системах
В мире популярных ОС общего назначения есть две системы (обе с открытым исходным кодом), которые намерены быть более безопасными, чем среднестатистические: OpenBSD и Qubes OS.
OpenBSD (www.openbsd.org) была создана компанией Тео де Раадта как новый форк от NetBSD в 1995 году. Многие функции безопасности, необязательные в других операционных системах, включены в нее по умолчанию. Разработчики часто проводят аудит своего кода в поисках ошибок безопасности. OpenBSD особенно уважают за то, что она имеет наименьшее количество ошибок, найденных внешними сторонами, чем любая другая популярная операционная система.
Qubes (https://www.qubes-os.org/) была создана Варшавской лабораторией и ее основателем и генеральным директором Йоанной Рутковской (с ее профилем мы познакомимся в следующей главе) в 2012 году. Qubes использует изолированный гипервизор Xen, позволяющий дополнительной операционной системе и компонентам работать в дополнительных высокоизолированных средах виртуальных машин. Даже функциональность сети работает в своем собственном домене. Каждый домен может быть классифицирован в соответствии с потребностями безопасности и работать под управлением различных дополнительных ОС. Возможно, это опрометчиво, но даже основатели описывают Qubes как «достаточно безопасную операционную систему». Тем не менее другие тоже считают, что это самая безопасная популярная и доступная ОС, и она особенно любима многими экспертами по конфиденциальности и безопасности.
Не то чтобы это требовалось для разработки и ведения более безопасной ОС, но и де Раадт, и Рутковская известны своим интеллектом и случайной социальной абразивностью. Они не боятся задеть чувства других, когда отстаивают свою позицию или высказывают мнение, особенно когда сталкиваются с давней, но ошибочной догмой. Они применяют эту бескомпромиссность и к продуктам, которые разрабатывают. Вам необязательно использовать OpenBSD или Qubes для обеспечения относительно безопасной ОС, но их использование, как правило, облегчает получение уровня безопасности выше среднего.
Рекомендации по обеспечению безопасности
Большинство популярных операционных систем имеют относительно надежные значения и параметры по умолчанию, но они не всегда соответствуют рекомендуемым лучшим параметрам безопасности. Например, Windows 10 поставляется с минимальным значением длины пароля всего 6 символов, хотя Microsoft и большая часть мира безопасности рекомендует минимум 12, а то и 16 символов. Проблема в том, что популярные операционные системы должны обращаться к широкому кругу людей и сценариев безопасности. Казалось бы, безвредные параметры безопасности, такие как минимальная длина пароля, если они включены в «рекомендуемых» настройках, могут вызвать проблемы в работе в большом количестве сред и даже потенциально привести к ухудшению безопасности. Поэтому большинство производителей ОС делают акцент на один параметр, хотя и рекомендуют использование дополнительной защиты.
Эти рекомендации можно загрузить у вендоров и некоторых сторонних организаций. Например, рекомендации корпорации Microsoft можно загрузить по ссылке https://blogs.technet.microsoft.com/secguide/2016/07/28/security-compliance-manager-4-0-now-available-for-download/, а рекомендации Apple – с https://support.apple.com/en-gb/HT202739. Центр стандартов интернет-безопасности (https://benchmarks.cisecurity.org/downloads/) – один из самых популярных источников для третьих сторон.
Средства конфигурации параметров безопасности
Вендоры ОС и третьи стороны предлагают средства и программы для безопасной настройки различных операционных систем и приложений. У Microsoft есть свои рекомендации по безопасности (ссылка представлена в предыдущем разделе). Многие дистрибутивы Linux начинаются с экрана настройки на основе графического интерфейса пользователя, который задает несколько общих вопросов безопасности во время установки, чтобы помочь вам настроить ОС. Центр стандартов интернет-безопасности также предлагает участникам коммерческие средства настройки. Есть без преувеличения сотни инструментов настройки безопасности. Все они призваны помочь конечному пользователю или администратору легче применять параметры безопасности и управлять ими.