Microsoft подобрява сигурността на Windows 11 с отказ от NTLM и нови функции за сигурност

Microsoft официално потвърди плановете си да премахне NT LAN Manager (NTLM) от Windows 11 през втората половина на година, като обяви и редица нови мерки за сигурност, които да засилят защитата на операционната система.

В изявлението на компанията се подчертава, че отпадането на NTLM отдавна е желан ход от общността по сигурността, тъй като ще засили удостоверяването на потребителите.

Първоначалното решение за замяна на NTLM с Kerberos за удостоверяване беше обявено още през октомври 2023 година. Липсата на поддръжка на криптографски методи като AES или SHA-256 прави NTLM уязвим на атаки, особено на NTLM Relay атаки.

Други промени в Windows 11 включват включване на защитата Local Security Authority (LSA) по подразбиране за новите потребителски устройства и използване на Virtualisation-based Security (VBS) за защита на Windows Hello.

Интелигентният контрол на приложенията, който защитава потребителите от стартиране на неподписани приложения, също получи актуализация. Инструментът, подпомаган от изкуствен интелект вече ще открива сигурността на приложенията и ще блокира непознати или злонамерени приложения. В допълнение към Smart App Control беше въведена нова система за надеждно подписване, която позволява на разработчиците да подписват своите приложения и опростява процеса на подписване на сертификати.

Други забележителни подобрения в областта на сигурността включват:

• Изолиране на Win32 приложения, предназначено за ограничаване на щетите при компрометиране на дадено приложение чрез създаване на граница на сигурността между приложението и операционната система.
• Ограничаване на злоупотребата с администраторски привилегии чрез изискване на изрично одобрение от потребителя.
• VBS-анклави за разработчици от трети страни за създаване на надеждни компютърни среди.
• Защитеният режим на печат на Windows (WPP), въведен през декември 2023 година ще стане режим на печат по подразбиране. Това ще позволи на Print Queue Manager да работи като ограничена услуга и значително ще намали привлекателността на услугата за атакуващите.

Компанията също така обяви, че вече няма да се доверява на удостоверения за автентификация на TLS сървъри с ключове RSA с дължина по-малка от 2048 бита поради „напредъка в компютърната мощ и криптоанализа“.

Сред новите функции за сигурност е и Zero Trust Domain Name System (ZTDNS), която ще помогне на търговските клиенти да ограничат достъпа на устройствата с Windows само до одобрени мрежови адреси чрез име на домейн.

Подобренията са в отговор на критиките към практиките за сигурност на Microsoft, които позволиха на хакери от Китай да проникнат в Exchange Online. В неотдавнашен доклад на Съвета по киберсигурност на САЩ (CSRB) се подчертава необходимостта от преразглеждане на културата на сигурност на компанията.