www.menatwork.com.ua - Статьи

Безопасность — это вечная забота IT администраторов. Управляющим нужна основа для оценки безопасности ОС, включающая в себя оценки базовой безопасности; безопасности сети и сетевых протоколов; безопасности приложений, их развертывания и сопровождения; гарантии качества; безопасности вычислений и открытых стандартов. В этом обзоре мы сравним безопасность Microsoft Windows и Linux в каждой из этих семи категорий. Итоговые данные проведенной качественной оценки показали, что в настоящий момент Linux превосходит Windows по всем критериям кроме одного — гарантии качества.

В сравнении Windows и Linux приняли участие несколько версий каждой из ОС. Windows 98, Windows NT, Windows 2000, Windows 2003 Server и Windows CE — со стороны Microsoft. Дистрибутивы Linux различались по версии ядра Linux (2.2, 2.4 и 2.6) и версии входящих в них пакетов. В данном обзоре сравнение безопасности ОС проводилось не с использованием традиционных решений, а в соответствии с современными и доступными на рынке технологиями.

Пользователям следует помнить, что у Windows и Linux различные философские начала. ОС Windows ориентирована на поддержку приложений, что достигается перемещением многих функций в саму ОС и большей интеграцией с ее ядром. Linux отличается от Windows четким разграничением пространства пользовательских приложений и ядра. Это важно, поскольку возможность сделать безопасной каждую из этих ОС сильно зависит от их архитектуры.

Фундаментальные изменения в безопасности Linux и Windows.
Со стороны пользователей кажется, что сравнение Linux и Windows — это спортивное состязание. У каждого есть свой фаворит, но, в то же время, интересен и результат состязания. Microsoft продемонстрировала прекрасную готовность — без сомнения, подстегиваемая производственным цинизмом и растущей популярностью Linux — выделить огромные ресурсы для обеспечения безопасности Windows. Microsoft сделает следующий шаг для безопасности Windows через несколько месяцев, когда будет выпущен Service Pack 2 для Windows XP. Этот пакет обновлений улучшит безопасность Windows, сделав некоторые сервисы по умолчанию отключенными и предоставив дополнительные инструменты для управления ОС. Например, сервисы Alerter и Messenger будут остановлены для уменьшения потока получаемого спама. В большинстве случаев, отключение некоторых функций — это добро, если это повышает безопасность системы. Однако задача состоит в обеспечении безопасности без потери функциональности или гибкости.

Основным недостатком Microsoft является повышение безопасности за счет улучшения удобства использования. Например, большинство эксплойтов для Windows в 2003 году были реализованы в виде самозапускаемых приложений к e-mail (MyDoom и т.п.). Service Pack 2 предоставит сервис запуска приложений к e-mail (attachment execution service), посредством которого к вложениям будут обращаться Outlook/Exchange, Windows Messenger и Internet Explorer. Это уменьшит риск запуска пользователем зараженной программы. Кроме того, запрет исполнения фрагментов данных, уменьшит количество потенциальных эксплойтов, вызывающих переполнение буфера (buffer-overflow exploits). В итоге, вместо исправления инфрастуктуры Windows и защиты коммуникаций, Microsoft перекладывает эту задачу на пользователей.

Microsoft однозначно сфокусировала свое внимание на укреплении безопасности приложений. Множество улучшений в Service Pack 2 ориентированны исключительно на Outlook/Exchange и Internet Explorer. Например, Internet Explorer получит интеллектуальный анализатор MIME-объектов, который сообщит пользователю о потенциально опасных исполняемых файлах. Возникает вопрос, каким образом ПО будет отличать вирус от электронной таблицы Вашего коллеги?

Еще одной особенностью Service Pack 2 будет возможность деинсталлировать надстройки браузера, это должно повысить понимание ситуации пользователем, который сможет удалить ненужные plug-in. Outlook/Exchange получат возможность производить предварительный просмотр электронных сообщений, таким образом, пользователь сможет удалить сообщение, фактически не открывая его. Следующим элементом, повышающим безопасность приложений, является брандмауэр (firewall), который начнет свое функционирование до запуска стека сетевых протоколов. Изменения разрешений для удаленного вызова (remote procedure call) затруднят написание разработчиками ПО небезопасного кода.

Service Pack 2 предоставит множество совершенно новых возможностей для пользователей Windows, но вопрос остается в силе: Эти изменения добавят головной боли системным администраторам и, возможно, пользователям или повысят безопасность кода ОС Widows?

Открытый код, общий код.
Основное философское отличие Linux от Windows — стремление к «прозрачному» коду. Linux выпускается по GNU General Public License, которая позволяет пользователю копировать, изменять и распространять исходный код. Исходный код Windows закрыт, поэтому ее методологию безопасности часто называют «безопасность в тумане» («security through obscurity»). В 2001 году Microsoft под влиянием пользователей и критиков объявила Shared Source Initiative, которая предоставляла доступ к исходному коду Windows. На сегодняшний день в Shared Source Initiative участвуют более миллиона подписчиков. Доступен исходный код Windows 2000, Windows XP, Windows Server 2003, Windows CE 3.0, Windows CE .Net, а также C#/CLI реализации, компоненты ASP .Net и Visual Studio .Net. Доступны корпоративные, правительственные, партнерские, академические и индивидуальные лицензии Shared Source Initiative.

В первом приближении, в Shared Source Initiative применяется политика «смотри, но не трогай». Редкое исключение — Windows CE Shared Premium Licensing Program, доступная компаниям, поставляющим устройства и решения на основе Windows CE. Это единственная программа Shared Source Initiative, позволяющая OEM-производителям, распространителям чипов и системным интеграторам получить полный доступ к коду Windows CE. Все обладатели лицензий имеют полный доступ к исходному коду и право его изменять, но только OEM-производители могут распространять коммерческие версии Windows CE устройств с измененным кодом. Всем остальным для доступа к коду, не доступному в их программах, придется совершить визит в Редмод к Microsoft.

Несмотря на то, что некоторым пользователям Shared Source Initiative может оказаться полезной для отладки приложений, требование производить сборку Windows только в штаб-квартире Microsoft — это существенное ограничение. Вопреки попыткам Microsoft добавить «прозрачности», невозможность производить сборку Windows делает труднодостижимым, если не невозможным, понимание того, как будет работать код в реальных условиях.

Запрет модификации и перекомпиляции кода Windows не уменьшает стимул использовать Shared Source Initiative для поиска уязвимостей.

Linux безопаснее и на сервере и на десктопе.
В течение следующих 12 месяцев, Linux укрепит свои позиции в серверном сегменте и начнет заметное наступление на десктопную монополию Microsoft. Вообще говоря, это результат новых функций и новой функциональности, реализованных в версии 2.6 ядра Linux. С новой версией ядра Linux получила модульную архитектуру безопасности. Согласно этой модели, все элементы ядра поддерживают многоуровневые разрешения для доступа пользователей, что заменяет прошлую модель с предоставлением полного контроля суперпользователю. Идея состоит в том, что пока ОС Linux будет продолжать поддерживать пользователя «root», имеющего полный доступ к системе, станет возможным создание Linux-систем, которые не следуют этой модели.

Еще одним важным изменением в Linux 2.6 стало добавление Linux Security Modules (LSM), позволяющий пользователям добавлять дополнительные механизмы безопасности в дистрибутив Linux без необходимости изменять ядро. Множество механизмов контроля доступа легли в основу LSM, включая Security Enhanced Linux (SELinux) от United States? National Security Agency (NSA). SELinux возникло из интереса NSA к безопасности ОС и значимости обязательного контроля доступа. Исследователи NSA работали над LSM для поддержки Type Enforcement, контроля доступа, основанного на ролях и многоуровневой безопасности в ядре версии 2.6. SELinux, используя схему безопасности Domain Type Enforcement, может ограничить влияние сомнительных приложений или сетевых сервисов, отделяя приложения друг от друга и от базовой ОС.

Поддержка многоуровневых логических меток SELinux была включена в ядро версии 2.6. Работа NSA была признана многими вендорами. Например, Immunix предлагает набор продуктов, включая StackGuard и LSM модули субдоменов для конфигурирования процесса для специального системного вызова. В анонсе Red Hat было объявлено, что SELinux будет играть главную роль в архитектуре безопасности для Red Hat Enterprise Server 4.0.

На сегодняшний день у Linux есть мощная и гибкая архитектура обязательного контроля доступа, встроенная в основные подсистемы ядра. Система управляет разделением данных, основываясь на требованиях конфиденциальности и целостности, таким образом, любое потенциальный вред, даже вызванный процессом суперпользователя, будет локальным для Linux системы.

Ядро версии 2.6 предоставляет поддержку криптографической безопасности с дополнительным криптографическим API, использующимся IPSec. Это позволяет использовать для шифрования данных в сети и хранилищах информации разнообразные алгоритмы (например, SHA-1, DES, Triple DES, MD4, HMAC, EDE и Blowfish). Способность Linux использовать IPSec протоколы для IPv4 и IPv6 является существенным преимуществом. С механизмом безопасности, независящем от уровня протоколов, приложения будут менее уязвимыми для потенциальных атак. Криптографически подписанные модули пока не являются частью Linux, но если проблемы в их внедрении будут разрешены, это позволит предотвратить доступ ядра к неподписанным модулям.

Одной из проблем, продолжающих преследовать пользователей Windows, является переполнение буфера. Пользователи Linux высоко оценили возможность использования защиты от переполнения буфера, которая доступна в ядре 2.6. Защита от переполнения буфера предотвращает атаки, направленные на изменение структуры данных или перезапись данных исполняемым кодом. Поскольку не требуется перекомпиляция ядра для установки защиты от переполнения буфера, это делает ее внедрение простым. Еще одним преимуществом ядра версии 2.6 является низкая латентность, что позволяет использовать Linux не только в информационных центрах, но и в приложениях, требующих детерминированного ядра с возможностью работы в реальном времени.

Многие пользователи Linux зависят от драйверов и других бинарных файлов с закрытым кодом, которые поставляются производителями комплектующих и ПО. Проблема в том, что добавление этих модулей является полезным, но необязательно положительным действием для Linux системы. Например, закрытый драйвер или исполняемый модуль могут перехватить системный вызов и изменить таблицу системных вызовов. Ядро версии 2.6 содержит защиту от подобной опасности, накладывая ограничения на уровень доступа к ядру для закрытых драйверов и модулей. Это особенность необходима для стабильности, но она не добавляет новых возможностей для обнаружения или предотвращения запуска модулей, написанных злоумышленником.

Возможно, одной из передовых разработок для пользователей Linux является User-mode Linux (UML), это исправление для ядра Linux, которое позволяет компилировать исполняемые бинарные файлы на базовой Linux машине. У UML много преимуществ, но самое главное достоинство — это возможность использовать ее как виртуальную машину. Поскольку процессы внутри UML не имеют доступа к базовой системе, ее можно применять для тестирования и отладки ПО или нестабильных продуктов, исследовать потенциально опасные процессы. UML в итоге приведет к полностью виртуальной базе для инфраструктуры безопасности.

Ключевые моменты: возможности безопасности Linux и Windows.
Качественная оценка безопасности операционной системы субъективна и ваше «мерило безопасности» зависит от прошлого и настоящего опыта. Цель этой статьи — указать общие рамки для пользователей, желающих углубить свои знания в понимании особенностей безопасности Linux и Windows. Следующий анализ не претендует на всестороннее освещение проблемы и может восприниматься только как отправная точка для оценки. Поскольку Linux и Windows постоянно совершенствуются, речь пойдет о том, кто из них более безопасен. Итоговые данные проведенного анализа показали, что в настоящий момент Linux превосходит Windows.

Таблица 1. Ключевые возможности безопасности Linux и Windows.

Категория	Возможности	Linux	Windows	Качественная оценка
Базовая безопасность	Аутентификация, контроль доступа, криптография, журнал аудита	Подключаемый модуль аутентификации, Kerberos, PKI, Winbind, ALC, LSM, SELinux, профиль защиты с разграничением доступа, криптография ядра	Kerberos, PKI, ACL, профиль защиты с разграничением доступа, интерфейс шифрования приложений Microsoft	Преимущество у Linux
Безопасность сети и сетевых протоколов	Аутентификация, сетевой уровень	OpenSSL, OpenSSH, OpenLDAP, IPSec	SSL, SSH, LDAP, AD, IPSec	Обе одинаково
Безопасность приложений	Антивирус, брандмауэр, ПО для обнаружения вторжения, web-сервер, e-mail, поддержка smart card	OpenAV, Panda, TrendMicro, брандмауэр встроен в ядро, Snort, Apache, sendmail, Postfix, PKCS 11, exec-shield	McAfee, Symantec, Check Point, IIS, Exchange/Outlook, PCKS 11	У Linux небольшое преимущество
Развертывание и сопровождение	Установка, конфигурирование, защита, администрирование, обнаружение уязвимостей	Инструменты для установки и конфигурирования, Bastille, администрирование с помощью командной строки, Nessus, Up2Date в зависимости от дистрибутива, YaST, Webmin	Инструменты для установки и конфигурирования, нет специального инструмента для защиты, GUI для администрирования, безопасности по умолчанию уделяется мало внимания	Обе одинаково
Гарантия качества	Common Criteria Certification, контроль «дыр»	EAL3 и хороший контроль	EAL4 и хороший контроль	Преимущество у Windows
Безопасные вычисления	Модуль безопасной вычислительной платформы, набор ПО для безопасных вычислений, инструментарий, аттестация	Модуль безопасной вычислительной платформы IBM с открытым кодом, набор ПО для безопасных вычислений запланирован на 2005 год	База для нового поколения безопасных вычислений, вероятно, появится у Longhorn в 2006 году	Обе одинаково
Открытые стандарты	IPSec, POSIX, Безопасности транспортного уровня, общая оценка	Linux поддерживает все открытые стандарты	Microsoft поддерживает открытые стандарты, но у нее есть и свои стандарты	Преимущество у Linux

Базовая безопасность.
И Microsoft и Linux поддерживают аутентификацию, контроль доступа, журналы аудита, профиль защиты с разграничением доступа и шифрование. Однако Linux получает преимущество за счет поддержки дополнительных модулей безопасности, SELinux и Winbind. Пользователь Linux может самостоятельно установить дополнительные механизмы безопасности без внесения изменений в ядро.

Различные механизмы контроля доступа встроены в основу LSM, например, построение «ячеек», которые отделяют приложения друг от друга и от базовой ОС, что уменьшает влияние возможных проблем с безопасностью приложений на всю систему. Основа безопасности Linux подкреплена приложениями, подобными Tripwire, которые обеспечивают функционирование проверки целостности системы для периодической верификации целостности ключевых файлов системы и оповещение системы безопасности в случае изменения свойств или содержимого этих файлов.

Ограничением базы безопасности Microsoft является MSCAPI, который доверяет множеству ключей для подписания кода. Модель Microsoft сфокусирована на предоставлении одной сборки продукта, которая может обеспечивать и сильное и слабое шифрование. Хотя все модули и не могут быть подписаны одним ключом, но, поскольку для MSCAPI множество корневых сертификатов авторизации и ключей для подписания кода являются доверительными, достаточно одного скомпрометированного ключа для получения возможности атаки на всю систему. Это может произойти как из-за получения кода авторизации, для которого известен приватный ключ подписывающего, так и из-за получения сертификата авторизации с ошибкой. Однажды уже такое случилось, когда Verisign ошибочно подписала 2 сертификата от имени Microsoft и передала их в руки неуполномоченных персон.

Безопасность сети и сетевых протоколов.
Поддержка безопасности сети и сетевых протоколов у Windows и Linux находятся на одном уровне. Обе ОС поддерживают IPSec, открытый стандарт для защиты сетевого уровня путем шифрования. IPSec проверяет идентичность хоста или адресата и устанавливает, нет ли изменений в передаваемых данных после пересылки по сети и шифрует их. OpenSSH, Open SSL и OpenLDAP доступны в Linux, им соответствуют закрытым реализациям Microsoft — SSH, SSL, LDAP.

Безопасность приложений.
Linux имеет некоторое преимущество из-за непрекращающегося потока уязвимостей в Microsoft IIS и Exchange/Outlook. Apache и Postfix являются кроссплатформенными приложениями и являются более безопасными соответствующих продуктов Microsoft. Безопасность приложений в Linux, кроме того, усилена встроенным в ядро брандмауэром и Snort — прекрасной системой для обнаружения атак. Еще одним значимым дополнением в Linux для х86 систем является exec-shield Инго Молнара, exec-shield предоставляет защиту от атак на переполнение буфера или указателя функции и других эксплойтов подобного типа, направленных на изменение структуры данных или замену данных исполняемым кодом. Exec-shield также затрудняет исполнения shell-эксплойтов. Поскольку exec-shield прозрачна для приложений, нет необходимости их перекомпилировать.

Microsoft стремится переработать безопасность своих продуктов и предоставить исправления для уже установленного ПО. Но пока проблемы безопасности в старых продуктах делают эту задачу трудновыполнимой. Это оставляет пользователей Microsoft уязвимыми перед «опасностью безопасности», т.к. перед развертыванием исправлений весь процесс должен быть тщательно документирован. Кроме того, Microsoft сохраняет тенденцию смешивать исполняемый код и данные в своих приложениях, например, ActiveX позволяет получать непроверенных данные извне и может способствовать исполнению случайного кода с непроверенными данными. В некоторых случаях, Windows даже позволяет получать код с цифровой подписью из внешних источников, это приводит к тому, что администратор локальной системы не может проинспектировать этот код. Вместо системного администратора проверка кода доверяется кому бы то ни было, подписавшему этот код.

Безопасность приложений совершенствуется Microsoft только для собственных продуктов .Net Framework. Безусловно, для ИТ-подразделений с гетерогенными платформами, например, Linux, Windows, Unix и, в особенности, для приложений, основанных на Java, обеспечение безопасности для продуктов только Microsoft является ограничением.

Развертывание и сопровождение.
По этому критерию Linux имеет небольшое преимущество, поскольку большинство административных действий совершается в командной строке. Множество инструментов для инсталляции и конфигурирования, например, up2date, YaST2 и Webmin доступны и поставщиков Linux дистрибутивов. Bastille Linux — утилита для защиты — поддерживается Red Hat, Debian, Mandrake, SUSE и Turbolinux дистрибутивами Linux. В системах Microsoft, наоборот, администраторы используют GUI, который легко использовать, но в котором и легко допустить ошибку. Несмотря на то, что некоторый считают, что любого человека можно научить администрировать Windows за неделю, остается вопрос, как много он поймет об администрировании? Основой большинства проблем с безопасностью у продуктов Microsoft возникает из-за неверного конфигурирования во время развертывания и последующей эксплуатации. Инструменты для инсталляции и конфигурирования поставляются с Windows и Microsoft предоставляет руководства для защиты контроллеров домена, инфраструктуры серверов, файл-серверов, принт-серверов, IIS, серверов IAS, серверов сертификации и межсетевых экранов. Однако есть разница между защитой инфраструктуры и защитой операционной системы.

Гарантия качества.
Документом, определяющим гарантии качества операционной системы, является Common Criteria, стандарт ISO (ISO 15408). Он описывает иерархию уровней оценки гарантии качества — от EAL1 до EAL7. Оценка Common Criteria применима только для конкретной системной конфигурации ПО и аппаратной части. EAL уровень Windows выше, чем у Linux, у Windows — EAL4, в то время как у Linux — EAL3. SUSE планирует получить EAL4 к концу 2004 года. Правительственные организации в первую очередь требуют гарантию качества CC. Не смотря на то, что требования гарантии качества происходят из правительственных учреждений, в частности от Министерства обороны США, они применимы и для коммерческих структур. Однако для большинства потребителей не требуется такой же уровень гарантий, как и для Министерства обороны.

Доверительные вычисления.
Доверительные вычисления представляют собой структуру, предотвращающую тайное использование приложений и устанавливающую безопасную связь с поставщиком ПО. Многие вендоры такие, как Intel, Microsoft и IBM, подтвердили потенциал этой новой технологии. В настоящее время эта технология скорее мечта, чем реальность, и ни Linux, ни Windows не имеет тут преимущества. Microsoft представляет доверительные вычисления как управление цифровыми элементами защиты. Open source сообщество на данный момент видит мало пользы в доверительных вычислениях.

Открытые стандарты.
Преимущество Linux — использование открытых стандартов. Хотя Microsoft поддерживает множество тех же открытых стандартов (IPSec, IKE, IPv6) она также адаптирует и расширяет их. Для организаций с гетерогенными системами и необходимостью их совместной работы, «стандарты», расширенные закрытым кодом, требуют больше времени и сил на обнаружение и устранение уязвимостей. Примером является расширение Microsoft стандартного протокола Kerberos. Microsoft добавила возможность авторизации для тикета Kerberos, что Kerberos изначально поддерживал, и эта функциональность никогда не используется. Более того, Microsoft расширила стандарт Kerberos процессом для других приложений, позволяющим совместное использование данных авторизации тикета. Версия Kerberos от Microsoft не соответствует полностью стандарту, таким образом, IT-управляющие, использующие Microsoft Kerberos могут столкнуться с трудностями в развертывании и управлении им в гетерогенных системах и предпочтут только Windows инфраструктуру.

Открытый код.
Если бы критерием безопасной операционной системы было использование открытого кода, Linux одержала бы безоговорочную победу. Microsoft Shared Source Initiative является попыткой соответствовать требованию заказчиков видеть исходный код. Пока, в основном, к подписчикам Shared Source применяется политика «смотри, но не трогай». Правительства России, Великобритании, Китая и НАТО приняли участие в программе Microsoft Government Security. Хотя эта инициатива и призвана добавить прозрачности и укрепить сотрудничество, существует множество организационных требований для доступа к исходному коду Microsoft. Например, не весь исходный код может быть доступен: для сборки и тестирования приложения пользователю необходимо будет посетить Microsoft.

Рекомендации.
Анализ безопасности Linux и Windows продолжает порождать многочисленные дискуссии о том, что же предпочтительнее — ОС с открытым или закрытым кодом. Логически, операционная система, основанная на открытых стандартах и открытом коде, делает доступным межсетевое взаимодействие, упрощает обнаружение и исправление уязвимостей, и такая система предпочтительнее модели с «безопасностью в тумане». Открытый код приводит к абсолютной прозрачности производственного процесса у поставщиков Linux дистрибутивов. Каждый шаг может быть повторен пользователем, что приводит к повышению безопасности. Windows, исходный код которой не доступен, не может обеспечить подобную прозрачность.

Хотя Linux и обеспечивает большую безопасность по сравнению с Windows, безопасность Linux системы сильно зависит от выбора дистрибутива Linux, версии ядра и опыта IT персонала, производящего развертывание и сопровождение системы. Поскольку успех внедрения и поддержки безопасной системы зависит от IT персонала, необходимо обеспечить тренировки и обучение внедрению, сопровождению и восстановлению систем.

Автор статьи рекомендует досконально изучать все аспекты безопасности, а затем реализовать полученные данные для обеспечения требуемой функциональности, уменьшения риска и соответствия техническим условиям.

Если вы планируете переход на другую ОС или upgrade существующей системы, выбирайте базу для новой системы на основе качественного анализа аспектов безопасности. Когда вы соберете вместе требования вашего бизнес процесса и понимание возможностей безопасности операционной системы, вы сможете полностью определить функциональные требования, уменьшить риск и обеспечить технические требования.

Статьи

Сравнение безопасности Windows и Linux