Segurança do sistema

Diagrama contendo uma lista de recursos de segurança.

Inicialização Confiável (Inicialização Segura + Inicialização Medida)

O Windows 11 exige que todos os PCs usem o recurso Secure Boot da Unified Extensible Firmware Interface (UEFI). Quando um dispositivo Windows 11 é iniciado, a Inicialização Segura e a Inicialização Confiável trabalham juntas para evitar o carregamento de malware e componentes corrompidos. A Inicialização Segura fornece proteção inicial e, em seguida, a Inicialização Confiável continua o processo.

A Inicialização Segura cria um caminho seguro e confiável da UEFI (Interface Unificada de Firmware Extensível) por meio da sequência de Inicialização Confiável do kernel do Windows. Os handshakes de imposição de assinatura durante toda a sequência de inicialização entre os ambientes UEFI, carregador de inicialização, kernel e aplicativo bloqueiam ataques de malware na sequência de inicialização do Windows.

Para reduzir o risco de rootkits de firmware, o computador verifica a assinatura digital do firmware no início do processo de inicialização. Em seguida, a Inicialização Segura verifica a assinatura digital do carregador de inicialização do sistema operacional e todo o código executado antes da inicialização do sistema operacional, garantindo que a assinatura e o código não sejam comprometidos e confiáveis de acordo com a política de Inicialização Segura.

A Inicialização Confiável continua o processo iniciado pela Inicialização Segura. O carregador de inicialização do Windows verifica a assinatura digital do kernel do Windows antes de carregá-lo. O kernel do Windows verifica todos os outros componentes do processo de inicialização do Windows, incluindo drivers de inicialização, arquivos de inicialização e o driver antimalware (ELAM) de inicialização antecipada de qualquer produto antimalware. Se algum desses arquivos for adulterado, o bootloader detectará o problema e se recusará a carregar o componente corrompido. Muitas vezes, o Windows pode reparar automaticamente o componente corrompido, restaurando a integridade do Windows e permitindo que o computador seja iniciado normalmente.

Saiba mais

Criptografia

A criptografia usa código para converter dados para que apenas um destinatário específico possa lê-los usando uma chave. A criptografia impõe privacidade para impedir que qualquer pessoa, exceto o destinatário pretendido, leia dados, integridade para garantir que os dados estejam livres de adulteração e autenticação que verifica a identidade para garantir que a comunicação seja segura. A pilha de criptografia no Windows se estende do chip à nuvem, permitindo que o Windows, aplicativos e serviços protejam os segredos do sistema e do usuário.

A criptografia no Windows é certificada pelo Federal Information Processing Standards (FIPS) 140 . A certificação FIPS 140 garante que apenas algoritmos aprovados pelo governo dos EUA sejam usados (RSA para assinatura, ECDH com curvas NIST para concordância de chave, AES para criptografia simétrica e SHA2 para hash), testa a integridade do módulo para provar que nenhuma violação ocorreu e comprova a aleatoriedade para fontes de entropia.

Os módulos criptográficos do Windows fornecem primitivas de baixo nível, como:

  • Geradores de números aleatórios (RNG)
  • Criptografia simétrica e assimétrica (suporte para AES 128/256 e RSA 512 a 16.384, em incrementos de 64 bits e ECDSA sobre curvas primas padrão NIST P-256, P-384, P-521)
  • Algoritmos pós-quânticos (ML-KEM, ML-DSA)
  • Hashing (suporte para SHA-256, SHA-384, SHA-512 e SHA-3*)
  • Assinatura e verificação (suporte de preenchimento para OAEP, PSS, PKCS1)
  • Acordo de chave e derivação de chave (suporte para ECDH sobre curvas primas padrão NIST P-256, P-384, P-521 e HKDF)

O Windows expõe nativamente os módulos criptográficos por meio da CAPI (API de criptografia) e da CNG (API de criptografia de próxima geração), que é alimentada pela biblioteca criptográfica de software livre da Microsoft, SymCrypt. O SymCrypt faz parte do compromisso da Microsoft com a transparência, que inclui o Programa de Segurança Governamental global da Microsoft, que visa fornecer informações e recursos de segurança confidenciais de que as pessoas precisam para confiar nos produtos e serviços da Microsoft. O programa oferece acesso controlado ao código-fonte, troca de informações sobre ameaças e vulnerabilidades, oportunidades de envolvimento com conteúdo técnico sobre produtos e serviços da Microsoft e acesso a cinco Centros de Transparência distribuídos globalmente. Os desenvolvedores de aplicativos podem usar as APIs para realizar operações criptográficas de baixo nível (BCrypt), operações de armazenamento de chaves (NCrypt), proteger dados estáticos (DPAPI) e compartilhar segredos com segurança (DPAPI-NG).

O Windows inclui suporte para a família SHA-3 de funções de hash e funções derivadas de SHA-3 (SHAKE, cSHAKE e KMAC). Estas são as funções de hash padronizadas mais recentes pelo NIST (Instituto Nacional de Padrões e Tecnologia) e você pode usá-las por meio da biblioteca CNG do Windows:

  • Funções de hash SHA-3 com suporte: SHA3-256, SHA3-384, SHA3-512 (SHA3-224 não é compatível)
  • Algoritmos HMAC SHA-3 compatíveis: HMAC-SHA3-256, HMAC-SHA3-384, HMAC-SHA3-512
  • Algoritmos derivados de SHA-3 com suporte: funções de saída extensível (XOF) (SHAKE128, SHAKE256), XOFs personalizáveis (cSHAKE128, cSHAKE256) e KMAC (KMAC128, KMAC256, KMACXOF128, KMACXOF256).

Criptografia pós-quântica

No início deste ano, compartilhamos suporte para algoritmos pós-quânticos (ML-KEM,ML-DSA) em nossa biblioteca criptográfica principal SymCrypt. Seguimos esse lançamento com suporte no Windows Insider por meio do CNG e das funções de mensagens de Certificado e Criptografia. Estamos entusiasmados em estender esse suporte para a compilação mais recente do Windows 11.

O uso do ML-KEM em cenários em que o encapsulamento de chave pública ou a troca de chaves é desejado pode ajudar a se preparar para a coleta agora e descriptografar a ameaça mais tarde .

Aqui estão os conjuntos de parâmetros com suporte:

Algoritmo Tamanho da chave pública Tamanho do texto cifrado Tamanho do segredo compartilhado Nível de segurança do NIST
ML-KEM 512 800 bytes 768 bytes 32 bytes Nível 1
ML-KEM 768 1.184 bytes 1.088 bytes 32 bytes Nível 3
ML-KEM 1024 1.568 bytes 1.568 bytes 32 bytes Nível 5

A adição de ML-DSA na API de criptografia: próxima geração (CNG) permite que os desenvolvedores comecem a experimentar algoritmos PQC em cenários que exigem verificação de identidade, integridade ou autenticidade usando assinaturas digitais.

Aqui estão os conjuntos de parâmetros com suporte:

Algoritmo Tamanho da chave pública Tamanho da chave privada Tamanho da assinatura Nível de segurança do NIST
ML-DSA-44 1.312 bytes 2.560 bytes 2.420 bytes Nível 2
ML-DSA-65 1.952 bytes 4.032 bytes 3.309 bytes Nível 3
ML-DSA-87 2.592 bytes 4.896 bytes 4.627 bytes Nível 5

Visite nossa página do desenvolvedor de criptomoedas para saber mais sobre como você pode começar!

Certificados

Para ajudar a proteger e autenticar informações, o Windows fornece suporte abrangente para certificados e gerenciamento de certificados. Use o utilitário de linha de comando de gerenciamento de certificados interno (certmgr.exe) ou o snap-in do MMC (Console de Gerenciamento Microsoft) (certmgr.msc) para exibir e gerenciar certificados, CTLs (listas de certificados confiáveis) e CRLs (listas de certificados revogados). Sempre que você usa um certificado no Windows, o sistema valida se o certificado folha e todos os certificados em sua cadeia de confiança não foram revogados ou comprometidos. Os certificados raiz e intermediários confiáveis e os certificados revogados publicamente no computador servem como referência para a confiança da PKI (Infraestrutura de Chave Pública) e são atualizados mensalmente pelo programa Raiz Confiável da Microsoft. Se um certificado ou raiz confiável for revogado, todos os dispositivos globais serão atualizados, para que os usuários possam confiar que o Windows protege automaticamente contra vulnerabilidades na infraestrutura de chave pública. Para implantações na nuvem e corporativas, o Windows também oferece aos usuários a capacidade de registrar e renovar automaticamente certificados no Active Directory com política de grupo para reduzir o risco de possíveis interrupções devido à expiração ou configuração incorreta do certificado.

Assinatura de código e integridade

Para garantir que os arquivos do Windows sejam confiáveis e não tenham sido adulterados, o processo de integridade de código do Windows verifica a assinatura de cada arquivo que é executado no kernel do Windows. Em sistemas que impõem o Controle de Aplicativo Inteligente ou uma política de Controle de Aplicativo para Empresas, o Windows estende a verificação de integridade de código para cada binário de modo de usuário que também é executado. A assinatura de código é fundamental para estabelecer a integridade do firmware, dos drivers e do software na plataforma Windows. A assinatura de código cria uma assinatura digital criptografando o hash do arquivo com a chave privada de um certificado de assinatura de código e incorporando essa assinatura ao arquivo ou a um catálogo de assinaturas. O processo de integridade de código do Windows verifica a integridade do arquivo assinado comparando seu hash com o hash assinado e confirma que o signatário é um editor confiável.

O ambiente Windows avalia a assinatura digital no código de inicialização do Windows, no código de kernel do Windows e nos aplicativos de modo de usuário do Windows. Antes da execução da integridade do código, a Inicialização Segura verifica a assinatura em carregadores de inicialização, ROMs de opção e outros componentes de inicialização para garantir que os arquivos não sejam modificados e sejam provenientes de um fornecedor confiável e respeitável. Para drivers que a Microsoft não publica, a integridade do código do modo kernel verifica a assinatura em drivers do kernel e exige que os drivers sejam assinados pelo Windows ou certificados pelo Programa de Compatibilidade de Hardware do Windows (WHCP). Este programa garante que os drivers de terceiros sejam compatíveis com vários hardwares e Windows e que os drivers sejam de desenvolvedores de drivers certificados.

Atestado de integridade do dispositivo

O processo de Atestado de Integridade do Dispositivo Windows dá suporte a um paradigma de Confiança Zero que transfere o foco de perímetros estáticos, baseados em rede, para usuários, ativos e recursos. O processo de atestado confirma que o dispositivo, o firmware e o processo de inicialização estão em um bom estado e não são adulterados antes de poderem acessar os recursos corporativos. O processo faz essas determinações com dados armazenados no TPM, que fornece uma raiz segura de confiança. As informações são enviadas para um serviço de atestado, como o Atestado do Azure, para verificar se o dispositivo está em um estado confiável. Em seguida, uma solução de gerenciamento de dispositivo nativa da nuvem, como o Microsoft Intune[3], analisa a integridade do dispositivo e conecta essas informações ao Microsoft Entra ID[3] para acesso condicional.

O Windows inclui muitos recursos de segurança para ajudar a proteger os usuários contra malware e ataques. No entanto, os componentes de segurança só serão confiáveis se a plataforma for inicializada conforme o esperado e não for adulterada. Conforme observado anteriormente, o Windows depende da Inicialização Segura da UEFI (Interface Unificada de Firmware Extensível), ELAM, DRTM, Inicialização Confiável e outros recursos de segurança de hardware e firmware de baixo nível para proteger seu computador contra ataques. Desde o momento em que você liga o computador até o início do antimalware, o Windows recebe as configurações de hardware apropriadas que ajudam a mantê-lo seguro. A inicialização medida, implementada por carregadores de inicialização e BIOS, verifica e registra criptograficamente cada etapa da inicialização de maneira encadeada. Esses eventos são associados ao TPM, que funciona como uma raiz de confiança de hardware. O atestado remoto é o mecanismo pelo qual um serviço lê e verifica esses eventos para fornecer um relatório verificável, imparcial e resiliente a adulterações. O atestado remoto é o auditor confiável da inicialização do seu sistema, permitindo que as partes dependentes vinculem a confiança ao dispositivo e sua segurança.

Um resumo das etapas envolvidas no atestado em um dispositivo Windows é o seguinte:

  • Durante cada etapa do processo de inicialização, como um carregamento de arquivo, atualização de variáveis especiais e muito mais, informações como hashes de arquivo e assinaturas são medidas no TPM Platform Configuration Register (PCRs). Uma especificação do Trusted Computing Group vincula as medições e determina quais eventos podem ser registrados e o formato de cada evento. Os dados fornecem informações importantes sobre a segurança do dispositivo a partir do momento em que ele é ligado.
  • Depois que o Windows é inicializado, o atestado (ou verificador) solicita que o TPM obtenha as medidas armazenadas em seus PCRs juntamente com o log de Inicialização Medida. Juntas, essas medidas formam a evidência de atestado enviada ao serviço de Atestado do Azure.
  • O Serviço de Certificado do Azure verifica o TPM usando as chaves ou o material criptográfico disponível no chipset.
  • O Serviço de Atestado do Azure recebe as informações acima para verificar se o dispositivo está em um estado confiável.

Saiba mais

Configurações de política de segurança e auditoria do Windows

As configurações de política de segurança desempenham um papel crucial em sua estratégia geral de segurança. O Windows oferece um conjunto abrangente de políticas de configuração de segurança que os administradores de TI podem usar para ajudar a proteger dispositivos Windows e outros recursos em sua organização. Você pode definir as configurações da política de segurança em um ou mais dispositivos para controlar:

  • Autenticação de usuário em uma rede ou dispositivo
  • Recursos que os usuários podem acessar
  • Se deseja registrar as ações de um usuário ou grupo no log de eventos
  • Participação em um grupo

A auditoria de segurança é uma das ferramentas mais poderosas que você pode usar para manter a integridade de sua rede e ativos. A auditoria pode ajudar a identificar ataques, vulnerabilidades de rede e ameaças contra alvos de alto valor. Você pode especificar categorias de eventos relacionados à segurança para criar uma política de auditoria adaptada às necessidades de sua organização usando provedores de serviços de configuração (CSP) ou políticas de grupo.

Todas as categorias de auditoria são desabilitadas quando você instala o Windows pela primeira vez. Antes de habilitá-las, siga estas etapas para criar uma política de auditoria de segurança eficaz:

  1. Identifique seus recursos e atividades mais críticos.
  2. Identifique as configurações de auditoria necessárias para rastreá-las.
  3. Avalie as vantagens e os custos potenciais associados a cada recurso ou configuração.
  4. Teste essas configurações para validar suas escolhas.
  5. Desenvolva planos para implantar e gerenciar sua política de auditoria.

Saiba mais

Impressão protegida pelo Windows

A impressão protegida pelo Windows fornece um sistema de impressão moderno e seguro que maximiza a compatibilidade e coloca os usuários em primeiro lugar. Ele simplifica a experiência de impressão, permitindo que os dispositivos imprimam exclusivamente usando a pilha de impressão moderna do Windows.

Os benefícios da impressão protegida pelo Windows incluem:

  • Maior segurança do computador
  • Experiência de impressão simplificada e consistente, independentemente da arquitetura do PC
  • elimina a necessidade de gerenciar drivers de impressão

A impressão protegida pelo Windows funciona somente com impressoras certificadas Mopria. Muitas impressoras existentes já são compatíveis.

Saiba mais

Rust para Windows

Rust é uma linguagem de programação moderna conhecida por seu foco em segurança, desempenho e simultaneidade. Ele evita erros comuns de programação, como desreferenciamento de ponteiro nulo e estouros de buffer, que podem levar a vulnerabilidades de segurança e falhas. O Rust alcança essa proteção por meio de seu sistema de propriedade exclusivo, que garante a segurança da memória sem a necessidade de um coletor de lixo. Estamos expandindo a integração do Rust ao kernel do Windows para aprimorar a segurança e a confiabilidade da base de código do Windows. Esse movimento estratégico ressalta nosso compromisso com a adoção de tecnologias modernas para melhorar a qualidade e a segurança do Windows.

Saiba mais

Funcionalidade do Sysmon

A funcionalidade Sysmon estará disponível em breve no Windows. A funcionalidade Sysmon no Windows fornece sinais de detecção de ameaças fáceis de ativar, avançados e personalizáveis, valorizados por equipes de segurança corporativa, fornecedores de segurança terceirizados e outros parceiros. A próxima versão da funcionalidade Sysmon no Windows ajuda a simplificar as operações, reduzir a carga de implantação e aumentar significativamente a visibilidade dos logs do Windows. Com essa funcionalidade, as equipes de segurança podem identificar ameaças com mais rapidez e eficiência.

Saiba mais

  • Last updated on