打造最安全系统 微软Vista平台全解析

lg8088

  第1楼：序言 目的明确 做最安全的操作系统


Windows Vista几乎是头顶微软有史以来最具革命性的升级系统的光环，出现在众人面前。其被微软自诩为具备更好的安全性；耳目一新的用户界面；图形化系统以及复制保护等崭新属性的操作系统。本文就将向大家展示Windows Vista的“芳容”，并将其和Windows XP，Suse Linux以及Mac OSX作一番比较。



微软的目标是很明确的，使Windows Vista，也就是之前代码阶段名为“Longhorn”的操作系统成为最优秀的系统，从而弥补长久以来Windows系统安全性差的恶名。为了完成这次突破性的升级，程序员们一致在潜心研发关键特性，最终的发布将会在2006年的下半年。从用户界面，安全设置到驱动模式都将被修改，其中最重要的也是争论最热烈的革新会包括，Avalon图形系统，IE7以及相对不太引人注意的属性——Metro文档格式和PVP-OPM（Protected Video Path-Output Protection Management，受保护的视频路径-输出保护管理）复制保护机制。

   Windows Vista设计中的一个重要思路，为全方位的完整安全管理体系，这就意味着这种安全保护不仅仅是用户级的，这里的“安全”还包括对数字版权管理（DRM），内置了对音乐和电影的复制保护机制。微软的老板始终对这些还保持三缄其口，因为一旦这些计划在Windows Vista中实现，用户要更新的不只是个操作系统，而是一套完整的硬件设备。

Longhorn的build 5048测试版本

大部分属性是以Longhorn的build 5048为基础，这个Vista的build beta版本主要是针对硬件开发、测试人员。在8月初从MSDN网站上可以找到提供给beta测试人员的Windows Vista Beta1版本。我们打算研究一下这个版本看看和之前的pre-beta版本相比有哪些改进。

   很明显，由于“Longhorn”是个预览版，其并没有进入beta测试阶段，其中的一些功能只是部分实现，有些甚至基本完全忽略，但是，我们却能看到很多为其跟进版本做出的有趣的准备。因为beta版本的操作系统和build版本之间往往会存在巨大的差异，所以不能保证这个版本中的功能属性会在最终的发售产品中出现。但是，只要你用心体验这些较早的版本，同样会对微软的思路有所认识。

lg8088

Vista就是要挽回Windows是不太可靠的操作系统的坏名声。安装之后，你会发现一旦开机，马上就会运行安全设置，并且会阻止任何系统外的工具的访问和任何硬件驱动的删除。



在安全设置启动过程中，其实暗藏着一个机制，—利用安全的Bios和集成的密码系统芯片（Trusted Platform Module-TPM，可信赖的平台模块）的结合，来保证系统的安全启动。真正的革新在于系统的安全启动只与TPM共同起作用，这个TPM遵从最近版本1.2.

Vista技术细节：层层设防 微软兑现安全承诺

安装了Vista的系统开机后，首先启动的是TPM，它是主板上密码算法芯片中内置的固件。PC一旦加电，TPM芯片就会立即检查Bios和相关硬件，利用哈希算法为平台配置注册表（PCR）中的各个硬件组件计算安全缓存容量。TPM还会检测系统Rom，硬件驱动的主引导记录（MBR）以及分区表，将它们的哈希值存储在TPM的注册表中。这些值将会和上次启动记录的值进行比较，如果结果产生矛盾，TPM就不允许对系统分区进行访问；如果比较后通过，TPM将允许启动过程继续进行。接下来，主引导记录（MBR）会控制启动进程，其指定活动分区，加载首个扇区到系统内存中，之后由启动扇区控制。




更严苛的安全性，比如安全启动加密整个系统分区，完整磁盘卷加密（FVE）选项提供了比Windows XP Professional集成的加密文件系统（EFS）更多的功能，EFS只对文档和文件夹进行加密而不是整个分区。现在系统存在的一个很大的问题就是文件包含敏感的系统数据，比如分页文件，注册表以及隐藏文件，这些都是未被加密的，很容易被黑客获取。

   安全启动模式将启动进程分为层层递进的若干阶段，最大的革新就是针对过去操作系统中没有的安全保护。

   而FVE的优势在于对整个系统分区进行加密。最好的解决方案为FVE和EFS的结合，这样会利用EFS对数据分区上的重要文件夹进行加密，而相关的密钥存储在被FVE保护的系统区上。如果TPM启动系统时没有问题，那么继续会对系统分区解密。

   微软兑现了其要实现Windows安全中心的承诺。安全启动不是必选项，用户可以轻易将其关闭，当然你至少要有本地管理员的权限才行。这就意味着你不能在公司背着系统管理员对安全启动做过多的操作。

●崭新的硬件阻止启动

   安全启动的底线是将TPM和硬件潜在的阻止系统启动相结合。比如，你添加了一个新的显卡或Raid控制器时阻止系统启动。在升级以后，为了不让系统锁定这类型的合法用户，微软已经提供了恢复的方法：“failsafe”关键字的列表将会在安全启动开始的时候被分别生成，如果出现问题，列表就会被用来对有改变的硬件驱动程序解锁。

lg8088

Vista技术细节：安全的程序改写 为黑客设置假象

LUA应用操作管理(AIM)有点像程序管理，其允许没有写权限的普通用户能在一个被保护的系统区域中仍然能得到虚拟的视图。

   比如，如果一个只有低安全权限的用户运行一个应用程序去改写C:\Program Files中的文件夹，AIM就会为这个应用程序提供一个这个文件夹的虚拟拷贝文件夹，而当这个应用程序关闭时，这个虚拟文件夹将会被删除。这种进程被理解为在写时拷贝，即一个应用程序看起来可以写数据，但实际上在安装了Windows Vista的系统中的程序和服务是不会被改变的。

   因此，比如当病毒或木马程序要攻击C:\ProgramFiles\InternetExplorer\iexplore.exe这个文件时，系统将会保存一个完整的未被改写的文件副本。尽管如此，AIM算得上是唯一能激励程序员开发能在LUA规则限制下的良好运行的方式了。

lg8088

Vista技术细节：对管理员权限的动态分配

有些进程的操作，比如安装驱动程序或进行备份，仍然需要管理员身份登陆才能完成。针对这类情况，LUA体系架构则提供了一种被保护的管理员(PA)状态。这种“超级用户”状态允许你拥有管理员的特权登陆，但你进行的操作仍然带有保护系统配置不被篡改的保护。PA允许应用程序运行在一种被保护的管理员安全模式下，这种模式的安全限制和LUA是很相似的。

   以PA方式登陆，你的Web浏览器和邮件客户端都是和在LUA状态下一样安全。只有那些特定的程序是被信任的可以带有真正的管理员权限。例如，你可以设定给一个拷贝程序以更高的权限。虽然PA提供的安全保护并不是特别完备，这种思路也不是很新颖，但是，它的安全水平还是大大高于Windows XP中无任何限制的管理员帐户的。

Vista崭新的开始面板包括输入框搜索，还有新的远程投影机程序

lg8088

Vista技术细节：保护版权 和盗版说再见



为了迎合电影工业和版权持有者的需求，微软一直在新版本的操作系统中致力于研发一种被称为媒体保护路径（PMP-Protected Media Path）的新的拷贝保护系统。采用众多特殊机制以及独特的保护环境，安装了Vista的PC可以说是保护付费内容的最好堡垒。每个项目被植入了相应保护级别的数据并且都要通过媒体协同工作网关（MIG-Media Interoperability Gateway）执行后才会被确认出是否被允许播放。

●对普通用户的保护

   安全启动、FVE以及LUA，在安全性方面确实有了很大的提升，Vista同样提供了一些专门保护用户内容的功能属性。包括拷贝保护属性，防止对那些付费内容的“盗版”行为，比如通过HDTV，HD-DVD，Blu-ray的盗取等。好莱坞已经采取了诸多方法来阻止电影在PC平台上随意拷贝、复制。针对视频DVD的复制保护机制在几年前就被不停地倡议着，但结果是很多电影大腕们为之徒劳付出了大量钞票。很明显，他们不想让已经在电影上发生的盗版危机在即将到来的DVD时代重演，也就是说，版权拥有者不想让HDTV通过数字卫星发布的内容轻易就被PC重新编辑和非法传播。

   这就意味着，开发一切可能的方式来保护内容在任一层次上免受攻击是很有意义的。一个很基本的需求是保护非法软件在付费节目播放的时候通过Ram对其拷贝。为了阻止付费内容从显卡等硬件上被盗取，这类内容应该只在那些受到拷贝保护的设备上可用。这种机制已经存在：其被称为HDCP（宽带数字内容保护），但是这个机制只在数字HDMI或DVI平台上才有效。

   带有DVI连接的TFT显示器，如果不支持HDCP的设备有可能完全不能显示付费内容，或者可以显示但是质量有所降低。很有可能只能看到类似于VGA输出的较低分辨率的视频。电视节目的界面应该只允许传输付费节目，比如类似于Macrovision的系统和CGMS-A（拷贝生成管理系统）。

   这种输出限制不仅约束视频文件，也用于音频播放界面，其不支持拷贝保护，包括S/PDIF（注：Sony/Philips数字交互格式），当付费节目内容管理要求关闭时必须具有关闭功能。为了防止通过PCI总线对付费内容的盗用，对低端总线的攻击也要阻止。一些内容提供商明确提出禁止未经加密的内容通过PCI总线传送到显卡，这已经成为微软要解决的一个问题。

●限制用户权限

   其实Windows XP并没有充分利用用户权限作为安全机制。最容易和最简单的安全保护就是每次都使用管理员权限登陆系统，但是XP却将本地用户设为默认登陆方式。在Vista中，微软实现了一个最低特权的用户帐号“Leastprivileged User Account (LUA)”，这个帐户只有很有限的权限来应对日常的工作，开发人员保证受限制的权限不会产生问题。新版本的Visual Studio 2005会为开发LUA程序提供一些新的工具，更多的细节则在9月份举行的微软专业开发人员大会上公布。

●禁止电影拷贝

   受保护的视频路径-输出保护管理（PVP-OPM-Protected Vidoe Path-Output Protection）是指将Vista中数字限制放入到电影盗版中的一个属性。输出内容需要符合加密要求和显示器输出标准。一系列的认证检测将被执行：显卡的驱动程序会检测该卡是否已经被认证许可播放相关内容。

   操作系统会对驱动程序进行认证检测，之后多媒体内容自身会检查操作系统是否具有足够的合适的安全保护功能。当全部认证过程都成功完成后，Vista才会允许播出电影（如图3）。如果认证链过程中的任一环节出现问题，PVP-OPM就会停止播放或降低输出质量。



在Vista系统中针对音频文件和PVP-OPM类似的机制被称为被保护的用户模式音频（Puma-Protected User Mode Audio）。在Windows XP下，音频引擎的运行具有优先权的内核。在Vista下这种状态将不复存在，新的音频引擎将被转移在用户模式下工作，更加强劲并具有更大的可扩展性。

   为了避免任何由于处理性能的提高而带来的令人生厌的瑕疵，调换任意一个独立被保护的组件是不允许的。比如，由于处理能力的大幅提升，将会出现的实时加密算法；又或者一个模块受到黑客攻击等。那么，输出保护架构将会使这个模块的访问允许失效，例如之前认为是可靠的显卡驱动程序。因此，其和PKI执行类似的方式，受到攻击的模块将在整个列表上终止。当然，Vista同样是可以播放付费节目的，但是PC一定要连接到Internet以获得不断更新的黑名单才行。

   为了保护在PC上通过电视传播途径得到的内容的版权，微软已经在Vista系统中改变了电视卡驱动程序的接口。受保护的广播驱动架构（PBDA-Protected Broadcast Driver Architecture ）会控制受保护的从电视卡硬件到操作系统的广播流。而且，Vista会为包括租来的电影在内的内容自动提供版权保护或使用指导功能。我们现在所看到的是PC上对大量内容的保护。毋容置疑，Vista提供的这些功能属性对内容提供商来说是非常优秀的，但是也许同时会成为最终用户眼中最具争议的地方：你真的准备要去买一台新PC仅仅是因为要安装Vista吗？

lg8088

Vista最明显的改变：Vista的崭新界面

Vista中的大部分新的属性都隐藏在操作系统的底层。但是，用户能看到的用户界面上的众多新功能同样带来很多益处。



据微软表示，计划中的很多新属性和用户界面中的变化会在Beta 2版本中出现，尽管如此，在Beta 1中我们仍然能对新功能属性略见端倪。要说明的是，对于任何beta版本发布中的细节都应以最终版本为准。从安装后打开桌面的第一步看，似乎和过去的系统差异不大，但实际上可以说是完全不同的。如果你的显卡足够强劲，你就会看到远不止风格变化的很多有意思的效果：窗口和对话框呈现出半透明的玻璃质感效果，通过柔和模糊处理可以看到窗口和对话框下的内容。





这些生动活泼的效果也许让你想起Mac OSX系统。你还能看到按钮及窗口边缘逐渐变亮的效果，另外，文件夹的颜色也是根据不同内容而编码设置的：系统文件夹为蓝色；媒体文件夹为红色；用户文件夹为绿色等。





Windows 浏览器提供更多呈现数据的方式，图标可以很平滑地放大及缩小。

lg8088

Vista最明显的改变：全新的用户体验“Aero”

Windows浏览器已经经历了数次功能更新，主要集中在组织和数据展示方面，像“文件，编辑，查看……”菜单仍然保留，但是在默认设置下是隐藏的。它们被一个“命令栏”替代，包括内容按钮，类似于Windows XP中的功能面板，不过占用更少的空间。




导航更加快捷和易用，下拉菜单可以直接访问到目标文件夹




增强的文件复制过程对话框可以显示出更多信息，比Windows XP更加清晰醒目。


浏览器的地址栏在功能上有了很大的提高，不再是一个简单的包括文件夹路径的文字栏，Vista提供了在目录树中每一步都可点击的按钮。这些按钮带有下拉菜单，这样你通过一次点击就能在目录树中找到你想找的文件夹。

   Windows浏览器有很多新方式显示文件夹图标。在Windows XP中你需要从浏览器查看菜单中选择缩略图、平铺、图标等可视选项，而Windows Vista采用的方式是提供一个简洁的滑竿，随着滑动可以将图标逐渐变大或缩小。另外，每个文件所显示出的信息也比之前版本更多，允许你根据文件中的内容和元数据而不仅仅是文件名来处理文件，比如，你可以从全部照片中搜索出某种相机特定模式下的照片。

   Windows Vista所有的这些用户界面中在细节方面的功能加强被称为“Aero” ，“可信，积极，沉稳，开放”是其标榜的主题。Aero远远不只是漂亮的Windows组件和图标的集合，对终端用户来说，更是一种全新的用户体验；对开发者来说，它是一套从用户使用感受出发的指导方案和整合工具。

   这些指导方案是Windows XP中已有的一些指导的扩展，但是再一次把很多细节发挥到了极致，其中的一些步骤需要程序员完成。举例来说，这些都是本着避免复杂的编码过程的原则，比如颜色和Windows风格，利用“主题画板”应用程序接口的内建功能就可以获得理想的外观。

   这样，用户就很容易实现“Aero”中的应用和命令控制，从而实现一致的外观和感觉。微软声称，这样对用户来说Windows Vista将不再是离散的应用程序集合了。Aero的向导框架同样允许开发者在他们自己的对话框中使用Aero的风格。这样做就使得那些初级用户不会被完全改变风格的用户界面吓退，但是这也会让他们觉得仍然在使用微软的产品。

lg8088

Vista最明显的改变：更“听话”的数据

尽管微软一直在炫耀的WinFS数据库文件系统，但目前并没有在Vista中出现。不过，不可否认的是Vista中有很多专门提高管理数据效率的新属性。

   “虚拟文件夹（Virtual folder）”让你能够按照文件中的内容来组织文件夹而不用再根据复杂的层次目录树路径（如图7）。利用Windows的搜索工具去搜索文件，然后根据多种元数据进一步过滤。一旦找到了你想要找的文件，你就可以将其保存为“虚拟文件夹”。以后如果你再打开这个文件夹，将会显示出匹配你之前搜索条件的文档列表。如果你查找的结果已经更改过了，那么虚拟文件夹中的内容也会更改，因为你每次打开文件夹的时候系统都会重新搜索一次。




虚拟文件夹允许你按文件内容而不是物理位置将文件分组和过滤


这样的设计思路可以更好地组织文件而不需要小心翼翼地维护复杂的目录结构。另外，同一个文档可以同时出现在多个虚拟文件夹中，这样就避免了多余的备份和快捷方式。

   Vista的默认设置提供了虚拟文件夹。如果你的文件之前是没有组织结构的，你就会发现它是多么的有用。无论你在哪里进行保存，虚拟文件夹都会对其进行保存，并提供给用户需求的最方便的方式。另外，微软还提供了专门存放音乐及用户关键信息的虚拟文件夹。

   “虚拟文件夹（Virtual folder）”是微软在Vista中集成XML技术的一个范例。不同于在硬盘和网络中指向物理路径，虚拟文件夹其实是Windows搜索引擎中的查询结果。

   即将发布的Vista Beta 2承诺将会进一步提升网络收藏夹和RSS feed的搜索功能。其它方面的增强主要集中在对移动用户，包括宽带无线的Vista用户的需求。Beta 2将会把这类功能文件夹放置到一个“会议工作集”中，合并文件的转移。更多属性可参见Vista和其它操作系统比较表格。

lg8088

Windows Vista：32位版本及64位版本

Windows Vista的所有这些优秀功能（除了Starter版本）无论对32位还是64位处理器都是可以实现的。对XP来说，64位版本的Vista较之32位版本有更大的寻址空间：从4GB提升到128GB ；16TB的虚拟内存而不止4GB；64GBRam/进程大大超过了过去的2GBRam/进程。

   32位对Windows XP来说则很理想，64位只是一个扩充。Windows Vista最大的一个提升可以说是64位机制实现的一个良好开端。不过，Vista64位和32位版本实现的功能是基本完全一致的。




64位Windows Vista利用WOW机制来执行32位程序

lg8088

Windows Vista：虚拟环境的安装

专家级的用户可以在虚拟机上安装Vista。这样做的好处就是你不需要单独准备出一台PC就可以一睹Windows的新版本了。VM Ware 5拥有一个恰好适合针对开发者的Vista的试验环境，另外，微软的虚拟PC也可以安装这个新的操作系统。

   然而，我们在安装Beta 1 build版本的时候，在虚拟硬盘上却出现了问题，好在有解决方案使安装顺利完成。为Vista设置一个虚拟机，在安装之前还要准备XP的安装盘以用来启动系统控制恢复台。进入系统控制恢复台后，用命令行的方式输入：c:/q/fs:ntfs 命令将虚拟硬盘格式化为NTFS文件系统。这样Vista就可以识别虚拟硬盘了。




利用虚拟PC，你可以轻松地在Windows XP环境中体验Vista