Виртуализация повышает защиту данных в Windows 11

Виртуализация на основе безопасности (VBS) стала предметом обсуждения с момента её активации по умолчанию в Windows 11. Превращая операционную систему в виртуальную машину через гипервизор Hyper-V, VBS значительно усиливает защиту данных и их целостность, хотя это и происходит за счёт производительности.

Для геймеров и обычных пользователей, стремящихся к оптимальной производительности, часто рекомендуется отключать VBS и виртуализацию Hyper-V. Несмотря на это, Microsoft твёрдо стоит на своём, утверждая о преимуществах безопасности, которые VBS приносит в Windows 10/11. Последнее дополнение к VBS, VBS enclaves, предлагает новый подход к разработке приложений с приоритетом защиты данных.

Что такое VBS Enclaves?

VBS enclave представляет собой программно-обеспеченную доверенную среду выполнения (TEE) внутри хост-приложения, как объясняет Microsoft. Используя Hyper-V, VBS создаёт среду с более высоким уровнем привилегий, чем операционная система внутри виртуальной машины на гипервизоре. Разработчики могут защищать определённые сегменты приложений с помощью файлов Dynamic Link Library (DLL), загружаемых любыми стандартными программами Windows.

VBS создаёт привилегированную виртуальную среду, известную как Virtual Trust Level 1 (VTL1), которую Microsoft описывает как корень доверия операционной системы. VTL1 с изолированным пользовательским режимом и защищённым ядром работает на более высоком уровне привилегий, чем традиционная среда Windows (VTL0).

Преимущества и требования

VBS enclaves позволяют изолировать сегменты приложений внутри VTL1, защищая чувствительные данные, такие как пароли и операции расшифровки, от внешних угроз. Однако реализация VBS enclaves требует выполнения определённых требований к устройству, включая Windows 11 или Windows Server 2019 с включёнными VBS/HVCI и Visual Studio 2022 версии 17.9 или новее для кодирования проектов.

Хотя VBS enclaves предлагают надёжные функции безопасности, они имеют ограниченный доступ к API Windows для минимизации поверхности атаки для киберпреступников. Разработчикам рекомендуется не полностью доверять хост-приложению, так как файлы DLL могут быть загружены любыми программами, а не только предполагаемым хост-приложением.