Windows 10: novità di sicurezza?

La sicurezza ha avuto una ripercussione all'evento Windows 10 di mercoledì di Microsoft, ma ciò non significa che Redmond non abbia apportato modifiche alla sicurezza.

Windows 10 ha un "elenco molto lungo di funzionalità di sicurezza avanzate sviluppate in questa nuova base di codice insieme a una quantità enorme di nuova superficie di attacco introdotta con questa nuova piattaforma", ha scritto Kurt Baumgartner, un ricercatore senior di Kaspersky Lab in un post sul blog.

Project Spartan: nuovi mal di testa del browser?

Uno dei maggiori cambiamenti è nel browser Web, poiché la maggior parte degli utenti non vedrà Internet Explorer su Windows 10. Il nuovo browser, attualmente gestito da Project Spartan, è una pausa da Internet Explorer in quanto viene fornito con un nuovissimo motore di rendering. Tuttavia, Microsoft comprende la compatibilità con le versioni precedenti e ha affermato che Project Spartan sarebbe in grado di caricare il motore IE11 se l'utente sta tentando di accedere a siti Web aziendali esistenti appositamente progettati per Internet Explorer.

Il motore di Project Spartan dovrebbe presentare HTTP Strict Transport Security (HSTS), secondo Microsoft. HSTS è un'intestazione HTTP che informa il browser di richiedere sempre un determinato dominio su SSL. Ciò contribuirà a ridurre la superficie di attacco man-in-the-middle. Microsoft non ha divulgato altre funzionalità di sicurezza, pratiche di sviluppo o sandbox per Project Spartan.

Anche così, considerando che c'erano solo 200 vulnerabilità corrette in varie versioni di IE nel solo 2014, abbandonare la base di codice e passare a un aggiornamento minimalista con Project Spartan sembra una buona idea. "In poche parole, il browser IE è stato martellato nel 2014 su tutte le piattaforme Windows, incluso il loro ultimo", ha detto Baumgartner.

Tuttavia, cosa non vuol dire che Project Spartan, con grandi quantità di nuovo codice per comunicazioni e condivisione dei dati, non seguirà semplicemente la storia di Microsoft di dover correggere centinaia di vulnerabilità ogni anno? "Speriamo che la loro squadra non porti con sé quel bagaglio, ma il carico sembra piuttosto pesante con la nuova funzionalità", ha detto.

Anche la retrocompatibilità con il motore IE può comportare alcuni problemi. "Altre funzionalità + supporto multipiattaforma + retrocompatibilità = base di codice molto più ampia (milioni di righe di codice", ha dichiarato Franklyn Jones, vicepresidente del marketing di Spikes Security. Una base di codice molto più ampia significa che potrebbero esserci molte più vulnerabilità e una superficie di attacco molto più ampia da sfruttare per i cyber criminali.

Autenticazione e fiducia

Microsoft bloccherà l'installazione nel sistema di applicazioni non attendibili. L'affidabilità verrà verificata con la firma digitale dell'applicazione. Sebbene questo modello di firma affidabile sia un miglioramento, Baumgartner ha affermato che il modo in cui Windows 10 lo gestirà non è "perfetto". Gli attacchi di spionaggio informatico del passato hanno dimostrato che i certificati digitali vengono prontamente rubati e riutilizzati negli attacchi. Gli attori condividono i certificati tra i gruppi e infrangono il modello di fiducia, ha affermato.

Windows 10 avrà protezione dell'identità e controllo degli accessi integrati per resistere agli attacchi di phishing, autenticazione a due fattori che richiede agli utenti di utilizzare un PIN o un biometrico e uno strumento di prevenzione della perdita di dati per crittografare automaticamente i dati aziendali salvati in posizioni predeterminate, Microsoft detto in precedenza.

Il nuovo sistema operativo vanta una perfetta integrazione dei servizi di condivisione dei dati tra le risorse di elaborazione, il che significa che l'autenticazione e le credenziali e i token sottostanti non possono essere diffusi tra servizi, applicazioni e dispositivi, ha osservato Baumgartner. Ma non è chiaro che Windows 10 abbia protezioni per difendersi dalle tecniche pass-the-hash, dagli attacchi contro Active Directory usando "skeleton keys" o dagli attacchi su Hyper-V e sul modello contenitore per accedere e abusare di token. I ricercatori della sicurezza dovrebbero concentrarsi su come Microsoft ha implementato il provisioning delle credenziali e la gestione dei token di accesso, ha affermato.

"Anche l'implementazione DLP per la condivisione sicura dei dati aziendali è incoraggiante, ma quanto può essere forte attraverso l'hardware mobile a basso consumo energetico?" Chiese Baumgartner.