Windows Vista Patchguard Finger weg vom Kernel

Insbesondere Anbieter von Sicherheitssoftware kritisierten Microsoft vor der Vista-Einführung heftig für die Patchguard-Technik. Diese soll verhindern, dass digitale Schadsoftware den Kernel des Betriebssystems manipuliert, sie schützt zum Beispiel vor Rootkits. Allerdings blockiert sie auch Versuche von Sicherheits-Tools wie Norton Antivirus, die sich im Kernel festsetzen wollen.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

TXOne Networks

Specops Software GmbH

Microsoft Deutschland GmbH

Patchguard ist in der Lage, Manipulationen am Kernel während der Laufzeit zu erkennen. Dazu prüft es in zufällig gewählten Abständen (die zwischen fünf und zehn Minuten liegen) die Integrität der Kernelbestandteile. Dazu zählen die System Service Descriptor Table (SSDT), also die Liste mit den Einsprungsadressen für Funktionen der Systemdienste, die Interrupt Descriptor Table (IDT) sowie die Global Descriptor Table (GDT).

Falls Patchguard Inkonsistenzen am Kernel feststellt, die auf Manipulationen schließen lassen, fährt es das Betriebssystem herunter. Bei diesem Notfall-Shutdown gehen die nicht gespeicherten Daten im RAM verloren. Noch weiter geht übrigens der Kernel-Schutz auf PCs mit 64-Bit-Prozessoren von AMD: Hier werden Modifikationen im gesamten Adressbereich des Kernels abgeblockt.

Ganz neu ist die Kernel-Schutz-Technik nicht, Microsoft hat die Technik bereits 2005 in die 64-Bit-Version von Windows XP integriert und auch unter Vista steht dieses Verfahren zur Kernel Patch Protection nur für die 64-Bit-Version zur Verfügung. So ist die Aufregung von Firmen wie Symantec und McAfee nur teilweise nachvollziehbar, zumal es eine Reihe von Virenschutzprodukten wie Sophos und Kaspersky gibt, die ohne Kernel-Patching auskommen.

Legitime Kernel-Patches

Aber nicht nur Rootkits versuchen, den Kernel zu manipulieren: Auch Virenschutz-Tools beispielsweise leiten Kernelaufrufe gern auf eigene Routinen um. So können sie Funktionsaufrufe filtern und analysieren, bevor sie ausgeführt werden – und gegebenenfalls Schaden anrichten. Damit Virenscanner auch ohne Kernel-Patches in Vista ihren Dienst verrichten können, hat Microsoft offizielle APIs eingeführt, die das Filtern von Funktionsaufrufen erlauben. Als Schutzmaßnahme müssen diese Filter sich mit Hilfe einer digitalen Signatur ausweisen.

Die von Microsoft für Drittanbieter bereitgestellten Schnittstellen umfassen Filter für das Dateisystem und die Registry. Außerdem erlaubt die offengelegte Windows Filtering Platform (WFP) die Prüfung der ein- und ausgehenden Datenpakete – das ist nicht nur für Hersteller von Virenschutzprogrammen und Firewalls von Interesse, sondern zum Beispiel auch für Anbieter von Kinderschutz-Software.

Als Reaktion auf die Proteste aus der Industrie und auf Kritik aus der Kommission der Europäischen Union hat Microsoft kurz vor Weihnachten angekündigt, den Softwarehäusern weitere Schnittstellen zur Verfügung zu stellen. Dazu hat Microsoft bereits Vorabversionen der APIs an die Softwareanbieter geliefert, die bis Ende Januar getestet werden können. Laut Ben Fathi, Sicherheitschef bei Microsoft, sollen die fertigen Schnittstellen aber erst mit dem Service Pack 1 für Vista zur Verfügung stehen. Als Veröffentlichungszeitraum für das SP1 nannte Fathi Mitte 2007, ein offizieller Termin dafür steht aber noch nicht fest.

Wirklich sicher?

Gegenwind erhält Microsoft nicht nur von Softwarehäusern und der EU-Kommission: So wurden schon vor der Veröffentlichung von Vista Stimmen laut, die ankündigten, der Kernelschutz werden über kurz oder lang geknackt.

Während einer Hackerkonferenz Anfang August hatte die Sicherheitsspezialistin Joanna Rutkowska mit dem Blue Pill Rootkit demonstriert, wie sich der Kernelschutz in Release Candidate 1 (RC1) von Vista umgehen lässt. Microsoft hat darauf schnell reagiert und bereits in RC2 die von Rutkowska vorgeführte Methode außer Kraft gesetzt. Inzwischen haben verschiedene Sicherheitsexperten prophezeit, dass es höchstens ein Jahr dauern wird, bis Hacker auch den Kernelschutz im fertigen Windows Vista geknackt haben.

„Die Frage sollte nicht lauten, ob es Sicherheitslücken in Vista geben wird, sondern wann“, erklärte zum Beispiel Alexander Gostev, Forscher bei Kaspersky. Er geht davon aus, dass neben der User Account Control (UAC) von Vista auch Patchguard zu den Zielen gehört, die von der Hackerszene angegriffen werden.

Bei Microsoft selbst gibt man sich zuversichtlich, dass Patchguard nicht geknackt werden kann. Allerdings sei man auch auf diesen Worst Case vorbereitet und werde gegebenenfalls entsprechende Updates ausliefern, die das System wieder sicher machen sollen. Unter Umständen soll dies auch durch Schutzmaßnahmen auf Basis einer Kombination von Soft- und Hardware realisiert werden.

Fazit

Patchguard soll eine der wichtigsten Ursachen von Sicherheitsproblemen unter Windows beseitigen: Bisher kann Schadsoftware ohne große Hindernisse auf den Kernel von Windows zugreifen, was auch für die 32-Bit-Version von Windows Vista gilt. Patchguard sorgt auf Systemen mit 64-Bit-Prozessor in jedem Fall für mehr Sicherheit bis es geknackt ist.

(ID:2001602)