Вот как Windows 11 будет запускать приложения в песочнице для повышения безопасности

В мае Microsoft представила новую функцию безопасности в Windows 11, которая позволит приложениям Windows работать в изолированных изолированных средах для повышения безопасности. Теперь мы знаем немного больше о том, как это будет работать.

Microsoft запустила общедоступную предварительную версию «изоляции приложений Win32», которая предназначена для обеспечения уровня защиты от уязвимостей нулевого дня и других потенциальных функций безопасности. Microsoft объяснила в сообщении в блоге: «Изоляция приложений Win32 достигает своей цели по ограничению воздействия (в случае взлома приложений) за счет запуска приложений с низким уровнем привилегий, что требует многоэтапной атаки для выхода из контейнера. Злоумышленники должны нацеливаться на конкретную возможность или уязвимость, а не иметь широкий доступ, и, поскольку атака должна быть направлена ​​​​на конкретную уязвимость, можно быстро применить исправления, уменьшающие срок действия атаки».

Изоляция приложений во многом похожа на приложения Snap или Flatpak в Linux для настольных компьютеров и, в некоторой степени, на структуру разрешений по умолчанию в macOS. Приложения могут запускаться с некоторыми разрешениями после их установки и могут запрашивать дополнительные по мере необходимости. Доступ к камере, микрофону, местоположению, изображениям, файлам и папкам блокируется без разрешения пользователя. Изолированные приложения также имеют ограниченный доступ к реестру Windows. Приложения могут запрашивать разрешение на доступ к определенным файлам и папкам, и если пользователь предоставляет доступ, файлы предоставляются через изолированную файловую систему, называемую брокерской файловой системой Windows (BFS).

Все это звучит великолепно, поскольку существует множество приложений, которым не требуется полный доступ к вашему ПК, и их блокировка от ненужных разрешений улучшит как конфиденциальность, так и безопасность. Однако Microsoft дала понять, что это не будет автоматически включено для всего программного обеспечения. Это добровольная мера, которая требует некоторых изменений со стороны разработчика приложения — в отличие от приложений на macOS, которые принудительно используют модель разрешений для доступа к файлам и другим функциям для всего программного обеспечения.

Microsoft создает лучшие индикаторы для приложений, использующих конфиденциальные данные, такие как значки состояния камеры и VPN в Windows 11, но было бы неплохо, если бы изоляция приложений была включена по всем направлениям. Это может быть просто невозможно с текущей структурой Windows, особенно когда обеспечение совместимости с программным обеспечением десятилетней давности является требованием для корпоративных клиентов.

Источник: Блог Windows.