Bezpieczeństwo Windows Servera 2012

Niektórzy administratorzy jeszcze nie zdążyli przyzwyczaić się całkiem do Windows Server 2008, a już pojawia się kolejna zmiana - Windows Server 2012. Zmiana, która także w obszarze bezpieczeństwa niesie za sobą sporo nowego. Może nie jest to rewolucja, ale z pewnością krok we właściwym kierunku. Spójrzmy, na jakie nowości możemy przygotować się w nowym serwerowym Windows.

Wraz z pojawieniem się Windows 8, a w szczególności jego nowego interfejsu Metro, wielu użytkownikom całkiem udanego Windows 7 trudno było podjąć decyzję o migracji. Ale podczas gdy w wypadku systemów desktopowych jednym z kryteriów migracji może być estetyka i łatwość przestawienia się na nową wersję, o tyle w odniesieniu do systemów serwerowych strona wizualna schodzi na plan dalszy. Tak też było z przejściem z Windows Server 2003 do 2008 i tak jest w wypadku przesiadki na Windows Server 2012.

Funkcji, które mogą być użyteczne dla osoby zajmującej się bezpieczeństwem, jest w Windows Serverze 2012 sporo. Opisujemy te, które wybijają się z tłumu i mogą być nader często wykorzystywane.

Zobacz również:

Start systemu

Już od startu systemu widać pierwsze modyfikacje. Przede wszystkim nowy Windows Server (jak również Windows 8) wprowadza standard UEFI (Inified Extensible Firmware Interface). Są oczywiście zajadli przeciwnicy UEFI i konserwatywni orędownicy BIOS-u, ale tej zmiany raczej nie da się powstrzymać. Co do samego UEFI, to wykorzystywana jest wersja 2.3.1 tego standardu. Dzięki temu możliwe jest skorzystanie z dodatkowych funkcji związanych z bezpieczeństwem, takich jak zablokowanie możliwości aktualizacji kodu wykorzystywanego w procesie startu komputera jeśli kod ten nie jest podpisany cyfrowo. Microsoft wprowadził także dodatkowy mechanizm bezpieczeństwa (od wersji 2.2 UEFI) - protokół "Secure Boot", który umożliwia rozciągnięcie weryfikacji podpisu na całość kodu startowego systemu operacyjnego. Nie ma więc możliwości załadowania sterowników lub komponentów systemu operacyjnego, które nie zostały podpisane cyfrowo. Funkcja ta nabiera szczególnego znaczenia w wypadku prób przemycenia złośliwego kodu (akcje typu "fake patch").

Aktywacja/Deaktywacja EALM podczas startu systemu

Aktywacja/Deaktywacja EALM podczas startu systemu

Secure Boot wzbudził wiele kontrowersji. Ze strony twórców wolnego oprogramowania posypały się oskarżenia o praktyki monopolistyczne. Okazało się bowiem, że komputery, które posiadają certyfikat zgodności z Windows 8, są dostarczane z Secure Boot aktywowanym kluczem prywatnym Microsoftu. To miałoby uniemożliwić instalację innych systemów operacyjnych, nie mających cyfrowego podpisu. Wątpliwości jest znacznie więcej i na tyle istotnych, że pod koniec marca 2013 roku skierowana została skarga do Komisji Europejskiej.

Szyfrowanie

Microsoft w Serverze 2012 rozwinął znany od dawna mechanizm szyfrowania - BitLocker. Do chwili wprowadzenia ostatniej wersji systemu skorzystanie z BitLockera na wcześniejszych serwerowych Windows wymagało sporej dozy determinacji i ślepej wiary (lub bliskości serwerowni) w stabilność i niezmienność systemu. Możliwe były w zasadzie tylko dwie opcje. Albo trzeba było w całości oprzeć się na module TPM (Trusted Platform Module) albo modlić się żeby nie było trzeba restartować systemu. W tej drugiej sytuacji administrator musiał być obecny na miejscu w celu dostarczenia poświadczeń umożliwiających uruchomienie systemu (klucz USB, kod PIN lub hasło).