Microsoft обясни защо Windows 11 25H2 стана по-тежък при актуализациите за сигурност

Microsoft непрекъснато работи за подобряване на сигурността на своите продукти и един от ключовите инструменти в това са месечните пачове за Windows, пускани във втория вторник на месеца — така нареченият Patch Tuesday или Update Tuesday. Актуализацията от ноември 2025 г. донесе важна нова функция на Windows 11 25H2 и Server 2025: подобрения в сигурността на драйвера Common Log File System (CLFS), използващ Hash-based Message Authentication Code (HMAC).

Какво се е променило в CLFS?

CLFS е високопроизводителна система за въвеждане на регистри в Windows, която се използва както от потребителските, така и от системните услуги. Тя е отговорна за надеждното управление на събития, транзакции и регистрационни файлове, което е особено важно за възстановяване след сривове. Въпреки това, CLFS преди това имаше уязвимости, свързани с ескалация на привилегиите, което правеше логовете потенциална цел за нападателите.

С новия ъпдейт от ноември 2025 г., Microsoft добави HMAC към лог файловете на CLFS, което осигурява защита срещу всякакви опити за фалшифицирането им. HMAC е криптографски механизъм, който проверява целостта и автентичността на съобщенията. Всъщност данните от лога се комбинират с уникален криптографски ключ на системата и въз основа на него се генерира код за удостоверяване. Този ключ е достъпен само за администраторите и SYSTEM акаунта, така че ако бъде открита фалшификация, лог файлът просто няма да се отвори.

Плавен старт за администраторите

За да улесни прехода, Microsoft е внедрила 90-дневен „режим на обучение“ след инсталиране на актуализацията. През това време новите HMAC кодове се добавят автоматично към съществуващите лог файлове, когато те бъдат отворени. След 90-дневния период CLFS влиза в режим на прилагане, при който всички лог файлове трябва да имат валидни HMAC кодове, за да бъдат отворени правилно.

Важно е системните администратори да проверят дали всички лог файлове, използващи CLFS, са отворени по време на този период на „обучение“. За файловете, които не са отворени, можете да използвате командата:

fsutil clfs authenticate

Това ви позволява ръчно да добавяте HMAC кодове и да осигурите правилна работа на лог-файловете след активиране на режима за принудително управление.

Защо това е важно за безопасността?

Новата актуализация подобрява защитата на Windows срещу опитите за подправяне на лог-файловете и потенциални атаки за ескалация на привилегиите. Това е сигнал за ИТ специалистите да следят отблизо системите, които разчитат на CLFS, и да използват 90-дневния период, за да се подготвят за пълното внедряване на HMAC механизма.

С тази стъпка Microsoft засилва надеждността и сигурността на Windows, намалявайки рисковете от нарушения на целостта на данните и повишавайки общото ниво на защита на корпоративните и сървърните системи.