İzolasyon: Erişim kısıtlamaları

İZOLASYON
Erişim kısıtlamaları

Microsoft'un önerisine rağmen masaüstünde pencere açan sistem hizmetleri de güvenliği tehlikeye atıyordu. Shatterattack adı verilen saldırılarla, islenen herhangi bir programın yüksek imtiyazlı hizmet pencereleriyle iletişim kurması sağlanıyor ve program kodlarına müdahale edilerek daha yüksek haklarla çalıştırılması sağlanabiliyordu.

Microsoft, bunu önlemek için farklı haklara sahip programlar veya hizmetler arasındaki Windows mesaj iletişimi için bir filtre devreye sokmuş: Daha yüksek haklara sahip bir uygulama, daha az imtiyaza sahip bir programa mesaj gönderebilirken, tersi istikametteki bir iletişimi filtre engelliyor.

Bu sayede kısıtlı haklara sahip programları sistem yöneticisi hesabında çalıştırmak bir güvenlik riski taşımıyor. Windows XP altında mesela Internet Explorer'ı düşük haklarla çalıştırmak çok riskli olarak görülüyordu, zira zararlı bir yazılımın bulaşması durumunda daha fazla hakka sahip işlemlere mesaj gönderilip islenen herhangi bir komutun çalıştırılması sağlanıyordu.

Bir sistem hizmeti kullanıcıyla iletişim kurmak islediğinde, Vista otomatik olarak özel bir masaüstüne (Secure Desktop) geçiş yapıyor. Burada güncel masaüstü içeriğinin ekran görüntüsü saydam bir efektle arka planda duruyor. Masaüstlerinin mesaj kuyrukları birbirlerinden tamamen ayrı; kullanıcı uygulamaları güvenli masaüstüne erişim hakkına sahip değiller.