Microsoft beskriver SystemContainer, en maskinvarebasert beholderteknologi innebygd i Windows 10

Før Windows 8 ble sikkerheten til skrivebordsoperativsystemet bygget nesten utelukkende fra programvare. Problemet med den tilnærmingen var at hvis skadevare eller en angriper fikk nok privilegier, kunne komme inn mellom maskinvaren og operativsystemet, eller de klarte å tukle med enhetens fastvarekomponenter, kunne de også finne måter å gjemme seg fra plattformen og resten av sikkerhetsrelaterte forsvar. For å fikse dette problemet, trengte Microsoft tillit til enheter og plattformer som var forankret i uforanderlig maskinvare i stedet for bare programvare, som kan tukles med.

Med Windows 8-sertifiserte enheter utnyttet Microsoft en maskinvarebasert rot av tillit med Universal Extensible Firmware Interface (UEFI) Secure Boot. Nå, med Windows 10, tar de dette til neste nivå ved å sørge for at denne tillitskjeden også kan verifiseres ved å bruke kombinasjonen av maskinvarebaserte sikkerhetskomponenter, som Trusted Platform Module (TPM), og skybaserte tjenester ( Device Health Attestation (DHA)) som kan brukes til å veterinære og fjernattestere enhetens sanne integritet.

For å implementere dette sikkerhetsnivået i milliarder av enheter rundt om i verden, jobber Microsoft med OEM-er og brikkeleverandører som Intel. De slipper regelmessige fastvareoppdateringer for UEFI, låser ned UEFI-konfigurasjoner, aktiverer UEFI-minnebeskyttelse (NX), kjører nøkkelsårbarhetsreduksjonsverktøy og herder plattformens OS og SystemContainer-kjerner (f.eks: WSMT) fra potensielle SMM-relaterte utnyttelser.

Med Windows 8 kom Microsoft opp med konseptet med moderne apper (nå UWP-apper) som bare kjører i AppContainer, og brukeren gir bokstavelig talt appen tilgang til ressurser, som et dokument, på forespørsel. Når det gjelder Win32-apper, når du åpner appen, kan den gjøre hva som helst som brukeren har rettigheter til å gjøre (f.eks.: åpne en hvilken som helst fil, endre systemkonfigurasjon). Siden AppContainers kun er for UWP-apper, forble Win32-apper en utfordring. Med Windows 10 bringer Microsoft en ny maskinvarebasert containerteknologi som vi kaller en SystemContainer. Den ligner på en AppContainer, isolerer det som kjører i den fra resten av systemet og dataene. Hovedforskjellen er at SystemContainer er designet for å beskytte de mest sensitive delene av systemet – som de som administrerer brukerlegitimasjon eller gir forsvar til Windows – vekk fra alt, inkludert selve operativsystemet, som vi må anta vil bli kompromittert.

SystemContainer bruker maskinvarebasert isolasjon og Windows 10s Virtualization Based Security-funksjon (VBS) for å isolere prosessene som kjører med den fra alt annet på systemet. VBS bruker virtualiseringsutvidelsene på systemets prosessor (f.eks. Intels VT-X) for å isolere de adresserbare minneplassene mellom det som faktisk er to operativsystemer som kjører parallelt på toppen av Hyper-V. Operativsystem en er det du alltid har kjent og bruker, og operativsystem to er SystemContainer, som fungerer som et sikkert utførelsesmiljø som kjører stille bak kulissene. På grunn av SystemContainers bruk av Hyper-V og det faktum at den ikke har noe nettverk, brukeropplevelse, delt minne eller lagring, er miljøet godt sikret mot angrep. Faktisk, selv om Windows-operativsystemet er fullstendig kompromittert på kjernenivå (noe som vil gi en angriper det høyeste nivået av privilegier), kan prosessene og dataene i SystemContainer fortsatt være sikre.

Tjenester og data i SystemContainer er dramatisk mindre sannsynlighet for å bli kompromittert, ettersom angrepsoverflaten for disse komponentene har blitt betydelig redusert. SystemContainer driver sikkerhetsfunksjoner inkludert Credential, Device Guard, Virtual Trusted Platform Module (vTPM). Microsoft legger nå til Windows Hello sine biometriske valideringskomponenter og brukerens biometriske data i SystemContainer med jubileumsoppdateringen for å holde den sikker. Microsoft nevnte også at de vil fortsette å flytte noen av de mest sensitive Windows-systemtjenestene inn i SystemContainer.