Технология Code Integrity (проверка целостности кода)

Руткиты режима ядра работают на самом низком уровне, поэтому они сложны в обнаружении и представляют серьезную опасность для системы.

Данная технология предоставляет защиту от таких руткитов и небезопасных драйверов. Согласно политике этой технологии, загружающийся в ядро код должен иметь цифровую подпись, полученную от Microsoft, или одного из центров сертификации, признанного им как доверенный.

На выпускающей код стороне, код хэшируется, хэш подписывается закрытым ключом, открытый ключ распространяется с помощью сертификатов, выданных доверенным центром сертификации.

Когда код пытается загрузиться, хэш, предоставленный вместе с кодом, расшифровывается с помощью открытого ключа, хранящегося в сертификате, затем проверяется хэш на совпадение с хэшем, входящим в код. Подлинность сертификата проверяется этим же способом, но с использованием открытого ключа, предоставляемого вместе с ОС Windows. Проверка сертификатов происходит по цепочке, пока издателем сертификата не станет Microsoft Code Verification Root. Этот процесс изображен на рисунке 8.1.

Рис. 8.1. Процесс установления подлинности сертификата.

С цифровой подписью создать анонимное программное обеспечение сложно, поэтому почти всегда можно найти автора продукта.

Отключить подпись кода можно, выбрав специальный вариант загрузки системы или изменив соответствующим образом базу BCD.

Существует механизм обхода цифровой подписи, связанный с тем, что при нехватке памяти система выгружает драйвера на диск в файл подкачки.

Поиск по сайту: