Windows Vista의 새로운 보안 및 안전 기능

Security and safety features new to Windows Vista
에 관한 일련의 기사의 일부
윈도 비스타
신기능
기타 기사

Windows Vista 에는 새로운 시큐러티 기능과 안전 기능이 다수 있습니다만, 그 대부분은 이전의 Microsoft Windows operating system 릴리스에서는 이용할 수 없습니다.

2002년 초에 Microsoft가 Trustable Computing 이니셔티브를 발표하면서 Windows Vista를 이전 운영체제보다 더 안전한 운영체제로 만들기 위해 많은 노력을 기울였습니다.내부적으로 Microsoft는 "Secure by design, default secure, secure in deployment"라는 기본 정신을 가진 "Security Development [1]Lifecycle"을 채택했습니다.Windows Vista 의 새로운 코드가 SDL 수법으로 개발되어 기존의 모든 코드가 보안 강화를 위해 확인 및 수정되었습니다.

Windows Vista에서 새로운 보안 및 안전 메커니즘을 도입하는 몇 가지 특정 영역에는 사용자 계정 컨트롤, 보호자 컨트롤, 네트워크 액세스 보호, 내장된 악성 프로그램 방지 도구 및 새로운 디지털 컨텐츠 보호 메커니즘이 있습니다.

사용자 계정 컨트롤

주요 기사:사용자 계정 컨트롤

사용자 계정 컨트롤은 관리자 권한이 필요한 작업을 허용하기 전에 사용자 동의가 필요한 새로운 인프라입니다.이 기능을 사용하면 대부분의 응용 프로그램에서 더 높은 권한이 필요하지 않으므로 관리자 권한을 가진 사용자를 포함한 모든 사용자는 기본적으로 표준 사용자 모드로 실행됩니다.새로운 소프트웨어의 인스톨이나 시스템 또는 시큐러티 설정의 변경 등, 관리자 권한이 필요한 조작이 시도되면, Windows 는 조작의 허가 여부를 유저에게 묻습니다.사용자가 허용을 선택하면 작업을 시작하는 프로세스가 더 높은 권한 컨텍스트로 상승하여 계속 진행합니다.표준 사용자는 프로세스를 상승시키기 위해 관리 계정의 사용자 이름과 비밀번호를 입력해야 하지만(Over-the-숄더 자격 정보) 관리자는 동의 또는 자격 정보 요청만 요구할 수 있습니다.사용자가 [Yes]를 클릭하지 않으면 30초 후에 프롬프트가 거부됩니다.

UAC는 보안 데스크톱 모드에서 전체 화면이 희미해지고 일시적으로 비활성화된 인증 정보를 요청하여 권한 상승 UI만 표시합니다.이는 권한 상승을 요청하는 응용 프로그램에 의해 UI 또는 마우스가 스푸핑되는 것을 방지하기 위함입니다.Secure Desktop으로 전환하기 전에 권한 상승을 요구하는 응용 프로그램에 포커스가 없는 경우 태스크바 아이콘이 깜박이고 포커스를 맞추면 권한 상승 UI가 표시됩니다(단, 악의적인 응용 프로그램이 자동으로 포커스를 획득하는 것을 방지할 수 없습니다).

Secure Desktop 에서는 최고의 특권인 System 어플리케이션만 실행할 수 있기 때문에 사용자 모드어플리케이션은 그 데스크탑에 대화상자를 표시할 수 없기 때문에 권한 상승에 대한 프롬프트는 모두 정품이라고 간주할 수 있습니다.또한 악성 프로세스가 높은 권한 프로세스에 메시지를 보내는 것을 방지함으로써 Windows 프로세스 간 메시지를 가로채 악성 코드를 실행하거나 사용자 인터페이스를 스푸핑하는 분쇄 공격으로부터 보호할 수도 있습니다.높은 특권 프로세스에 메시지를 보내는 모든 프로세스는 UAC를 통해 높은 특권 컨텍스트로 승격되어야 합니다.

종종 왜냐하면 그들은 또는 시스템(특히 HKLM)[2]UAC을 완화하기 위해 시도하는 디렉터리(ProgramFiles와 같은)또는 레지스트리 키 machine-wide에 쓸 시도하는 응용 프로그램은 가정은 사용자가 관리자 권한으로 실행되고 보고 있는 것으로 쓰여진 Windows의 제한된 사용자 계정에서 실행 이전 버전의 문제가 있었다.월는 파일 및 레지스트리 가상화를 사용하여 쓰기(및 후속 읽기)를 사용자 프로파일 내의 사용자별 위치로 리다이렉트합니다.예를 들어 응용 프로그램이 "C:\program files\appname\settings.ini"에 쓰려고 할 때 사용자에게 해당 디렉토리에 쓸 권한이 없는 경우 쓰기는 "C:"로 수정됩니다.\Users\username\AppData\Local\VirtualStore\Program Files\appname\"을 클릭합니다.

암호화

주요 문서: BitLocker, Encrypting File System 및 Trusted Platform Module

BitLocker(이전의 「시큐어 스타트 업」)는, 시스템 볼륨의 풀 디스크 암호화를 제공합니다.명령줄 유틸리티를 사용하여 추가 볼륨을 암호화할 수 있습니다.Bitlocker는 USB 키 또는 TCG 사양의 Trusted Platform Module(TPM) 버전 1.2를 사용하여 암호화 키를 저장합니다.이것에 의해, Windows Vista 를 실행하고 있는 컴퓨터가 정상적인 상태로 기동하는 것과 동시에,[3] 부정 액세스로부터 데이터를 보호합니다.볼륨의 데이터는 FVEK(Full Volume Encryption Key)로 암호화되며, FVEK(Full Volume Encryption Key)는 VMK(Volume Master Key)로 추가로 암호화되어 디스크 자체에 저장됩니다.

Windows Vista는 [4][5]TPM의 사용 및 관리를 위한 API, 명령어, 클래스 및 서비스를 제공함으로써 TPM 1.2를 네이티브하게 지원하는 최초의 Microsoft Windows 운영체제입니다.TPM 베이스 서비스라고 불리는 새로운 시스템 서비스를 통해 [6]디바이스를 지원하는 애플리케이션을 구축하고 싶은 개발자가 TPM 리소스에 액세스하여 공유할 수 있습니다.

Windows Vista의 EFS(파일 시스템 암호화)를 사용하여 시스템 페이지 파일과 사용자별 오프라인 파일 캐시를 암호화할 수 있습니다.또한 EFS는 기업 공개 키 인프라(PKI)와 더욱 긴밀하게 통합되며, PKI 기반 키 복구, EFS 복구 인증서를 통한 데이터 복구 또는 이 둘의 조합을 지원합니다.또한 EFS용 스마트 카드를 요구하고, 페이지 파일 암호화를 시행하고, EFS의 최소 키 길이를 규정하고, 사용자의 문서 폴더 암호화를 시행하고, 자체 서명 인증서를 금지하는 새로운 그룹 정책도 있습니다.EFS 암호화 키 캐시는 사용자가 워크스테이션을 잠글 때 또는 특정 시간 제한 후에 지울 수 있습니다.

EFS 키 재생성 마법사를 사용하여 사용자는 EFS에 대한 인증서를 선택하고 새로 선택한 인증서를 사용할 기존 파일을 선택하고 마이그레이션할 수 있습니다.Certificate Manager를 통해 사용자는 EFS 복구 인증서 및 개인 키를 내보낼 수 있습니다.사용자는 처음 사용할 때 풍선 알림을 통해 EFS 키를 백업해야 합니다.키 재생성 마법사를 사용하여 기존 설치의 사용자를 소프트웨어 인증서에서 스마트 카드로 마이그레이션할 수도 있습니다.이 마법사는 관리자 또는 사용자가 복구 상황에서 사용할 수도 있습니다.이 방법은 파일을 복호화하고 재암호화하는 것보다 효율적입니다.

Windows 방화벽

주요 기사:Windows 방화벽

Windows[7] Vista는 방화벽을 대폭 개선하여 기업 환경에서 Windows 방화벽의 유연성에 관한 많은 문제를 해결합니다.

  • IPv6 접속 필터링
  • 발신 패킷필터링('전화 홈'을 시도하는 스파이웨어 및 바이러스에 대한 우려가 높아지고 있습니다).
  • 고도의 패킷필터를 사용하면, 송신원 및 행선지 IP 주소 및 포토 범위에도 룰을 지정할 수 있습니다.
  • 풀패스 파일명을 지정할 필요 없이 리스트에 의해 선택된 서비스명을 사용해 서비스에 룰을 설정할 수 있습니다.
  • IPsec은 완전히 통합되어 보안 증명서, Kerberos 인증 등에 따라 접속을 허용 또는 거부할 수 있습니다.모든 종류의 접속에 암호화가 필요할 수도 있습니다.접속 보안 규칙은 머신상의 복잡한 IPsec 정책 설정을 처리하는 마법사를 사용하여 작성할 수 있습니다.Windows 방화벽은 트래픽이 IPsec에 의해 보호되고 있는지 여부에 따라 트래픽을 허용할 수 있습니다.
  • 고급 보안을 갖춘 Windows 방화벽이라는 이름의 새로운 관리 콘솔 스냅인. IPsec 구성을 비롯한 많은 고급 옵션에 액세스할 수 있으며 원격 관리를 사용할 수 있습니다.
  • 컴퓨터가 도메인에 가입되어 있거나 개인 네트워크 또는 공용 네트워크에 연결되어 있을 때 별도의 방화벽 프로필을 사용할 수 있습니다.서버 및 도메인 분리 정책을 적용하기 위한 규칙 작성 지원

Windows Defender

주요 기사:Windows Defender

Windows Vista 에는, Microsoft 의 안티스파이웨어 유틸리티인 Windows Defender 가 포함되어 있습니다.마이크로소프트에 따르면, 'Microsoft AntiSpyware'라는 이름이 붙은 이유는 시판되고 있는 다른 무료 제품과 유사한 스파이웨어에 대한 시스템 검색 기능을 갖추고 있을 뿐만 아니라 Windows의 몇 가지 공통 영역을 모니터링하여 스파이웨어로 인해 발생할 수 있는 변경을 감시하는 실시간 보안 에이전트도 포함되었기 때문입니다.이러한 영역에는 Internet Explorer 구성 및 다운로드, 응용 프로그램 자동 시작, 시스템 구성 설정 및 Windows Shell 확장 등의 Windows 추가 기능이 포함됩니다.

Windows Defender에는 설치된 ActiveX 응용 프로그램을 삭제하고 시작 프로그램을 차단하는 기능도 포함되어 있습니다.또, SpyNet 네트워크를 짜넣어 유저가 Microsoft 와 통신해, 스파이웨어라고 생각되는 것을 송신해, 허가 가능한 애플리케이션을 체크할 수 있습니다.

디바이스 설치 제어

Windows Vista 에서는, 관리자가 그룹 정책을 사용해 하드웨어의 제한을 실시해, 유저가 디바이스를 인스톨 할 수 없게 하거나, 디바이스의 [8][9]인스톨을 미리 정의된 화이트 리스트로 제한하거나, 리무버블 미디어나 디바이스의 클래스에의 액세스를 제한할 수 있습니다.

자녀 보호

Danielle 표준 사용자 계정을 제한하는 기능을 표시하는 Windows Vista의 보호자 통제

Windows Vista 에는, 관리자가 도메인의 일부가 아닌 표준 유저 어카운트의 컴퓨터 액티비티를 감시 및 제한할 수 있는 다양한 보호자 제어 기능이 있습니다.사용자 계정 컨트롤은 관리 제한을 적용합니다.특징은 다음과 같습니다.Windows Vista Web 필터(Winsock LSP 필터로서 실장되어 모든 Web 브라우저에 기능합니다).콘텐츠 카테고리 또는 특정 주소에 근거해 Web 사이트에의 액세스를 금지합니다(모든 파일 다운로드를 차단하는 옵션이 있습니다).시간 제한: 관리자가 지정한 날짜 또는 시간 동안 표준 사용자가 로그인할 수 없도록 합니다(및 해당 시간 동안 이미 로그인한 제한된 계정을 잠급니다). 관리자는 t와 같은 비디오 게임 콘텐츠 등급 시스템에서 정의된 이름, 콘텐츠 또는 등급을 기준으로 게임을 차단할 수 있습니다.엔터테인먼트 소프트웨어 등급 위원회(ESRB)는 콘텐츠 제한이 등급 제한보다 우선합니다(예: 모든 10+(E10+) 게임의 실행이 일반적으로 허용될 수 있지만 온화한 언어를 사용하는 E10+ 게임은 차단됩니다).특정 응용 프로그램에 대해 응용 프로그램 화이트리스트를 사용하는 응용 프로그램 제한 및 제한된 표준 사용자 계정의 활동을 모니터링하고 기록하는 활동 보고서입니다.

Windows 보호자 제어에는 확장 가능한 옵션 세트가 포함되어 있으며 개발자가 번들 기능을 자체 기능으로 교체할 수 있는 애플리케이션 프로그래밍 인터페이스(API)가 포함되어 있습니다.

보호 기능 이용

Windows Vista 에서는 ASLR(Address Space Layout Randomization)을 사용하여 메모리 [10]내의 임의의 주소로 시스템파일을 로드합니다.기본적으로는 모든 시스템파일은 가능한 256개 장소 중 하나에 랜덤으로 로드됩니다.다른 실행 파일에서는 ASLR을 사용하려면 Portable Executable(PE; 휴대용 실행 파일) 파일의 헤더에 비트를 설정해야 합니다.이것은 Windows 실행 파일의 파일 형식입니다.이러한 실행 파일의 경우 할당된 스택 및 힙이 랜덤으로 결정됩니다.랜덤 주소로 시스템파일을 로드하면 악성코드가 특권 시스템 기능의 위치를 파악하기 어려워지기 때문에 예측 가능한 사용을 할 수 없게 됩니다.이를 통해 Return-to-libc 버퍼 오버플로 공격을 방지함으로써 대부분의 원격 실행 공격을 방지할 수 있습니다.

예외 핸들러 주소를 헤더에 포함하도록 Portable Executable 형식이 업데이트되었습니다.예외가 발생할 때마다 핸들러의 주소는 실행 가능한 헤더에 저장된 주소로 검증됩니다.일치하면 예외가 처리됩니다.일치하지 않으면 런타임스택이 손상되어 프로세스가 종료됩니다.

함수 포인터는 XOR-ing에 의해 난수에 의해 난독화되기 때문에 실제 지적된 주소는 취득하기 어렵다.포인터에 사용되는 난독화 키는 검색하기가 매우 어렵기 때문에 포인터를 수동으로 변경하는 것입니다.따라서, 기능 포인터의 부정 유저가 실제로 그것을 사용할 수 없게 됩니다.또한 히프 블록의 메타데이터는 난수를 사용하여 XOR로 편집됩니다.또한 히프 블록의 체크섬이 유지되며 이는 부정 변경 및 히프 파손을 검출하기 위해 사용됩니다.힙 파손이 검출될 때마다, 악용의 정상적인 완료를 막기 위해서, 애플리케이션이 중지됩니다.

Windows Vista 바이너리에는 스택오버플로우 검출을 위한 내재가 포함되어 있습니다.Windows Vista 바이너리에서 스택 오버플로가 검출되면 프로세스가 중지되어 부정 이용하는 데 사용할 수 없게 됩니다.또, Windows Vista 바이너리에서는, 메모리에는 버퍼가, 메모리 영역에는 포인터나 제공된 파라미터등의 버퍼가 없는 버퍼가 배치됩니다.따라서 실제로 이용하려면 이러한 위치에 액세스하기 위해 버퍼 언더런이 필요합니다.그러나 버퍼 언더런은 버퍼 오버런보다 훨씬 덜 일반적입니다.

응용 프로그램 분리

주요 기사: 필수 무결성 제어 및 사용자 인터페이스 권한 분리

Windows Vista 에는 프로세스의 무결성 수준을 설정하기 위한 필수 무결성 제어 기능이 도입되어 있습니다.무결성 낮은 프로세스는 무결성 높은 프로세스의 리소스에 액세스할 수 없습니다.이 기능은 응용 프로그램 분리를 적용하기 위해 사용됩니다.이 경우 표준 사용자 컨텍스트에서 실행되는 모든 응용 프로그램 등 중간 무결성 수준의 응용 프로그램은 관리자 모드 응용 프로그램 등 높은 무결성 수준에서 실행되는 시스템 수준 프로세스에 연결할 수 없지만 Windows Inter와 같은 낮은 무결성 프로세스에 연결할 수 있습니다.net Explorer 7 또는 8.하위 권한 프로세스는 상위 권한의 창 핸들 검증을 수행할 수 없습니다. 상위 권한 응용 프로그램 창에 SendMessage 또는 PostMessage를 수행할 수 없습니다. 스레드 후크를 사용하여 상위 권한 프로세스에 연결할 수 없습니다. 저널 후크를 사용하여 상위 권한 프로세스를 모니터링할 수 없으며 상위 권한 프로세스에 DLL 주입을 수행할 수 없습니다.Ilege 프로세스

데이터 실행 방지

주요 기사: 데이터 실행 방지

Windows Vista 는, 최신의 프로세서의 [11]NX(No-Execute) 기능을 완전하게 서포트하고 있습니다.DEP는 Windows XP Service Pack 2 및 Windows Server 2003 Service Pack 1에서 도입되었습니다.AMD의 AMD64 프로세서에서는 NX(EVP)로, 인텔의 프로세서에서는 XD(EDB)로 표시되는 이 기능은 메모리의 특정 부분에 실행 가능한 코드가 아닌 데이터를 포함하는 플래그를 지정할 수 있기 때문에 오버플로우 오류로 인해 임의 코드가 실행되지 않습니다.

프로세서가 NX비트를 지원하는 경우 Windows Vista는 하드웨어 기반의 Data Execution Prevention을 모든 프로세스에서 자동으로 적용하여 일부 메모리 페이지를 실행 불가능한 데이터 세그먼트(히프나 스택 등)로 마크하고 이후 모든 데이터를 코드로 해석 및 실행하는 것을 방지합니다.이렇게 하면 악용 코드가 데이터로 주입된 후 실행되지 않습니다.

모든 애플리케이션에 대해 DEP가 네이블로 되어 있는 경우, 사용자는 제로 데이 부정 이용에 대해 한층 더 내성을 얻을 수 있습니다.그러나 모든 애플리케이션이 DEP에 준거한 것은 아니며 일부 애플리케이션은 DEP 예외를 생성합니다.따라서 DEP는 32비트 버전의 Windows에서는 기본적으로 모든 응용 프로그램에 적용되는 것은 아니며 중요한 시스템 컴포넌트에 대해서만 켜져 있습니다.다만, Windows Vista 에서는, 시스템 전체의 호환성 적용 설정에 관계없이, 소프트웨어 개발자가 코드에 대해서 NX 하드웨어 보호를 유효하게 할 수 있는, 추가의 NX 폴리시 컨트롤이 도입되고 있습니다.개발자는 빌드 시 애플리케이션을 NX 준거로 표시할 수 있습니다.이것에 의해, 애플리케이션의 인스톨과 실행시에 보호를 적용할 수 있습니다.이를 통해 32비트 플랫폼의 소프트웨어 에코시스템에서 NX로 보호되는 코드의 비율이 높아집니다.NX의 디폴트 시스템 호환성 정책은 운영체제컴포넌트만 보호하도록 설정되어 있습니다.x86-64 어플리케이션의 경우 하위 호환성은 문제가 되지 않으므로 DEP는 모든 64비트 프로그램에 기본적으로 적용됩니다.또, Windows Vista 의 x86-64 버전에서는, 시큐러티를 강화하기 위해서, 프로세서에 의한 DEP 만이 사용되고 있습니다.

디지털 권리 관리

주요 기사: 보호된 미디어 경로

Windows Vista 에는, 디지털 컨텐츠 프로바이더나 기업의 데이터 카피를 막기 위한 새로운 디지털 권리 관리 및 컨텐츠 보호 기능이 도입되고 있습니다.

  • PUMA: Protected User Mode Audio(PUMA; 보호 사용자 모드 오디오)는 새로운 UMA(사용자 모드 오디오) 오디오 스택입니다.그 목적은 저작권이 있는 오디오의 복사를 제한하고 활성화된 오디오 출력을 보호된 [12]콘텐츠의 퍼블리셔가 허용하는 것으로 제한하는 오디오 재생 환경을 제공하는 것입니다.
  • Protected Video Path - Output Protection Management (PVP-OPM)는 보호된 디지털 비디오 스트림의 복사 또는 동등한 복사 보호(일반적으로 HDCP)가 없는 비디오 디바이스에 표시되는 것을 방지하는 테크놀로지입니다.Microsoft는, 이러한 제한이 없으면, 컨텐츠 업계가 HD DVD, Blu-ray 디스크, 또는 그 외의 카피 프로텍트 [12]시스템에 사용되는 암호화용의 라이센스 키의 발행을 거부함으로써, 저작권이 있는 컨텐츠의 재생을 방해할 가능성이 있다고 주장하고 있습니다.
  • Protected Video Path - User-Accessible Bus(PVP-UAB)는 PCI Express 버스를 통해 보호된 콘텐츠의 암호화를 적용한다는 점을 제외하고는 PVP-OPM과 유사합니다.
  • RMS(Rights Management Services) 지원.이 테크놀로지는 기업의 문서, 이메일 및 인트라넷에 DRM과 같은 제한을 적용하여 권한이 없는 사용자에 의한 복사, 인쇄 또는 오픈을 방지합니다.
  • Windows Vista 에는 보호 프로세스가 [13]도입되어 있습니다.이는 다른 프로세스가 이러한 프로세스의 상태를 조작할 수 없으며 다른 프로세스의 스레드도 도입할 수 없다는 점에서 일반 프로세스와 다릅니다.보호 프로세스를 통해 Windows Vista의 DRM 기능에 대한 액세스가 강화되었습니다.그러나 현재 Protected Video Path를 사용하는 응용 프로그램만 Protected Processes를 생성할 수 있습니다.

새로운 디지털 권리 관리 기능의 도입은, Windows Vista 에 대한 비판의 대상이 되고 있습니다.

Windows 서비스 강화

Windows Service Hardening 에서는, 1개의 서비스가 손상되었을 경우, 시스템의 다른 서비스를 쉽게 공격하지 않도록, 서비스를 구분합니다.Windows 서비스가 의도하지 않은 파일 시스템, 레지스트리 또는 네트워크에서[14] 작업을 수행하는 것을 방지하여 시스템 전체의 공격을 줄이고 시스템 서비스를 이용하여 악성 프로그램의 침입을 방지합니다.이제 서비스별로 Security Identifier(SID; 보안 식별자)가 할당되어 보안 식별자에 의해 지정된 액세스에 따라 서비스에 대한 액세스를 제어할 수 있게 되었습니다.서비스별 SID는 서비스 설치 중에 ChangeServiceConfig2 API 또는SC.EXE명령어에 sidtype 동사를 지정합니다.서비스에서는 Access Control List(ACL; 접근컨트롤 리스트)를 사용하여 자체 전용 리소스에 대한 외부 접근을 방지할 수도 있습니다.

Windows Vista 의 서비스는, 시스템 어카운트 대신에 로컬 서비스나 네트워크 서비스등의 권한이 적은 어카운트에서도 실행됩니다.이전 버전의 Windows에서는 로컬로 로그인한 사용자와 동일한 로그인 세션(세션 0)에서 시스템 서비스를 실행했습니다.Windows Vista 에서는, 이러한 서비스용으로 세션0 이 예약되어 모든 인터랙티브 로그인은 다른 [15]세션에서 실행됩니다.이는 Shatter 공격이라고 불리는 Windows 메시지 전달 시스템의 악용 클래스를 완화하기 위한 것입니다.서비스를 호스팅하는 프로세스는 HKLM\System\의 RequiredPrivileges 레지스트리 값에 지정된 권한만 가집니다.CurrentControlSet\Services.

또한 서비스에 서비스별로 리소스에 쓰려면 명시적인 쓰기 권한이 필요합니다.쓰기 제한 액세스 토큰을 사용하면 서비스에 의해 변경되어야 하는 리소스만 쓰기 액세스가 부여되므로 다른 리소스를 변경하려고 하면 실패합니다.서비스에는 방화벽정책도 미리 설정되어 있기 때문에 올바르게 기능하기 위해 필요한 권한만 부여됩니다.독립계 소프트웨어 벤더는 Windows Service Hardening을 사용하여 자체 서비스를 강화할 수도 있습니다.또, Windows Vista 에서는, RPC 서버에 의해서 사용되는 이름 붙여진 파이프가 강화되어 다른 프로세스로 하이잭 할 수 없게 됩니다.

인증 및 로그온

주요 기사:윈로그온

안전한 인증 및 대화형 로그온에 사용되는 그래피컬 식별 및 인증(GINA)은 자격 정보 공급자에 의해 대체되었습니다.Credential Provider는 지원 하드웨어와 함께 운영체제를 확장하여 사용자가 바이오메트릭 디바이스(지문, 망막 또는 음성인식), 비밀번호, 스마트카드 증명서 또는 서드파티 개발자가 작성하는 커스텀 인증 패키지와 스키마를 통해 로그온할 수 있도록 합니다.스마트카드 인증은 증명서 요건이 완화되어 유연합니다.기업은 모든 도메인 사용자에 대해 커스텀 인증 메커니즘을 개발, 도입 및 선택적으로 적용할 수 있습니다.credential 프로바이더는 Single Sign-on(SSO; 싱글사인온)을 지원하도록 설계되어 있어 안전한 네트워크액세스 포인트(RADIUS 및 기타 테크놀로지 이용)에의 유저 인증과 머신 로그인을 실시할 수 있습니다.자격 정보 제공자는 응용 프로그램 고유의 자격 정보 수집을 지원하도록 설계되어 있으며 네트워크 리소스에 대한 인증, 도메인에 대한 시스템 참여 또는 사용자 계정 제어에 대한 관리자 동의 제공에 사용할 수 있습니다.IPv6 또는 Web 서비스를 사용한 인증도 서포트되고 있습니다.새로운 보안 서비스 프로바이더인 CredSSP는 보안 지원 프로바이더인터페이스를 통해 사용할 수 있습니다.이 인터페이스를 통해 응용 프로그램은 클라이언트 측 SSP를 사용하여 타깃 서버에 사용자의 자격 정보를 위임할 수 있습니다.CredSSP는 터미널 서비스에서도 싱글사인온을 제공하기 위해 사용됩니다.

Windows Vista 에서는, 스마트 카드 또는 패스워드와 스마트 카드의 편성을 사용해 유저 어카운트를 인증할 수 있습니다(2 요소 인증).Windows Vista 에서는, 스마트 카드를 사용해 EFS 키를 보존할 수도 있습니다.이렇게 하면 스마트 카드를 실제로 사용할 수 있는 경우에만 암호화된 파일에 액세스할 수 있습니다.로그온에 스마트 카드를 사용하는 경우 EFS는 싱글 사인온 모드로 작동하며, 여기서 PIN을 입력하라는 추가 요청 없이 파일 암호화에 로그온 스마트 카드를 사용합니다.

Windows XP 의 워크그룹 컴퓨터로 한정되어 있던 Fast User Switching 은, Windows Vista 이후에 도메인에 가입하고 있는 컴퓨터에서도 유효하게 할 수 있게 되었습니다.Windows Vista 에는, Windows Server 2008 에 도입된 읽기 전용 도메인 컨트롤러의 인증도 서포트되고 있습니다.

암호화

주요 기사:암호화 API

Windows Vista 에는, CNG(Cryptography API: Next Generation)라고 하는 암호 API 에의 갱신이 있습니다.CNG API는 사용자 모드 및 커널모드 API로 Elliptic Curve Cryptography(ECC; 타원곡선암호화) 및 National Security Agency(NSA; 국가보안국) Suite B의 일부인 다수의 새로운 알고리즘을 지원합니다.커스텀 암호화 API를 CNG 런타임에 연결할 수 있도록 지원하는 확장성이 있습니다.또한 개발자 및 스마트 카드 제조사가 필요로 하는 모든 표준 백엔드 암호화 기능을 구현하는 기본 CSP 모듈을 포함하여 스마트 카드 서브시스템과 통합되므로 복잡한 CSP를 작성할 필요가 없습니다.Microsoft 인증국은 ECC 증명서를 발급하고 증명서 클라이언트는 ECC 및 SHA-2 기반 증명서를 등록 및 검증할 수 있습니다.

실효성 향상에는 실시간 증명서 유효성 검사, CRL 프리페치 및 CAPI2 진단 기능을 제공하는 OCSP(Online Certificate Status Protocol)의 네이티브 지원이 포함됩니다.증명서 등록은 마법사 기반이며 사용자가 등록 중에 데이터를 입력할 수 있으며 실패한 등록 및 만료된 증명서에 대한 명확한 정보를 제공합니다.CertEnroll은 새로운 COM 기반 등록 API로 XEnroll 라이브러리를 대체하여 유연한 프로그래밍 기능을 제공합니다.자격 정보 로밍 기능은 네트워크 내의 저장된 사용자 이름 및 암호에 저장된 Active Directory 키 쌍, 인증서 및 자격 정보를 복제합니다.

메타데이터 삭제

속성 및 개인 정보 제거 기능을 사용하면 파일을 공유하기 전에 파일에서 메타데이터를 제거하여 개인 정보를 보호할 수 있습니다.소수의 파일 형식과 제한된 수의 속성 제거를 지원합니다.그러나 소프트웨어 개발자가 이 기능의 확장자를 개발하여 추가 파일 형식 및 속성을 지원할 수 있습니다.파일 형식과 메타데이터 요소를 매우 제한적으로 지원하고 사용자 인터페이스를 [16]잘못 사용한다는 비판을 받아왔습니다.

네트워크 액세스 보호

주요 기사:네트워크 액세스 보호

Windows Vista 에는, 네트워크 액세스 보호(NAP)가 도입되고 있습니다.이것에 의해, 네트워크에 접속하고 있는 컴퓨터 또는 네트워크와 통신하는 컴퓨터가, 네트워크 관리자가 설정한, 필요한 레벨의 시스템 상태를 준수할 수 있습니다.관리자가 설정한 정책에 따라 요건을 충족하지 않는 컴퓨터는 경고 및 액세스 허용, 제한된 네트워크 리소스에 대한 액세스 허용 또는 액세스가 완전히 거부됩니다.NAP는 선택적으로 Remediation 서버를 사용하여 비준수 시스템에 소프트웨어 업데이트를 제공하여 네트워크에 액세스하는 데 필요한 수준으로 업그레이드할 수도 있습니다.적합 클라이언트에게는 헬스 증명서가 부여되며, 이 증명서를 사용하여 네트워크상의 보호된 자원에 액세스 합니다.

윈도우즈 서버 2008을 실행하는 네트워크 정책 서버는 상태 정책 서버 역할을 하며 클라이언트는 윈도우즈 XP SP3 이후를 사용해야 합니다.VPN 서버, RADIUS 서버, 또는 DHCP 서버는, 헬스 정책 서버로서도 기능할 수 있습니다.

기타 네트워킹 관련 보안 기능

  • TCP/IP 보안(로컬호스트 트래픽 필터링), 방화벽훅, 필터 훅 및 패킷필터 정보 저장용 인터페이스는 Windows Filtering Platform(WFP; Windows 필터링 플랫폼)이라고 불리는 새로운 프레임워크로 대체되었습니다.WFP는 TCP/IP 프로토콜 스택의 모든 계층에서 필터링 기능을 제공합니다.WFP는 스택에 통합되어 있어 개발자가 TCP/IP 트래픽을 필터링, 분석 또는 수정해야 하는 드라이버, 서비스 및 애플리케이션을 쉽게 구축할 수 있습니다.
  • 네트워크를 통해 데이터를 전송할 때 보안을 강화하기 위해 Windows Vista에서는 데이터를 난독화하는 데 사용되는 암호화 알고리즘이 향상되었습니다.256비트 및 384비트 타원곡선 Diffie 지원 -Hellman(DH) 알고리즘과 128비트, 192비트 및 256비트 Advanced Encryption Standard(AES) 알고리즘은 네트워크 스택 자체 및 Kerberos 프로토콜 및 GSS 메시지에 포함되어 있습니다.새로운 Winsock API에서 SSL 및 TLS 접속을 직접 지원하므로 보안 연결을 지원하기 위해 코드를 추가할 필요 없이 소켓애플리케이션이 네트워크를 통해 트래픽의 보안을 직접 제어할 수 있습니다(트래픽 보안 정책 및 요건 제공, 보안 설정 쿼리 등).윈도우즈 비스타를 실행하는 시스템은 Active Directory 도메인 내에서 논리적으로 분리된 네트워크의 일부일 수 있습니다.동일한 논리적 네트워크 파티션에 있는 컴퓨터만 도메인의 리소스에 액세스할 수 있습니다.다른 시스템이 물리적으로 같은 네트워크상에 있어도, 같은 논리 파티션에 없는 한, 분할된 자원에 액세스 할 수 없습니다.시스템은 여러 네트워크 파티션의 일부일 수 있습니다.섀널 SSP에는 타원 곡선 암호화를 지원하는 새로운 암호 스위트가 포함되어 있으므로 ECC 암호 스위트는 표준 TLS 핸드쉐이크의 일부로 네고시에이트할 수 있습니다.섀널 인터페이스는 플러그가 가능하기 때문에 고도의 암호 스위트 조합으로 보다 높은 수준의 기능을 대체할 수 있습니다.
  • IPsec은 현재 Windows 방화벽과 완전히 통합되어 설정이 단순해지고 인증이 향상되었습니다.IPsec 는, Internet Key Exchange(IKE; 인터넷 키 교환), AuthIP 와 데이터 암호화, 클라이언트와 DC 의 보호, 네트워크 액세스 보호와의 통합, 및 네트워크 진단 프레임워크의 서포트 등, IPv6 를 서포트하고 있습니다.IPsec VPN 의 시큐러티와 도입성을 향상시키기 위해서, Windows Vista 에는 인증 기능이 포함되어 있습니다.IKE 암호화 프로토콜을 확장하여 여러 자격 증명을 사용한 인증, 대체 방식 네고시에이션 및 비대칭 [17]인증 등의 기능을 추가합니다.
  • 무선 네트워크의 보안은 802.11i(WPA2)와 같은 새로운 무선 표준을 보다 효과적으로 지원함으로써 향상되고 있습니다.EAP Transport Layer Security(EAP-TLS; 트랜스포트층 보안)가 기본 인증 모드입니다.무선 액세스 포인트에서 지원되는 가장 안전한 연결 수준에서 연결이 이루어집니다.WPA2는 애드혹모드에서도 사용할 수 있습니다.Windows Vista 에서는, 무선 네트워크를 개입시켜 도메인에 가입하는 경우의 시큐러티가 강화됩니다.Single Sign On을 사용하여 동일한 자격 증명을 사용하여 무선 네트워크 및 네트워크 [18]내에 있는 도메인에 가입할 수 있습니다.이 경우, 네트워크에 가입하기 위한 PEAP 인증과 도메인에 로그인하기 위한 MS-CHAP v2 인증 모두에 같은 RADIUS 서버가 사용됩니다.무선 클라이언트에 부트스트랩 무선 프로파일을 작성할 수도 있습니다.이 프로파일은 컴퓨터를 무선 네트워크에 대해 먼저 인증하고 네트워크에 접속합니다.이 단계에서 기계는 도메인 리소스에 액세스할 수 없습니다.시스템은 시스템 또는 USB 썸 드라이브에 저장된 스크립트를 실행하여 해당 스크립트를 도메인에 인증합니다.인증은 사용자 이름과 패스워드의 조합 또는 VeriSign 등의 Public Key Infrastructure(PKI; 공개키 인프라스트럭처) 벤더의 보안 증명서를 사용하여 실행할 수 있습니다.
  • 또, Windows Vista 에는, 802.1X 나 PPP [19]등, 일반적으로 사용되는 보호된 네트워크 액세스 테크놀로지의 인증 방법의 확장성을 제공하는 EAPHost(Extensible Authentication Protocol Host) 프레임워크도 포함되어 있습니다.이를 통해 네트워킹벤더는 EAP 방식이라고 불리는 새로운 인증 방식을 개발하고 쉽게 설치할 수 있습니다.
  • Windows Vista 에서는, PPTP 에서의 PEAP 의 사용이 서포트되고 있습니다.지원되는 인증 메커니즘은 PEAPv0/EAP-MSCHAPv2(패스워드) 및 PEAP-TLS(스마트카드 및 증명서)입니다.
  • Windows Vista Service Pack 1 에는, SSL 채널을 개입시켜 Point-to-Point Protocol(PPP) 트래픽(IPv6 트래픽 포함)을 전송하는 메카니즘을 제공하는 새로운 Microsoft 독자적인 VPN 프로토콜인 Secure Socket Tunneling Protocol이 포함되어 있습니다.

x86-64 고유의 기능

  • 64비트 버전의 Windows Vista는 하드웨어 기반 DEP(Data Execution Prevention)를 적용하며, 폴백 소프트웨어 에뮬레이션은 없습니다.이것에 의해, 소프트웨어의 유효성이 낮은 DEP(안전한 예외 처리일 뿐, NX 비트와는 무관)가 사용되지 않게 됩니다.또한 기본적으로는 DEP는 x86-64 버전의 모든 64비트 애플리케이션과 서비스와 선택한 32비트 애플리케이션에 적용됩니다.반면 32비트 버전에서는 소프트웨어 강제 DEP를 사용할 수 있으며 기본적으로는 필수 시스템 구성 요소에서만 사용할 수 있습니다.
  • 업그레이드된 커널 패치 보호(PatchGuard라고도 함)는 커널 모드 드라이버를 포함한 서드파티 소프트웨어가 커널 또는 커널에서 사용되는 데이터 구조를 어떤 방식으로도 수정할 수 없도록 합니다. 변경이 감지되면 시스템이 종료됩니다.이로 인해 루트킷이 사용자 [20]모드애플리케이션으로부터 자신을 숨기기 위해 사용하는 일반적인 전술이 경감됩니다.PatchGuard는 Windows Server 2003 Service Pack 1의 x64 에디션에 처음 도입되었으며 Windows XP Professional x64 에디션에 포함되어 있습니다.
  • 64비트 버전의 Windows Vista 상의 커널 모드 드라이버는 디지털 서명되어 있어야 합니다.관리자라도 서명되지 않은 커널 모드 [21]드라이버를 설치할 수 없습니다.Windows 의 단일 세션에 대해서 이 체크를 무효로 하는 기동시 옵션을 사용할 수 있습니다.64비트 사용자 모드 드라이버는 디지털 서명할 필요가 없습니다.
  • 코드 무결성 검사 - 서명된 코드를 합합니다.시스템 바이너리를 로드하기 전에 체크섬과 대조하여 수정되지 않았는지 확인합니다.바이너리는 시스템카탈로그에서 시그니처를 검색함으로써 검증됩니다.윈도우즈 Vista 부트 로더는 커널, HAL(Hardware Abstraction Layer) 및 부팅 시작 드라이버의 무결성을 확인합니다.커널 메모리 공간 외에 코드 무결성은 보호된 프로세스에 로드된 바이너리와 핵심 암호화 기능을 구현하는 시스템에 설치된 동적 라이브러리를 확인합니다.

기타 기능 및 변경 사항

다음과 같은 몇 가지 구체적인 보안 및 신뢰성이 변경되었습니다.

  • LSA 비밀(캐시된 도메인 레코드, 패스워드, EFS 암호화 키, 로컬 보안 정책, 감사 등)[22]을 저장하기 위해 보다 강력한 암호화를 사용합니다.
  • Windows Vista Service Pack [23]2 용 핫픽스를 사용한 USB 플래시 드라이브의 IEEE 1667 인증 규격 지원.
  • Kerberos SSP는 AES [24]암호화를 지원하도록 업데이트되었습니다.SChannel SSP는 AES 암호화와 ECC [25]지원도 강화되어 있습니다.
  • Windows XP에서 도입된 소프트웨어 제한 정책은 Windows [26]Vista에서 개선되었습니다.기본 사용자 보안 수준은 숨겨지는 대신 기본적으로 노출됩니다.기본 해시 규칙 알고리즘이 MD5에서 더 강력한 SHA256으로 업그레이드되었습니다.이제 소프트웨어 제한 정책 스냅인 확장 기능 내에서 시행 속성 대화 상자를 통해 인증서 규칙을 활성화할 수 있습니다.
  • Windows 를 잘못 삭제하는 것을 막기 위해서, Vista 에서는, 기동 파티션이 액티브하게 되어 있을 때에 포맷 할 수 없습니다(C: 드라이브를 오른쪽 클릭하고 「Format」(포맷 C:)를 선택하거나, 커맨드 프롬프트에서 「Format C:」(따옴표 없음)를 입력하면, 이 볼륨의 포맷은 허가되지 않습니다.」라고 하는 메세지가 표시됩니다.메인 하드 드라이브(Windows 탑재 드라이브)를 포맷하려면 Windows 설치 디스크에서 컴퓨터를 부팅하거나 컴퓨터를 켤 때 F8 키를 눌러 [Advanced System Recovery Options](상세 시스템 복구 옵션)에서 [Repair Your Computer](컴퓨터 복구) 메뉴 항목을 선택해야 합니다.
  • 추가 EFS 설정을 통해 암호화 정책 업데이트 시기, 암호화된 폴더로 이동된 파일의 암호화 여부, 오프라인 파일 캐시 파일 암호화 및 암호화된 항목을 Windows 검색에서 인덱싱할 수 있는지 여부를 구성할 수 있습니다.
  • Stored User Names and Passwords(Credentials Manager) 기능에는 Windows Vista 이후 운영 체제를 실행하는 시스템에서 사용자 이름과 암호를 파일로 백업하고 복원하는 새로운 마법사가 포함되어 있습니다.
  • 그룹 정책의 새 정책 설정을 사용하면 마지막으로 성공한 대화형 로그온 날짜와 시간 및 동일한 사용자 이름으로 마지막으로 성공한 로그온 이후 실패한 로그온 시도 횟수를 표시할 수 있습니다.이를 통해 사용자는 자신도 모르는 사이에 계정이 사용되었는지 확인할 수 있습니다.로컬 사용자와 기능 수준 도메인에 가입한 컴퓨터에 대해 정책을 활성화할 수 있습니다.
  • 윈도우즈 리소스 보호는 윈도우즈 Installer 이외의 프로세스에서 시스템 파일 및 설정을 변경하는 것을 방지하여 시스템 구성 변경을 [27]손상시킬 수 있는 가능성을 방지합니다.또한 인증되지 않은 소프트웨어에 의한 레지스트리에 대한 변경도 차단됩니다.
  • 보호 모드 Internet Explorer:Internet Explorer 7 이후에는 피싱 필터, ActiveX 옵션인, URL 처리 보호, 도메인 간 스크립팅 공격 및 상태 표시줄 스푸핑 등의 몇 가지 보안 변경이 도입되었습니다.Windows Vista 에서는 무결성 낮은 프로세스로 실행되어 [Temporary Internet Files]폴더에만 쓸 수 있으며 사용자 프로파일의 파일 및 레지스트리 키에 대한 쓰기 액세스 권한을 얻을 수 없으므로 ActiveX 컨트롤에서도 악의적인 콘텐츠 및 보안 취약점으로부터 사용자를 보호할 수 있습니다.또, Internet Explorer 7 이후에서는, 시큐어성이 낮은 보호 스토리지(PSTORE) 대신에, 시큐어성이 높은 Data Protection API(DPAPI)를 사용해 패스워드등의 credential을 보존합니다.
  • Windows 방화벽과의 네트워크 로케이션 인식 통합.새로 연결된 모든 네트워크는 기본적으로 "Public Location"으로 설정되며 수신 포트 및 서비스가 잠깁니다.네트워크가 신뢰할 수 있는 것으로 표시되어 있는 경우, Windows 는 그 네트워크에의 장래의 접속을 위해서 그 설정을 기억합니다.
  • 사용자 모드 드라이버 프레임워크는 드라이버가 커널에 직접 액세스하는 대신 전용 API를 통해 커널에 액세스하는 것을 방지합니다.이 새로운 기능은 시스템 크래시의 대부분이 서드파티제의 디바이스 [28]드라이버가 올바르게 인스톨 되어 있지 않기 때문에 중요합니다.
  • Windows 보안 센터는 악성 프로그램 방지 소프트웨어의 존재를 감지 및 보고하고 여러 Internet Explorer 보안 설정 및 사용자 계정 컨트롤을 모니터링 및 복원하도록 업그레이드되었습니다.보안 센터와 통합된 안티바이러스 소프트웨어의 경우 자체 사용자 인터페이스에서 문제를 해결할 수 있는 솔루션을 제공합니다.또한 응용 프로그램이 Windows 보안 센터에서 집계 상태를 가져오고 상태 변경 시 알림을 받을 수 있도록 일부 Windows API 호출이 추가되었습니다.
  • Windows Vista 에서는, 보호 스토리지(PSTORE)가 폐지되어 읽기 전용으로 되어 있습니다.Microsoft 에서는, DPAPI 를 사용해 새로운 PStore 데이터 항목을 추가하거나 기존의 데이터를 [29]관리하는 것을 추천합니다.Internet Explorer 7 이후에는 PStore 대신 DPAPI를 사용하여 자격 정보를 저장합니다.
  • 빌트인 관리자 계정은, Windows Vista 를 클린 인스톨 하면 디폴트로 무효가 됩니다.하나 이상의 추가 로컬 관리자 계정이 있는 한 안전 모드에서 액세스할 수 없습니다.

「 」를 참조해 주세요.

레퍼런스

  1. ^ Steve Lipner, Michael Howard (March 2005). "The Trustworthy Computing Security Development Lifecycle". Microsoft Developer Network. Retrieved 2006-02-15.
  2. ^ Charles (2007-03-05). "UAC - What. How. Why" (video). Retrieved 2007-03-23.
  3. ^ "Windows Vista Beta 2 BitLocker Drive Encryption Step-by-Step Guide". Microsoft TechNet. 2005. Retrieved 2006-04-13.
  4. ^ "Windows Trusted Platform Module Management Step-by-Step Guide". TechNet. Microsoft. Retrieved 18 November 2014.
  5. ^ "Win32_Tpm class". MSDN. Microsoft. Retrieved 18 November 2014.
  6. ^ "TPM Base Services". MSDN. Microsoft. Retrieved 18 November 2014.
  7. ^ 「케이블 가이」의 2006년 1월호에서는, Windows Firewall 의 신기능과 인터페이스에 대해 자세하게 설명합니다.
  8. ^ "Step-By-Step Guide to Controlling Device Installation Using Group Policy". MSDN. Microsoft.
  9. ^ "Managing Hardware Restrictions via Group Policy". TechNet Magazine. Microsoft.
  10. ^ Michael Howard (May 26, 2006). "Address Space Layout Randomization in Windows Vista". Microsoft. Retrieved 2006-05-26.
  11. ^ "Security advancements in Windows Vista". Archived from the original on 2007-04-11. Retrieved 2007-04-10.
  12. ^ a b "Output Content Protection and Windows Vista". WHDC. Microsoft. April 27, 2005. Archived from the original on 6 August 2005. Retrieved 2006-04-30.
  13. ^ Windows Vista의 보호된 프로세스
  14. ^ "Windows Vista Security and Data Protection Improvements – Windows Service Hardening". TechNet. Microsoft. June 1, 2005. Retrieved 2006-05-21.
  15. ^ Windows Vista에서 세션0 분리가 서비스와 드라이버에 미치는 영향은 Windows Vista의 세션 분리 변경에 적용됩니다.
  16. ^ 속성 및 개인정보 삭제:오해의 소지가 있는 기능!
  17. ^ Windows Vista에서의 AuthIP
  18. ^ 케이블맨: 무선 싱글 사인온
  19. ^ Windows에서의 EAPHost
  20. ^ Field, Scott (August 11, 2006). "An Introduction to Kernel Patch Protection". Windows Vista Security blog. MSDN Blogs. Retrieved August 12, 2006.
  21. ^ "Digital Signatures for Kernel Modules on x64-based Systems Running Windows Vista". WHDC. Microsoft. May 19, 2006. Archived from the original on April 12, 2006. Retrieved May 19, 2006.
  22. ^ Windows LSA의 비밀
  23. ^ Windows Vista 및 Windows Server 2008에서 확장 스토리지 디바이스를 지원할 수 있는 업데이트가 제공됩니다.
  24. ^ Windows Vista에서의 Kerberos 확장 기능: MSDN
  25. ^ Windows Vista에서의 TLS/SSL 암호화 기능 확장
  26. ^ 소프트웨어 제한 정책을 사용한 부정한 소프트웨어로부터의 보호
  27. ^ Windows Vista 관리 기능
  28. ^ CNET.com (2007). "Windows Vista Ultimate Review". Retrieved 2007-01-31.
  29. ^ "SPAP Deprecation (PStore)". Archived from the original on 2008-04-21. Retrieved 2007-04-17.

외부 링크