Sicherheit unter Windows 8: IE-10 Enhanced Protected Mode (EPM)
28. Mai 2013
Neben der neuen und heftig diskutierten Oberfläche hat Microsoft bei Windows 8 auch „unter der Haube“ eine ganze Reihe von Verbesserungen und Neuheiten eingeführt, zu denen auch eine Reihe von neuen Sicherheitsfeatures gehört. Wir stellen hier den Enhanced Protected Mode (EPM – erweiterter geschützter Modus) vor. Durch diesen Schutz, der auf die Integritätsstufen (Integrity Level) der neuen Windows-Systeme ab Windows Vista beruht, kann die Sicherheit des Browser noch deutlich erhöht werden
Alle Windows-Betriebssysteme vor Windows Vista verwendeten ausschließlich die ACLs (Access Control Lists), um festzulegen, welche Nutzer oder Nutzergruppen welche Art des Zugriffs auf Systemressourcen wie Dateien oder auch Registry-Einträge besitzen. Mit Windows Vista wurden dann die Integritätsstufen eingeführt. Ein Grund für diese Einführung war der geschützte Modus (Protected Mode) des Internet Explorers, der es verhindert, dass Web-Seiten Objekte modifizieren, die eine mittlere oder hohe Integrität besitzen.
Mit diesen Integritätsstufen wurde die Sicherheit der Windows-Systeme auf eine neue Stufe gehoben: Prozesse und Objekte des Betriebssystems, auf die ein Anwender zugreifen können, werden auf diese Weise mit einer Vertrauensstufe ausgestattet. So laufen beispielsweise Anwendungen oder Dateien, die als ein potenzielles Sicherheitsrisiko für das Betriebssystem betrachtet werden – wie etwa der Browser IE oder vom Internet heruntergeladene Dateien – grundsätzlich auf einer niedrigen Integritätsstufe, so dass sie Objekte auf einer höheren Stufe auf keiner Weise
Internet Explorer 10 auf dem Desktop: 64- und 32-Bit
Wer auf einem Windows-8-System den Internet Explorer 10 startet und sich einmal die dazu gehörenden Prozesse etwas näher betrachtet, wird feststellen, dass diese Anwendungen in einem gemischten 32-Bit-/64-Bit-Modus arbeitet: Die Windows-Oberfläche und –Menüs arbeiten dabei im 64-Bit-Modus während die Tabulatoren in 32-Bit-Prozessen laufen.
In der Desktop-Version des Internet Explorers 10 laufen alle Tabs in der Sandbox der sogenannten AppContainer, wenn der Enhanced Protected Mode (EPM) aktiviert wird. Bei den AppContainern handelt es sich um einen der neuen Sicherheitsmechanismen unter Windows 8. Sie werden durch den Einsatz einer neuen Integritätsstufe ermöglicht, in dem sie den lesenden und schreibenden Zugriff auf andere Programme, Bibliotheken und so weiter verhindern, die eine höhere Integritätsstufe aufweisen.
Grundsätzlich sollten Anwender und Administratoren immer 64-Bit-Prozesse verwenden, wenn sie die Wahl haben. Denn so können sie von den dabei zur Verfügung stehenden erweiterten Sicherheitsmerkmalen wie Adress Space Layout Randomization (ASLR – auch als Speicher- oder Adressverwürfelung bezeichnet) profitieren.
Da aber einige der Toolbars und Plug-Ins zur 64-Bit-Version des Internet Explorers nicht kompatibel sind, ist der EPM-Modus in der Desktop-Version des IE standardmäßig unter Windows 8 nicht aktiviert. Da die IE-10-Version der „Kacheloberfläche“ keine Plug-In-Architektur zur Verfügung stellt, kann EPM bei dieser Version auch keine Probleme verursachen und ist dort standardmäßig aktiviert. Wenn die Desktop-Version des IE mit eingeschaltetem EPM auf ein dazu inkompatibles Plug-In trifft, wird dieses automatisch abgeschaltet. Der Anwender kann dann entscheiden, ob er EPM für die entsprechende Web-Seite grundsätzlich ausschalten möchte.
EPM im Einsatz: Schutz der persönlichen Daten
Um persönliche Daten besser zu schützen, verwendet EPM einen Broker-Prozess, wenn ein Anwender ein Dokument auf eine Web-Seite hinauflädt. Dieser Prozess sorgt dafür, dass der Internet Explorer nun dann Zugriff auf das Dokument besitzt, wenn der Nutzer „Öffnen“ in der Dialogbox zum Heraufladen der Datei angeklickt hat. Wenn EPM eingeschaltet ist hat der Internet Explorer dadurch nur dann Zugriff auf Dokumente der Anwender, wenn dies unbedingt notwendig ist.
Ohne diese Schutzmaßnahme besitzt der IE10 hingegen die ganze Zeit diesen Zugriff. Die Tabs können bei der Verwendung von EPM nicht auf lokale Seiten zugreifen, die sich auf dem lokalen Intranet befinden und können auch zudem auch nicht auf die Login-Daten der Anwender zur Anmeldung der Anwender an der Domäne zugreifen. Schließlich können sie unter EPM auch nicht als lokale Web-Server agieren. Wer EPM auf seinen Windows-8-Systemen einschalten will, findet diese Einstellung in der Desktop-Version des IE unter den Internet-Optionen und dort im Reiter „Erweitert“, wie auch im Screenshot hier auf der Seite zu sehen.
