คำอธิบายเกี่ยวกับโมเดลความปลอดภัยของ Gooroom OS: Trusted Boot, การปกป้องระบบปฏิบัติการ และ Browser Sandboxing

Gooroom OS สร้างขึ้นโดยยึดหลักการบูตที่เชื่อถือได้และการจำกัดสิทธิ์การเข้าถึงหรือไม่?

คำอธิบายผลิตภัณฑ์ Gooroom ที่เผยแพร่สู่สาธารณะนำเสนอความปลอดภัยในรูปแบบของการป้องกันหลายระดับ ตั้งแต่การเริ่มต้นระบบ ระบบปฏิบัติการ ไฟล์ปฏิบัติการ และเบราว์เซอร์ ปัจจุบัน Hancom ระบุส่วนประกอบสี่ส่วนในกรอบความปลอดภัย ได้แก่ การบูตที่เชื่อถือได้ การป้องกันไฟล์ปฏิบัติการ การป้องกันระบบปฏิบัติการ และการป้องกันเบราว์เซอร์ นอกจากนี้ยังอธิบายถึง Gooroom Browser ที่ใช้ Chromium ซึ่งมีการบล็อกเว็บไซต์ที่เป็นอันตรายและนโยบายการเข้าถึงที่แตกต่างกันสำหรับบริบทเบราว์เซอร์ที่เชื่อถือได้และไม่น่าเชื่อถือ นี่เป็นแบบจำลองระดับสูงที่มีประโยชน์ แต่ไม่ได้เปิดเผยรายละเอียดการใช้งานทั้งหมดหรือรับประกันว่า Gooroom ทุกเวอร์ชันและทุกการใช้งานจะมีการควบคุมที่เหมือนกันทุกประการภาพรวมผลิตภัณฑ์ Gooroom ของ Hancom

ข้อสรุปเชิงปฏิบัติคือ การป้องกันแบบหลายชั้น: การตรวจสอบเมื่อเริ่มต้นระบบช่วยสร้างความมั่นใจในซอฟต์แวร์ที่จะเริ่มทำงาน การป้องกันระบบปฏิบัติการและไฟล์ปฏิบัติการมีจุดมุ่งหมายเพื่อรักษาความสมบูรณ์หลังจากเริ่มต้นระบบ การควบคุมเบราว์เซอร์ช่วยลดการเปิดรับเนื้อหาเว็บที่เป็นอันตราย แซนด์บ็อกซ์เป็นกลไกการควบคุมอย่างหนึ่งที่เป็นไปได้ในภาพรวมนั้น ภาพรวมของ Gooroom ที่เผยแพร่ต่อสาธารณะยืนยันการป้องกันเบราว์เซอร์ แต่ไม่ได้ระบุรายละเอียดการกำหนดค่าแซนด์บ็อกซ์ที่มาพร้อมกับเบราว์เซอร์แต่ละเวอร์ชัน โปรดคำนึงถึงความแตกต่างนี้เมื่อประเมินอุปกรณ์เฉพาะ

“Trusted Boot” หมายความว่าอย่างไร?

Trusted boot เกี่ยวข้องกับเส้นทางการทำงานของระบบตั้งแต่เปิดเครื่องจนถึงระบบปฏิบัติการที่ทำงานได้ ในแง่ของศัพท์เฉพาะด้านความปลอดภัย NIST นิยาม trusted boot ว่าเป็นการบูตที่วัดและเปรียบเทียบคุณสมบัติของฮาร์ดแวร์และเฟิร์มแวร์กับค่าที่ทราบแล้วว่าใช้งานได้ดี เพื่อประเมินความสมบูรณ์ หน้าผลิตภัณฑ์สาธารณะของ Gooroom ยืนยันว่า trusted boot เป็นส่วนหนึ่งของกรอบความปลอดภัย แต่ไม่ได้อธิบายรายละเอียดการวัด คีย์ พฤติกรรมการทำงานผิดพลาด หรือข้อกำหนดของฮาร์ดแวร์สำหรับแต่ละเวอร์ชันอย่างเปิดเผย ดังนั้นคำนิยามทั่วไปจึงอธิบายถึงเป้าหมาย ไม่ควรเข้าใจผิดว่าเป็นข้อกำหนดทางเทคนิคที่ได้รับการตรวจสอบแล้วของการติดตั้ง Gooroom โดยเฉพาะ (ดูคำอธิบายในพจนานุกรม trusted boot ของ NIST)

ทำไมเรื่องนี้ถึงสำคัญ? หากผู้โจมตีเปลี่ยนแปลงส่วนประกอบการบูตในช่วงแรก การป้องกันในภายหลังอาจเริ่มต้นจากพื้นฐานที่ถูกทำลาย กลไกการเริ่มต้นระบบที่เชื่อถือได้ถูกออกแบบมาเพื่อตรวจจับหรือจำกัดการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตก่อนที่ระบบจะเข้าสู่เดสก์ท็อปตามปกติ ไม่ว่าเครื่องจะปฏิเสธการบูต แจ้งเตือนผู้ดูแลระบบ บันทึกการวัด หรือใช้การตอบสนองอื่น ๆ นั้นขึ้นอยู่กับการใช้งานและนโยบาย ตรวจสอบเอกสารประกอบสำหรับ Gooroom รุ่นและฮาร์ดแวร์ที่ใช้งานอยู่ก่อนที่จะเชื่อถือการตอบสนองใด ๆ

มันแตกต่างจาก Secure Boot อย่างไร?

ผู้คนมักใช้คำว่า “secure boot,” “trusted boot,” และ “verified boot” ราวกับว่ามันอธิบายถึงกลไกเดียวกันทั้งหมด จริงๆ แล้วมันเป็นแนวคิดที่เกี่ยวข้องกัน แต่ชื่อเรียกและการใช้งานนั้นแตกต่างกัน Secure Boot โดยทั่วไปหมายถึงเฟิร์มแวร์ที่บังคับใช้นโยบายลายเซ็นบนบูตโหลดเดอร์ ส่วน Trusted Boot หรือ Measured Boot อาจหมายถึงการบันทึกหรือตรวจสอบข้อมูลความสมบูรณ์ตลอดห่วงโซ่การเริ่มต้นระบบ ผลิตภัณฑ์หนึ่งอาจรวมหลายเทคนิคเข้าด้วยกัน ภาพรวมของ Hancom เรียกคุณสมบัติของ Gooroom ว่า “trusted boot” แต่หน้าเว็บสาธารณะไม่ได้ระบุขั้นตอน UEFI, TPM, การลงนาม หรือการวัดผลที่แน่ชัดที่เวอร์ชันนั้นใช้ ดังนั้นควรหลีกเลี่ยงการอนุมานรายละเอียดเหล่านั้นจากชื่อคุณสมบัติเพียงอย่างเดียว

สำหรับผู้ดูแลระบบ คำถามที่มีประโยชน์คือคำถามที่เป็นรูปธรรม เช่น ส่วนประกอบการบูตใดบ้างที่ถูกตรวจสอบ? คีย์ความเชื่อถือได้รับการจัดการที่ใด? จะเกิดอะไรขึ้นหากการตรวจสอบล้มเหลว? สามารถตรวจสอบการวัดผลการบูตจากส่วนกลางได้หรือไม่? นโยบายจะเปลี่ยนแปลงหรือไม่เมื่อปิดใช้งาน Secure Boot หรือเมื่อติดตั้งเคอร์เนลแบบกำหนดเอง? คำตอบควรมาจากคู่มือการใช้งาน Gooroom เฉพาะรุ่น หรือจากองค์กรที่จัดการอุปกรณ์ปลายทาง

ระบบแซนด์บ็อกซ์นี้ปกป้องอะไร?

แซนด์บ็อกซ์จำกัดสิ่งที่กระบวนการสามารถทำได้ แม้ว่ากระบวนการนั้นจะจัดการกับอินพุตที่เป็นอันตรายหรือมีช่องโหว่ก็ตาม ในเบราว์เซอร์ ตัวอย่างสำคัญคือเนื้อหาเว็บ: กระบวนการแสดงผลหน้าเว็บที่ถูกบุกรุกควรมีสิทธิ์เข้าถึงกระบวนการ ไฟล์ และทรัพยากรระบบอื่นๆ อย่างจำกัด เอกสารประกอบสำหรับ Linux ของ Chromium อธิบายถึงกลไกแซนด์บ็อกซ์แบบหลายชั้นและอธิบายว่ากลไกที่แน่นอนขึ้นอยู่กับคุณสมบัติของเคอร์เนลที่มีอยู่ เอกสารนี้แสดงถึงการออกแบบของ Chromium ไม่ใช่การรับประกันเกี่ยวกับเบราว์เซอร์ทุกเวอร์ชัน เอกสารประกอบแซนด์บ็อกซ์สำหรับ Linux ของ Chromium

Hancom อธิบายว่า Gooroom Browser ใช้ Chromium เป็นพื้นฐาน และกล่าวว่ามันใช้มาตรการต่างๆ เช่น การบล็อกเว็บไซต์ที่เป็นอันตราย และการเข้าถึงที่แตกต่างกันสำหรับการท่องเว็บที่น่าเชื่อถือและไม่น่าเชื่อถือ สิ่งเหล่านี้เป็นการควบคุมระดับเบราว์เซอร์ อาจเสริมกับการทำงานของแซนด์บ็อกซ์กระบวนการ แต่ไม่ใช่สิ่งเดียวกัน: นโยบายเว็บไซต์ควบคุมว่าปลายทางหรือบริบทใดได้รับอนุญาต ในขณะที่แซนด์บ็อกซ์กระบวนการจำกัดสิ่งที่ส่วนประกอบเบราว์เซอร์ที่กำลังทำงานอยู่สามารถเข้าถึงได้ หน้าผลิตภัณฑ์สาธารณะไม่ได้ระบุว่าเนมสเปซ Linux ตัวกรองการเรียกใช้ระบบ หรือเลเยอร์แซนด์บ็อกซ์อื่นๆ ใดบ้างที่เปิดใช้งานในแต่ละเวอร์ชันของ Gooroom Browser คำอธิบายของ Hancom เกี่ยวกับ Gooroom Browser และนโยบายต่างๆ

แต่ละชั้นทำงานร่วมกันอย่างไร?

ลองนึกภาพพนักงานได้รับลิงก์ไปยังเอกสารที่น่าสงสัย การบูตที่เชื่อถือได้จะตรวจสอบว่าปลายทางเริ่มต้นจากสถานะซอฟต์แวร์ที่ได้รับการอนุมัติหรือไม่ การป้องกันระบบปฏิบัติการมีจุดประสงค์เพื่อปกป้องความสมบูรณ์ของระบบหลักในขณะที่เครื่องทำงาน การป้องกันไฟล์ปฏิบัติการเป็นอีกชั้นหนึ่งที่มุ่งป้องกันการเรียกใช้โปรแกรมที่ไม่ได้รับอนุญาตหรือไม่ปลอดภัย การป้องกันเบราว์เซอร์สามารถบล็อกเว็บไซต์ที่มีความเสี่ยงหรือใช้กฎที่เข้มงวดมากขึ้นกับบริบทการท่องเว็บที่ไม่น่าเชื่อถือ หากส่วนประกอบของเบราว์เซอร์ถูกบุกรุก ระบบแซนด์บ็อกซ์กระบวนการที่มีประสิทธิภาพสามารถจำกัดขอบเขตของส่วนประกอบนั้นได้ แต่ละชั้นจะจัดการกับจุดที่แตกต่างกันในเส้นทางการโจมตี และไม่มีชั้นใดที่ทำให้ชั้นอื่นไม่จำเป็น

หน้าผลิตภัณฑ์ของ Gooroom ยังระบุว่าแพลตฟอร์มสามารถจัดการได้ผ่านระบบการจัดการแพลตฟอร์ม Gooroom (GPMS) ซึ่งรวมถึงการติดตั้งซอฟต์แวร์จำนวนมากและการจัดการการตั้งค่า การจัดการส่วนกลางช่วยให้ผู้ดูแลระบบสามารถใช้การกำหนดค่าที่สม่ำเสมอได้ แต่การจัดการเพียงอย่างเดียวไม่ได้พิสูจน์ว่าการควบคุมใด ๆ ถูกเปิดใช้งานหรือกำหนดค่าอย่างถูกต้อง ตรวจสอบนโยบายที่กำหนดไว้บนอุปกรณ์หรือผ่านคอนโซลการจัดการขององค์กรดูภาพรวมของ Hancom เกี่ยวกับ GPMS และการจัดการปลายทาง

ผู้ใช้สามารถตรวจสอบอะไรได้บ้างบนระบบที่ติดตั้งแล้ว?

• ระบุรุ่นและเวอร์ชันของ Gooroom ให้ชัดเจน บันทึกเวอร์ชัน รุ่นเบราว์เซอร์ และรุ่นของอุปกรณ์อย่างละเอียด พฤติกรรมด้านความปลอดภัยอาจเปลี่ยนแปลงไปในแต่ละเวอร์ชัน
• ตรวจสอบนโยบายการบูตกับผู้ดูแลระบบยืนยันว่าเปิดใช้งานการบูตที่เชื่อถือได้หรือไม่ ต้องการการรองรับฮาร์ดแวร์แบบใด และรายงานข้อผิดพลาดในการตรวจสอบความสมบูรณ์อย่างไร อย่าคิดว่าการตั้งค่าที่มองเห็นได้ในเฟิร์มแวร์จะยืนยันนโยบายการบูตของ Gooroom ได้อย่างสมบูรณ์
• ตรวจสอบนโยบายของเบราว์เซอร์สอบถามว่าองค์กรนั้นแยกการท่องเว็บที่เชื่อถือได้และไม่น่าเชื่อถือหรือไม่ มีการควบคุมเว็บไซต์อะไรบ้าง และการยกเว้นนั้นได้รับการอนุมัติจากส่วนกลางหรือไม่
• ตรวจสอบสถานะแซนด์บ็อกซ์หากมีให้ใช้งาน บิลด์ที่ใช้ Chromium อาจแสดงรายละเอียดแซนด์บ็อกซ์ของกระบวนการที่chrome://sandboxหากไม่สามารถเข้าถึงหน้านั้นได้ หรือหน้านั้นแตกต่างออกไปใน Gooroom Browser ให้ใช้วิธีการเฉพาะของเวอร์ชันที่ผู้จำหน่ายหรือผู้ดูแลระบบกำหนดไว้ หน้าสถานะเป็นเพียงเบาะแสในการวินิจฉัย ไม่ใช่การตรวจสอบความปลอดภัยที่สมบูรณ์
• หมั่นอัปเดตระบบและเบราว์เซอร์อยู่เสมอ การตรวจสอบความสมบูรณ์ของการบูตและการจำกัดการเข้าถึง (sandboxing) ไม่สามารถแก้ไขช่องโหว่ในแอปพลิเคชันได้ โปรดใช้กระบวนการอัปเดตที่ได้รับการอนุมัติและตรวจสอบว่าการอัปเดตเสร็จสมบูรณ์แล้ว

รูปแบบการรักษาความปลอดภัยนี้มีข้อจำกัดอะไรบ้าง?

Trusted boot คือเรื่องของความปลอดภัยในระหว่างการเริ่มต้นระบบ แต่เพียงอย่างเดียวไม่สามารถป้องกันผู้ใช้จากการป้อนข้อมูลประจำตัวในเว็บไซต์ฟิชชิ่ง หรือป้องกันการกระทำที่เป็นอันตรายทุกอย่างหลังจากการล็อกอินได้ Sandbox ของเบราว์เซอร์สามารถลดผลกระทบจากส่วนแสดงผลที่ถูกบุกรุกได้ แต่ก็ไม่ใช่เกราะป้องกันที่สมบูรณ์แบบ ข้อบกพร่องในเบราว์เซอร์ เคอร์เนล หรือขอบเขตของ Sandbox ก็ยังคงส่งผลกระทบได้ คุณสมบัติการป้องกันไฟล์ปฏิบัติการและระบบปฏิบัติการก็ขึ้นอยู่กับนโยบาย สถานะการอัปเดต และการกำหนดค่าของผู้ดูแลระบบด้วย

โค้ดโอเพนซอร์สสามารถสนับสนุนการตรวจสอบและการทำงานร่วมกันได้ แต่การมีคลังเก็บข้อมูลสาธารณะไม่ได้หมายความว่าส่วนประกอบนั้นเป็นเวอร์ชันล่าสุด เปิดใช้งาน หรือกำหนดค่าในลักษณะเดียวกันในเวอร์ชันเชิงพาณิชย์หรือเวอร์ชันที่มีการจัดการ ตัวอย่างเช่นคลังเก็บข้อมูลตัวป้องกันระบบปฏิบัติการ สาธารณะขององค์กร Gooroom ได้บันทึกโครงการป้องกันเคอร์เนลแบบไฮเปอร์ไวเซอร์ การมีอยู่ของคลังเก็บข้อมูลนี้เป็นเพียงหลักฐานของโครงการที่เผยแพร่แล้ว ไม่ใช่ข้อพิสูจน์ว่าเวอร์ชันใดเวอร์ชันหนึ่งมีการใช้งานหรือเปิดใช้งานการใช้งานนั้น

Gooroom เหมาะสำหรับสถานที่ทำงานที่มีการจัดการหรือไม่?

โมเดลความปลอดภัยที่ Gooroom เผยแพร่นั้นเหมาะสมที่สุดสำหรับผู้ดูแลระบบที่ต้องการเดสก์ท็อปที่ควบคุมได้ การตั้งค่าแบบรวมศูนย์ และนโยบายเบราว์เซอร์ สำหรับงานในภาคธุรกิจหรือภาครัฐ ก่อนที่จะนำไปใช้ ควรสอบถามผู้จำหน่ายหรือทีมติดตั้งเกี่ยวกับสถาปัตยกรรมความปลอดภัยเฉพาะเวอร์ชัน ข้อกำหนดฮาร์ดแวร์ที่รองรับ ขั้นตอนการอัปเดตและการย้อนกลับ การจัดการความล้มเหลวในการบูต สถานะแซนด์บ็อกซ์ของเบราว์เซอร์ และวิธีการจำกัดแอปพลิเคชันในเครื่อง นอกจากนี้ ควรทดสอบซอฟต์แวร์ที่องค์กรของคุณต้องการ รวมถึงอุปกรณ์ USB รักษาความปลอดภัย ไคลเอนต์ VPN การป้องกันปลายทาง และฮาร์ดแวร์เฉพาะทางใดๆ Hancom ระบุว่าเข้ากันได้กับซอฟต์แวร์รักษาความปลอดภัยในภาครัฐและรองรับการจำลองเสมือนเดสก์ท็อป แต่ความเหมาะสมยังคงขึ้นอยู่กับสภาพแวดล้อมของคุณเอง

โดยสรุปแล้ว ให้มองโมเดลของ Gooroom ว่าเป็นชั้นต่างๆ ที่ทำงานร่วมกัน มากกว่าที่จะมองว่าเป็นเพียงสวิตช์ "แซนด์บ็อกซ์" ตัวเดียว ผู้จำหน่ายได้ระบุชื่อการบูตที่เชื่อถือได้ การป้องกันไฟล์ปฏิบัติการ การป้องกันระบบปฏิบัติการ และการป้องกันเบราว์เซอร์ไว้อย่างชัดเจน Chromium ให้ข้อมูลการออกแบบแซนด์บ็อกซ์ต้นทางที่เกี่ยวข้อง ในขณะที่การตั้งค่าที่แน่นอนบนอุปกรณ์ปลายทาง Gooroom ที่ใช้งานจริงนั้น ต้องตรวจสอบกับเอกสารเผยแพร่และนโยบายของผู้ดูแลระบบอีกครั้ง