ویژگی‌های امنیتی و ایمنی جدید در ویندوز ویستا

تعدادی **[[خصوصیات ویندوز ویستا|ویژگی امنیتی و ایمنی جدید در]] [[ویندوز ویستا]]** وجود دارد که اکثر آنها در هیچ‌یک از نسخه‌های قبلی سیستم عامل مایکروسافت ویندوز موجود نیستند.

از اوایل سال ۲۰۰۲ با اعلام طرح «محاسبات قابل اعتماد» مایکروسافت، کارهای زیادی برای تبدیل ویندوز ویستا به یک سیستم عامل امن‌تر از نسخه‌های قبلی آن انجام شده است. در داخل شرکت، مایکروسافت یک «چرخه عمر توسعه امنیت» را با شعار اساسی «ایمن در طراحی، ایمن در پیش‌فرض، ایمن در استقرار» اتخاذ کرد. کد جدید ویندوز ویستا با روش SDL توسعه داده شد و تمام کدهای موجود برای بهبود امنیت بررسی و اصلاح شدند.

برخی از حوزه‌های خاصی که ویندوز ویستا مکانیسم‌های امنیتی و حفاظتی جدیدی را معرفی می‌کند شامل کنترل حساب کاربری، کنترل‌های والدین، محافظت از دسترسی به شبکه، یک ابزار ضد بدافزار داخلی و مکانیسم‌های جدید محافظت از محتوای دیجیتال است.

## کنترل حساب کاربری
*کنترل حساب کاربری (User Account Control*) یک زیرساخت جدید است که قبل از اجازه دادن به هر عملی که نیاز به امتیازات مدیریتی دارد، رضایت کاربر را می‌طلبد. با این ویژگی، همه کاربران، از جمله کاربرانی که امتیازات مدیریتی دارند، به‌طور پیش‌فرض در حالت کاربر استاندارد اجرا می‌شوند، زیرا اکثر برنامه‌ها به امتیازات بالاتری نیاز ندارند. هنگامی که اقدامی انجام می‌شود که نیاز به امتیازات مدیریتی دارد، مانند نصب نرم‌افزار جدید یا تغییر تنظیمات سیستم یا امنیت، ویندوز از کاربر می‌پرسد که آیا اجازه انجام آن عمل را می‌دهد یا خیر. اگر کاربر اجازه را انتخاب کند، فرآیندی که آن عمل را آغاز می‌کند برای ادامه به یک زمینه با امتیازات بالاتر ارتقا می‌یابد. در حالی که کاربران استاندارد برای ارتقاء یک فرایند باید نام کاربری و رمز عبور یک حساب مدیریتی را وارد کنند (*Over-the-shoulder Credentials*)، یک مدیر می‌تواند انتخاب کند که فقط برای رضایت از او سؤال شود یا درخواست اعتبارنامه کند. اگر کاربر روی بله کلیک نکند، پس از ۳۰ ثانیه درخواست رد می‌شود.

UAC در حالت *دسکتاپ امن*، که در آن کل صفحه محو و موقتاً غیرفعال می‌شود، درخواست اعتبارنامه می‌کند تا فقط رابط کاربری ارتفاع را نمایش دهد. این کار برای جلوگیری از جعل رابط کاربری یا ماوس توسط برنامه‌ای است که درخواست ارتفاع را می‌دهد. اگر برنامه‌ای که درخواست ارتفاع را دارد قبل از تغییر به *دسکتاپ امن*، فوکوس نداشته باشد، نماد نوار وظیفه آن چشمک می‌زند و وقتی فوکوس می‌شود، رابط کاربری ارتفاع نمایش داده می‌شود (با این حال، نمی‌توان از به دست آوردن بی‌سروصدای فوکوس توسط یک برنامه مخرب جلوگیری کرد).

از آنجایی که *دسکتاپ امن* فقط به برنامه‌های *سیستمی* با بالاترین امتیاز اجازه اجرا می‌دهد، هیچ برنامه‌ای در حالت کاربری نمی‌تواند کادرهای محاوره‌ای خود را روی آن دسکتاپ نمایش دهد، بنابراین هرگونه درخواست برای رضایت از افزایش سطح دسترسی را می‌توان با اطمینان واقعی فرض کرد. علاوه بر این، این امر می‌تواند با جلوگیری از ارسال پیام توسط فرآیندهای غیرمجاز به فرآیندهای با امتیاز بالا، به محافظت در برابر حملات Shatter که پیام‌های بین فرآیندی ویندوز را برای اجرای کد مخرب یا جعل رابط کاربری رهگیری می‌کنند، کمک کند. هر فرآیندی که می‌خواهد پیامی به یک فرایند با امتیاز بالا ارسال کند، باید از طریق UAC خود را به زمینه امتیاز بالاتر ارتقا دهد.

برنامه‌هایی که با این فرض نوشته می‌شدند که کاربر با امتیازات مدیر سیستم اجرا خواهد شد، در نسخه‌های قبلی ویندوز هنگام اجرا از حساب‌های کاربری محدود، با مشکلاتی مواجه می‌شدند، اغلب به این دلیل که سعی می‌کردند در دایرکتوری‌های سراسری دستگاه یا سیستم (مانند *فایل‌های برنامه*) یا کلیدهای رجیستری (به‌ویژه HKLM) بنویسند. UAC تلاش می‌کند با استفاده *از مجازی‌سازی فایل و رجیستری*، که نوشتن‌ها (و خواندن‌های بعدی) را به مکانی برای هر کاربر در پروفایل کاربر هدایت می‌کند، این مشکل را برطرف کند. به عنوان مثال، اگر یک برنامه سعی کند در "C:\program files\appname\settings.ini" بنویسد و کاربر مجوزهای نوشتن در آن دایرکتوری را نداشته باشد، نوشتن به "C:\Users\username\AppData\Local\VirtualStore\Program Files\appname\" هدایت می‌شود.

## رمزگذاری
BitLocker که قبلاً با نام "Secure Startup" شناخته می‌شد، این ویژگی رمزگذاری کامل دیسک را برای درایو سیستم ارائه می‌دهد. با استفاده از ابزار خط فرمان، می‌توان درایوهای اضافی را رمزگذاری کرد. Bitlocker از یک کلید USB یا ماژول پلتفرم قابل اعتماد (TPM) نسخه ۱٫۲ از مشخصات TCG برای ذخیره کلید رمزگذاری خود استفاده می‌کند. این تضمین می‌کند که رایانه‌ای که ویندوز ویستا را اجرا می‌کند، در حالت شناخته شده و سالم شروع به کار کند و همچنین از داده‌ها در برابر دسترسی غیرمجاز محافظت می‌کند. داده‌های روی درایو با یک کلید رمزگذاری کامل درایو (FVEK) رمزگذاری می‌شوند که سپس با یک کلید اصلی درایو (VMK) رمزگذاری شده و روی خود دیسک ذخیره می‌شوند.

ویندوز ویستا اولین سیستم عامل مایکروسافت ویندوز است که با ارائه مجموعه‌ای از APIها، دستورات، کلاس‌ها و سرویس‌ها برای استفاده و مدیریت TPM، پشتیبانی بومی از TPM 1.2 را ارائه می‌دهد. یک سرویس سیستمی جدید، که به عنوان سرویس‌های پایه TPM شناخته می‌شود، امکان دسترسی و اشتراک‌گذاری منابع TPM را برای توسعه‌دهندگانی که مایل به ساخت برنامه‌هایی با پشتیبانی از این دستگاه هستند، فراهم می‌کند.

سیستم رمزگذاری فایل (EFS) در ویندوز ویستا می‌تواند برای رمزگذاری فایل صفحه سیستم و حافظه پنهان فایل‌های آفلاین هر کاربر استفاده شود. EFS همچنین با زیرساخت کلید عمومی سازمانی (PKI) یکپارچه‌تر شده است و از بازیابی کلید مبتنی بر PKI، بازیابی داده‌ها از طریق گواهی‌های بازیابی EFS یا ترکیبی از این دو پشتیبانی می‌کند. همچنین سیاست‌های گروهی جدیدی برای الزام کارت‌های هوشمند برای EFS، اعمال رمزگذاری فایل صفحه، تعیین حداقل طول کلید برای EFS، اعمال رمزگذاری پوشه اسناد کاربر و ممنوعیت گواهی‌های خودامضا وجود دارد. حافظه پنهان کلید رمزگذاری EFS می‌تواند زمانی که کاربر ایستگاه کاری خود را قفل می‌کند یا پس از یک محدودیت زمانی خاص پاک شود.

جادوگر کلیدسازی مجدد EFS به کاربر اجازه می‌دهد تا یک گواهی برای EFS انتخاب کند و فایل‌های موجودی را که از گواهی جدید انتخاب شده استفاده می‌کنند، انتخاب و منتقل کند. مدیر گواهی همچنین به کاربران اجازه می‌دهد تا گواهی‌های بازیابی EFS و کلیدهای خصوصی خود را صادر کنند. به کاربران یادآوری می‌شود که پس از اولین استفاده، از طریق یک اعلان بالون، از کلیدهای EFS خود نسخه پشتیبان تهیه کنند. جادوگر کلیدسازی مجدد همچنین می‌تواند برای انتقال کاربران در نصب‌های موجود از گواهی‌های نرم‌افزاری به کارت‌های هوشمند استفاده شود. این جادوگر همچنین می‌تواند توسط یک مدیر یا خود کاربران در شرایط بازیابی مورد استفاده قرار گیرد. این روش از رمزگشایی و رمزگذاری مجدد فایل‌ها کارآمدتر است.

## فایروال ویندوز
ویندوز ویستا به‌طور قابل توجهی فایروال را بهبود می‌بخشد تا به تعدادی از نگرانی‌ها در مورد انعطاف‌پذیری *فایروال ویندوز* در یک محیط شرکتی پاسخ دهد:
* فیلتر کردن اتصال IPv6
* فیلتر کردن بسته‌های خروجی، که نشان‌دهنده نگرانی‌های فزاینده در مورد جاسوس‌افزارها و ویروس‌هایی است که سعی در «تماس تلفنی با خانه» دارند.
* با فیلتر بسته پیشرفته، می‌توان قوانینی را برای آدرس‌های IP مبدأ و مقصد و محدوده پورت‌ها نیز تعیین کرد.
* قوانین را می‌توان برای سرویس‌ها با نام سرویس انتخاب شده توسط یک لیست، بدون نیاز به مشخص کردن نام کامل فایل مسیر، پیکربندی کرد.
* IPsec کاملاً یکپارچه است و اجازه می‌دهد اتصالات بر اساس گواهینامه‌های امنیتی، احراز هویت Kerberos و غیره مجاز یا رد شوند. رمزگذاری نیز می‌تواند برای هر نوع اتصالی مورد نیاز باشد. یک قانون امنیتی اتصال را می‌توان با استفاده از یک ویزارد ایجاد کرد که پیکربندی پیچیده سیاست‌های IPsec را روی دستگاه مدیریت می‌کند. فایروال ویندوز می‌تواند بر اساس اینکه آیا ترافیک توسط IPsec ایمن شده است یا خیر، به ترافیک اجازه عبور دهد.
* یک کنسول مدیریتی جدید به نام *Windows Firewall with Advanced Security* که دسترسی به گزینه‌های پیشرفته بسیاری از جمله پیکربندی IPsec را فراهم می‌کند و امکان مدیریت از راه دور را فراهم می‌کند.
* امکان داشتن پروفایل‌های فایروال جداگانه برای زمانی که کامپیوترها به یک دامنه متصل هستند یا به یک شبکه خصوصی یا عمومی متصل هستند. پشتیبانی از ایجاد قوانینی برای اجرای سیاست‌های جداسازی سرور و دامنه.

## ویندوز دیفندر
ویندوز ویستا شامل Windows Defender، ابزار ضد جاسوس‌افزار مایکروسافت، است. طبق گفته مایکروسافت، نام آن از «Microsoft AntiSpyware» به این دلیل تغییر کرده است که نه تنها مانند سایر محصولات رایگان موجود در بازار، سیستم را برای یافتن جاسوس‌افزار اسکن می‌کند، بلکه شامل عوامل امنیتی بلادرنگ نیز می‌شود که چندین بخش رایج ویندوز را برای یافتن تغییراتی که ممکن است توسط جاسوس‌افزار ایجاد شوند، رصد می‌کنند. این بخش‌ها شامل پیکربندی و دانلودهای Internet Explorer، برنامه‌های شروع خودکار، تنظیمات پیکربندی سیستم و افزونه‌های ویندوز مانند افزونه‌های Windows Shell می‌شود.

ویندوز دیفندر همچنین شامل قابلیت حذف برنامه‌های ActiveX نصب شده و مسدود کردن برنامه‌های راه‌اندازی است. همچنین شبکه SpyNet را در خود جای داده است که به کاربران امکان می‌دهد با مایکروسافت ارتباط برقرار کنند، آنچه را که جاسوس‌افزار می‌دانند ارسال کنند و بررسی کنند که کدام برنامه‌ها قابل قبول هستند.

## کنترل نصب دستگاه
ویندوز ویستا به مدیران سیستم اجازه می‌دهد تا از طریق Group Policy محدودیت‌های سخت‌افزاری را اعمال کنند تا از نصب دستگاه‌ها توسط کاربران جلوگیری شود، نصب دستگاه به یک لیست سفید از پیش تعریف شده محدود شود، یا دسترسی به رسانه‌های قابل حمل و کلاس‌های دستگاه‌ها محدود شود.

## کنترل‌های والدین

ویندوز ویستا شامل طیف وسیعی از کنترل‌های والدین برای مدیران است تا فعالیت رایانه‌ای حساب‌های کاربری استاندارد که بخشی از یک دامنه نیستند را نظارت و محدود کنند. کنترل حساب کاربری محدودیت‌های مدیریتی را اعمال می‌کند. ویژگی‌ها عبارتند از: **فیلتر وب ویندوز ویستا** - که به عنوان یک فیلتر Winsock LSP برای عملکرد در تمام مرورگرهای وب پیاده‌سازی شده است - که دسترسی به وب‌سایت‌ها را بر اساس دسته‌بندی محتوا یا آدرس‌های خاص ممنوع می‌کند (با گزینه‌ای برای مسدود کردن همه دانلودهای فایل)؛ **محدودیت‌های زمانی**، که از ورود کاربران استاندارد در طول تاریخ یا زمان مشخص شده توسط مدیر جلوگیری می‌کند (و حساب‌های محدود شده‌ای را که قبلاً در چنین زمان‌هایی وارد سیستم شده‌اند قفل می‌کند)؛ **محدودیت‌های بازی**، که به مدیران اجازه می‌دهد بازی‌ها را بر اساس نام، محتوا یا رتبه‌بندی‌های تعریف شده توسط یک سیستم رتبه‌بندی محتوای بازی‌های ویدیویی مانند هیئت رتبه‌بندی نرم‌افزار سرگرمی (ESRB) مسدود کنند، که در آن محدودیت‌های محتوا بر محدودیت‌های رتبه‌بندی اولویت دارند (به عنوان مثال، بازی‌های *مناسب برای همه 10+ (E10+)* ممکن است به‌طور کلی مجاز به اجرا باشند، اما بازی‌های *E10+* با زبان ملایم در صورت مسدود شدن خود زبان ملایم همچنان مسدود خواهند شد)؛ **محدودیت‌های برنامه**، که از لیست‌های سفید برنامه برای برنامه‌های خاص استفاده می‌کند؛ و **گزارش‌های فعالیت**، که فعالیت‌های حساب‌های کاربری استاندارد محدود شده را نظارت و ثبت می‌کند.

کنترل‌های والدین ویندوز شامل مجموعه‌ای از گزینه‌های قابل توسعه است، به همراه رابط‌های برنامه‌نویسی کاربردی (API) برای توسعه‌دهندگان تا بتوانند ویژگی‌های همراه را با ویژگی‌های خودشان جایگزین کنند.

## قابلیت محافظت در برابر اکسپلویت
ویندوز ویستا از تصادفی‌سازی چیدمان فضای آدرس (ASLR) برای بارگذاری فایل‌های سیستمی در آدرس‌های تصادفی در حافظه استفاده می‌کند. به‌طور پیش‌فرض، تمام فایل‌های سیستمی به‌طور تصادفی در هر یک از ۲۵۶ مکان ممکن بارگذاری می‌شوند. سایر فایل‌های اجرایی باید به‌طور خاص یک بیت را در هدر فایل اجرایی قابل حمل (PE)، که فرمت فایل برای فایل‌های اجرایی ویندوز است، تنظیم کنند تا از ASLR استفاده کنند. برای چنین فایل‌های اجرایی، پشته و هیپ اختصاص داده شده به‌طور تصادفی تعیین می‌شود. با بارگذاری فایل‌های سیستمی در آدرس‌های تصادفی، برای کد مخرب سخت‌تر می‌شود که بداند توابع سیستمی دارای امتیاز در کجا قرار دارند، در نتیجه بعید است که بتوانند به‌طور قابل پیش‌بینی از آنها استفاده کنند. این امر با جلوگیری از حملات سرریز بافر return-to-LIBC به جلوگیری از اکثر حملات اجرای از راه دور کمک می‌کند.

فرمت فایل اجرایی قابل حمل (Portable Executable) به‌روزرسانی شده است تا از جاسازی آدرس مدیریت‌کنندهٔ استثنا در هدر پشتیبانی کند. هر زمان که یک استثنا رخ می‌دهد، آدرس مدیریت‌کننده با آدرس ذخیره‌شده در هدر فایل اجرایی مطابقت داده می‌شود. اگر آنها مطابقت داشته باشند، استثنا مدیریت می‌شود، در غیر این صورت نشان می‌دهد که پشته زمان اجرا به خطر افتاده است و از این رو فرایند خاتمه می‌یابد.

اشاره‌گرهای تابع با استفاده از XOR کردن با یک عدد تصادفی مبهم‌سازی می‌شوند، به طوری که بازیابی آدرس واقعی مورد اشاره دشوار است. تغییر دستی یک اشاره‌گر نیز همین‌طور خواهد بود، زیرا کلید مبهم‌سازی مورد استفاده برای اشاره‌گر بسیار دشوار خواهد بود؛ بنابراین، استفاده از آن برای هر کاربر غیرمجاز اشاره‌گر تابع دشوار می‌شود. همچنین ابرداده‌های بلوک‌های heap با اعداد تصادفی XOR می‌شوند. علاوه بر این، مجموع بررسی بلوک‌های heap نگهداری می‌شود که برای تشخیص تغییرات غیرمجاز و خرابی heap استفاده می‌شود. هر زمان که خرابی heap شناسایی شود، برنامه برای جلوگیری از تکمیل موفقیت‌آمیز اکسپلویت بسته می‌شود.

فایل‌های باینری ویندوز ویستا شامل پشتیبانی ذاتی برای تشخیص سرریز پشته هستند. هنگامی که یک سرریز پشته در فایل‌های باینری ویندوز ویستا شناسایی می‌شود، فرایند از بین می‌رود تا نتوان از آن برای ادامه سوءاستفاده استفاده کرد. همچنین فایل‌های باینری ویندوز ویستا بافرها را در حافظه بالاتر و غیر بافرها، مانند اشاره‌گرها و پارامترهای ارائه شده، را در ناحیه حافظه پایین‌تر قرار می‌دهند؛ بنابراین برای سوءاستفاده واقعی، یک بافر underrun برای دسترسی به آن مکان‌ها مورد نیاز است. با این حال، buffer underrun بسیار کمتر از buffer overrun رایج است.

### جداسازی برنامه
ویندوز ویستا *کنترل یکپارچگی اجباری را* برای تنظیم سطوح یکپارچگی برای فرایندها معرفی می‌کند. یک فرایند با یکپارچگی پایین نمی‌تواند به منابع یک فرایند با یکپارچگی بالاتر دسترسی داشته باشد. این ویژگی برای اعمال جداسازی برنامه استفاده می‌شود، که در آن برنامه‌هایی با سطح یکپارچگی متوسط، مانند تمام برنامه‌هایی که در زمینه کاربر استاندارد اجرا می‌شوند، نمی‌توانند به فرآیندهای سطح سیستم که با سطح یکپارچگی بالا اجرا می‌شوند، مانند برنامه‌های حالت مدیر، متصل شوند، اما می‌توانند به فرآیندهای با یکپارچگی پایین‌تر مانند ویندوز اینترنت اکسپلورر ۷ یا ۸ متصل شوند. یک فرایند با امتیاز پایین‌تر نمی‌تواند اعتبارسنجی دسته پنجره (window handle) فرایند با امتیاز بالاتر را انجام دهد، نمی‌تواند پیام (SendMessage) یا پیام (PostMessage) را به پنجره‌های برنامه با امتیاز بالاتر ارسال کند، نمی‌تواند از قلاب‌های نخ (thread hooks) برای اتصال به یک فرایند با امتیاز بالاتر استفاده کند، نمی‌تواند از قلاب‌های ژورنال (Journal hooks) برای نظارت بر یک فرایند با امتیاز بالاتر استفاده کند و نمی‌تواند تزریق DLL را به یک فرایند با امتیاز بالاتر انجام دهد.

### پیشگیری از اجرای داده‌ها
ویندوز ویستا پشتیبانی کامل از ویژگی NX (بدون اجرا) پردازنده‌های مدرن را ارائه می‌دهد. DEP در ویندوز XP Service Pack 2 و ویندوز سرور 2003 Service Pack ۱ معرفی شد. این ویژگی که به عنوان NX (EVP) در پردازنده‌های AMD64 شرکت AMD و به عنوان XD (EDB) در پردازنده‌های اینتل ارائه می‌شود، می‌تواند بخش‌های خاصی از حافظه را به عنوان حاوی داده به جای کد اجرایی علامت‌گذاری کند، که از خطاهای سرریز و در نتیجه اجرای کد دلخواه جلوگیری می‌کند.

اگر پردازنده از بیت NX پشتیبانی کند، ویندوز ویستا به‌طور خودکار پیشگیری از اجرای داده‌ها مبتنی بر سخت‌افزار را در تمام فرایندها اعمال می‌کند تا برخی از صفحات حافظه را به عنوان بخش‌های داده غیرقابل اجرا (مانند هیپ و استک) علامت‌گذاری کند و متعاقباً از تفسیر و اجرای هرگونه داده به عنوان کد جلوگیری می‌شود. این امر از تزریق کد سوءاستفاده به عنوان داده و سپس اجرا شدن آن جلوگیری می‌کند.

اگر DEP *برای همه برنامه‌ها* فعال باشد، کاربران در برابر سوءاستفاده‌های روز صفر مقاومت بیشتری پیدا می‌کنند. اما همه برنامه‌ها با DEP سازگار نیستند و برخی از آنها استثنائات DEP ایجاد می‌کنند؛ بنابراین، DEP *به‌طور پیش‌فرض برای همه برنامه‌ها* در نسخه‌های ۳۲ بیتی ویندوز اجرا نمی‌شود و فقط برای اجزای حیاتی سیستم فعال است. با این حال، ویندوز ویستا کنترل‌های سیاست NX اضافی را معرفی می‌کند که به توسعه‌دهندگان نرم‌افزار اجازه می‌دهد محافظت سخت‌افزاری NX را برای کد خود، مستقل از تنظیمات اجرای سازگاری در سطح سیستم، فعال کنند. توسعه‌دهندگان می‌توانند برنامه‌های خود را هنگام ساخت به عنوان سازگار با NX علامت‌گذاری کنند، که این امر امکان اجرای محافظت را هنگام نصب و اجرای آن برنامه فراهم می‌کند. این امر درصد بالاتری از کد محافظت‌شده توسط NX را در اکوسیستم نرم‌افزاری در پلتفرم‌های ۳۲ بیتی فراهم می‌کند، جایی که سیاست سازگاری پیش‌فرض سیستم برای NX طوری پیکربندی شده است که فقط از اجزای سیستم عامل محافظت کند. برای برنامه‌های x86-64، سازگاری با نسخه‌های قبلی مشکلی ایجاد نمی‌کند و بنابراین DEP به‌طور پیش‌فرض برای همه برنامه‌های ۶۴ بیتی اجرا می‌شود. همچنین، فقط DEP اعمال‌شده توسط پردازنده در نسخه‌های x86-64 ویندوز ویستا برای امنیت بیشتر استفاده می‌شود.

## مدیریت حقوق دیجیتال
ویژگی‌های جدید مدیریت حقوق دیجیتال و حفاظت از محتوا در ویندوز ویستا معرفی شده‌اند تا به ارائه‌دهندگان محتوای دیجیتال و شرکت‌ها کمک کنند تا از کپی شدن داده‌های خود محافظت کنند.
* PUMA: صدای حالت کاربر محافظت‌شده (PUMA) پشته صوتی جدید حالت کاربر (UMA) است. هدف آن فراهم کردن محیطی برای پخش صدا است که کپی کردن صداهای دارای حق چاپ را محدود می‌کند و خروجی‌های صوتی فعال را به مواردی که توسط ناشر محتوای محافظت‌شده مجاز است، محدود می‌کند.
* مدیریت حفاظت از مسیر ویدئو - خروجی (PVP-OPM) فناوری‌ای است که از کپی کردن جریان‌های ویدئویی دیجیتال محافظت‌شده یا نمایش آنها در دستگاه‌های ویدئویی که فاقد حفاظت از کپی معادل (معمولاً HDCP) هستند، جلوگیری می‌کند. مایکروسافت ادعا می‌کند که بدون این محدودیت‌ها، صنعت محتوا ممکن است با امتناع از صدور کلیدهای مجوز برای رمزگذاری مورد استفاده توسط HD DVD, Blu-ray Disc یا سایر سیستم‌های محافظت‌شده در برابر کپی، از پخش محتوای دارای حق چاپ توسط رایانه‌های شخصی جلوگیری کند.
* مسیر ویدیوی محافظت‌شده - گذرگاه قابل دسترس کاربر (PVP-UAB) مشابه PVP-OPM است، با این تفاوت که رمزگذاری محتوای محافظت‌شده را روی گذرگاه PCI Express اعمال می‌کند.
* پشتیبانی از خدمات مدیریت حقوق (RMS)، فناوری‌ای که به شرکت‌ها اجازه می‌دهد محدودیت‌هایی شبیه DRM را بر روی اسناد، ایمیل‌ها و اینترانت‌های شرکتی اعمال کنند تا از کپی، چاپ یا حتی باز شدن آنها توسط افراد غیرمجاز محافظت شود.
* ویندوز ویستا یک *فرایند محافظت‌شده* را معرفی می‌کند که با فرآیندهای معمول متفاوت است، به این معنا که سایر فرایندها نمی‌توانند وضعیت چنین فرآیندی را دستکاری کنند و همچنین نمی‌توانند رشته‌هایی از فرآیندهای دیگر را در آن معرفی کنند. یک *فرایند محافظت‌شده* دسترسی پیشرفته‌ای به توابع DRM ویندوز ویستا دارد. با این حال، در حال حاضر، فقط برنامه‌هایی که *از مسیر ویدیوی محافظت‌شده* استفاده می‌کنند می‌توانند فرآیندهای محافظت‌شده ایجاد کنند.

گنجاندن ویژگی‌های جدید مدیریت حقوق دیجیتال، منبع انتقاد از ویندوز ویستا بوده است.

## مقاوم‌سازی سرویس‌های ویندوز
*مقاوم‌سازی سرویس ویندوز،* سرویس‌ها را به گونه‌ای بخش‌بندی می‌کند که اگر یک سرویس به خطر بیفتد، نتواند به راحتی به سایر سرویس‌های سیستم حمله کند. این امر مانع از انجام عملیات سرویس‌های ویندوز روی سیستم‌های فایل، رجیستری یا شبکه‌ها می‌شود که قرار نیست این کار را انجام دهند، در نتیجه سطح کلی حمله به سیستم کاهش می‌یابد و از ورود بدافزار با سوءاستفاده از سرویس‌های سیستم جلوگیری می‌شود. اکنون به سرویس‌ها یک شناسه امنیتی (SID) برای هر سرویس اختصاص داده می‌شود که امکان کنترل دسترسی به سرویس را بر اساس دسترسی مشخص شده توسط شناسه امنیتی فراهم می‌کند. یک SID برای هر سرویس می‌تواند در حین نصب سرویس از طریق API *ChangeServiceConfig2* یا با استفاده از دستور `SC.` با *فعل sidtype* `EXE` داده شود. سرویس‌ها همچنین می‌توانند از لیست‌های کنترل دسترسی (ACL) برای جلوگیری از دسترسی خارجی به منابع خصوصی خود استفاده کنند.

سرویس‌ها در ویندوز ویستا نیز به جای حساب کاربری *System*، در یک حساب کاربری با سطح دسترسی کمتر مانند *Local Service* یا *Network Service* اجرا می‌شوند. نسخه‌های قبلی ویندوز، سرویس‌های سیستمی را در همان جلسه ورود به سیستمی که کاربر محلی وارد آن شده بود (Session 0) اجرا می‌کردند. در ویندوز ویستا، Session 0 اکنون برای این سرویس‌ها رزرو شده است و تمام ورودهای تعاملی در جلسات دیگر انجام می‌شوند. این کار برای کمک به کاهش دسته‌ای از سوءاستفاده‌ها از سیستم ارسال پیام ویندوز، معروف به حملات Shatter، در نظر گرفته شده است. فرآیندی که میزبان یک سرویس است، فقط دارای امتیازاتی است که در مقدار رجیستری *RequiredPrivileges* در *HKLM\System\CurrentControlSet\Services* مشخص شده است.

سرویس‌ها همچنین برای نوشتن در منابع، بر اساس هر سرویس، به مجوزهای صریح نوشتن نیاز دارند. با استفاده از یک توکن دسترسی محدود به نوشتن، فقط به منابعی که باید توسط یک سرویس تغییر داده شوند، دسترسی نوشتن داده می‌شود، بنابراین تلاش برای تغییر هر منبع دیگری با شکست مواجه می‌شود. سرویس‌ها همچنین دارای سیاست فایروال از پیش پیکربندی شده‌ای خواهند بود که فقط به اندازه‌ای که برای عملکرد صحیح آنها لازم است، به آنها امتیاز می‌دهد. فروشندگان مستقل نرم‌افزار نیز می‌توانند از مقاوم‌سازی سرویس ویندوز برای مقاوم‌سازی سرویس‌های خود استفاده کنند. ویندوز ویستا همچنین لوله‌های نامگذاری شده مورد استفاده توسط سرورهای RPC را مقاوم‌سازی می‌کند تا از ربودن آنها توسط سایر فرایندها جلوگیری شود.

## احراز هویت و ورود به سیستم
شناسایی و احراز هویت گرافیکی (GINA)، که برای احراز هویت ایمن و ورود تعاملی استفاده می‌شود، توسط ارائه‌دهندگان اعتبار جایگزین شده است. ارائه‌دهندگان اعتبار، همراه با سخت‌افزار پشتیبان، می‌توانند سیستم عامل را گسترش دهند تا کاربران بتوانند از طریق دستگاه‌های بیومتریک (اثر انگشت، شبکیه یا تشخیص صدا)، رمزهای عبور، پین‌ها و گواهی‌های کارت هوشمند یا هر بسته احراز هویت سفارشی و طرحواره‌ای که توسعه‌دهندگان شخص ثالث مایل به ایجاد آن هستند، وارد سیستم شوند. احراز هویت کارت هوشمند انعطاف‌پذیر است زیرا الزامات گواهی آسان‌تر است. شرکت‌ها ممکن است مکانیسم‌های احراز هویت سفارشی را برای همه کاربران دامنه توسعه، استقرار و به صورت اختیاری اجرا کنند. ارائه‌دهندگان اعتبار ممکن است برای پشتیبانی از ورود یکپارچه (SSO)، احراز هویت کاربران به یک نقطه دسترسی شبکه امن (با استفاده از RADIUS و سایر فناوری‌ها) و همچنین ورود به دستگاه طراحی شوند. ارائه‌دهندگان اعتبار همچنین برای پشتیبانی از جمع‌آوری اعتبارنامه‌های خاص برنامه طراحی شده‌اند و ممکن است برای احراز هویت به منابع شبکه، اتصال دستگاه‌ها به یک دامنه یا ارائه رضایت مدیر برای کنترل حساب کاربری استفاده شوند. احراز هویت همچنین با استفاده از IPv6 یا سرویس‌های وب پشتیبانی می‌شود. یک ارائه‌دهنده خدمات امنیتی جدید، CredSSP، از طریق رابط ارائه‌دهنده پشتیبانی امنیتی در دسترس است که به یک برنامه کاربردی امکان می‌دهد اعتبارنامه‌های کاربر را از کلاینت (با استفاده از SSP سمت کلاینت) به سرور هدف (از طریق SSP سمت سرور) واگذار کند. CredSSP همچنین توسط سرویس‌های ترمینال برای ارائه ورود یکپارچه (single sign-on) استفاده می‌شود.

ویندوز ویستا می‌تواند حساب‌های کاربری را با استفاده از کارت‌های هوشمند یا ترکیبی از رمزهای عبور و کارت‌های هوشمند (احراز هویت دو مرحله‌ای) احراز هویت کند. ویندوز ویستا همچنین می‌تواند از کارت‌های هوشمند برای ذخیره کلیدهای EFS استفاده کند. این امر تضمین می‌کند که فایل‌های رمزگذاری شده فقط تا زمانی که کارت هوشمند از نظر فیزیکی در دسترس باشد، قابل دسترسی هستند. اگر از کارت‌های هوشمند برای ورود به سیستم استفاده شود، EFS در حالت ورود به سیستم واحد عمل می‌کند، جایی که از کارت هوشمند ورود به سیستم برای رمزگذاری فایل بدون درخواست پین کد بیشتر استفاده می‌کند.

قابلیت تعویض سریع کاربر که در ویندوز XP محدود به کامپیوترهای گروه کاری بود، اکنون می‌تواند برای کامپیوترهایی که به یک دامنه متصل هستند نیز فعال شود، که از ویندوز ویستا شروع می‌شود. ویندوز ویستا همچنین شامل پشتیبانی احراز هویت برای *کنترل‌کننده‌های دامنه فقط خواندنی است* که در ویندوز سرور ۲۰۰۸ معرفی شدند.

## رمزنگاری
ویندوز ویستا به‌روزرسانی‌ای برای API رمزنگاری ارائه می‌دهد که با نام Cryptography API: Next Generation (CNG) شناخته می‌شود. CNG API یک API در حالت کاربر و حالت هسته است که شامل پشتیبانی از رمزنگاری منحنی بیضوی (ECC) و تعدادی از الگوریتم‌های جدیدتر است که بخشی از مجموعه B آژانس امنیت ملی (NSA) هستند. این API قابل توسعه است و از اتصال APIهای رمزنگاری سفارشی به زمان اجرای CNG پشتیبانی می‌کند. همچنین با اضافه کردن یک ماژول Base CSP که تمام توابع رمزنگاری استاندارد backend مورد نیاز توسعه‌دهندگان و تولیدکنندگان کارت هوشمند را پیاده‌سازی می‌کند، با زیرسیستم کارت هوشمند ادغام می‌شود، به طوری که آنها مجبور به نوشتن CSPهای پیچیده نیستند. مرجع صدور گواهینامه مایکروسافت می‌تواند گواهینامه‌های ECC را صادر کند و کلاینت گواهینامه می‌تواند گواهینامه‌های مبتنی بر ECC و SHA-2 را ثبت و اعتبارسنجی کند.

بهبودهای ابطال شامل پشتیبانی بومی از پروتکل وضعیت گواهی آنلاین (OCSP) است که بررسی اعتبار گواهی را به صورت بلادرنگ، پیش‌واکشی CRL و تشخیص CAPI2 ارائه می‌دهد. ثبت گواهی مبتنی بر ویزارد است، به کاربران اجازه می‌دهد تا در طول ثبت نام داده‌ها را وارد کنند و اطلاعات واضحی در مورد ثبت نام‌های ناموفق و گواهی‌های منقضی شده ارائه می‌دهد. CertEnroll، یک API ثبت نام جدید مبتنی بر COM، جایگزین کتابخانه *XEnroll* برای قابلیت برنامه‌ریزی انعطاف‌پذیر می‌شود. قابلیت‌های رومینگ اعتبارنامه، جفت کلیدهای Active Directory، گواهی‌ها و اعتبارنامه‌های ذخیره شده در *نام‌های کاربری و رمزهای عبور ذخیره شده* در شبکه را تکرار می‌کند.

## حفاظت از دسترسی به شبکه
ویندوز ویستا قابلیت حفاظت از دسترسی به شبکه (NAP) را معرفی می‌کند که تضمین می‌کند کامپیوترهایی که به یک شبکه متصل می‌شوند یا با آن ارتباط برقرار می‌کنند، با سطح مورد نیاز *سلامت سیستم* که توسط مدیر شبکه تعیین شده است، مطابقت داشته باشند. بسته به سیاست تعیین شده توسط مدیر، به کامپیوترهایی که الزامات را برآورده نکنند، هشدار داده شده و دسترسی داده می‌شود، به منابع محدود شبکه اجازه دسترسی داده می‌شود یا دسترسی به‌طور کامل سلب می‌شود. NAP همچنین می‌تواند به صورت اختیاری به‌روزرسانی‌های نرم‌افزاری را برای یک کامپیوتر ناسازگار ارائه دهد تا خود را با استفاده از یک *سرور اصلاح*، به سطح مورد نیاز برای دسترسی به شبکه ارتقا دهد. به یک کلاینت مطابق با این استاندارد، یک *گواهی سلامت* داده می‌شود که سپس از آن برای دسترسی به منابع محافظت شده در شبکه استفاده می‌کند.

یک *سرور سیاست شبکه (Network Policy Server*) که ویندوز سرور ۲۰۰۸ را اجرا می‌کند، به عنوان سرور سیاست سلامت (health policy server) عمل می‌کند و کلاینت‌ها باید از ویندوز XP SP3 یا بالاتر استفاده کنند. یک سرور VPN، سرور RADIUS یا سرور DHCP نیز می‌توانند به عنوان سرور سیاست سلامت عمل کنند.

## سایر ویژگی‌های امنیتی مرتبط با شبکه
* رابط‌های مربوط به امنیت TCP/IP (فیلتر کردن ترافیک میزبان محلی)، قلاب فایروال، قلاب فیلتر و ذخیره‌سازی اطلاعات فیلتر بسته‌ها با یک چارچوب جدید به نام پلتفرم فیلترینگ ویندوز (WFP) جایگزین شده‌اند. WFP قابلیت فیلتر کردن را در تمام لایه‌های پشته پروتکل TCP/IP فراهم می‌کند. WFP در پشته ادغام شده است و ساخت درایورها، سرویس‌ها و برنامه‌هایی که باید ترافیک TCP/IP را فیلتر، تجزیه و تحلیل یا تغییر دهند، برای توسعه‌دهندگان آسان‌تر است.
* به منظور فراهم کردن امنیت بهتر هنگام انتقال داده‌ها از طریق شبکه، ویندوز ویستا الگوریتم‌های رمزنگاری مورد استفاده برای مبهم‌سازی داده‌ها را بهبود بخشیده است. پشتیبانی از الگوریتم‌های منحنی بیضوی دیفی-هلمن (DH) با طول ۲۵۶ و ۳۸۴ بیت، و همچنین استاندارد رمزگذاری پیشرفته (AES) با طول ۱۲۸، ۱۹۲ و ۲۵۶ بیت در خود پشته شبکه و در پروتکل Kerberos و پیام‌های GSS گنجانده شده است. پشتیبانی مستقیم از اتصالات SSL و TLS در Winsock API جدید به برنامه‌های سوکت اجازه می‌دهد تا به جای نیاز به اضافه کردن کد اضافی برای پشتیبانی از یک اتصال امن، امنیت ترافیک خود را از طریق شبکه مستقیماً کنترل کنند (مانند ارائه سیاست امنیتی و الزامات ترافیک، پرس و جو از تنظیمات امنیتی). رایانه‌هایی که ویندوز ویستا را اجرا می‌کنند می‌توانند بخشی از شبکه‌های منطقی جدا شده در یک دامنه Active Directory باشند. فقط رایانه‌هایی که در یک پارتیشن شبکه منطقی قرار دارند، می‌توانند به منابع موجود در دامنه دسترسی داشته باشند. حتی اگر سایر سیستم‌ها از نظر فیزیکی در همان شبکه باشند، مگر اینکه در همان پارتیشن منطقی باشند، قادر به دسترسی به منابع پارتیشن‌بندی شده نخواهند بود. یک سیستم ممکن است بخشی از چندین پارتیشن شبکه باشد. Schannel SSP شامل مجموعه‌های رمز جدیدی است که از رمزنگاری منحنی بیضوی پشتیبانی می‌کنند، بنابراین مجموعه‌های رمز ECC می‌توانند به عنوان بخشی از دست‌دهی استاندارد TLS مورد مذاکره قرار گیرند. رابط Schannel قابل اتصال است، بنابراین ترکیب‌های پیشرفته مجموعه‌های رمز می‌توانند جایگزین سطح بالاتری از عملکرد شوند.
* IPsec اکنون کاملاً با فایروال ویندوز یکپارچه شده است و پیکربندی ساده و احراز هویت بهبود یافته‌ای را ارائه می‌دهد. IPsec از IPv6 پشتیبانی می‌کند، از جمله پشتیبانی از تبادل کلید اینترنتی (IKE)، رمزگذاری AuthIP و داده‌ها، محافظت از کلاینت به DC، ادغام با حفاظت از دسترسی به شبکه و پشتیبانی از چارچوب تشخیص شبکه. برای افزایش امنیت و قابلیت استقرار VPNهای IPsec، ویندوز ویستا شامل AuthIP است که پروتکل رمزنگاری IKE را گسترش می‌دهد تا ویژگی‌هایی مانند احراز هویت با چندین اعتبارنامه، مذاکره با روش‌های جایگزین و احراز هویت نامتقارن را اضافه کند.
* امنیت شبکه‌های بی‌سیم با پشتیبانی بهتر از استانداردهای بی‌سیم جدیدتر مانند 802.11i (WPA2) در حال بهبود است. امنیت لایه انتقال EAP (EAP-TLS) حالت احراز هویت پیش‌فرض است. اتصالات در امن‌ترین سطح اتصال پشتیبانی شده توسط نقطه دسترسی بی‌سیم برقرار می‌شوند. WPA2 حتی در حالت ad hoc نیز قابل استفاده است. ویندوز ویستا هنگام اتصال به یک دامنه از طریق شبکه بی‌سیم، امنیت را افزایش می‌دهد. ویندوز ویستا می‌تواند از *[[شناسایی یگانه|Single Sign On]]* برای استفاده از اعتبارنامه‌های یکسان برای اتصال به یک شبکه بی‌سیم و همچنین دامنه موجود در شبکه استفاده کند. در این حالت، از همان سرور RADIUS برای احراز هویت PEAP برای اتصال به شبکه و احراز هویت MS-CHAP v2 برای ورود به دامنه استفاده می‌شود. همچنین می‌توان یک پروفایل بی‌سیم بوت‌استرپ روی کلاینت بی‌سیم ایجاد کرد که ابتدا کامپیوتر را به شبکه بی‌سیم احراز هویت کرده و به شبکه متصل می‌شود. در این مرحله، دستگاه هنوز هیچ دسترسی به منابع دامنه ندارد. دستگاه یک اسکریپت را اجرا می‌کند که یا روی سیستم یا روی درایو فلش USB ذخیره شده است و آن را به دامنه احراز هویت می‌کند. احراز هویت می‌تواند با استفاده از ترکیب نام کاربری و رمز عبور یا گواهی‌های امنیتی از یک فروشنده زیرساخت کلید عمومی (PKI) مانند VeriSign انجام شود.
* ویندوز ویستا همچنین شامل یک چارچوب میزبان پروتکل احراز هویت توسعه‌پذیر (EAPHost) است که قابلیت توسعه‌پذیری روش‌های احراز هویت را برای فناوری‌های دسترسی به شبکه محافظت‌شده که معمولاً استفاده می‌شوند، مانند 802.1X و PPP، فراهم می‌کند. این چارچوب به فروشندگان تجهیزات شبکه اجازه می‌دهد تا روش‌های احراز هویت جدیدی را که به عنوان روش‌های EAP شناخته می‌شوند، توسعه داده و به راحتی نصب کنند.
* ویندوز ویستا از استفاده از PEAP به همراه PPTP پشتیبانی می‌کند. مکانیزم‌های احراز هویت پشتیبانی شده عبارتند از PEAPv0/EAP-MSCHAPv2 (رمز عبور) و PEAP-TLS (کارت‌های هوشمند و گواهی‌ها).
* سرویس پک ۱ ویندوز ویستا شامل پروتکل تونلینگ سوکت امن، یک پروتکل اختصاصی VPN جدید مایکروسافت است که مکانیزمی برای انتقال ترافیک پروتکل نقطه به نقطه (PPP) (از جمله ترافیک IPv6) از طریق کانال SSL فراهم می‌کند.

## ویژگی‌های خاص x86-64
* نسخه‌های ۶۴ بیتی ویندوز ویستا، پیشگیری از اجرای داده‌ها (DEP) مبتنی بر سخت‌افزار را بدون هیچ شبیه‌سازی نرم‌افزاری جایگزین اجرا می‌کنند. این امر تضمین می‌کند که DEP با اثربخشی کمتر و مبتنی بر نرم‌افزار (که فقط مدیریت استثنائات ایمن است و به بیت NX ربطی ندارد) استفاده نشود. همچنین، DEP، به‌طور پیش‌فرض، برای همه برنامه‌ها و سرویس‌های ۶۴ بیتی در نسخه‌های x86-64 و آن دسته از برنامه‌های ۳۲ بیتی که این قابلیت را انتخاب می‌کنند، اجرا می‌شود. در مقابل، در نسخه‌های ۳۲ بیتی، DEP مبتنی بر نرم‌افزار یک گزینه موجود است و به‌طور پیش‌فرض فقط برای اجزای ضروری سیستم فعال است.
* یک Kernel Patch Protection ارتقا یافته که به *PatchGuard* نیز معروف است، از هرگونه تغییر هسته یا هر ساختار داده‌ای که توسط هسته استفاده می‌شود توسط نرم‌افزارهای شخص ثالث، از جمله درایورهای حالت هسته، جلوگیری می‌کند. در صورت شناسایی هرگونه تغییر، سیستم خاموش می‌شود. این امر تاکتیک رایج روت‌کیت‌ها برای پنهان کردن خود از برنامه‌های حالت کاربر را کاهش می‌دهد. PatchGuard اولین بار در نسخه x64 ویندوز سرور ۲۰۰۳ سرویس پک ۱ معرفی شد و در نسخه x64 ویندوز XP Professional نیز گنجانده شد.
* درایورهای حالت هسته در نسخه‌های ۶۴ بیتی ویندوز ویستا باید به صورت دیجیتالی امضا شوند؛ حتی مدیران سیستم نیز قادر به نصب درایورهای حالت هسته امضا نشده نخواهند بود. یک گزینه زمان بوت برای غیرفعال کردن این بررسی برای یک جلسه ویندوز در دسترس است. درایورهای حالت کاربر ۶۴ بیتی نیازی به امضای دیجیتالی ندارند.
* بررسی *صحت کد*، کدهای امضا شده را بررسی می‌کند. قبل از بارگذاری فایل‌های باینری سیستم، این فایل‌ها در مقابل بررسی صحت کد تأیید می‌شوند تا از عدم تغییر آنها اطمینان حاصل شود. فایل‌های باینری با جستجوی امضای آنها در کاتالوگ‌های سیستم تأیید می‌شوند. بوت لودر ویندوز ویستا، صحت هسته، لایه انتزاع سخت‌افزار (HAL) و درایورهای شروع بوت را بررسی می‌کند. گذشته از فضای حافظه هسته، بررسی *صحت کد*، فایل‌های باینری بارگذاری شده در یک *فرایند محافظت شده* و کتابخانه‌های پویای نصب شده در سیستم که توابع رمزنگاری اصلی را پیاده‌سازی می‌کنند، تأیید می‌کند.

## سایر ویژگی‌ها و تغییرات
تعدادی تغییر خاص در امنیت و قابلیت اطمینان ایجاد شده است:
* رمزگذاری قوی‌تری برای ذخیره اسرار LSA (رکوردهای دامنه ذخیره شده، رمزهای عبور، کلیدهای رمزگذاری EFS، سیاست امنیتی محلی، حسابرسی و غیره) استفاده می‌شود
* پشتیبانی از استاندارد احراز هویت IEEE 1667 برای فلش درایوهای USB با یک اصلاحیه برای ویندوز ویستا سرویس پک ۲.
* Kerberos SSP برای پشتیبانی از رمزگذاری AES به‌روزرسانی شده است. SChannel SSP همچنین از رمزگذاری AES قوی‌تر و پشتیبانی ECC برخوردار است.
* سیاست‌های محدودیت نرم‌افزاری که در ویندوز XP معرفی شده بودند، در ویندوز ویستا بهبود یافته‌اند. سطح امنیت *کاربر پایه* به‌طور پیش‌فرض به جای پنهان بودن، در معرض دید قرار دارد. الگوریتم پیش‌فرض قانون هش از MD5 به SHA256 قوی‌تر ارتقا یافته است. اکنون می‌توان قوانین گواهی را از طریق کادر محاوره‌ای Enforcement Property از درون افزونهٔ Snap-in سیاست‌های محدودیت نرم‌افزاری فعال کرد.
* برای جلوگیری از حذف تصادفی ویندوز، ویستا اجازه قالب‌بندی پارتیشن بوت را در هنگام فعال بودن آن نمی‌دهد (کلیک راست روی درایو C: و انتخاب "Format" یا تایپ "Format C:" (بدون علامت نقل قول) در خط فرمان، پیامی مبنی بر عدم مجاز بودن قالب‌بندی این پارتیشن نمایش داده می‌شود). برای قالب‌بندی هارد دیسک اصلی (درایو حاوی ویندوز)، کاربر باید کامپیوتر را از دیسک نصب ویندوز بوت کند یا با فشار دادن F8 هنگام روشن کردن کامپیوتر، گزینه "Repair Your Computer" را از گزینه‌های پیشرفته بازیابی سیستم انتخاب کند.
* تنظیمات اضافی EFS امکان پیکربندی زمان به‌روزرسانی سیاست‌های رمزگذاری، رمزگذاری فایل‌های منتقل شده به پوشه‌های رمزگذاری شده، رمزگذاری فایل‌های حافظه پنهان آفلاین و این که آیا موارد رمزگذاری شده می‌توانند توسط جستجوی ویندوز فهرست‌بندی شوند یا خیر را فراهم می‌کند.
* ویژگی *نام‌های کاربری و رمزهای عبور ذخیره‌شده* (مدیریت اعتبارنامه‌ها) شامل یک ویزارد جدید برای پشتیبان‌گیری از نام‌های کاربری و رمزهای عبور در یک فایل و بازیابی آنها در سیستم‌هایی است که از ویندوز ویستا یا سیستم‌عامل‌های جدیدتر استفاده می‌کنند.
* یک تنظیم جدید در Group Policy امکان نمایش تاریخ و زمان آخرین ورود تعاملی موفق و تعداد تلاش‌های ناموفق ورود از آخرین ورود موفق با همان نام کاربری را فراهم می‌کند. این به کاربر امکان می‌دهد تا تشخیص دهد که آیا حساب کاربری بدون اطلاع او استفاده شده است یا خیر. این سیاست را می‌توان برای کاربران محلی و همچنین رایانه‌های متصل به یک دامنه سطح عملکردی فعال کرد.
* حفاظت از منابع ویندوز با جلوگیری از تغییرات در فایل‌های سیستم و تنظیمات توسط هر فرآیندی غیر از Windows Installer، از تغییرات پیکربندی سیستم که می‌توانند آسیب‌زا باشند، جلوگیری می‌کند. همچنین، تغییرات در رجیستری توسط نرم‌افزارهای غیرمجاز مسدود می‌شود.
* حالت محافظت‌شدهٔ اینترنت اکسپلورر: اینترنت اکسپلورر ۷ و نسخه‌های بعدی آن تغییرات امنیتی متعددی مانند فیلتر فیشینگ، قابلیت انتخاب ActiveX، محافظت در برابر مدیریت URL، محافظت در برابر حملات اسکریپت‌نویسی بین دامنه‌ای و جعل نوار وضعیت را معرفی کرده‌اند. آن‌ها به عنوان یک فرایند با یکپارچگی پایین در ویندوز ویستا اجرا می‌شوند، فقط می‌توانند در پوشهٔ *فایل‌های موقت اینترنتی* بنویسند و نمی‌توانند به فایل‌ها و کلیدهای رجیستری در پروفایل کاربر دسترسی نوشتن داشته باشند و از کاربر در برابر محتوای مخرب و آسیب‌پذیری‌های امنیتی، حتی در کنترل‌های ActiveX، محافظت می‌کنند. همچنین، اینترنت اکسپلورر ۷ و نسخه‌های بعدی آن *از API محافظت از داده‌ها* (DPAPI) امن‌تر برای ذخیرهٔ اطلاعات کاربری مانند رمزهای عبور به جای *ذخیره‌سازی محافظت‌شده (PStore) که* امنیت کمتری دارد، استفاده می‌کنند.
* یکپارچه‌سازی *آگاهی از موقعیت مکانی شبکه* با فایروال ویندوز. تمام شبکه‌های تازه متصل شده به‌طور پیش‌فرض روی «موقعیت مکانی عمومی» قرار می‌گیرند که پورت‌ها و سرویس‌های در حال گوش دادن را قفل می‌کند. اگر شبکه‌ای به عنوان قابل اعتماد علامت‌گذاری شود، ویندوز این تنظیم را برای اتصالات بعدی به آن شبکه به خاطر می‌سپارد.
* چارچوب درایور حالت کاربر (User-Mode Driver Framework) مانع از دسترسی مستقیم درایورها به هسته سیستم می‌شود و در عوض از طریق یک API اختصاصی به آن دسترسی پیدا می‌کند. این ویژگی جدید مهم است زیرا اکثر خرابی‌های سیستم را می‌توان به درایورهای دستگاه شخص ثالث که به درستی نصب نشده‌اند، نسبت داد.
* مرکز امنیت ویندوز (Windows Security Center) برای شناسایی و گزارش وجود نرم‌افزارهای ضد بدافزار و همچنین نظارت و بازیابی چندین تنظیمات امنیتی اینترنت اکسپلورر و کنترل حساب کاربری (User Account Control) ارتقا یافته است. برای نرم‌افزارهای ضد ویروس که با *مرکز امنیت* ادغام می‌شوند، این مرکز راه‌حلی برای رفع هرگونه مشکل در رابط کاربری خود ارائه می‌دهد. همچنین، برخی از فراخوانی‌های API ویندوز (Windows API) اضافه شده‌اند تا به برنامه‌ها اجازه دهند وضعیت سلامت کلی را از مرکز امنیت ویندوز (Windows Security Center) بازیابی کنند و در صورت تغییر وضعیت سلامت، اعلان‌هایی دریافت کنند.
* ذخیره‌سازی محافظت‌شده (PStore) منسوخ شده و بنابراین در ویندوز ویستا فقط خواندنی شده است. مایکروسافت استفاده از DPAPI را برای اضافه کردن اقلام داده جدید PStore یا مدیریت اقلام داده موجود توصیه می‌کند. اینترنت اکسپلورر ۷ و نسخه‌های جدیدتر نیز از DPAPI به جای PStore برای ذخیره اعتبارنامه‌های خود استفاده می‌کنند.
* حساب کاربری مدیر داخلی به‌طور پیش‌فرض در نصب تمیز ویندوز ویستا غیرفعال است. تا زمانی که حداقل یک حساب کاربری مدیر محلی اضافی وجود داشته باشد، نمی‌توان از حالت ایمن به آن دسترسی داشت.

## جستارهای وابسته
* امنیت کامپیوتر

## منابع

## پیوند به بیرون
* آسیب‌پذیری‌های ویستا  از SecurityFocus
رده:صفحه‌های با ترجمه بازبینی‌نشده
رده:فناوری امنیت مایکروسافت ویندوز
رده:فهرست‌های مایکروسافت
رده:ویژگی‌های نرم‌افزاری
رده:ویندوز ویستا