Журнал PC Magazine/Russian Edition 01/2009

Следует отметить, что некоторые пользователи Vista даже не понимали предназначения брандмауэра. Hужен ли он вообще, если есть всплывающие окна предупреждений от UAC? Но эти модули решают совершенно разные задачи! UAC занимается внутренними проблемами, следя за программами, которые пытаются изменить что-либо в системе. Брандмауэр стоит на страже границы с внешним миром и отслеживает попытки доступа извне и вовне. Представьте их себе как два героических персонажа, стоящих спиной к спине и отбивающихся от врагов, нападающих со всех сторон. Вот так примерно и здесь.

Пожалуй, более интересна новая экранная кнопка Notify me when Windows Firewall blocks a new program (Уведомить, когда Windows Firewall заблокирует новую программу). Похоже на функцию контроля программ, которая уже давно есть в брандмауэрах сторонних разработчиков. Она разрешает доступ в сеть или Интернет только авторизованным программам. Если моя догадка верна, то пока эта функция не работает. Windows Firewall никак не реагировал на все мои попытки запустить браузеры от разных поставщиков и другие нестандартные программы, требующие доступа в Интернет. Они запускаются без всякого участия брандмауэра.

Возможно, эта экранная кнопка представляет собой многословный вариант Списка исключений Vista – перечня программ, которым разрешено устанавливать незапрошенные входящие соединения. Но если на самом деле Windows Firewall способен обеспечить двойную защиту, контролируя не только периметр сети, но и программы, то это большой шаг вперед.

Я уверен, что Microsoft точно знает, что большинство пользователей устанавливают «настоящие» брандмауэры или даже программные комплексы безопасности и отключают Windows Firewall. Многие программы безопасности сторонних фирм вообще отключают Windows Firewall автоматически во избежание конфликтов. Чтобы покончить с этим унизительным отношением к своему продукту, Microsoft разделила функции брандмауэра между несколькими модулями и разработала программный интерфейс для удобного управления ими.

Список программ, нуждающихся в доступе к локальной сети или Интернету полностью подконтролен пользователю.

В выпущенном Microsoft документе «Windows 7 At-a-Glance» говорится: «Брандмауэры сторонних разработчиков могут использовать основные возможности Windows Firewall и добавлять к ним свои функции, а также включать и отключать некоторые модули Windows Firewall, что позволяет пользователю выбрать нужное ему ПО и обеспечить его бесконфликтную совместную работу с Windows Firewall».

Диалог, содержащий подробную информацию о подозрительном процессе.

Я поинтересовался мнением нескольких разработчиков относительно Платформы фильтрации Windows (Windows Filtering Platform). Вот что сказал Педро Бустаманте, главный научный консультант компании Panda Security: «Брандмауэр в Windows 7 выглядит, с точки зрения стороннего разработчика, очень похожим на то, что мы видели в Windows Vista. У него есть API, который позволит интегрировать собственный набор правил и активировать или деактивировать их одновременно. Впрочем, этот API не предоставит в распоряжение пользователя более развитые функциональные возможности, такие, как пакетная фильтрация (необходимая для обнаружения сетевых вирусов и „червей“), интеграция датчиков для механизмов анализа поведения, сканирование Web-трафика, построение систем обнаружения попыток вторжения и другие. Он позволит построить весьма элементарный брандмауэр, но, с точки зрения требований к безопасности, этого недостаточно». Так что при существующем положении дел вряд ли мы станем свидетелями массового перехода разработчиков в лагерь сторонников Windows Filtering Platform.

Не могу не отметить, что в Windows 7 имеется целый ряд других усовершенствований системы безопасности. Даже в нынешней предварительной бета-версии.

BitLocker и другие

Тема User Account Control неизбежна, если речь идет о функциях безопасности Vista. То же самое можно сказать и о UAC в Windows 7. И, конечно, проблемы защиты, как персональной, так и сетевой, – злободневная тема. Помимо уже рассмотренных серьезных усовершенствований в Windows 7 реализовано несколько других новых функций и возможностей, полезных с точки зрения безопасности.

В Vista мы обнаружили целый арсенал новых функций безопасности и в том числе BitLocker, инструмент шифрования всего диска, способный защитить ваши данные, даже если злоумышленник украдет ваш ноутбук. Возможности BitLocker полностью используются только в системах, оборудованных модулем TPM (Trusted Platform Module). В Vista TPM обеспечивает прозрачную расшифровку диска, как только пользователь аутентифицировал себя с помощью пароля или смарт-карты. Похититель не сможет взломать зашифрованный диск, даже если загрузит другую ОС или подключит накопитель к другому ПК.

В Windows 7 эта подсистема позволяет защищать и сменные накопители. Функция BitLocker To Go работает даже в системах без TPM, как было, например, на тестовом ПК. Чтобы вызывать ее, достаточно один раз щелкнуть в контекстном меню. Затем задается пароль или регистрируется смарт-карта. Запишите и припрячьте где-нибудь специальный код восстановления (40 цифр) на случай, если вы забудете пароль или потеряете смарт-карту. Спустя несколько минут диск зашифрован

Теперь, если вы вставите этот накопитель, Windows 7 потребует ввести пароль или вставить смарт-карту. Если ваш офис надежно запирается и в нем нет потенциальных злоумышленников, Windows может даже записать ключ и при необходимости автоматически разблокировать диск на заданном компьютере (и только на нем).

Вряд ли кто-то будет делать это дома, но ИТ-администраторы могут использовать Групповую политику, чтобы задать длину пароля и, что еще важнее, запретить запись на сменные накопители, не имеющие защиты BitLocker. Это очень эффективный способ борьбы, к примеру, с незаконной загрузкой данных из ПК в карманное устройство (podslurping). При наличии такой политики сотрудники, конечно, могут занести очередной «вирус месяца» на незащищенный диск, но им не удастся скопировать и унести с собой незащищенную копию базы данных персонала или секретные планы компании по достижению мирового лидерства.

Естественно, зашифрованный USB-накопитель можно использовать на любом компьютере с Windows 7; ограничивать применение устройства единственным ПК было бы абсурдно. В документации Microsoft не раз повторяется, что с зашифрованным диском можно работать даже на системах с Vista и XP. Утверждается, что «BitLocker To Go также позволяет совместно использовать данные с теми, кто еще не установил у себя Windows 7».

Центр управления настройками BitLocker для локальных дисков.

Мне не удалось прочитать диск, зашифрованный с помощью BitLocker To Go, ни на одном ПК с XP и Vista, но вы можете попытаться это сделать. Более того, описание в Групповой политике, управляющей этой функцией, противоречит документации. Там говорится, что на старых системах «будет виден только файл readme.txt. Этот файл сообщает пользователю, что тот должен вставить устройство в систему с Windows 7». Но разве это то, что мы называем «совместным использованием»?

Активировать BitLocker для флэш-накопителя можно в контекстном меню.

Microsoft подтвердила, что диски, зашифрованные с помощью BitLocker To Go, действительно будут пригодны для использования на старых системах Windows – но позже. «BitLocker To Go – одна из функций, которые пока реализованы не в полном объеме. Вы столкнулись с ограничением, нормальным для предварительной бета-версии». Что ж, подождем.