Hoe Microsoft Windows 10 gaat beveiligen
De eerste mediaberichten over Windows 10 Technical Preview focusten vooral op het nieuwe Start-menu, de virtuele desktops en andere zichtbare wijzigingen in het besturingssysteem. Maar ook onder de motorkap zitten er grote veranderingen aan te komen, vooral qua veiligheid.
De interessantste hint tot dusver is een nieuwe dienst die Microsoft Next Generation Credentials heeft gedoopt en die al is geïnstalleerd, maar nog niet geactiveerd in de huidige versies van Windows 10.
[related_article id=”161452″]
Met NGC wil Microsoft “afstappen van eentrapsauthenticatie zoals wachtwoorden”. Het zal gebruikers van eender welk Windows 10-toestel (een pc, een tablet, een telefoon) toelaten om dat toestel als “vertrouwd” te merken wanneer het geauthentiseerd moet worden.
In combinatie met een pincode of met biometrische gegevens (een vingerafdruk bijvoorbeeld) kan er dan ingelogd worden op elke mobiele dienst die dit ondersteunt.
FIDO-standaard
Het systeem is niet eigen aan Microsoft, maar gebaseerd op standaarden van de FIDO Alliance, waar ook onder meer Google, Lenovo, Paypal, Visa en Mastercard lid van zijn alsook beveiligingsfirma’s als RSA en IdentityX.
De benodigde cryptografische sleutels kunnen bedrijven aanmaken door hun PKI (public key infrastructure). Op consumententoestellen worden ze gegenereerd en veilig opgeslagen door Windows 10 zelf.
Volgens Microsoft kunnen alle apparaten gebruikmaken van nieuwe verificatiegegevens of kan men ook één apparaat aanduiden als een soort virtuele smartcard. Een gsm kan bijvoorbeeld tweetrapsauthenticatie via bluetooth of wifi voorzien voor andere apparaten.
De gebruikerstokens zullen opgeslagen worden in gevirtualiseerde containers (met Hyper-V-technologie) waardoor ook aanvalstechnieken als Pass The Hash onbruikbaar worden.
Bedrijfsgegevens automatisch versleutelen
Ook voor ondernemingen heeft Microsoft enkele nieuwe veiligheidsmaatregelen uitgedokterd.
Een eerste is een set features om bedrijfsdata beter te beschermen op apparaten die de eigendom zijn van werknemers. In Windows 10 zullen IT-beheerders maatregelen kunnen nemen om gevoelige informatie, bedrijfsapps, de inhoud van het intranet en e-mail automatisch te versleutelen.
De ondersteuning van deze encryptie wordt standaard ingebouwd in de API’s van veel gebruikte Windows-commando’s zoals Open en Bewaar en zal dus beschikbaar komen voor alle apps die deze commando’s gebruiken.
Beheerders kunnen lijsten maken van apps die toegang krijgen tot de versleutelde data of er net geen toegang toe krijgen. Daardoor zal het bijvoorbeeld mogelijk worden om de toegang tot pakweg Dropbox te verbieden.
Banken en militaire overheden
Een laatste maatregel is speciaal bedoeld voor organisaties met zeer hoge veiligheidsstandaarden, zoals banken en militaire overheden. Met Windows 10 Enterprise Edition en speciaal geconfigureerde hardware zullen IT-beheerders de kans krijgen om apparaten te verbieden om niet-vertrouwde code te draaien.
In deze gevallen kunnen alleen programma’s gedraaid worden die over een speciaal Microsoft-certificaat beschikken (bijvoorbeeld apps uit de Windows Store of apps die door Microsoft werden goedgekeurd). Bedrijven die eigen apps ontwikkelen kunnen zelf certificaten aanmaken. Zo kunnen de apps wel draaien binnen het eigen bedrijfsnetwerk, maar niet daarbuiten.
