Administrator Protection: Sigurniji način pokretanja aplikacija

Kompanija Microsoft je predstavila Administrator Protection, revolucionarnu Windows funkciju dizajniranu da zaštiti korisnike od zlonamjernih napada primjenom strogih protokola za povećanje privilegija. U nastavku će biti detaljnije riječi o složenostima ove inovativne bezbjednosne mjere i istražiti će se njen uticaj na korisnike i programere.

ADMINISTRATOR PROTECTION

Administrator Protection odnosi se na robusnu bezbjednosnu funkciju koja nudi poboljšano upravljanje korisničkim privilegijama i zaštitu na Windows uređajima. Ona zahteva od korisnika da odobre administrativne zadatke prije nego što se mogu izvršiti, štiteći sistem od neovlaštenih promjena i napada zlonamjernog softvera. Ovaj pristup pomaže u održavanju ukupne bezbjednosti uređaja tako što osigurava da samo ovlaštene osobe imaju pristup povećanim privilegijama.

 

Promjene u arhitekturi kontrole

Administrator Protection funkcija koja donosi značajnu promjenu u arhitekturi kontrole korisničkog pristupa (eng. user access control – UAC), posebno za administratore. Ovaj inovativni pristup sprovodi princip najmanje privilegije (eng. principle of least privilege – PoLP), što obezbjeđuje transparentnost i odgovornost kada je u pitanju povećanje privilegija pružajući dodatni sloj bezbjednosti od napada eskalacije privilegija.

Jedan od ključnih dizajnerskih aspekata Administrator Protection funkcije je korišćenje skrivenog, sistemski upravljanog, lokalnog korisničkog naloga odvojenog profilom za kreiranje izolovanih administratorskih tokena. Ovaj pristup pomaže da se osigura da zlonamjerni softver na nivou korisnika ne može pristupiti i ugroziti kôd koji se izvršava u kontekstima sa povišenim privilegijama, čime se efektivno postavlja granica bezbjednosti prilikom povećanja privilegija. Sistemom upravljani administratorski nalog (eng. system managed administrator account – SMAA) ima jedinstveni sigurnosni identifikator (eng. security identifier – SID), što dodatno poboljšava sigurnost ove funkcije.

Generisanje administratorskih tokena u realnom vremenu predstavlja još jedan značajan aspekt Administrator Protection funkcije. Ovi nepostojani tokeni se kreiraju posebno za svaki administratorski zadatak i brišu se nakon završetka, smanjujući površinu napada povezanu sa trajnim administratorskim privilegijama. Ovaj pristup obezbjeđuje da korisnici imaju potpunu kontrolu nad privilegovanim radnjama i eliminiše rizik od zlonamjernog softvera koji iskorišćava funkcionalnost automatskog povećanja privilegija.

 

Uklanjanje automatskog podizanja privilegija

Automatsko podizanje privilegija se odnosi na mehanizam gdje određeni Windows procesi ili aplikacije mogu automatski da dobiju povišene privilegije bez traženja saglasnosti korisnika. Ovu funkciju su zlonamjerni akteri iskoristili za izvođenje napada zaobilaženja kontrole korisničkog pristupa (UAC), ugrožavajući bezbjednost uređaja i insistirajući neželjeni softver. Sa Administrator Protection funkcijom, sva automatska podizanja privilegija u Windows operativnom sistemu se uklanjaju, osiguravajući da korisnici moraju interaktivno da ovlaste svaku administrativnu operaciju.

Ovo uklanjanje automatskog podizanja privilegija je kritičan korak ka poboljšanju ukupnog bezbjednosnog stanja uređaja koji koriste Windows 11 operativni sistem sa omogućenom opcijom Administrator Protection. Na taj način, administratori mogu da osiguraju da su privilegovane radnje uvijek ovlašćene od strane autentifikovanog korisnika i da ih ne iskorišćava zlonamjerni softver ili drugi zlonamjerni akteri. Ovaj pristup takođe pomaže u sprečavanju bočnog kretanja unutar organizacionih mreža.

Uklanjanje automatskog podizanja privilegija je značajan dizajnerski aspekt funkcije Administrator Protection, jer obezbjeđuje transparentnost i odgovornost kada je u pitanju podizanje privilegija. Zahtevanjem od korisnika da interaktivno ovlaste svaku administrativnu operaciju, administratori mogu da održe potpunu kontrolu nad privilegovanim radnjama i da osiguraju da su uređaji zaštićeni od napada eskalacije privilegija.

 

Integracija sa Windows Hello

Preporuka je da se Administrator Protection funkcija koristi zajedno sa Windows Hello funkcionalnošću radi daljeg poboljšanja bezbjednosti, uz pružanje praktičnog iskustva autentifikacije. Ova integracija omogućava korisnicima da se autentifikuju pomoću prepoznavanja lica, otiska prsta ili PIN-a, što olakšava i čini bezbjednijim obavljanje administrativnih zadataka. Korišćenje Windows Hello funkcionalnosti kao dodatnog faktora u zaštiti administratora pruža nekoliko prednosti, uključujući:

• Poboljšana bezbjednost: Zahtevanjem više faktora (nešto što znate + nešto što imate) za autentifikaciju, administratori mogu da osiguraju da su uređaji zaštićeni od neovlaštenog pristupa.
• Praktičnost: Integracija sa Windows Hello funkcionalnošću omogućava lakše i praktičnije obavljanje administrativnih zadataka bez ugrožavanja bezbjednosti uređaja.

Kombinacija administratorske zaštite i Windows Hello funkcionalnosti pruža dodatni sloj bezbjednosti, uz istovremeno obezbjeđivanje transparentnosti i odgovornosti kada je u pitanju povećanje privilegija. Ovaj pristup osigurava da korisnici imaju potpunu kontrolu nad privilegovanim radnjama, smanjujući površinu napada povezanu sa napadima povećanja privilegija.

 

Administrator Protection razumijevanje

Administrator Protection funkcija se razlikuje od tradicionalnih metoda podizanja privilegija. Ona razdvaja profil administratorskog korisnika na dva različita profila: standardni korisnički (SMAA) profil i registar primarnog korisnika. Kada se pokreću sa povišenim privilegijama i omogućenim ovim dizajnom, aplikacije pristupaju resursima koristeći odvojene, ali povezane naloge, svaki sa svojim direktorijumima sistema datoteka, registarskima i drugim dijeljenim resursima. Ovaj pristup ublažava klasične napade za zaobilaženje kontrole korisničkog pristupa (UAC) sprečavanjem ograničenih procesa da pristupe resursima na administratorskom nivou. Prednosti ovoga su brojne:

• Poboljšana bezbjednost: Razdvajanjem profila administratorskog korisnika na dva različita profila, smanjena je površina napada za zlonamjerne aktere;
• Poboljšana kompatibilnost: Aplikacije razvijene imajući u vidu Administrator Protection će kompatibilno raditi i u standardnom i u povišenom kontekstu;
• Bolje upravljanje resursima: Sa odvojenim, ali povezanim nalozima, resursi se efikasnije raspoređuju, smanjujući sukobe između procesa.

Međutim, ovaj dizajn takođe uvodi neke izazove:

• Povećani broj upita za podizanje privilegija: Korisnici mogu vidjeti više upita za podizanje privilegija zbog uklanjanja automatskih podizanja privilegija. Ovo može dovesti do frustracije korisnika i smanjene produktivnosti;
• Nedosljednost sistema datoteka: Datoteke koje kreiraju aplikacije kada rade sa povišenim privilegijama biće sačuvane u odgovarajućim direktorijumima biblioteke standardnog korisničkog (SMAA) profila, što možda neće odgovarati očekivanom ponašanju za korisnike naviknute na tradicionalne metode podizanja privilegija.

Da bi prevazišli ove izazove, programeri moraju da prilagode svoje aplikacije da bi besprijekorno radile sa administratorskom zaštitom. Ovo uključuje:

• Razumijevanje implikacija na sistem datoteka: Programeri treba da dizajniraju svoje aplikacije da pravilno obrađuju datoteke kreirane u kontekstima sa povišenim privilegijama;
• Mapiranje registra: Aplikacije moraju biti svjesne podrazumijevanih mapiranja registra kada rade sa povišenim privilegijama i da se u skladu sa tim prilagode;

Prihvatanjem ovih promjena, programeri mogu da kreiraju bezbjednije, kompatibilnije i efikasnije aplikacije koje koriste prednosti Administrator Protection funkcije, a istovremeno smanjuju njene nedostatke.

 

Trenutna dostupnost i buduća primjena

Administrator Protection funkcija je trenutno dostupna korisnicima Windows Insiders programa u Canary kanalu (verzija #27718 i novije). To znači da korisnici koji su se prijavili za primanje ranih ažuriranja već mogu da probaju ovu funkciju. Međutim, treba napomenuti da će se Administrator Protection funkcija uskoro proširiti na Dev kanal sa planovima za širu primjenu u izdanju 24H2 i novije. Ovo ukazuje na postepeni pristup uvođenju, gdje kompanija Microsoft postepeno uvodi funkciju u različitim kanalima i verzijama.

Planirana primjena Administrator Protection funkcije u podržanim izdanjima (Windows 11 Home, Professional, Enterprise i Education) sugeriše da će ovo poboljšanje biti podrazumijevano omogućeno na ovim platformama. Stoga, korisnici mogu očekivati značajne promjene u načinu na koji se administratorske privilegije obrađuju u okviru njihovog operativnog sistema. Ključno je da organizacije koje koriste Windows 11 blagovremeno pripreme svoje radne tokove kako bi se prilagodile uticajima ove funkcije.

 

Izazovi kompatibilnosti

Iako Administrator Protection nudi brojne prednosti sa stanovišta bezbjednosti, njena implementacija takođe predstavlja neke izazove kompatibilnosti. Programeri aplikacija moraju se prilagoditi ovoj novoj paradigmi implementacijom granularnog povećanja privilegija, a ne njihovog povećanja unaprijed. To znači da će aplikacije morati biti dizajnirane uz pretpostavku da korisnici možda neće imati administratorske privilegije u svakom trenutku.

Kompanija Microsoft preporučuje instaliranje aplikacija u kontekstima bez povišenih privilegija kad god je to moguće i čuvanje datoteka aplikacija u odgovarajućim direktorijumima kako bi se održala dostupnost u različitim kontekstima. Međutim, postoje neki izazovi kompatibilnosti, posebno kod složenih razvojnih okruženja kao što je Visual Studio. Kada se pokreće sa povišenim privilegijama i omogućenom Administrator Protection, Visual Studio pokazuje određene nekompatibilnosti, uključujući probleme sa ekstenzijama instaliranim na lokacijama za svakog korisnika i podešavanjima sačuvanim u direktorijumima specifičnim za korisnika.

Ove zabrinutosti u vezi sa kompatibilnošću ističu potrebu da programeri ponovo procjene principe dizajna svojih aplikacija i osiguraju da mogu besprijekorno da funkcionišu u okruženju gdje administratorske privilegije nisu uvijek dostupne. Na taj način, organizacije mogu smanjiti poremećaje izazvane implementacijom Administrator Protection funkcije i povećati njene prednosti sa stanovišta bezbjednosti.

 

ZAKLJUČAK

Funkcija Administrator Protection je bezbjednosno poboljšanje dizajnirano da smanji rizike povezane sa povišenim privilegijama u Windows sistemima. Ova promjena u arhitekturi kontrole korisničkog pristupa (UAC) za administratore primjenjuje princip najmanjih privilegija, pružajući transparentnost u zahtjevima za povećanje privilegija. Ključni aspekt ovog dizajna je kreiranje skrivenog, sistemski upravljanog lokalnog korisničkog naloga odvojenog od profila koji generiše izolovane administratorske tokene. Ova bezbjednosna granica osigurava da zlonamjerni softver na nivou korisnika ne može da ugrozi kôd koji se izvršava u povišenim kontekstima, efikasno čineći samo povećanje privilegija bezbjednosnom granicom.

Funkcija Administrator Protection fundamentalno mijenja Windows arhitekturu kontrole korisničkog pristupa (UAC) kako bi pružila poboljšane mehanizme zaštite privilegija od incidenata krađe tokena i drugih napada usmjerenih na procese sa povišenim privilegijama. Pokretanje aplikacija sa administratorskim privilegijama je najranjivije na napade kada rade u povišenom stanju. Zlonamjerni kôd koji se izvršava dok je povišen može potencijalno da uhvati tokene i olakša bočno kretanje unutar organizacionih mreža, intenzivirajući rizike povezane sa napadima eskalacije privilegija.

Administrator Protection funkcija stvara novu bezbjednosnu granicu oko administrativnih operacija odvajanjem administratorskog tokena od procesa na nivou korisnika. Ova izolacija sprečava zlonamjerni softver ili zlonamjerne aktere da pristupe i ugroze kôd koji se pokreće u kontekstima sa povišenim privilegijama, čime se smanjuje površina napada koju zlonamjerni akteri iskoriste kada ciljaju procese sa povišenim privilegijama.

Sprovođenjem principa najmanje privilegije kroz ovaj dizajn, Windows sistemi mogu da održe robustan bezbjednosni položaj čak i kada aplikacijama trebaju administratorske privilegije da bi efikasno funkcionisale. Administrator Protection funkcija pruža administratorske pravovremene privilegije, a istovremeno uključuje Windows Hello za poboljšanu udobnost i bezbjednost korisnika.

Tehnička dokumentacija napominje da su pokrenute aplikacije najranjivije na napade kada rade sa povišenim privilegijama zbog povećanog rizika od krađe tokena, bočnog kretanja unutar mreža i drugih napada eskalacije privilegija. Zaštitom sistema od ovih vrsta prijetnji putem Administrator Protection funkcije, kompanija Microsoft ima za cilj da ojača ukupnu bezbjednost sistema u Windows 11 okruženjima.