רוב המחשבים החדשים נשלחו עם גרסת 64 סיביות של Windows - גם Windows 7 וגם 8 - כבר שנים. גרסאות 64 סיביות של Windows אינן נועדו רק לנצל זיכרון נוסף. הם גם מאובטחים יותר מגרסאות 32 סיביות.
מערכות הפעלה של 64 סיביות אינן חסינות מפני תוכנות זדוניות, אך יש להן תכונות אבטחה רבות יותר. חלק זה חל גם על גרסאות 64 סיביות של מערכות הפעלה אחרות, כמו לינוקס. משתמשי לינוקס יזכו ביתרונות אבטחה על ידי מעבר לגרסת 64 סיביות של הפצת הלינוקס שלהם .
כתובת אקראית לפריסת שטח
ASLR היא תכונת אבטחה שגורמת למיקומי הנתונים של התוכנית להיות מסודרים באופן אקראי בזיכרון. לפני ASLR, ניתן יהיה לחזות את מיקומי הנתונים של התוכנית בזיכרון, מה שהקל על התקפות על תוכנית. עם ASLR, התוקף צריך לנחש את המיקום הנכון בזיכרון כאשר הוא מנסה לנצל פגיעות בתוכנית. ניחוש שגוי עלול לגרום לקריסת התוכנית, כך שהתוקף לא יוכל לנסות שוב.
תכונת אבטחה זו משמשת גם בגרסאות 32 סיביות של Windows ומערכות הפעלה אחרות, אך היא הרבה יותר חזקה בגרסאות 64 סיביות של Windows. מערכת 64 סיביות כוללת שטח כתובת גדול בהרבה ממערכת 32 סיביות, מה שהופך את ה- ASLR להרבה יותר יעיל.
חתימת נהג חובה
גרסת ה- 64 סיביות של Windows אוכפת חתימת נהג חובה. כל קוד הנהג במערכת חייב להיות בעל חתימה דיגיטלית. זה כולל מנהלי התקני התקני מצב ליבה ומנהלי התקני מצב משתמש, כגון מנהלי התקן למדפסת.
חתימת נהג חובה מונעת ממערכת ההפעלה של נהגים לא חתומים שמספקים תוכנה זדונית. מחברי תוכנה זדונית יצטרכו לעקוף איכשהו את תהליך החתימה באמצעות ערכת שורש זמן אתחול או להצליח להחתים את מנהלי ההתקנים הנגועים באישור תקף שנגנב ממפתח נהגים לגיטימי. זה מקשה על הפעלת מנהלי התקנים נגועים במערכת.
ניתן לאכוף את חתימת הנהג גם בגירסאות 32 סיביות של Windows, אך זה לא - סביר להמשך תאימות עם מנהלי התקנים ישנים של 32 סיביות שאולי לא נחתמו.
כדי להשבית את חתימת הנהג במהלך הפיתוח במהדורות 64 סיביות של Windows, יהיה עליך צרף באגים לליבה או השתמש באפשרות הפעלה מיוחדת שאינה נמשכת בכל אתחול מחדש של המערכת.
הגנת תיקון ליבה
KPP, הידוע גם בשם PatchGuard, הוא תכונת אבטחה שנמצאת רק בגירסאות 64 סיביות של Windows. PatchGuard מונע מתוכנה, אפילו מנהלי התקנים הפועלים במצב גרעין, לטלא את ליבת Windows. זה תמיד לא נתמך, אבל טכנית זה אפשרי בגרסאות 32 סיביות של Windows. חלק מתוכניות האנטי-וירוס של 32 סיביות יישמו את אמצעי הגנת האנטי-וירוס שלה באמצעות תיקון גרעינים.
PatchGuard מונע ממנהלי התקנים לתקן את הגרעין. לדוגמה, PatchGuard מונע מערכי root לשנות את ליבת Windows כדי להטמיע את עצמם במערכת ההפעלה. אם מתגלה ניסיון לתיקון גרעינים, Windows ייסגר מיד עם מסך כחול או אתחול מחדש.
ניתן למקם הגנה זו בגירסת 32 סיביות של Windows, אך היא לא עשתה זאת - ככל הנראה לתאימות מתמשכת עם תוכנת 32 סיביות מדור קודם שתלויה בגישה זו.
הגנה על ביצוע נתונים
DEP מאפשר למערכת הפעלה לסמן אזורי זיכרון מסוימים כ"לא ניתנים להפעלה "על ידי הגדרת" סיבית NX ". אזורי זיכרון שאמורים להחזיק נתונים בלבד לא יופעלו.
לדוגמא, במערכת ללא DEP, תוקף יכול להשתמש באיזו הצפת מאגר כדי לכתוב קוד לאזור בזיכרון היישום. לאחר מכן ניתן היה לבצע קוד זה. באמצעות DEP, התוקף יכול לכתוב קוד לאזור בזכרון היישום - אך אזור זה יסומן כלא-הפעלה ולא ניתן היה לבצע אותו, מה שיעצור את ההתקפה.
במערכות הפעלה 64 סיביות יש DEP מבוסס חומרה. אמנם זה נתמך גם בגרסאות 32 סיביות של Windows אם יש לך מעבד מודרני, הגדרות ברירת המחדל מחמירות יותר ו- DEP תמיד מופעל עבור תוכניות 64 סיביות, בעוד שהוא מושבת כברירת מחדל מסיבות של תאימות לתוכניות 32 סיביות.
דיאלוג תצורת DEP ב- Windows מעט מטעה. כפי ש התיעוד של מיקרוסופט קובע, DEP משמש תמיד לכל תהליכי 64 סיביות:
"הגדרות התצורה של מערכת DEP חלות רק על יישומי 32 סיביות ותהליכים כאשר הם פועלים בגירסאות 32 סיביות או 64 סיביות של Windows. בגירסאות 64 סיביות של Windows, אם DEP שנכפה על ידי חומרה זמין, הוא מוחל תמיד על תהליכי 64 סיביות ועל מרחבי זיכרון הליבה ואין הגדרות תצורת מערכת כדי להשבית אותו. "
WOW64
גרסאות 64 סיביות של Windows מריצות תוכנת Windows של 32 סיביות, אך הן עושות זאת באמצעות שכבת תאימות המכונה WOW64 (חלונות 32 סיביות במערכת Windows 64 סיביות). שכבת תאימות זו אוכפת מגבלות מסוימות על תוכניות 32 סיביות אלה, מה שעשוי למנוע את התפקוד הזדוני של 32 סיביות. תוכנות זדוניות של 32 סיביות לא יוכלו להריץ גם במצב ליבה - רק תוכניות 64 סיביות יכולות לעשות זאת במערכת הפעלה של 64 סיביות - כך שזה עשוי למנוע כמה תוכנות זדוניות ישנות יותר של 32 סיביות יפעלו כראוי. לדוגמה, אם יש לך תקליטור שמע ישן עם ערכת השורש של סוני, הוא לא יוכל להתקין את עצמו בגירסת 64 סיביות של Windows.
גרסאות 64 סיביות של Windows מפילות גם את התמיכה בתוכניות ישנות של 16 סיביות. בנוסף למניעת ביצוע וירוסים עתיקים של 16 סיביות, הדבר יאלץ גם חברות לשדרג את תוכניות ה 16 סיביות העתיקות שלהן שעלולות להיות פגיעות ולא מותאמות.
בהתחשב בהיקף הנפוץ של גירסאות 64 סיביות של Windows, סביר להניח שתוכנות זדוניות חדשות יוכלו לפעול ב- Windows של 64 סיביות. עם זאת, היעדר תאימות יכול לסייע בהגנה מפני תוכנות זדוניות ישנות בטבע.
אלא אם כן אתה משתמש בתוכניות ישנות של 16 סיביות, חומרה עתיקה שמציעה רק מנהלי התקנים של 32 סיביות, או מחשב עם מעבד 32 סיביות ישן למדי, אתה צריך להשתמש בגרסת 64 סיביות של Windows. אם אינך בטוח באיזו גרסה אתה משתמש אך יש לך מחשב מודרני המריץ את Windows 7 או 8, סביר להניח שאתה משתמש במהדורת 64 סיביות.
כמובן שאף אחת מתכונות האבטחה הללו אינן חסינות בפני שוטים, וגרסת 64 סיביות של Windows עדיין חשופה לתוכנות זדוניות. עם זאת, גירסאות 64 סיביות של Windows בהחלט מאובטחות יותר.
אשראי תמונה: וויליאם הוק בפליקר
