Модель безопасности Gooroom OS: доверенная загрузка, защита ОС и песочница браузера.

Основана ли операционная система Gooroom на доверенной загрузке и песочнице?

В публичном описании продукта Gooroom безопасность представлена ​​как набор мер защиты на всех этапах: при запуске, в операционной системе, при работе с исполняемыми файлами и в браузере. В настоящее время Hancom перечисляет четыре компонента в своей системе безопасности: доверенная загрузка, защита исполняемых файлов, защита операционной системы и защита браузера. Также описывается браузер Gooroom на основе Chromium с блокировкой вредоносных сайтов и различными политиками доступа для доверенных и недоверенных контекстов браузера. Это полезная высокоуровневая модель, но она не раскрывает всех деталей реализации и не гарантирует, что каждый релиз и развертывание Gooroom обеспечивают идентичные средства контроля. Обзор продукта Gooroom от Hancom

Практический вывод заключается в многоуровневой защите: проверка при запуске помогает убедиться в надежности запускаемого программного обеспечения; защита операционной системы и исполняемых файлов направлена ​​на сохранение целостности после запуска; элементы управления браузера снижают риск доступа к опасному веб-контенту. Песочница — один из возможных механизмов изоляции в этой схеме. В публичном обзоре Gooroom подтверждается наличие защиты браузера, но не указана точная конфигурация песочницы, поставляемая в каждой сборке браузера. Имейте это в виду при оценке конкретного устройства.

Что означает "надежная загрузка"?

Доверенная загрузка — это путь системы от включения питания до запуска операционной системы. В общей терминологии безопасности NIST определяет доверенную загрузку как загрузку, при которой измеряются и сравниваются с известными корректными значениями параметры аппаратного и программного обеспечения для оценки целостности. На общедоступной странице продукта Gooroom подтверждается, что доверенная загрузка является частью его системы безопасности, но точные измерения, ключи, поведение при сбоях или требования к оборудованию для каждой версии публично не описываются. Таким образом, общее определение объясняет цель; его не следует путать с проверенной технической спецификацией конкретной установки Gooroom. ( Статья в глоссарии NIST о доверенной загрузке)

Почему это важно? Если злоумышленник изменит компонент ранней загрузки, последующие средства защиты могут начать работу с скомпрометированной основы. Механизм доверенного запуска предназначен для обнаружения или ограничения несанкционированных изменений до того, как система достигнет своего обычного рабочего стола. Решение о том, будет ли конкретная машина отказываться загружаться, предупреждать администратора, записывать измерения или использовать другой ответ, зависит от реализации и политики. Перед тем, как полагаться на конкретный ответ, проверьте документацию для используемой версии Gooroom и оборудования.

Чем это отличается от безопасной загрузки (Secure Boot)?

Часто термины «безопасная загрузка», «доверенная загрузка» и «проверенная загрузка» используются так, будто они описывают один универсальный механизм. Это связанные понятия, но названия и реализации различаются. «Безопасная загрузка» обычно относится к прошивке, обеспечивающей соблюдение политики подписи загрузчиками; «доверенная» или «измеренная загрузка» может означать запись или проверку информации о целостности на протяжении всей цепочки запуска. Продукт может сочетать в себе несколько методов. В обзоре Hancom функция Gooroom называется «доверенная загрузка», но на общедоступной странице не указано, какие именно этапы UEFI, TPM, подписи или измерения используются в конкретном релизе. Не следует делать выводы об этих деталях только по названию функции.

Для администратора полезными являются конкретные вопросы: Какие компоненты загрузки проверяются? Где управляются доверенные ключи? Что произойдет, если проверка не удастся? Можно ли централизованно просмотреть результаты измерений загрузки? Меняется ли политика при отключении Secure Boot или установке пользовательских ядер? Ответы следует получить из руководства по развертыванию Gooroom для конкретной версии или от организации, которая управляет конечной точкой.

Что защищает эта песочница?

Песочница ограничивает возможности процесса, даже если этот процесс обрабатывает вредоносный ввод или содержит уязвимость. В браузере ключевым примером является веб-контент: скомпрометированный процесс рендеринга страницы должен иметь ограниченный доступ к другим процессам, файлам и системным ресурсам. В документации Chromium для Linux описываются многоуровневые механизмы песочницы и объясняется, что точные механизмы зависят от доступных функций ядра. Это документирует дизайн Chromium, а не гарантирует работоспособность каждой сборки браузера. Документация Chromium для Linux по песочнице

Компания Hancom описывает браузер Gooroom как основанный на Chromium и заявляет, что он применяет такие политики, как блокировка вредоносных сайтов и дифференцированный доступ для доверенного и недоверенного просмотра. Это элементы управления на уровне браузера. Они могут дополнять песочницу процессов, но это не одно и то же: политика сайта контролирует, какие адреса или контексты разрешены, в то время как песочница процессов ограничивает то, к чему может получить доступ запущенный компонент браузера. На общедоступной странице продукта не указано, какие пространства имен Linux, фильтры системных вызовов или другие уровни песочницы включены в каждой версии браузера Gooroom. Описание браузера Gooroom и его политик от Hancom.

Как взаимодействуют слои?

Представьте, что сотрудник получает ссылку на подозрительный документ. Доверенная загрузка определяет, запускается ли конечная точка из разрешенного программного состояния. Защита операционной системы предназначена для защиты целостности ядра системы во время работы машины. Защита исполняемых файлов — еще один уровень защиты, направленный на предотвращение несанкционированного или небезопасного выполнения программ. Защита браузера может блокировать опасные сайты или применять более строгие правила к ненадежному контексту просмотра. Если компонент браузера скомпрометирован, эффективная песочница процессов может ограничить его воздействие. Каждый уровень защиты решает отдельную задачу на пути атаки; ни один из них не делает другие ненужными.

На странице продукта Gooroom также указано, что его платформой можно управлять через систему управления платформой Gooroom (GPMS), включая массовую установку программного обеспечения и управление настройками. Централизованное управление может помочь администраторам применять согласованную конфигурацию, но само по себе управление не доказывает, что конкретный элемент управления включен или правильно настроен. Проверьте назначенные политики на устройстве или через консоль управления организации. Обзор GPMS и управления конечными точками от Hancom.

Что могут проверить пользователи в установленной системе?

• Определите версию. Запишите точную версию Gooroom, версию браузера и модель устройства. Поведение системы безопасности может меняться между сборками.
• Проверьте политику загрузки у администратора. Подтвердите, включена ли доверенная загрузка, какая аппаратная поддержка требуется и как сообщается о неудачной проверке целостности. Не следует предполагать, что параметр, видимый в прошивке, подтверждает полную политику загрузки Gooroom.
• Ознакомьтесь с политикой браузера. Узнайте, разделяет ли организация доверенный и недоверенный просмотр веб-страниц, какие средства контроля сайтов применяются и утверждаются ли исключения централизованно.
• Проверьте состояние песочницы, если оно доступно. Сборки на основе Chromium могут отображать подробную информацию о песочнице процесса по адресу [ссылка на страницу] chrome://sandbox. Если эта страница недоступна или отличается в браузере Gooroom, используйте метод, специфичный для выпуска поставщика или администратора. Страница состояния — это диагностическая подсказка, а не полный аудит безопасности.
• Регулярно обновляйте систему и браузер. Проверка целостности загрузки и песочница не устраняют уязвимости в приложениях. Используйте утвержденный процесс обновления и убедитесь, что он завершился.

Каковы пределы этой модели безопасности?

Доверенная загрузка обеспечивает целостность данных при запуске; сама по себе она не предотвращает ввод учетных данных на фишинговом сайте и не исключает всех вредоносных действий после входа в систему. Песочница браузера может уменьшить влияние скомпрометированного рендерера, но не является абсолютной защитой: ошибки в браузере, ядре или границах песочницы все еще могут иметь значение. Функции защиты исполняемых файлов и операционной системы также зависят от их точных политик, состояния обновлений и настроек администратора.

Открытый исходный код может способствовать проверке и сотрудничеству, но наличие общедоступного репозитория не гарантирует, что компонент актуален, включен или настроен одинаково в коммерческой или управляемой сборке. Например, в общедоступном репозитории организации Gooroom, посвященном защите ОС , документируется проект защиты ядра на основе гипервизора. Его наличие свидетельствует о существовании опубликованного проекта, а не о том, что конкретный релиз включает или активирует эту реализацию.

Подходит ли Gooroom для организации рабочего места с контролируемым доступом?

Опубликованная Gooroom модель безопасности наиболее актуальна для администраторов, которым необходим контролируемый рабочий стол, централизованные настройки и политики браузера для работы в бизнесе или государственном секторе. Перед внедрением запросите у поставщика или группы развертывания информацию об архитектуре безопасности для конкретной версии, поддерживаемых аппаратных требованиях, процедурах обновления и отката, обработке сбоев загрузки, состоянии песочницы браузера и способах ограничения локальных приложений. Также протестируйте необходимое вашей организации программное обеспечение, включая USB-устройства безопасности, VPN-клиенты, защиту конечных точек и любое специализированное оборудование. Hancom указывает на совместимость с программным обеспечением безопасности государственного сектора и поддержку виртуализации рабочих столов, но соответствие требованиям все же зависит от вашей собственной среды.

Короче говоря, модель Gooroom следует рассматривать как несколько взаимодействующих уровней, а не как единый переключатель «песочницы». Поставщик публично называет доверенную загрузку, защиту исполняемых файлов, защиту ОС и защиту браузера. Chromium предоставляет соответствующую информацию о проектировании песочницы от разработчиков, в то время как точные настройки развернутой конечной точки Gooroom необходимо проверять по документации к релизу и политике администратора.