Windows 10: włączamy zabezpieczenia z Windows 11 (część 1)

Gdy mowa o zabezpieczeniach Windows 11, do głowy przychodzą dwa główne terminy: Secure Boot i TPM 2.0. Są to jednak funkcje urządzenia, a nie systemu. Komputer obsługuje wszak Secure Boot i posiada moduł TPM niezależnie od tego, jaki jest zainstalowany na nim system. Ponadto, obsługa Secure Boot znajduje się w Windows już od ponad 10 lat, a funkcje TPM 2.0 są konsumowane przez Windows 10 i nowsze, według specyfikacji.

Wygląda więc na to, że jeżeli "nowymi" zabezpieczeniami są Secure Boot i TPM 2.0, to… w zasadzie nie ma znaczenia, czy sprzęt pracuje pod kontrolą Dziesiątki czy Jedenastki. Funkcjonalności oferowane przez te rozwiązania "po prostu są", a Windowsy radzą sobie z nimi od dawna, niezależnie od wersji. Choć stały się obowiązkowe, TPM i SB zostaną wykorzystane w taki sam sposób w Windows 10 i 11. Musi zatem chodzić o coś innego.

Istotnie, powyższe dwa narzędzia stały się sławne z racji podnoszenia wymagań sprzętowych Windowsa. Ale Windows 11 zawiera więcej mechanizmów zabezpieczeń. Jednakże, większość z nich ma zbliżone cechy, w postaci obecności z Dziesiątce i wymagania nowego sprzętu. Opcjonalne funkcje poprzednich systemów stały się po prostu "obowiązkowe" w Jedenastce. Jeżeli nasz sprzęt jest odpowiednio nowy, te same mechanizmy (prawie wszystkie) da się włączyć i skonfigurować w Windows 10.

Zacznijmy od tych "najłatwiejszych" - obecnych od Windows 10, wyprowadzonych przez GUI Defendera do łatwej konfiguracji i łatwo zarządzalnych. Bardzo prędko natkniemy się na problem z brandingiem: w zależności od miejsca w interfejsie, które wybierzemy, funkcja będzie się nazywać odrobinę inaczej. Podobnie jest w dokumentacji - podręcznik do Defendera nazywa funkcje inaczej niż podręcznik do tych samych rozwiązań, ale dla Windowsa.

Najważniejsze ustawienie dotyczy trybu HVCI - tak brzmi jego wewnętrzna nazwa i ona akurat nie zmienia się między wersjami, ponieważ utrwalono ją w Rejestrze. Kompatybilność wsteczna uodparnia więc nazwę wewnętrzną przeciw ustawicznym rebrandingom. Przełącznik do kontroli HVCI znajduje się w aplikacji Zabezpieczenia Windows. Jest to inne miejsce niż karta "Zabezpieczenia" w Ustawieniach (i sekcja "Zabezpieczenia i Konserwacja" w Panelu Sterowania).

Sekcja "Zabezpieczenia Urządzenia" zawiera zbiór sekcji informacyjnych na temat zabezpieczeń sprzętowych komputera oraz przełączniki do konfiguracji funkcji zwanej "Izolacja Rdzenia". Liczba owych przełączników jest zazwyczaj bardzo mała - znajdują się tam:

• "Integralność pamięci"
• "Ochrona dostępu do pamięci"
• "Ochrona oprogramowania układowego"
• "Blokowanie Sterowników"
• "Credential Guard",

z których w większości przypadków widać tylko jedną, pierwszą. To właśnie ona nas interesuje. W Windows 11 jest domyślnie włączona, w Windows 10 - nie.

HVCI ("Izolacja rdzenia") polega na tym, że weryfikacja pochodzenia kodu sterowników trybu jądra (podpis cyfrowy) jest przeprowadzana nie w jądrze, a w mikro-środowisku wirtualnym. Innymi słowy, jądro systemu nie sprawdza samego siebie - bo jeżeli załadowało złośliwe sterowniki, to przecież mogą one same zadbać o zgłoszenie, że "wszystko w porządku". Zamiast tego, przeprowadzanie walidacji jest wirtualizowane. Obszar pamięci, w którym się to odbywa nie jest edytowalny z poziomu jądra. Tylko uzyskanie aprobaty od tak odgrodzonego mechanizmu pozwala oznaczyć jakiś obszar pamięci jądra jako wykonywalny.

Bez niej, kod jest odrzucany. Dlatego włączenie HVCI jest niemożliwe na komputerze z niezgodnymi sterownikami. Jeżeli są one napisane bez zachowania dyscypliny i praktyk potrzebnych do funkcjonowania w trybie izolacji rdzenia, Windows wykryje taką niekompatybilność i odmówi włączenia HVCI. Wymuszenie uruchomienia izolacji poprzez edycję WIM lub sztuczki w Rejestrze pozwoli bardzo prędko przekonać się, że izolacja naprawdę działa. System odrzuci wszystkie niezgodne sterowniki i nawet nie powie (interaktywnie) dlaczego co daje szczególnie zabawny rezultat w przypadku sterowników graficznych.

HVCI wymusza obsługę na sterownikach, ale oczekuje także odpowiedniego procesora. Poniżej generacji siódmej procesorów Intel (i AMD Zen2), izolacja rdzenia jest emulowana, co czyni ją znacznie mniej wydajną. Praktyka dowodzi jednak, że dopiero okolice piątej i szóstej generacji procesorów to czasy, w których sterowniki stały się zgodne z HVCI. Więc o ile da się czasem włączyć izolację rdzenia w komputerach z Broadwellem, zrobienie tego tak, żeby nie zrobić sobie krzywdy, wymaga procesora Kaby Lake lub nowszego. Jeżeli nasz komputer jest starszy, bilans zysków i strat wychodzi w przypadku HVCI raczej na minus.

O ile przełącznik do konfiguracji HVCI w ustawieniach Defendera to prosty "pstryczek" włącz-wyłącz, edytor Zasad Grupy ukaże nam więcej możliwych opcji. Izolację rdzenia można tam także włączyć i wyłączyć, ale dodatkowo możliwe jest włączenie izolacji "bardziej", poprzez ustawienie jej w UEFI, co czyni wyłączenie jej bardzo uciążliwym i wymagającym fizycznej obecności. Pozwala to ustrzec się przed złośliwym oprogramowaniem próbującym zdalnie blokować HVCI.

Choć lista ustawień widocznych dla użytkownika właśnie się nam skończyła, jesteśmy w stanie włączyć ich więcej. W kolejnej części zajmiemy się tymi mechanizmami, których konfiguracja jest ukryta.