Oddělení a izolace stavu
Oddělení stavu a izolace chrání kritické části operačního systému HoloLens 2 před změnami – například ty, které jsou potřeba ke spuštění operačního systému do důvěryhodného stavu. Díky technologii izolace se nedůvěryhodné aplikace přesouvají do izolovaného sandboxového prostředí, aby se zajistilo, že neovlivní zabezpečení systému.
Oddělení stavu
Oddělení stavu HoloLens 2 výrazně zlepšuje zabezpečení a použitelnost (aktualizace) a pomáhá chránit data aplikací. Oddělení stavu funguje takto:
- Základní operační systém je uložený ve svazku základního operačního systému (důvěryhodný nebo ověřený operační systém Microsoftu, který operační systém aktualizuje).
- Části operačního systému, které je možné změnit za běhu (například ovladače a konfigurace ke stažení), používají další oddělení stavu k rozdělení dat a k jejich uložení v zabezpečených samostatných umístěních úložiště.
- Ke každému zabezpečenému úložišti jsou přidružené odlišné zásady zabezpečení, které nabízejí různé výhody zabezpečení, jak je podrobně popsáno v následující části.
Výhody oddělení od státu
- Zabezpečení: Oddělení stavu uvedené v HoloLens 2 výrazně zlepšuje integritu platformy, odolnost proti malwaru a ochranu uživatelských dat. Oddělením nepotřebné části operačního systému a zajištěním ochrany jen pro čtení nebo integritu je oddělení stavu obtížné pro malware přetrvávat i při studeném restartování.
- Aktualizace: Jakmile je základní operační systém v HoloLens 2 nemodifikovatelný a je čistě oddělen od zbývajících dat na zařízení, aktualizace se stanou jednoduchými a spolehlivými. Kromě toho oddělení stavu představuje zásadní základ pro výrazně rychlejší aktualizace, které umožňují výměnu operačního systému v jediném kroku (atomické jednotce).
- Resetování zařízení: HoloLens 2 resetování vymaže data vygenerovaná uživatelem a data uživatelských aplikací na zařízení – včetně interních a externích úložišť. Zachovává aktuální aplikace operačního systému a aplikace důležité pro zabezpečení a aktuální přizpůsobené aplikace microsoftu a OEM (předinstalované). Tyto předinstalované aplikace je možné na zařízení po dokončení resetování znovu dosadí.
Stavy oddělení stavů
Oddělení stavu zajišťuje, že operační systém může být změněn pouze součástmi důvěryhodných zařízení Microsoftu a při restartování může přetrvávat pouze stav s vysokou hodnotou. jiný stav systému existuje pouze během spouštěcí relace a po restartování se zahodí. Oddělení stavu rychle vrátí zařízení zpět do továrního stavu. Windows Holographic for Business stavy je možné rozdělit do těchto jedinečných kategorií:
- Základní operační systém – stav beze
- Data operačního systému – měnitelný stav
- Uživatelská data – měnitelný stav
Každý z těchto HoloLens 2 provozních stavů je popsán v následující části.
Základní operační systém
Neměnný stav zahrnuje spustitelné soubory a data, která jsou neměnná a mohou být změněna pouze společností Microsoft během instalace aktualizací. Během takové aktualizace základního operačního systému se povolí nová image obsahující nejnovější požadovaný operační stav. Nezměněný stav je označen jako jen pro čtení (nebo je jinak chráněn integritou), což brání přetrvávání malwaru se zvýšenými oprávněními. Následující spustitelné soubory a data jsou chráněny v neměnném stavu:
- Ovladače doručené pošty Windows Holographic
- Binární soubory operačního systému
- Ovladače doručené pošty Windows
- Statická nastavení Windows Holographic uložená v podregistru registru Windows (HKLM)
- Příklad: HKLM ukládá informace o konfiguraci aplikací nainstalovaných na počítači. Ukládá také informace pro detekci hardwaru a odpovídajících ovladačů. Jejich ochranou v neměnném stavu (integrity a chráněném jen pro čtení) zajistíme, aby se základní operační systém vždy spustil do důvěryhodného stavu. Kromě toho můžeme při resetování zařízení zajistit, aby se zařízení spustilo pouze do komponent, které jsou v tomto neměnném oddílu.
Data operačního systému
Je důležité si uvědomit, že spustitelné soubory a data, která se dají změnit za běhu (a nejsou pro funkci operačního systému důležitá), je možné zahodit a znovu vytvořit, když jsou data poškozena nebo ohrožena. Stav s vysokou hodnotou se buď funkčně vyžaduje, aby se zachoval operační systém, nebo se očekává, že se zachová i při vypnutí operačního systému nebo při restartování podporovaných scénářů operačního systému Windows a zařízení. Příklady proměnlivého stavu s vysokou hodnotou:
- IT Správa nakonfigurovaná globální nastavení zařízení, například zakázání umístění pro všechny uživatele.
- Připojení k síti Wi-Fi přistupuje k datovým sítím zapamatovaných zařízením a přidruženým heslům připojení.
- Výpisy stavu systému včetně nastavení a protokolů
- Ovladače stažené na vyžádání pro nově zjištěná zařízení Stav s vysokou hodnotou, který lze změnit na HoloLens 2, se nachází v umístění zabezpečení dat operačního systému, a to buď jako soubor uložený na disku, nebo v trvalém podregistru registru.
Uživatelská data
Poslední kategorie stavu představuje uživatelská data vytvořená nebo uchováná aplikacemi UPW nebo operačním systémem. V tomto umístění jsou také uloženy všechny známé uživatelské složky, jako jsou Stažené soubory, Dokumenty, Videa, profily uživatelů a HKEY_CURRENT_USER hive. Tato data nelze extrahovat bez správných přihlašovacích údajů. Další informace o tom, jak jsou vaše data chráněná, najdete v tématu Šifrování a ochrana dat.
Izolace
K dosažení této rovnováhy má HoloLens 2 základní operační systém, který se používá pro primární funkce, jako je spouštění, řízení hardwaru, přihlašování atd. V základním operačním systému běží jenom dvě sady aplikací – předinstalované aplikace a aplikace pro UPW.
Podepisování kódu
Digitálně podepisující kód umožňuje doložit, že spustitelné soubory a skripty nebyly změněny, protože byly podepsány důvěryhodným zdrojem, což zajišťuje pravost a integritu. Autoritami, které ve výchozím nastavení HoloLens 2 důvěryhodnosti, jsou Microsoft a Microsoft Store. Správci IT můžou do zařízení přidávat nové certifikáty prostřednictvím CSP ClientCertificateInstall a RootCATrustedCertificates . Můžou také použít zásadu AllowAllTrustedApps k tomu, aby důvěřovali jiným aplikacím načteným bokem nebo obchodním aplikacím. Certifikáty se nacházejí v úložišti certifikátů místního počítače, které je uložené v HKLM/kořenovém adresáři, pokud používáte "Zařízení", nebo v HKCU, pokud používáte "User".
Ochrana defenderu
HoloLens 2 pomocí služeb Microsoftu poskytuje uživatelům pokročilou úroveň zabezpečení:
Filtr SmartScreen v programu Windows Holographic je automaticky povolený operačním systémem a chrání před útoky phishing a malwarem a také před stahováním potenciálně škodlivých souborů v Edgi. Uživatel ho nemůže vypnout, ale dá se zakázat prostřednictvím zásad.
Brána firewall defenderu blokuje tok neoprávněného síťového provozu do a z vašeho zařízení. Ve výchozím nastavení je povolená a zákazník ji nemůže konfigurovat prostřednictvím místních akcí nebo zásad.
Windows Defender Řízení aplikací: HoloLens 2 podporuje WDAC, která správci IT umožňuje odesílat do zařízení zásady řízení aplikací. Další informace najdete v tématu Použití WDAC na HoloLens 2 zařízeních s MSFT Intune.
Správci IT můžou spravovat chování filtru SmartScreen prostřednictvím funkce AllowSmartScreen a chování prohlížeče prostřednictvím těchto zásad.