系统极客一直在努力
专注于操作系统及软件使用教程

保护系统安全启动,Windows 10安全引导简介

Windows 10 操作系统具有许多功能用以帮助保护用户免受恶意软件攻击,而且这些安全功能的性能也非常不错。除了企业内部开发和采购的第三方应用程序外,所有 Windows Store 应用程序也必需满足一系列的认证才能入驻。Windows Store 的认证过程中包含非常严格的安全检查标准,以防止恶意软件进入到 Windows Store 市场。即便恶意软件进入了 Windows Store,Windows 10 操作系统也包含了一系列的安全功能来减轻影响。例如,Windows Store 在 Win 10 中都是沙盒运行,并且缺少访问用户数据或更改系统设置所需要的权限。

Windows 10 对桌面应用程序和数据也有多个层级的保护,例如:

  • Windows Defender 使用签名来检测和隔离已知的恶意应用程序
  • SmartScreen 筛选器会在运行不可信赖的应用程序之前对用户进行警告
  • 用户帐户控制(UAC)可以在应用程序更改系统设置之前提醒用户授予应用程序管理权限

虽然以上功能是 Windows 10 保护用户免受恶意软件侵扰的一些方法,但这些安全特性都仅在 Windows 10 启动后才能保护您。而一些现代恶意软件和特殊的 bootkits 却能够在 Windows 之前启动,以达到完全绕过操作系统安全功能并保持完全隐藏的目的。

当用户在 UEFI(统一可扩展固件接口)设备上运行 Windows 10 系统时,Trusted Boot(受信启动)功能会在打开电脑之前保护 PC 免受恶意软件侵害,直到反恶意软件启动为止。Trusted Boot 能够用让恶意软件无法伪装的方式来向 PC 的基础结构证明操作系统的完整性,即便在没有 UEFI 的 PC 上,Windows 10 也可以比以前的 Windows 提供更好的启动安全性。

首先,我们来看看 rootkit 是什么,以及它们如何工作。 然后,系统极客将向你展示 Windows 10 是如何保护系统安全启动的。

Rootkit

Rootkit 是一种复杂而危险的恶意软件,它们使用与操作系统相同的权限,以内核模式运行。由于 Rootkit 与操作系统具有相同的权限并在系统前启动,因此它们可以完全隐藏自身和其它应用程序。通常情况下,rootkit 是整套恶意软件的一部分,可以绕过本地登录、记录密码和按键、传输用户私有文件和捕获加密数据。

不同类型的 rootkit 会在 PC 启动过程的不同阶段加载:

  • Firmware rootkit 会覆盖 PC 的基本输入/输出系统或其他硬件的固件,以便 rootkit 能够在 Windows 之前启动。
  • Bootkit 可以取代操作系统的引导加载程序,以便 PC 在操作系统之前加载bootkit。
  • Kernel rootkit 可以替换操作系统内核的一部分,以便 rootkit 可以在操作系统加载时自动启动。
  • Driver rootkit 会伪装是 Windows 用来与 PC 硬件进行通信的值得信赖的驱动程序之一。

Windows 10安全引导启动对策

为了保护操作系统能够安全启动,Windows 10 引入了 4 大安全特性,以防止在启动过程中加载 rootkit 和 bootkit:

  • Secure Boot(安全启动):具有 UEFI 固件和TPM(可信平台模块)芯片的 PC 可以配置为只加载受信任的 bootloader(操作系统引导加载程序)。
  • Trusted Boot(受信启动):Windows 10 会检查启动过程中每个组件的完整性,然后才会加载它。
  • 早期启动反恶意软件(ELAM):ELAM 会在测试所有驱动程序后才加载,并能够阻止未经批准的驱动程序加载。
  • Measured Boot(测量启动):PC 的固件会记录启动过程,Windows 10 可以将其发送到可以客观评估 PC 健康状况的受信任服务器。

介绍了 Windows 10 为系统安全引导推出的 4 大安全功能,我们就来看一下在启动过程中 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 各自能够应对哪些安全威胁。

Secure Boot 和 Measured Boot 在具有 UEFI 2.3.1 和 TPM 芯片的 PC 上可用。幸运的是,符合 Windows 硬件兼容性计划(WHL)要求的所有 Windows 10 PC 都具有这些组件,而且许多专门为早期版本 Windows 设计的 PC 也具有这些功能。

下面系统极客将分别为大家介绍 Secure Boot、Trusted Boot、ELAM 和 Measured Boot 功能。

Secure Boot(安全启动)

当 Windows PC 加电启动时,会首先找到操作系统引导加载程序。无 Secure Boot 功能的 PC 会直接引导硬盘中的任何引导加载程序,PC 无法知道它是一个值得信赖的操作系统还是 rootkit。

当装有 UEFI 的 PC 启动时,PC 会首先验证固件是否经过数字签名,从而降低 Firmware Rootkit 的风险。如果启用 Secure Boot,固件将检查引导加载程序的数字签名并验证其是否被篡改过。如果引导加载程序完整无误,而且满足以下条件之一,固件才会启动引导程序:

  • 引导程序使用受信任的证书进行了签名。 对于经过 Windows 10 认证的 PC, Microsoft® 证书是可信的。
  • 用户手动批准了引导加载程序的数字签名。 这允许用户加载非 Microsoft 操作系统。

Trusted Boot(受信启动)

此引导加载程序会使用虚拟可信平台模块(VTPM)来验证 Windows 10 内核的数字签名后再加载它,然后验证 Windows 启动过程的其他组件,包括:引导驱动程序、启动文件和 ELAM。

早期启动反恶意软件(ELAM)

早期启动反恶意软件(ELAM)可在启动时和第三方驱动程序初始化之前为计算机提供保护。在 Secure Boot 成功管理保护引导加载程序并且 Trusted Boot 完成保护 Windows 10 内核的任务后,ELAM 的作用就会开始,它会主动关闭任何已知漏洞,以防恶意软件启动或通过感染非 Microsoft 启动驱动程序。此安全特性这有助于建立由 Secure Boot 和 Trusted Boot 提供的连续信任链。

Measured Boot(测量启动)

如果你组织中的 PC 机感染了 rootkit,则需对其进行分析了解。 企业防恶意软件应用程序可以向 IT 部门报告恶意软件感染,但这并不适用于隐藏其存在的 rootkit 。 换句话说,管理员不能信任用户来告诉你它是否健康。

因此,即便反恶意软件正在运行,感染 rootkit 的 PC 看起来也似乎是健康的。如果受感染的 PC 继续连接到企业网络,就可以使 rootkit 可以访问大量的机密数据,并可能允许 rootkit 扩展到内部网络。

而 Windows 10 中的 Measured Boot 允许网络上的可信服务器来验证 Windows 启动过程的完整性。

分享到: 更多 (0)