موضوع مقاله: ویژگی‌های امنیتی و ایمنی جدید در ویندوز ویستا | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # ویژگی‌های امنیتی و ایمنی جدید در ویندوز ویستا | مقدمه: تعدادی ویژگی امنیتی و ایمنی جدید در ویندوز ویستا وجود دارد که اکثر آنها در هیچ‌یک از نسخه‌های قبلی سیستم عامل مایکروسافت ویندوز موجود نیستند. | ## بخش 1: ویژگی‌های امنیتی و ایمنی جدید در ویندوز ویستا | از اوایل سال ۲۰۰۲ با اعلام طرح «محاسبات قابل اعتماد» مایکروسافت، کارهای زیادی برای تبدیل ویندوز ویستا به یک سیستم عامل امن‌تر از نسخه‌های قبلی آن انجام شده است. در داخل شرکت، مایکروسافت یک «چرخه عمر توسعه امنیت» را با شعار اساسی «ایمن در طراحی، ایمن در پیش‌فرض، ایمن در استقرار» اتخاذ کرد. کد جدید ویندوز ویستا با روش SDL توسعه داده شد و تمام کدهای موجود برای بهبود امنیت بررسی و اصلاح شدند. برخی از حوزه‌های خاصی که ویندوز ویستا مکانیسم‌های امنیتی و حفاظتی جدیدی را معرفی می‌کند شامل کنترل حساب کاربری، کنترل‌های والدین، محافظت از دسترسی به شبکه، یک ابزار ضد بدافزار داخلی و مکانیسم‌های جدید محافظت از محتوای دیجیتال است. با این ویژگی، همه کاربران، از جمله کاربرانی که امتیازات مدیریتی دارند، به‌طور پیش‌فرض در حالت کاربر استاندارد اجرا می‌شوند، زیرا اکثر برنامه‌ها به امتیازات بالاتری نیاز ندارند. هنگامی که اقدامی انجام می‌شود که نیاز به امتیازات مدیریتی دارد، مانند نصب نرم‌افزار جدید یا تغییر تنظیمات سیستم یا امنیت، ویندوز از کاربر می‌پرسد که آیا اجازه انجام آن عمل را می‌دهد یا خیر. اگر کاربر اجازه را انتخاب کند، فرآیندی که آن عمل را آغاز می‌کند برای ادامه به یک زمینه با امتیازات بالاتر ارتقا می‌یابد. UAC در حالت دسکتاپ امن، که در آن کل صفحه محو و موقتاً غیرفعال می‌شود، درخواست اعتبارنامه می‌کند تا فقط رابط کاربری ارتفاع را نمایش دهد. این کار برای جلوگیری از جعل رابط کاربری یا ماوس توسط برنامه‌ای است که درخواست ارتفاع را می‌دهد. اگر برنامه‌ای که درخواست ارتفاع را دارد قبل از تغییر به دسکتاپ امن، فوکوس نداشته باشد، نماد نوار وظیفه آن چشمک می‌زند و وقتی فوکوس می‌شود، رابط کاربری ارتفاع نمایش داده می‌شود (با این حال، نمی‌توان از به دست آوردن بی‌سروصدای فوکوس توسط یک برنامه مخرب جلوگیری کرد). از آنجایی که دسکتاپ امن فقط به برنامه‌های سیستمی با بالاترین امتیاز اجازه اجرا می‌دهد، هیچ برنامه‌ای در حالت کاربری نمی‌تواند کادرهای محاوره‌ای خود را روی آن دسکتاپ نمایش دهد، بنابراین هرگونه درخواست برای رضایت از افزایش سطح دسترسی را می‌توان با اطمینان واقعی فرض کرد. علاوه بر این، این امر می‌تواند با جلوگیری از ارسال پیام توسط فرآیندهای غیرمجاز به فرآیندهای با امتیاز بالا، به محافظت در برابر حملات Shatter که پیام‌های بین فرآیندی ویندوز را برای اجرای کد مخرب یا جعل رابط کاربری رهگیری می‌کنند، کمک کند. هر فرآیندی که می‌خواهد پیامی به یک فرایند با امتیاز بالا ارسال کند، باید از طریق UAC خود را به زمینه امتیاز بالاتر ارتقا دهد. برنامه‌هایی که با این فرض نوشته می‌شدند که کاربر با امتیازات مدیر سیستم اجرا خواهد شد، در نسخه‌های قبلی ویندوز هنگام اجرا از حساب‌های کاربری محدود، با مشکلاتی مواجه می‌شدند، اغلب به این دلیل که سعی می‌کردند در دایرکتوری‌های سراسری دستگاه یا سیستم (مانند فایل‌های برنامه) یا کلیدهای رجیستری (به‌ویژه HKLM) بنویسند. UAC تلاش می‌کند با استفاده از مجازی‌سازی فایل و رجیستری، که نوشتن‌ها (و خواندن‌های بعدی) را به مکانی برای هر کاربر در پروفایل کاربر هدایت می‌کند، این مشکل را برطرف کند. این تضمین می‌کند که رایانه‌ای که ویندوز ویستا را اجرا می‌کند، در حالت شناخته شده و سالم شروع به کار کند و همچنین از داده‌ها در برابر دسترسی غیرمجاز محافظت می‌کند. داده‌های روی درایو با یک کلید رمزگذاری کامل درایو (FVEK) رمزگذاری می‌شوند که سپس با یک کلید اصلی درایو (VMK) رمزگذاری شده و روی خود دیسک ذخیره می‌شوند. ویندوز ویستا اولین سیستم عامل مایکروسافت ویندوز است که با ارائه مجموعه‌ای از APIها، دستورات، کلاس‌ها و سرویس‌ها برای استفاده و مدیریت TPM، پشتیبانی بومی از TPM 1.2 را ارائه می‌دهد. سیستم رمزگذاری فایل (EFS) در ویندوز ویستا می‌تواند برای رمزگذاری فایل صفحه سیستم و حافظه پنهان فایل‌های آفلاین هر کاربر استفاده شود. EFS همچنین با زیرساخت کلید عمومی سازمانی (PKI) یکپارچه‌تر شده است و از بازیابی کلید مبتنی بر PKI، بازیابی داده‌ها از طریق گواهی‌های بازیابی EFS یا ترکیبی از این دو پشتیبانی می‌کند. همچنین سیاست‌های گروهی جدیدی برای الزام کارت‌های هوشمند برای EFS، اعمال رمزگذاری فایل صفحه، تعیین حداقل طول کلید برای EFS، اعمال رمزگذاری پوشه اسناد کاربر و ممنوعیت گواهی‌های خودامضا وجود دارد. حافظه پنهان کلید رمزگذاری EFS می‌تواند زمانی که کاربر ایستگاه کاری خود را قفل می‌کند یا پس از یک محدودیت زمانی خاص پاک شود. جادوگر کلیدسازی مجدد EFS به کاربر اجازه می‌دهد تا یک گواهی برای EFS انتخاب کند و فایل‌های موجودی را که از گواهی جدید انتخاب شده استفاده می‌کنند، انتخاب و منتقل کند. مدیر گواهی همچنین به کاربران اجازه می‌دهد تا گواهی‌های بازیابی EFS و کلیدهای خصوصی خود را صادر کنند. به کاربران یادآوری می‌شود که پس از اولین استفاده، از طریق یک اعلان بالون، از کلیدهای EFS خود نسخه پشتیبان تهیه کنند. جادوگر کلیدسازی مجدد همچنین می‌تواند برای انتقال کاربران در نصب‌های موجود از گواهی‌های نرم‌افزاری به کارت‌های هوشمند استفاده شود. این جادوگر همچنین می‌تواند توسط یک مدیر یا خود کاربران در شرایط بازیابی مورد استفاده قرار گیرد. فایروال ویندوز ویندوز ویستا به‌طور قابل توجهی فایروال را بهبود می‌بخشد تا به تعدادی از نگرانی‌ها در مورد انعطاف‌پذیری فایروال ویندوز در یک محیط شرکتی پاسخ دهد: فیلتر کردن اتصال IPv6 فیلتر کردن بسته‌های خروجی، که نشان‌دهنده نگرانی‌های فزاینده در مورد جاسوس‌افزارها و ویروس‌هایی است که سعی در «تماس تلفنی با خانه» دارند. با فیلتر بسته پیشرفته، می‌توان قوانینی را برای آدرس‌های IP مبدأ و مقصد و محدوده پورت‌ها نیز تعیین کرد. قوانین را می‌توان برای سرویس‌ها با نام سرویس انتخاب شده توسط یک لیست، بدون نیاز به مشخص کردن نام کامل فایل مسیر، پیکربندی کرد. یک قانون امنیتی اتصال را می‌توان با استفاده از یک ویزارد ایجاد کرد که پیکربندی پیچیده سیاست‌های IPsec را روی دستگاه مدیریت می‌کند. فایروال ویندوز می‌تواند بر اساس اینکه آیا ترافیک توسط IPsec ایمن شده است یا خیر، به ترافیک اجازه عبور دهد. امکان داشتن پروفایل‌های فایروال جداگانه برای زمانی که کامپیوترها به یک دامنه متصل هستند یا به یک شبکه خصوصی یا عمومی متصل هستند. طبق گفته مایکروسافت، نام آن از «Microsoft AntiSpyware» به این دلیل تغییر کرده است که نه تنها مانند سایر محصولات رایگان موجود در بازار، سیستم را برای یافتن جاسوس‌افزار اسکن می‌کند، بلکه شامل عوامل امنیتی بلادرنگ نیز می‌شود که چندین بخش رایج ویندوز را برای یافتن تغییراتی که ممکن است توسط جاسوس‌افزار ایجاد شوند، رصد می‌کنند. ویندوز دیفندر همچنین شامل قابلیت حذف برنامه‌های ActiveX نصب شده و مسدود کردن برنامه‌های راه‌اندازی است. همچنین شبکه SpyNet را در خود جای داده است که به کاربران امکان می‌دهد با مایکروسافت ارتباط برقرار کنند، آنچه را که جاسوس‌افزار می‌دانند ارسال کنند و بررسی کنند که کدام برنامه‌ها قابل قبول هستند. کنترل نصب دستگاه ویندوز ویستا به مدیران سیستم اجازه می‌دهد تا از طریق Group Policy محدودیت‌های سخت‌افزاری را اعمال کنند تا از نصب دستگاه‌ها توسط کاربران جلوگیری شود، نصب دستگاه به یک لیست سفید از پیش تعریف شده محدود شود، یا دسترسی به رسانه‌های قابل حمل و کلاس‌های دستگاه‌ها محدود شود. ویژگی‌ها عبارتند از: فیلتر وب ویندوز ویستا - که به عنوان یک فیلتر Winsock LSP برای عملکرد در تمام مرورگرهای وب پیاده‌سازی شده است - که دسترسی به وب‌سایت‌ها را بر اساس دسته‌بندی محتوا یا آدرس‌های خاص ممنوع می‌کند (با گزینه‌ای برای مسدود کردن همه دانلودهای فایل)؛ محدودیت‌های زمانی، که از ورود کاربران استاندارد در طول تاریخ یا زمان مشخص شده توسط مدیر جلوگیری می‌کند (و حساب‌های محدود شده‌ای را که قبلاً در چنین زمان‌هایی وارد سیستم شده‌اند قفل می‌کند)؛ محدودیت‌های بازی، که به مدیران اجازه می‌دهد بازی‌ها را بر اساس نام، محتوا یا رتبه‌بندی‌های تعریف شده توسط یک سیستم رتبه‌بندی محتوای بازی‌های ویدیویی مانند هیئت رتبه‌بندی نرم‌افزار سرگرمی (ESRB) مسدود کنند، که در آن محدودیت‌های محتوا بر محدودیت‌های رتبه‌بندی اولویت دارند (به عنوان مثال، بازی‌های مناسب برای همه 10+ (E10+) ممکن است به‌طور کلی مجاز به اجرا باشند، اما بازی‌های E10+ با زبان ملایم در صورت مسدود شدن خود زبان ملایم همچنان مسدود خواهند شد)؛ محدودیت‌های برنامه، که از لیست‌های سفید برنامه برای برنامه‌های خاص استفاده می‌کند؛ و گزارش‌های فعالیت، که فعالیت‌های حساب‌های کاربری استاندارد محدود شده را نظارت و ثبت می‌کند. کنترل‌های والدین ویندوز شامل مجموعه‌ای از گزینه‌های قابل توسعه است، به همراه رابط‌های برنامه‌نویسی کاربردی (API) برای توسعه‌دهندگان تا بتوانند ویژگی‌های همراه را با ویژگی‌های خودشان جایگزین کنند. قابلیت محافظت در برابر اکسپلویت ویندوز ویستا از تصادفی‌سازی چیدمان فضای آدرس (ASLR) برای بارگذاری فایل‌های سیستمی در آدرس‌های تصادفی در حافظه استفاده می‌کند. به‌طور پیش‌فرض، تمام فایل‌های سیستمی به‌طور تصادفی در هر یک از ۲۵۶ مکان ممکن بارگذاری می‌شوند. سایر فایل‌های اجرایی باید به‌طور خاص یک بیت را در هدر فایل اجرایی قابل حمل (PE)، که فرمت فایل برای فایل‌های اجرایی ویندوز است، تنظیم کنند تا از ASLR استفاده کنند. برای چنین فایل‌های اجرایی، پشته و هیپ اختصاص داده شده به‌طور تصادفی تعیین می‌شود. با بارگذاری فایل‌های سیستمی در آدرس‌های تصادفی، برای کد مخرب سخت‌تر می‌شود که بداند توابع سیستمی دارای امتیاز در کجا قرار دارند، در نتیجه بعید است که بتوانند به‌طور قابل پیش‌بینی از آنها استفاده کنند. هر زمان که یک استثنا رخ می‌دهد، آدرس مدیریت‌کننده با آدرس ذخیره‌شده در هدر فایل اجرایی مطابقت داده می‌شود. اگر آنها مطابقت داشته باشند، استثنا مدیریت می‌شود، در غیر این صورت نشان می‌دهد که پشته زمان اجرا به خطر افتاده است و از این رو فرایند خاتمه می‌یابد. اشاره‌گرهای تابع با استفاده از XOR کردن با یک عدد تصادفی مبهم‌سازی می‌شوند، به طوری که بازیابی آدرس واقعی مورد اشاره دشوار است. | ## بخش 2: ویژگی‌های امنیتی و ایمنی جدید در ویندوز ویستا | تغییر دستی یک اشاره‌گر نیز همین‌طور خواهد بود، زیرا کلید مبهم‌سازی مورد استفاده برای اشاره‌گر بسیار دشوار خواهد بود؛ بنابراین، استفاده از آن برای هر کاربر غیرمجاز اشاره‌گر تابع دشوار می‌شود. علاوه بر این، مجموع بررسی بلوک‌های heap نگهداری می‌شود که برای تشخیص تغییرات غیرمجاز و خرابی heap استفاده می‌شود. هر زمان که خرابی heap شناسایی شود، برنامه برای جلوگیری از تکمیل موفقیت‌آمیز اکسپلویت بسته می‌شود. هنگامی که یک سرریز پشته در فایل‌های باینری ویندوز ویستا شناسایی می‌شود، فرایند از بین می‌رود تا نتوان از آن برای ادامه سوءاستفاده استفاده کرد. همچنین فایل‌های باینری ویندوز ویستا بافرها را در حافظه بالاتر و غیر بافرها، مانند اشاره‌گرها و پارامترهای ارائه شده، را در ناحیه حافظه پایین‌تر قرار می‌دهند؛ بنابراین برای سوءاستفاده واقعی، یک بافر underrun برای دسترسی به آن مکان‌ها مورد نیاز است. جداسازی برنامه ویندوز ویستا کنترل یکپارچگی اجباری را برای تنظیم سطوح یکپارچگی برای فرایندها معرفی می‌کند. این ویژگی برای اعمال جداسازی برنامه استفاده می‌شود، که در آن برنامه‌هایی با سطح یکپارچگی متوسط، مانند تمام برنامه‌هایی که در زمینه کاربر استاندارد اجرا می‌شوند، نمی‌توانند به فرآیندهای سطح سیستم که با سطح یکپارچگی بالا اجرا می‌شوند، مانند برنامه‌های حالت مدیر، متصل شوند، اما می‌توانند به فرآیندهای با یکپارچگی پایین‌تر مانند ویندوز اینترنت اکسپلورر ۷ یا ۸ متصل شوند. پیشگیری از اجرای داده‌ها ویندوز ویستا پشتیبانی کامل از ویژگی NX (بدون اجرا) پردازنده‌های مدرن را ارائه می‌دهد. این ویژگی که به عنوان NX (EVP) در پردازنده‌های AMD64 شرکت AMD و به عنوان XD (EDB) در پردازنده‌های اینتل ارائه می‌شود، می‌تواند بخش‌های خاصی از حافظه را به عنوان حاوی داده به جای کد اجرایی علامت‌گذاری کند، که از خطاهای سرریز و در نتیجه اجرای کد دلخواه جلوگیری می‌کند. اگر پردازنده از بیت NX پشتیبانی کند، ویندوز ویستا به‌طور خودکار پیشگیری از اجرای داده‌ها مبتنی بر سخت‌افزار را در تمام فرایندها اعمال می‌کند تا برخی از صفحات حافظه را به عنوان بخش‌های داده غیرقابل اجرا (مانند هیپ و استک) علامت‌گذاری کند و متعاقباً از تفسیر و اجرای هرگونه داده به عنوان کد جلوگیری می‌شود. اگر DEP برای همه برنامه‌ها فعال باشد، کاربران در برابر سوءاستفاده‌های روز صفر مقاومت بیشتری پیدا می‌کنند. اما همه برنامه‌ها با DEP سازگار نیستند و برخی از آنها استثنائات DEP ایجاد می‌کنند؛ بنابراین، DEP به‌طور پیش‌فرض برای همه برنامه‌ها در نسخه‌های ۳۲ بیتی ویندوز اجرا نمی‌شود و فقط برای اجزای حیاتی سیستم فعال است. با این حال، ویندوز ویستا کنترل‌های سیاست NX اضافی را معرفی می‌کند که به توسعه‌دهندگان نرم‌افزار اجازه می‌دهد محافظت سخت‌افزاری NX را برای کد خود، مستقل از تنظیمات اجرای سازگاری در سطح سیستم، فعال کنند. توسعه‌دهندگان می‌توانند برنامه‌های خود را هنگام ساخت به عنوان سازگار با NX علامت‌گذاری کنند، که این امر امکان اجرای محافظت را هنگام نصب و اجرای آن برنامه فراهم می‌کند. این امر درصد بالاتری از کد محافظت‌شده توسط NX را در اکوسیستم نرم‌افزاری در پلتفرم‌های ۳۲ بیتی فراهم می‌کند، جایی که سیاست سازگاری پیش‌فرض سیستم برای NX طوری پیکربندی شده است که فقط از اجزای سیستم عامل محافظت کند. برای برنامه‌های x86-64، سازگاری با نسخه‌های قبلی مشکلی ایجاد نمی‌کند و بنابراین DEP به‌طور پیش‌فرض برای همه برنامه‌های ۶۴ بیتی اجرا می‌شود. همچنین، فقط DEP اعمال‌شده توسط پردازنده در نسخه‌های x86-64 ویندوز ویستا برای امنیت بیشتر استفاده می‌شود. مدیریت حقوق دیجیتال ویژگی‌های جدید مدیریت حقوق دیجیتال و حفاظت از محتوا در ویندوز ویستا معرفی شده‌اند تا به ارائه‌دهندگان محتوای دیجیتال و شرکت‌ها کمک کنند تا از کپی شدن داده‌های خود محافظت کنند. هدف آن فراهم کردن محیطی برای پخش صدا است که کپی کردن صداهای دارای حق چاپ را محدود می‌کند و خروجی‌های صوتی فعال را به مواردی که توسط ناشر محتوای محافظت‌شده مجاز است، محدود می‌کند. مدیریت حفاظت از مسیر ویدئو - خروجی (PVP-OPM) فناوری‌ای است که از کپی کردن جریان‌های ویدئویی دیجیتال محافظت‌شده یا نمایش آنها در دستگاه‌های ویدئویی که فاقد حفاظت از کپی معادل (معمولاً HDCP) هستند، جلوگیری می‌کند. مایکروسافت ادعا می‌کند که بدون این محدودیت‌ها، صنعت محتوا ممکن است با امتناع از صدور کلیدهای مجوز برای رمزگذاری مورد استفاده توسط HD DVD, Blu-ray Disc یا سایر سیستم‌های محافظت‌شده در برابر کپی، از پخش محتوای دارای حق چاپ توسط رایانه‌های شخصی جلوگیری کند. پشتیبانی از خدمات مدیریت حقوق (RMS)، فناوری‌ای که به شرکت‌ها اجازه می‌دهد محدودیت‌هایی شبیه DRM را بر روی اسناد، ایمیل‌ها و اینترانت‌های شرکتی اعمال کنند تا از کپی، چاپ یا حتی باز شدن آنها توسط افراد غیرمجاز محافظت شود. ویندوز ویستا یک فرایند محافظت‌شده را معرفی می‌کند که با فرآیندهای معمول متفاوت است، به این معنا که سایر فرایندها نمی‌توانند وضعیت چنین فرآیندی را دستکاری کنند و همچنین نمی‌توانند رشته‌هایی از فرآیندهای دیگر را در آن معرفی کنند. با این حال، در حال حاضر، فقط برنامه‌هایی که از مسیر ویدیوی محافظت‌شده استفاده می‌کنند می‌توانند فرآیندهای محافظت‌شده ایجاد کنند. گنجاندن ویژگی‌های جدید مدیریت حقوق دیجیتال، منبع انتقاد از ویندوز ویستا بوده است. مقاوم‌سازی سرویس‌های ویندوز مقاوم‌سازی سرویس ویندوز، سرویس‌ها را به گونه‌ای بخش‌بندی می‌کند که اگر یک سرویس به خطر بیفتد، نتواند به راحتی به سایر سرویس‌های سیستم حمله کند. این امر مانع از انجام عملیات سرویس‌های ویندوز روی سیستم‌های فایل، رجیستری یا شبکه‌ها می‌شود که قرار نیست این کار را انجام دهند، در نتیجه سطح کلی حمله به سیستم کاهش می‌یابد و از ورود بدافزار با سوءاستفاده از سرویس‌های سیستم جلوگیری می‌شود. اکنون به سرویس‌ها یک شناسه امنیتی (SID) برای هر سرویس اختصاص داده می‌شود که امکان کنترل دسترسی به سرویس را بر اساس دسترسی مشخص شده توسط شناسه امنیتی فراهم می‌کند. نسخه‌های قبلی ویندوز، سرویس‌های سیستمی را در همان جلسه ورود به سیستمی که کاربر محلی وارد آن شده بود (Session 0) اجرا می‌کردند. در ویندوز ویستا، Session 0 اکنون برای این سرویس‌ها رزرو شده است و تمام ورودهای تعاملی در جلسات دیگر انجام می‌شوند. این کار برای کمک به کاهش دسته‌ای از سوءاستفاده‌ها از سیستم ارسال پیام ویندوز، معروف به حملات Shatter، در نظر گرفته شده است. سرویس‌ها همچنین دارای سیاست فایروال از پیش پیکربندی شده‌ای خواهند بود که فقط به اندازه‌ای که برای عملکرد صحیح آنها لازم است، به آنها امتیاز می‌دهد. فروشندگان مستقل نرم‌افزار نیز می‌توانند از مقاوم‌سازی سرویس ویندوز برای مقاوم‌سازی سرویس‌های خود استفاده کنند. ویندوز ویستا همچنین لوله‌های نامگذاری شده مورد استفاده توسط سرورهای RPC را مقاوم‌سازی می‌کند تا از ربودن آنها توسط سایر فرایندها جلوگیری شود. احراز هویت و ورود به سیستم شناسایی و احراز هویت گرافیکی (GINA)، که برای احراز هویت ایمن و ورود تعاملی استفاده می‌شود، توسط ارائه‌دهندگان اعتبار جایگزین شده است. ارائه‌دهندگان اعتبار، همراه با سخت‌افزار پشتیبان، می‌توانند سیستم عامل را گسترش دهند تا کاربران بتوانند از طریق دستگاه‌های بیومتریک (اثر انگشت، شبکیه یا تشخیص صدا)، رمزهای عبور، پین‌ها و گواهی‌های کارت هوشمند یا هر بسته احراز هویت سفارشی و طرحواره‌ای که توسعه‌دهندگان شخص ثالث مایل به ایجاد آن هستند، وارد سیستم شوند. شرکت‌ها ممکن است مکانیسم‌های احراز هویت سفارشی را برای همه کاربران دامنه توسعه، استقرار و به صورت اختیاری اجرا کنند. ارائه‌دهندگان اعتبار ممکن است برای پشتیبانی از ورود یکپارچه (SSO)، احراز هویت کاربران به یک نقطه دسترسی شبکه امن (با استفاده از RADIUS و سایر فناوری‌ها) و همچنین ورود به دستگاه طراحی شوند. یک ارائه‌دهنده خدمات امنیتی جدید، CredSSP، از طریق رابط ارائه‌دهنده پشتیبانی امنیتی در دسترس است که به یک برنامه کاربردی امکان می‌دهد اعتبارنامه‌های کاربر را از کلاینت (با استفاده از SSP سمت کلاینت) به سرور هدف (از طریق SSP سمت سرور) واگذار کند. ویندوز ویستا می‌تواند حساب‌های کاربری را با استفاده از کارت‌های هوشمند یا ترکیبی از رمزهای عبور و کارت‌های هوشمند (احراز هویت دو مرحله‌ای) احراز هویت کند. ویندوز ویستا همچنین می‌تواند از کارت‌های هوشمند برای ذخیره کلیدهای EFS استفاده کند. این امر تضمین می‌کند که فایل‌های رمزگذاری شده فقط تا زمانی که کارت هوشمند از نظر فیزیکی در دسترس باشد، قابل دسترسی هستند. اگر از کارت‌های هوشمند برای ورود به سیستم استفاده شود، EFS در حالت ورود به سیستم واحد عمل می‌کند، جایی که از کارت هوشمند ورود به سیستم برای رمزگذاری فایل بدون درخواست پین کد بیشتر استفاده می‌کند. قابلیت تعویض سریع کاربر که در ویندوز XP محدود به کامپیوترهای گروه کاری بود، اکنون می‌تواند برای کامپیوترهایی که به یک دامنه متصل هستند نیز فعال شود، که از ویندوز ویستا شروع می‌شود. ویندوز ویستا همچنین شامل پشتیبانی احراز هویت برای کنترل‌کننده‌های دامنه فقط خواندنی است که در ویندوز سرور ۲۰۰۸ معرفی شدند. همچنین با اضافه کردن یک ماژول Base CSP که تمام توابع رمزنگاری استاندارد backend مورد نیاز توسعه‌دهندگان و تولیدکنندگان کارت هوشمند را پیاده‌سازی می‌کند، با زیرسیستم کارت هوشمند ادغام می‌شود، به طوری که آنها مجبور به نوشتن CSPهای پیچیده نیستند. مرجع صدور گواهینامه مایکروسافت می‌تواند گواهینامه‌های ECC را صادر کند و کلاینت گواهینامه می‌تواند گواهینامه‌های مبتنی بر ECC و SHA-2 را ثبت و اعتبارسنجی کند. | ## بخش 3: ویژگی‌های امنیتی و ایمنی جدید در ویندوز ویستا | بهبودهای ابطال شامل پشتیبانی بومی از پروتکل وضعیت گواهی آنلاین (OCSP) است که بررسی اعتبار گواهی را به صورت بلادرنگ، پیش‌واکشی CRL و تشخیص CAPI2 ارائه می‌دهد. ثبت گواهی مبتنی بر ویزارد است، به کاربران اجازه می‌دهد تا در طول ثبت نام داده‌ها را وارد کنند و اطلاعات واضحی در مورد ثبت نام‌های ناموفق و گواهی‌های منقضی شده ارائه می‌دهد. حفاظت از دسترسی به شبکه ویندوز ویستا قابلیت حفاظت از دسترسی به شبکه (NAP) را معرفی می‌کند که تضمین می‌کند کامپیوترهایی که به یک شبکه متصل می‌شوند یا با آن ارتباط برقرار می‌کنند، با سطح مورد نیاز سلامت سیستم که توسط مدیر شبکه تعیین شده است، مطابقت داشته باشند. NAP همچنین می‌تواند به صورت اختیاری به‌روزرسانی‌های نرم‌افزاری را برای یک کامپیوتر ناسازگار ارائه دهد تا خود را با استفاده از یک سرور اصلاح، به سطح مورد نیاز برای دسترسی به شبکه ارتقا دهد. سایر ویژگی‌های امنیتی مرتبط با شبکه رابط‌های مربوط به امنیت TCP/IP (فیلتر کردن ترافیک میزبان محلی)، قلاب فایروال، قلاب فیلتر و ذخیره‌سازی اطلاعات فیلتر بسته‌ها با یک چارچوب جدید به نام پلتفرم فیلترینگ ویندوز (WFP) جایگزین شده‌اند. WFP در پشته ادغام شده است و ساخت درایورها، سرویس‌ها و برنامه‌هایی که باید ترافیک TCP/IP را فیلتر، تجزیه و تحلیل یا تغییر دهند، برای توسعه‌دهندگان آسان‌تر است. به منظور فراهم کردن امنیت بهتر هنگام انتقال داده‌ها از طریق شبکه، ویندوز ویستا الگوریتم‌های رمزنگاری مورد استفاده برای مبهم‌سازی داده‌ها را بهبود بخشیده است. پشتیبانی از الگوریتم‌های منحنی بیضوی دیفی-هلمن (DH) با طول ۲۵۶ و ۳۸۴ بیت، و همچنین استاندارد رمزگذاری پیشرفته (AES) با طول ۱۲۸، ۱۹۲ و ۲۵۶ بیت در خود پشته شبکه و در پروتکل Kerberos و پیام‌های GSS گنجانده شده است. پشتیبانی مستقیم از اتصالات SSL و TLS در Winsock API جدید به برنامه‌های سوکت اجازه می‌دهد تا به جای نیاز به اضافه کردن کد اضافی برای پشتیبانی از یک اتصال امن، امنیت ترافیک خود را از طریق شبکه مستقیماً کنترل کنند (مانند ارائه سیاست امنیتی و الزامات ترافیک، پرس و جو از تنظیمات امنیتی). رابط Schannel قابل اتصال است، بنابراین ترکیب‌های پیشرفته مجموعه‌های رمز می‌توانند جایگزین سطح بالاتری از عملکرد شوند. IPsec اکنون کاملاً با فایروال ویندوز یکپارچه شده است و پیکربندی ساده و احراز هویت بهبود یافته‌ای را ارائه می‌دهد. برای افزایش امنیت و قابلیت استقرار VPNهای IPsec، ویندوز ویستا شامل AuthIP است که پروتکل رمزنگاری IKE را گسترش می‌دهد تا ویژگی‌هایی مانند احراز هویت با چندین اعتبارنامه، مذاکره با روش‌های جایگزین و احراز هویت نامتقارن را اضافه کند. امنیت شبکه‌های بی‌سیم با پشتیبانی بهتر از استانداردهای بی‌سیم جدیدتر مانند 802.11i (WPA2) در حال بهبود است. اتصالات در امن‌ترین سطح اتصال پشتیبانی شده توسط نقطه دسترسی بی‌سیم برقرار می‌شوند. ویندوز ویستا هنگام اتصال به یک دامنه از طریق شبکه بی‌سیم، امنیت را افزایش می‌دهد. همچنین می‌توان یک پروفایل بی‌سیم بوت‌استرپ روی کلاینت بی‌سیم ایجاد کرد که ابتدا کامپیوتر را به شبکه بی‌سیم احراز هویت کرده و به شبکه متصل می‌شود. دستگاه یک اسکریپت را اجرا می‌کند که یا روی سیستم یا روی درایو فلش USB ذخیره شده است و آن را به دامنه احراز هویت می‌کند. احراز هویت می‌تواند با استفاده از ترکیب نام کاربری و رمز عبور یا گواهی‌های امنیتی از یک فروشنده زیرساخت کلید عمومی (PKI) مانند VeriSign انجام شود. ویندوز ویستا همچنین شامل یک چارچوب میزبان پروتکل احراز هویت توسعه‌پذیر (EAPHost) است که قابلیت توسعه‌پذیری روش‌های احراز هویت را برای فناوری‌های دسترسی به شبکه محافظت‌شده که معمولاً استفاده می‌شوند، مانند 802.1X و PPP، فراهم می‌کند. این چارچوب به فروشندگان تجهیزات شبکه اجازه می‌دهد تا روش‌های احراز هویت جدیدی را که به عنوان روش‌های EAP شناخته می‌شوند، توسعه داده و به راحتی نصب کنند. سرویس پک ۱ ویندوز ویستا شامل پروتکل تونلینگ سوکت امن، یک پروتکل اختصاصی VPN جدید مایکروسافت است که مکانیزمی برای انتقال ترافیک پروتکل نقطه به نقطه (PPP) (از جمله ترافیک IPv6) از طریق کانال SSL فراهم می‌کند. ویژگی‌های خاص x86-64 نسخه‌های ۶۴ بیتی ویندوز ویستا، پیشگیری از اجرای داده‌ها (DEP) مبتنی بر سخت‌افزار را بدون هیچ شبیه‌سازی نرم‌افزاری جایگزین اجرا می‌کنند. این امر تضمین می‌کند که DEP با اثربخشی کمتر و مبتنی بر نرم‌افزار (که فقط مدیریت استثنائات ایمن است و به بیت NX ربطی ندارد) استفاده نشود. همچنین، DEP، به‌طور پیش‌فرض، برای همه برنامه‌ها و سرویس‌های ۶۴ بیتی در نسخه‌های x86-64 و آن دسته از برنامه‌های ۳۲ بیتی که این قابلیت را انتخاب می‌کنند، اجرا می‌شود. در مقابل، در نسخه‌های ۳۲ بیتی، DEP مبتنی بر نرم‌افزار یک گزینه موجود است و به‌طور پیش‌فرض فقط برای اجزای ضروری سیستم فعال است. این امر تاکتیک رایج روت‌کیت‌ها برای پنهان کردن خود از برنامه‌های حالت کاربر را کاهش می‌دهد. درایورهای حالت هسته در نسخه‌های ۶۴ بیتی ویندوز ویستا باید به صورت دیجیتالی امضا شوند؛ حتی مدیران سیستم نیز قادر به نصب درایورهای حالت هسته امضا نشده نخواهند بود. قبل از بارگذاری فایل‌های باینری سیستم، این فایل‌ها در مقابل بررسی صحت کد تأیید می‌شوند تا از عدم تغییر آنها اطمینان حاصل شود. بوت لودر ویندوز ویستا، صحت هسته، لایه انتزاع سخت‌افزار (HAL) و درایورهای شروع بوت را بررسی می‌کند. گذشته از فضای حافظه هسته، بررسی صحت کد، فایل‌های باینری بارگذاری شده در یک فرایند محافظت شده و کتابخانه‌های پویای نصب شده در سیستم که توابع رمزنگاری اصلی را پیاده‌سازی می‌کنند، تأیید می‌کند. سایر ویژگی‌ها و تغییرات تعدادی تغییر خاص در امنیت و قابلیت اطمینان ایجاد شده است: رمزگذاری قوی‌تری برای ذخیره اسرار LSA (رکوردهای دامنه ذخیره شده، رمزهای عبور، کلیدهای رمزگذاری EFS، سیاست امنیتی محلی، حسابرسی و غیره) استفاده می‌شود پشتیبانی از استاندارد احراز هویت IEEE 1667 برای فلش درایوهای USB با یک اصلاحیه برای ویندوز ویستا سرویس پک ۲. سیاست‌های محدودیت نرم‌افزاری که در ویندوز XP معرفی شده بودند، در ویندوز ویستا بهبود یافته‌اند. برای جلوگیری از حذف تصادفی ویندوز، ویستا اجازه قالب‌بندی پارتیشن بوت را در هنگام فعال بودن آن نمی‌دهد (کلیک راست روی درایو C: و انتخاب "Format" یا تایپ "Format C:" (بدون علامت نقل قول) در خط فرمان، پیامی مبنی بر عدم مجاز بودن قالب‌بندی این پارتیشن نمایش داده می‌شود). تنظیمات اضافی EFS امکان پیکربندی زمان به‌روزرسانی سیاست‌های رمزگذاری، رمزگذاری فایل‌های منتقل شده به پوشه‌های رمزگذاری شده، رمزگذاری فایل‌های حافظه پنهان آفلاین و این که آیا موارد رمزگذاری شده می‌توانند توسط جستجوی ویندوز فهرست‌بندی شوند یا خیر را فراهم می‌کند. ویژگی نام‌های کاربری و رمزهای عبور ذخیره‌شده (مدیریت اعتبارنامه‌ها) شامل یک ویزارد جدید برای پشتیبان‌گیری از نام‌های کاربری و رمزهای عبور در یک فایل و بازیابی آنها در سیستم‌هایی است که از ویندوز ویستا یا سیستم‌عامل‌های جدیدتر استفاده می‌کنند. یک تنظیم جدید در Group Policy امکان نمایش تاریخ و زمان آخرین ورود تعاملی موفق و تعداد تلاش‌های ناموفق ورود از آخرین ورود موفق با همان نام کاربری را فراهم می‌کند. این به کاربر امکان می‌دهد تا تشخیص دهد که آیا حساب کاربری بدون اطلاع او استفاده شده است یا خیر. این سیاست را می‌توان برای کاربران محلی و همچنین رایانه‌های متصل به یک دامنه سطح عملکردی فعال کرد. حالت محافظت‌شدهٔ اینترنت اکسپلورر: اینترنت اکسپلورر ۷ و نسخه‌های بعدی آن تغییرات امنیتی متعددی مانند فیلتر فیشینگ، قابلیت انتخاب ActiveX، محافظت در برابر مدیریت URL، محافظت در برابر حملات اسکریپت‌نویسی بین دامنه‌ای و جعل نوار وضعیت را معرفی کرده‌اند. آن‌ها به عنوان یک فرایند با یکپارچگی پایین در ویندوز ویستا اجرا می‌شوند، فقط می‌توانند در پوشهٔ فایل‌های موقت اینترنتی بنویسند و نمی‌توانند به فایل‌ها و کلیدهای رجیستری در پروفایل کاربر دسترسی نوشتن داشته باشند و از کاربر در برابر محتوای مخرب و آسیب‌پذیری‌های امنیتی، حتی در کنترل‌های ActiveX، محافظت می‌کنند. همچنین، اینترنت اکسپلورر ۷ و نسخه‌های بعدی آن از API محافظت از داده‌ها (DPAPI) امن‌تر برای ذخیرهٔ اطلاعات کاربری مانند رمزهای عبور به جای ذخیره‌سازی محافظت‌شده (PStore) که امنیت کمتری دارد، استفاده می‌کنند. تمام شبکه‌های تازه متصل شده به‌طور پیش‌فرض روی «موقعیت مکانی عمومی» قرار می‌گیرند که پورت‌ها و سرویس‌های در حال گوش دادن را قفل می‌کند. اگر شبکه‌ای به عنوان قابل اعتماد علامت‌گذاری شود، ویندوز این تنظیم را برای اتصالات بعدی به آن شبکه به خاطر می‌سپارد. این ویژگی جدید مهم است زیرا اکثر خرابی‌های سیستم را می‌توان به درایورهای دستگاه شخص ثالث که به درستی نصب نشده‌اند، نسبت داد. برای نرم‌افزارهای ضد ویروس که با مرکز امنیت ادغام می‌شوند، این مرکز راه‌حلی برای رفع هرگونه مشکل در رابط کاربری خود ارائه می‌دهد. ذخیره‌سازی محافظت‌شده (PStore) منسوخ شده و بنابراین در ویندوز ویستا فقط خواندنی شده است. | ## جمع‌بندی | تا زمانی که حداقل یک حساب کاربری مدیر محلی اضافی وجود داشته باشد، نمی‌توان از حالت ایمن به آن دسترسی داشت.