Технологии компьютерной безопасности. Часть 1. Intel LaGrande Technology — архитектура компьютерной безопасности

Масштабы задумки впечатляют — фактически LT защищает буквально все аспекты функционирования компьютерной системы и требует для своей реализации изменений в архитектуре центрального процессора, контроллера памяти и контроллеров ввода-вывода (AGP и USB), добавления в систему особого устройства — модуля TPM, существенной переработки BIOS и операционной системы, а в идеале — еще и использования специальных видеокарты, клавиатуры и мыши! Самое удивительное, что по всем пунктам уже выработаны необходимые спецификации, поддерживаемые крупнейшими участниками рынка. Intel и AMD обеспечивают поддержку LT в своих процессорах и чипсетах, Microsoft делает операционную систему New Generation of Secure Computing Base (NGSCB), а судя по участию в альянсе TCG (www.trustedcomputinggroup.org, занимается продвижением LT и подобных технологий) таких имен, как Nvidia, ATI, Phoenix, ALi, SiS и еще двух десятков не менее известных, за остальные слагаемые LT можно не волноваться. Конечно, доводка технологии займет немало времени, но калибр взявшихся за дело фирм не оставляет сомнений, что LT пойдет в массы.

Способов атаковать компьютерную систему, по сути, всего два. Первый — «вынести» из нее все хранящиеся данные и потом уже с ними разбираться. Но если данные зашифрованы, а ключи хранятся в надежном месте (классический пример — программа использует вводимый пароль), то этот способ, как правило, бесполезен. Более того, в LT предусмотрено и специальное защищенное хранилище — Trusted Platform Module (TPM), прочитать данные из которого сможет лишь записавшая их туда программа (взломать TPM без специального оборудования практически невозможно). TPM можно «привязать» к конкретному компьютеру — в модуле хранится специальный хэш¹, вычисляемый на основе информации об основном оборудовании компьютера, и его можно настроить так, чтобы при несовпадении сохраненного и вычисленного при загрузке ОС хэшей модуль отказался выдавать данные. Так что копировать защищенную информацию (или красть винчестер с нею) бесполезно даже при наличии всех необходимых паролей. То же самое можно сказать и о попытке установить специальные «хакерские железки», маскирующиеся под компоненты системы (видеокарту, например, — она имеет прямой доступ в оперативную память компьютера). Правда, если ставится задача — уничтожить информацию или нарушить работу компьютера, то никакая LT в случае физического воздействия на оборудование, увы, не поможет.

Второй (и гораздо более распространенный) способ атаки — внедрить в систему «шпиона» или, если нужно нарушить функционирование системы, — «диверсанта». Тем или иным способом в систему запускается хакерская программа, пытающая либо тихо «вытащить» данные, либо осложнить работу системы. Первая линия обороны здесь — не допустить самой возможности запуска вредоносного приложения. Любая операционная система сегодня позволяет запустить любое приложение по выбору пользователя (с его правами доступа), а печальный опыт эпидемий сетевых червей ярко показывает, насколько это слабое звено. Кроме того, запустить хакерское приложение может другой пользователь того же компьютера. Наконец, в код программы может быть незаметно внедрен вирус. Поэтому хотелось бы автоматически ограничить запуск опасных программ.

Проблему несколько смягчают антивирусы, но в базе данных антивируса может и не найтись конкретной вредоносной программы (особенно если ведется целенаправленная атака на систему), и тогда он окажется бесполезен. А вот технология LaGrande, по крайней мере теоретически, позволяет организовать идеальную защиту. Во-первых, можно «подписать» все приложения и просто не разрешать запуск неподписанных приложений² — именно такой способ несколько лет назад продвигала Microsoft со своим Palladium. Реакцию общественности на эту инициативу мы хорошо помним (см. врезку), но в корпоративном секторе метод теоретически может и прижиться, если компании-пользователи получат возможность самостоятельно создавать электронные подписи и подписывать ими нужные для работы приложения. Во-вторых, можно воспользоваться хорошо отработанным на системах сетевой безопасности принципом «обучения» — сначала мы «учим» систему, указывая, какие приложения можно запускать (система сохраняет соответствующую информацию в TPM), а затем переключаем ее в «рабочий» режим, запрещая запуск всех других приложений (или хотя бы научив ее предупреждать пользователя при попытке запуска подозрительного кода). Этот способ немного лучше, но его сложнее реализовать и с ним неудобно работать (кто хоть раз работал с файрволлом в «режиме обучения», это поймет, — а ведь программ на компьютере запускается намного больше, чем сетевых приложений). Так что защита от запуска не идеальна и к тому же не решает проблему целиком.

Существует целый ряд атак, направленных на «подкуп» честной программы, когда вредоносный код «внедряется» в работающее приложение. Он перехватывает управление, и программа начинает вкалывать на своего «поработителя» (защита от запуска здесь не поможет — программа уже запущена). Так что мы переходим ко «второй линии обороны» — защите работающих приложений от внешнего воздействия.

На рис. 2 схематично изображено функционирование современной многозадачной операционной системы. На «верхнем» уровне «живет» множество одновременно работающих приложений. С окружающей средой они общаются через программные интерфейсы системы³. В свою очередь, интерфейсы уже взаимодействуют с ядром ОС. Именно оно отвечает за все «системные» задачи — обеспечивает одновременное функционирование многих приложений, обработку и перенаправление возникающих событий, выделение и защиту памяти и многое, многое другое. Для работы с внешними устройствами в состав ядра включают драйверы, через которые ядро «общается» с чипсетом и подключенными к нему устройствами. Самый нижний уровень — непосредственно компьютерное «железо». Посмотрим, как можно атаковать прикладное приложение (рис. 3).

Начнем сверху — с непосредственной атаки на приложение. Способ более чем популярный (и, забегая вперед, — почти единственно возможный в семействе Unix-систем). Подробно он описан во второй статье цикла, здесь же мы просто отметим, что никакой защиты на этом уровне технология LaGrande не предоставляет.

Следующий уровень атак — через программные интерфейсы или ядро системы. Идея здесь такова: ядро (а в операционных системах корпорации Microsoft — еще и большая часть всевозможных интерфейсов) работает в так называемом нулевом кольце (ring 0) системной защиты. Проще говоря, весь этот код находится в привилегированном положении, и никакие ограничения безопасности на него не действуют. Так что если мы не можем взломать приложение — мы взломаем его окружение. Принципы атаки остаются прежними, ведь и ядро, и программные интерфейсы — в общем-то, вполне обычные программы. И если ядро (сравнительно небольшое по размерам и объему выполняемых функций) можно сделать очень надежным (что, собственно говоря, и реализовано в Unix-системах), то в программных интерфейсах исключить ошибки и уязвимости практически нереально. В Unix проблем это не вызывает — всевозможные системные библиотеки просто наследуют права доступа от работающего с ними приложения, и атаковать, по сути дела, оказывается нечего. С продукцией Microsoft ситуация иная: в погоне за производительностью компания давно перевела в ring 0 почти все критичные к скорости компоненты операционной системы, например DirectX. Ради той же скорости действия приложения в интерфейсах обычно еще и не проверяются на допустимость — фактически большинство функций может вызвать любая программа и с любыми параметрами. В результате у хакерского приложения появляется возможность обойти защиту (рис. 4).

Кроме того, ОС от Microsoft (все по той же причине — из-за внесения программных интерфейсов в ring 0) нередко позволяют напрямую обращаться к оборудованию компьютера. Это может быть чтение или модификация видеопамяти (хакерская программа «видит» все, что видит пользователь, и способна подделывать изображение на экране), перехват нажатия кнопок на клавиатуре и движений мыши или, наоборот, их эмуляция (перехватываются вводимые пароли, хакерская программа имитирует работу человека, чтобы использовать нормальную программу в своих целях). Есть и весьма экзотические виды атак — например, использование контроллера DMA. Этот контроллер имеет свободный доступ к памяти и программируется пользователем, так что хакерской программе нужно всего лишь «попросить» DMA залезть в недоступную ей память. В Unix все эти атаки практически невозможны⁴, поскольку любые действия приложения, проходящие через ядро (а любая непрямая атака проходит через ring 0, в котором в Unix-системах «живет» только ядро), строго контролируются операционной системой, которая не позволит напрямую обращаться к оборудованию без надлежащих прав доступа (рис. 5).⁵

Вернемся к ключевым пунктам защиты. То, что операционные системы семейства Unix защищены лучше ОС от Microsoft, слышали, наверное, все. Но почему так происходит, знают немногие. А причина проста: Unix-системы реализуют «наиболее правильную» защиту системы в целом — любые действия любого приложения, выходящие за пределы «компетенции» самого приложения, обязательно проходят проверку. Сделать это несложно, поскольку во «вседозволенном» режиме работает только ядро, в котором реализован весьма ограниченный набор функций. Но такой подход требует грамотного проектирования прикладных интерфейсов, чтобы по возможности минимизировать число обращений к аппаратным ресурсам.⁶ Читать дальше >>>

1. Хэш-функция сопоставляет набору разных данных (в нашем случае — серийных номеров, названий производителей и т. п.) какое-то число — хэш от этих данных. «Хорошая» хэш-функция наверняка даст для разных наборов разные числа, поэтому вместо громоздкой информации сохраняется лишь относительно небольшое число. [вернуться]

2. Напомним, что, во-первых, подписать программу, не зная соответствующих криптографических ключей, практически невозможно, а во-вторых, электронная подпись индивидуальна для каждой программы — в отличие от бумажной ее нельзя скопировать, чтобы подписать другое приложение. Любое изменение в подписанном приложении будет сразу же обнаружено, и запустить приложение не удастся. В LaGrande механизм этой проверки тщательно продуман — например, обойти защиту, «взломав» сам проверяющий код, невозможно. [вернуться]

3. Наборы функций, предназначенных для выполнения различных стандартных операций, таких, например, как «создать окно приложения» или «записать порцию данных в файл». [вернуться]

4. Сомневающиеся могут сравнить результаты, выдаваемые google.com по запросам «keylogger for windows» и «keylogger for unix OR linux». [вернуться]

5. Впрочем, некоторые хитрые трюки порой срабатывают даже здесь. Например, при неверных настройках контроллера памяти различным физическим адресам могут соответствовать одни и те же ячейки памяти («сворачивание» памяти) — знание этой особенности можно использовать для обхода защиты. Но это уже экзотика, присущая конкретному компьютеру, и хотя LaGrande помогает решить и эту проблему (специальным тестированием оборудования при запуске — в случае чего LT просто не запустится), едва ли это можно отнести к большим достижениям технологии. [вернуться]

6. Поясним это следующим примером: представьте себе защищенное здание, в котором располагается, скажем, фабрика кондитерских изделий (ядро операционной системы и драйверы) и торговые ряды, где реализуется готовая продукция (программные интерфейсы). Можно вынести ряды за пределы здания, оставив несколько хорошо защищенных проходов, но тогда продавцам, которым для обслуживания посетителя обычно требуется проделать множество действий (например, продать пять-шесть видов продукции), придется постоянно возвращаться на завод — а дело это небыстрое, посетитель на такой неторопливый сервис плюнет и уйдет. Чтобы избежать этого, прибегают к тем же способам, что и в реальной жизни: продавец заранее запасается необходимыми материалами (кэширование данных), а при обслуживании покупателя, вместо того чтобы бегать по каждому его требованию, внимательно его выслушивает, составляет списочек и уже затем, «за один заход», все выполняет. Это требует определенных усилий от продавца, зато фабрика оказывается надежно защищена. Но есть и другой способ обеспечить скорость работы — разобрать полстены и перенести рынок внутрь здания, на первый этаж. От защиты при этом мало что остается, зато продавцам далеко ходить не надо, и заказы исполняются быстро. [вернуться]