Операционная система Windows 2000

В состав Windows 2000 включены две программы для просмотра и редактирования локального и удаленного реестров-Regedit.exe b Regedt32.exe.

7.Защита системы.  Средства безопасности Windows 2000

Многие новые функции  Windows 2000 имеют прямое отношение к системе безопасности. Учитывая наличие в составе этой ОС таких компонентов, как Kerberos, Active Directory (AD) и встроенной поддержки шифрования по открытому ключу (Public Key Infrastructure, PKI), можно подумать, что разработчики Microsoft кардинально переделали архитектуру системы безопасности Windows NT. В действительности же, несмотря на столь существенные обновления, ядро системы безопасности Windows 2000 по-прежнему базируется на инфраструктуре Windows NT 4.0.

Разрабатывая архитектуру системы  безопасности Windows NT 4.0, специалисты Microsoft заложили в нее возможность дальнейшего расширения. Архитектура построена на базе четко разграниченных модулей и включает несколько прикладных программных интерфейсов (API), обеспечивающих возможность добавления служб (например, шифрования и аутентификации), причем совершенно безболезненно для операционной системы.

7.1.Характеристики безопасности

• Аутентификация (проверка подлинности)

Это процесс надежного  определения подлинности поддерживающих связь компьютеров. Аутентификация основана на методах криптографии, и это гарантирует, что нападающий или прослушивающий сеть не сможет получить информацию, необходимую для рассекречивания пользователя или другого объекта. Аутентификация позволяет поддерживающему связь объекту доказать свое тождество другому объекту без пересылки незащищенных данных по сети. Без "сильной" (strong) аутентификации и поддержания целостности данных любые данные и компьютер, который их послал, являются подозрительными.

• Целостность (integrity)

Правильность данных, то есть их неизменность по сравнению  с первоначально посланными. Службы, поддерживающие целостность, защищают данные от несанкционированного изменения по пути их следования.

• Конфиденциальность (privacy)

Гарантия того, что данные будут раскрыты только тем получателем, которому они были предназначены. Это  свойство не является обязательным.

• Предотвращение повторного использования (anti-replay)

Предотвращение повторного использования гарантирует, что  каждая посланная IР-датаграмма (IP-пакет) отличается от любой другой, чтобы помочь предотвратить атаки, в которых сообщение прерывается и сохраняется атакующим, а затем многократно используется им позже для организации попытки нелегального доступа к информации.

7.2.Применение алгоритмов шифрования с открытым ключом в Windows 2000

Операционная система Windows 2000 обладает развитыми средствами шифрования данных с открытым ключом, представляющими собой дальнейшее развитие служб шифрования информации Windows NT. На данный момент Windows 2000 располагает интегрированным набором служб и инструментов администрирования, предназначенных для создания, реализации и управления приложениями, использующими алгоритмы шифрования с открытым ключом. Это позволит независимым разработчикам программного обеспечения интенсивно применять в своих продуктах технологию общего ключа (shared key). В то же время предприятия получают возможность создавать и поддерживать эффективные защищенные вычислительные среды, применяя для этого хорошо развитый и легкий в работе набор инструментов и механизмов обеспечения соблюдения политик безопасности.

7.3.Аутентификация Kerberos в доменах Windows 2000

По мере роста и усложнения компьютерных сетей предприятия, построенных  на основе Windows NT, становится необходимым применение протокола, обеспечивающего более совершённую и надежную аутентификацию пользователей при доступе к распределённым ресурсам. В операционной системе Windows 2000 для этих целей применяется протокол аутентификации Kerberos версии 5, входящий в систему безопасности доменов Windows 2000, тесно интегрированную с Active Directory. Реализация протокола Kerberos версии 5 в Windows 2000 основана на RFC 1510. Этот документ широко обсуждался и корректировался многими организациями, работающими в области создания и применения защищенных средств передачи информации по компьютерным сетям. Аутентификация Kerberos полностью отвечает требованиям к протоколам подобного назначения и позволяет создать высокопроизводительную и защищенную сеть предприятия. Программное обеспечение Kerberos, созданное Microsoft, поддерживает всех клиентов, удовлетворяющих RFC 1510. Однако полную поддержку сетей Windows 2000 осуществляет только клиент JCerberos, разработанный Microsoft, поскольку версия Kerberos Microsoft обладает рядом расширений.

Протокол Kerberos интегрирован в существующую модель распределенной безопасности Windows 2000. В Windows 2000 используются расширения протокола Kerberos — так же, как и другие архитектуры безопасности, например DCE и SESAME. Протокол Kerberos — один из протоколов безопасности, поддерживаемых Windows 2000. Кроме него эта операционная система поддерживает протоколы NTML для совместимости с предыдущими версиями, SSL и стандарт IETF безопасности транспортного уровня. В качестве механизма безопасности Windows 2000 использует протокол защищенных переговоров (Simple Protected Negotiation, SPNEGO). Для обеспечения безопасности передачи данных на сетевом уровне применяется технология IP Security (IPSec).

7.4.Шифрующая файловая  система EPS

На персональном компьютере операционную систему можно загрузить  не с жесткого, а с гибкого диска. Это позволяет обойти проблемы, связанные  с отказом жесткого диска и  разрушением загрузочных разделов. Однако, поскольку с помощью гибкого диска можно загружать различные операционные системы, любой пользователь, получивший физический доступ к компьютеру, может обойти встроенную систему управления доступом файловой системы Windows 2000 (NTFS) и с помощью определенных инструментов прочесть информацию жесткого диска. Многие конфигурации оборудования позволяют применять пароли, регулирующие доступ при загрузке. Однако такие средства не имеют широкого распространения. Кроме того, если на компьютере работает несколько пользователей, подобный подход не дает хороших результатов, да и сама защита с помощью пароля недостаточно надежна. Вот типичные примеры несанкционированного доступа к данным:

• Хищение переносного компьютера. Любой злоумышленник может похитить переносной компьютер, а затем получить доступ к конфиденциальной информации, находящейся на его жестком диске.
• Неограниченный доступ. Компьютер оставлен в рабочем состоянии, и за ним никто не наблюдает. Любой пользователь может подойти к такому компьютеру и получить доступ к конфиденциальной информации.
• Основной целью создания системы безопасности является защита конфиденциальной информации, которая обычно находится в незащищенных файлах на жестком диске, от несанкционированного доступа. Доступ к данным можно ограничить с помощью средств NTFS. Такой подход обеспечивает хорошую степень защиты, если единственной загружаемой операционной системой является Windows 2000, жесткий диск не может быть физически удален из компьютера, и данные находятся в разделе NTFS. Если кто-либо захочет получить доступ к данным, он может осуществить свое желание, получив физический доступ к компьютеру или жесткому диску. Существуют инструменты, позволяющие получить доступ к файлам, находящимся в разделе NTFS, из операционных систем MS-DOS или UNIX в обход системы безопасности NTFS.

Из приведенных выше соображений  следует вывод: единственный надежный способ защиты информации — это шифрующая файловая система. На рынке программного обеспечения существует целый набор продуктов, обеспечивающих шифрование данных с помощью образованного от пароля ключа на уровне приложений. Однако такой подход имеет ряд ограничений:

• Ручное шифрование и дешифрование. Службы шифрования большинства продуктов непрозрачны для пользователей. Пользователю приходится расшифровывать файл перед каждым его использованием, а затем опять зашифровывать. Если пользователь забывает зашифровать файл после окончания работы с ним, информация остается незащищенной. Поскольку каждый раз необходимо указывать, какой файл должен быть зашифрован (и расшифрован), применение такого метода защиты информации сильно затруднено.
• Утечка информации из временных файлов и файлов подкачки. Практически все приложения в процессе редактирования документов создают временные файлы. Они остаются на диске незашифрованными, несмотря на то что оригинальный файл зашифрован. Кроме того, шифрование информации на уровне приложений выполняется в режиме пользователя Windows 2000. Это значит, что ключ, применяемый для такого типа шифрования, может храниться в файле подкачки. В результате, с помощью изучения данных файла подкачки можно получить ключ и расшифровать все документы пользователя.
• Слабая криптостойкость ключей. Ключи образуются от паролей или случайных фраз. Поэтому в случае, если пароль был легко запоминаемым, атаки с помощью словарей могут легко привести к взлому системы защиты.

Все перечисленные выше проблемы позволяет решить шифрующая файловая система (Encrypting File System, EPS), реализованная в Windows 2000 и работающая только на NTFS 5.O. В следующих разделах подробно описаны технология шифрования, место шифрования в операционной системе, взаимодействие с пользователями и способ восстановления данных.

7.5.Безопасность IP

Средства безопасности протокола IP позволяют управлять защитой  всего IP-трафика от источника информации до ее получателя. Возможности Управления безопасностью IP (IP Security Management) в системе Windows 2000 позволяют назначать и применять политику безопасности IP , которая гарантирует защищенный обмен информацией для всей сети. Механизм безопасности IP представляет собой реализацию протокола безопасности IP (IP Security, IPSec), прозрачную для пользователя, администрирование безопасности централизовано и совмещает гарантии безопасного обмена информацией с легкостью применения.

Потребность в защите сетей, основанных на протоколе IP, уже достаточно велика и растет с каждым годом. В настоящее время в тесно взаимосвязанном деловом мире сетей Интернет, интранет, экстранет (extranet — корпоративная сеть, части которой связаны через открытые сети, например, через Интернет), филиалов и удаленного доступа по сетям передается важная информация, конфиденциальность которой нельзя нарушать. Одним из основных требований, предъявляемых к сети со стороны сетевых администраторов и прочих профессионалов, обслуживающих и использующих сети, является требование гарантии, что этот трафик будет защищен от:

• Доступа субъектов, не имеющих на это прав;
• Перехвата, просмотра или копирования;
• Модификации данных во время пути по сети.

Эти проблемы характеризуются  такими показателями, как целостность данных, конфиденциальность и подлинность. Кроме того, зашита от повторного использования (replay protection) предотвращает принятие повторно посланного пакета.

Реализация безопасности IP в Windows 2000 основана на стандартах RFC, разработанных консорциумом Internet Engineering Task Force (IETF), рабочей группой IP Security (IPSEC).

7.6. Active Directory

Active Directory (AD) — это ключевой компонент Windows 2000, позволяющий решить характерные для системы Windows NT 4.0 проблемы масштабируемости, расширяемости, администрирования и открытости. Windows NT 4.0 не приспособлена в полной мере для работы в крупных организациях, поскольку число пользователей домена не может превышать 20 000, а основные (PDC) и резервные (BDC) контроллеры домена используют схему репликации «один ко многим». Что касается Windows 2000, то здесь один домен AD способен содержать более миллиона объектов и, в большинстве случаев, не требует наличия PDC. Так, изменения, зарегистрированные на одном из контроллеров домена, реплицируются на все остальные. Надлежащая настройка мультисерверной репликации позволяет обеспечить требуемую производительность, а также гарантированную полосу пропускания для связи находящихся в разных географических зонах подразделений. Для решения этой задачи в операционной системе используются новые объекты типа сайт (site), которые описывают подсети IP. Благодаря таким объектам домены, которые обычно базируются на организационных подразделениях, не зависят от того, где эти подразделения расположены.

Служба AD существенно расширяет  возможности администрирования. Теперь можно объединять пользователей  и компьютеры в иерархию, соответствующую организационной структуре компании. Формирование такой структуры внутри домена обеспечивается с помощью организационных единиц (Organizational Unit, OU). Домены могут иметь родительские и дочерние домены (за исключением корневого, который не имеет родительского домена). Также разрешается назначать индивидуальные административные привилегии на любом уровне иерархии.

Windows 2000 позволяет заменить механизмы разрешения имен WINS и широковещательного NetBIOS динамическим DNS (DDNS). Базу данных DNS можно хранить в AD, увязывая ее с доменной иерархией Active Directory. Как известно, расширяемость Windows NT 4.0 не распространялась на службу каталога. Поэтому разработчики должны были самостоятельно заниматься атрибутами пользователей, специфичными для приложения, и размещать прикладные службы.

Благодаря AD разработчики могут формировать  новые объекты, а также добавлять дополнительные свойства в уже существующие объекты, не занимаясь обслуживанием специального каталога приложений. (Однако AD не подходит для хранения часто изменяющихся данных.) Active Directory даже позволяет публиковать ресурсы, например общие папки, таким образом, что пользователям не нужно выяснять, где именно расположен сервер. Кроме того, в Windows 2000 предусмотрен незаметный для пользователей перенос приложений с одного сервера на другой. Дифференцированное управление и поддержка транзитивных доверительных отношений между доменами Windows 2000 (если домен А доверяет домену В, а домен В доверяет домену С, то домен А доверяет домену С) избавляют от необходимости использовать типовые доменные модели Windows NT 4.0 (в частности, модели с полностью доверительными отношениями или с одним главным доменом)

Windows 2000 использует AD в качестве хранилища данных учетных записей и политик, а также управляет процессом наследования политик с помощью иерархической структуры службы каталогов. AD же доверяет операционной системе аутентификацию и контроль доступа к своим объектам.

7.7. Инструменты для управления безопасностью в Windows 2000

Инструменты и методы, которые вы используете для управления вашей  сетевой безопасностью, определяются требуемым уровнем защиты ваших  ресурсов. Пользователи, компьютеры, сегменты сети и устройства должны управляться автономными, простыми, а также защищенными методами.

Windows 2000 предоставляет в наше распоряжение более 50 инструментов для администрирования и настройки сетевых ресурсов и безопасности. Сценарии, программы и службы, работающие в фоновом режиме, включены в саму операционную систему, в инструментальные средства поддержки, а также в Resource Kit.