Улучшения безопасности DCOM в Windows XP с пакетом обновления 2 и Windows Server 2003 с пакетом обновления 1

Windows Server XP с пакетом обновления 2 (SP2) и Windows Server 2003 с пакетом обновления 1 (SP1) содержат расширенные параметры безопасности по умолчанию для модели объектов распределенного компонента (DCOM). В частности, они вводят более детализированные права, позволяющие администратору иметь независимый контроль над локальными и удаленными разрешениями для запуска, активации и доступа к COM-серверам.

Что делает DCOM?

Объектная модель компонента Майкрософт (COM) — это платформа независимой от платформы, распределенной объектно-ориентированной системы для создания двоичных компонентов программного обеспечения, которые могут взаимодействовать. Объектная модель распределенного компонента (DCOM) позволяет приложениям распределяться по расположениям, которые наиболее понятны для вас и приложения. Протокол провода DCOM прозрачно обеспечивает поддержку надежного, безопасного и эффективного взаимодействия между компонентами COM.

Кто применяется ли эта функция?

Если вы используете COM только для компонентов COM процесса, эта функция не применяется к вам.

Эта функция применяется к вам, если у вас есть приложение COM-сервера, соответствующее одному из следующих критериев:

• Разрешение на доступ для приложения является менее строгим, чем разрешение запуска, которое необходимо для запуска приложения.
• Обычно приложение активируется удаленным COM-клиентом без использования учетной записи администратора.
• Приложение предназначено только для локального использования. Это означает, что вы можете ограничить приложение COM-сервера, чтобы оно не было удаленно доступным.

Какие новые функции добавляются в эту функцию в Windows XP с пакетом обновления 2 и Windows Server 2003 с пакетом обновления 1?

Ограничения на уровне компьютера

Изменение было внесено в COM для предоставления управления доступом на уровне компьютера, которые управляют доступом ко всем вызовам, активации или запуску запросов на компьютере. Самый простой способ подумать об этих элементах управления доступом — это дополнительный вызов AccessCheck , который выполняется для списка управления доступом на уровне компьютера (ACL) для каждого вызова, активации или запуска любого COM-сервера на компьютере. Если AccessCheck завершается ошибкой, вызов, активация или запрос на запуск запрещен. Это в дополнение к любому элементу управления доступом AccessCheck , который выполняется для списков управления доступом для конкретного сервера. В действительности он предоставляет минимальный стандарт авторизации, который необходимо передать для доступа к любому COM-серверу на компьютере. Существует ACL на уровне компьютера для разрешения на запуск для покрытия прав активации и запуска, а также ACL на уровне компьютера для разрешения доступа для покрытия прав вызова. Их можно настроить с помощью консоли управления служб компонентов (MMC).

Эти списки управления доступом на уровне компьютера предоставляют способ переопределения слабых параметров безопасности, указанных определенным приложением, с помощью параметров безопасности coInitializeSecurity или параметров безопасности для конкретных приложений. Это обеспечивает минимальный стандарт безопасности, который необходимо передать независимо от параметров конкретного сервера.

Эти списки управления доступом проверка при доступе к интерфейсам, предоставляемым RPCSS. Это предоставляет метод управления доступом к этой системной службе.

Эти списки управления доступом предоставляют централизованное расположение, в котором администратор может задать общую политику авторизации, которая применяется ко всем COM-серверам на компьютере.

По умолчанию параметры ограничения компьютера Windows XP с пакетом обновления 2 (SP2) — это следующие параметры:

По умолчанию параметры ограничения компьютера Windows Server 2003 с пакетом обновления 1 (SP 1) приведены ниже.

Почему это изменение важно? Какие угрозы она помогает устранить?

Многие com-приложения включают некоторый код, зависящий от безопасности (например, вызов CoInitializeSecurity), но используйте слабые параметры, часто разрешая доступ к процессу без проверки подлинности. В настоящее время администратор не может переопределить эти параметры, чтобы принудительно обеспечить более надежную безопасность в более ранних версиях Windows.

Инфраструктура COM включает RPCSS, системную службу, которая выполняется во время запуска системы и всегда выполняется после этого. Он управляет активацией COM-объектов и запущенной таблицей объектов и предоставляет вспомогательные службы для удаленного взаимодействия DCOM. Он предоставляет интерфейсы RPC, которые можно вызывать удаленно. Так как некоторые com-серверы разрешают удаленный доступ без проверки подлинности, эти интерфейсы могут вызываться всеми пользователями, включая пользователей, не прошедших проверку подлинности. В результате RPCSS может атаковать злоумышленников на удаленных компьютерах, не прошедших проверку подлинности.

В более ранних версиях Windows администратору не удалось понять уровень воздействия COM-серверов на компьютере. Администратор получил представление о уровне воздействия, систематически проверка настроенных параметров безопасности для всех зарегистрированных COM-приложений на компьютере, но, учитывая, что в установке Windows по умолчанию существует около 150 COM-серверов, эта задача была сложной. Не было способа просмотреть параметры для сервера, который включает безопасность в программное обеспечение, не говоря уже о просмотре исходного кода для этого программного обеспечения.

Ограничения на уровне компьютера DCOM устраняют эти три проблемы. Кроме того, администратор может отключить входящие активации DCOM, запустить и вызовы.

Что работает иначе?

По умолчанию группа "Все" предоставляется локальный запуск, локальная активация и разрешения на вызов локального доступа. Это позволяет всем локальным сценариям работать без изменения программного обеспечения или операционной системы.

По умолчанию в Windows XP с пакетом обновления 2 (SP2) группа "Все" предоставляет разрешения на вызов удаленного доступа. В Windows Server 2003 с пакетом обновления 1 (SP1) все и анонимные группы предоставляются разрешения удаленного доступа. Это позволяет большинству сценариев COM-клиента, включая распространенный случай, когда COM-клиент передает локальную ссылку на удаленный сервер, фактически превращая клиента в сервер. В Windows XP с пакетом обновления 2 (SP2) это может отключить сценарии, требующие вызовов удаленного доступа без проверки подлинности.

Кроме того, по умолчанию только члены группы Администратор istrator получают разрешения удаленной активации и запуска. Это отключает удаленные активации неадминистраторами для установленных COM-серверов.

Разделы справки устранить эти проблемы?

Если вы реализуете COM-сервер и ожидаете поддержку удаленной активации с помощью неаддминистрирования COM-клиента, то следует рассмотреть вопрос о том, является ли риск, связанный с включением этого процесса, приемлемым или если необходимо изменить реализацию, чтобы не требовать удаленной активации клиентом COM или удаленными неавторенсированными вызовами.

Если риск является допустимым, и вы хотите включить удаленную активацию с помощью клиента COM или удаленных неавторенсированных вызовов, необходимо изменить конфигурацию по умолчанию для этой функции.

Параметры конфигурации можно изменить с помощью консоли управления служб компонентов (MMC) или реестра Windows.

Если вы используете оснастку MMC служб компонентов, эти параметры можно настроить на вкладке "Безопасность COM" диалогового окна "Свойства" для компьютера, на который вы управляете. Область разрешений доступа была изменена, чтобы вы могли задать ограничения на уровне компьютера в дополнение к стандартным параметрам по умолчанию для COM-серверов. Кроме того, можно указать отдельные параметры ACL для локального и удаленного доступа как в ограничениях, так и по умолчанию.

В области разрешений на запуск и активацию можно управлять локальными и удаленными разрешениями, а также ограничениями на уровне компьютера и значениями по умолчанию. Вы можете указать как локальную, так и удаленную активацию и запускать разрешения независимо.

Кроме того, эти параметры ACL можно настроить с помощью реестра.

Эти списки управления доступом хранятся в реестре в следующих расположениях:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineAccessRestriction=ACL
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineLaunchRestriction=ACL

Это именованные значения типа REG_BINARY, содержащие данные, описывающие ACL субъектов, которые могут получить доступ к любому классу COM или объекту COM на компьютере. Права доступа в ACL:

COM_RIGHTS_EXECUTE 1
COM_RIGHTS_EXECUTE_LOCAL 2
COM_RIGHTS_EXECUTE_REMOTE 4
COM_RIGHTS_ACTIVATE_LOCAL 8
COM_RIGHTS_ACTIVATE_REMOTE 16

Эти списки управления доступом можно создать с помощью обычных функций безопасности.

Какие существующие функции изменяются в Windows XP с пакетом обновления 2 и Windows Server 2003 с пакетом обновления 1?

RPCSS выполняется как сетевая служба

RPCSS — это ключевая служба для инфраструктуры RPC Endpoint Mapper и DCOM. Эта служба запущена как локальная система в предыдущих версиях Windows. Чтобы уменьшить область атак Windows и обеспечить защиту, функциональные возможности службы RPCSS были разделены на две службы. Служба RPCSS со всеми исходными функциями, которые не требовали привилегий локальной системы, теперь выполняется под учетной записью сетевой службы. Новая служба DCOMLaunch, которая включает функции, требующие привилегий локальной системы, выполняются в учетной записи локальной системы.

Почему это изменение важно?

Это изменение уменьшает область атаки и обеспечивает защиту для службы RPCSS, так как повышение привилегий в службе RPCSS теперь ограничено привилегией сетевой службы.

Что работает иначе?

Это изменение должно быть прозрачным для пользователей, так как сочетание служб RPCSS и DCOMLaunch эквивалентно предыдущей службе RPCSS, предоставленной в предыдущих версиях Windows.

Более конкретные разрешения COM

Приложения COM-сервера имеют два типа разрешений: разрешения запуска и разрешения доступа. Авторизации запуска разрешений для запуска COM-сервера во время активации COM, если сервер еще не запущен. Эти разрешения определяются как дескрипторы безопасности, указанные в параметрах реестра. Авторизация управления разрешениями доступа для вызова работающего COM-сервера. Эти разрешения определяются как дескрипторы безопасности, предоставляемые инфраструктуре COM через API CoInitializeSecurity или с помощью параметров реестра. Разрешения запуска и доступа разрешают или запрещают доступ на основе субъектов, и не различаются, является ли вызывающий абонент локальным на сервере или удаленном.

Первое изменение отличает права доступа COM на основе расстояния. Эти два расстояния определяются как локальные, так и удаленные. Локальное COM-сообщение поступает через протокол локального удаленного вызова процедур (LRPC), а удаленное COM-сообщение поступает через протокол узла удаленного вызова процедур (RPC), например протокол TCP.

Активация COM — это действие получения прокси-сервера COM-интерфейса на клиенте путем вызова CoCreateInstance или одного из его вариантов. Как побочный эффект этого процесса активации, иногда com-сервер должен быть запущен для выполнения запроса клиента. ACL для запуска утверждает, кто может запустить COM-сервер. ACL разрешений доступа утверждает, кто может активировать COM-объект или вызвать этот объект после запуска COM-сервера.

Второе изменение заключается в том, что права вызова и активации разделены, чтобы отразиться на двух отдельных операциях и переместить активацию справа от ACL доступа к ACL для запуска. Так как активация и запуск связаны как с получением указателя интерфейса, активация и запуск прав доступа логически связаны в одном ACL. Так как вы всегда указываете разрешения запуска с помощью конфигурации (по сравнению с разрешениями на доступ, которые часто задаются программным способом), то при этом права активации в ACL запуска предоставляют администратору контроль над активацией.

Записи управления доступом для разрешений запуска (ACEs) разбиты на четыре права доступа:

• Локальный запуск (LL)
• Удаленный запуск (RL)
• Локальная активация (LA)
• Удаленная активация (RA)

Дескриптор безопасности разрешений доступа разделен на два права доступа:

• Локальные вызовы доступа (LC)
• Вызовы удаленного доступа (RC)

Это позволяет администратору применять очень конкретные конфигурации безопасности. Например, можно настроить COM-сервер таким образом, чтобы он принимал локальные вызовы доступа от всех пользователей, а также принимать только вызовы удаленного доступа из Администратор istrators. Эти различия можно указать с помощью изменений в дескрипторах безопасности разрешений COM.

Почему это изменение важно? Какие угрозы она помогает устранить?

Более ранние версии приложения COM-сервера не могут ограничить приложение, чтобы его можно было использовать только локально, не предоставляя приложению в сети через DCOM. Когда пользователь имеет доступ к приложению COM-сервера, у него есть доступ как для локального, так и для удаленного использования.

Приложение COM-сервера может предоставляться пользователям, не прошедшим проверку подлинности, для реализации сценария обратного вызова COM. В этом сценарии приложение также должно предоставлять свою активацию пользователям, не прошедшим проверку подлинности, что может оказаться нежелательным.

Точные разрешения COM позволяют администратору управлять политикой разрешений COM компьютера. Эти разрешения позволяют обеспечить безопасность для описанных сценариев.

Что работает иначе? Существуют ли зависимости?

Для обеспечения обратной совместимости существующие дескрипторы безопасности COM интерпретируются для разрешения или запрета локального и удаленного доступа одновременно. То есть запись управления доступом (ACE) разрешает как локальную, так и удаленную или запрещает как локальную, так и удаленную.

Проблемы с обратной совместимостью для прав вызова или запуска отсутствуют. Однако существует проблема совместимости прав активации. Если в существующих дескрипторах безопасности для COM-сервера настроенные разрешения запуска являются более строгими, чем разрешения на доступ и являются более строгими, чем минимальные требования для сценариев активации клиента, необходимо изменить ACL для запуска, чтобы предоставить авторизованным клиентам соответствующие разрешения активации.

Для COM-приложений, использующих параметры безопасности по умолчанию, проблемы совместимости отсутствуют. Для приложений, динамически запущенных с помощью активации COM, большинство из них не имеют проблем совместимости, так как разрешения на запуск уже должны включать всех, кто может активировать объект. В противном случае такие приложения создают сбои активации даже до применения Windows XP с пакетом обновления 2 (SP2) или Windows Server 2003 с пакетом обновления 1 (SP1), когда вызывающие серверы без разрешения запуска пытаются активировать объект, а COM-сервер еще не запущен.

Приложения, которые наиболее обеспокоены проблемами совместимости, являются COM-приложениями, которые уже запущены некоторыми другими механизмами, такими как Windows Обозреватель или Диспетчер управления службами. Вы также можете запустить эти приложения с помощью предыдущей активации COM, которая переопределяет разрешения доступа и запуска по умолчанию и указывает разрешения на запуск, которые являются более строгими, чем разрешения вызова. Дополнительные сведения об устранении этой проблемы совместимости см. в разделе "Разделы справки устранить эти проблемы?" в следующем разделе.

Если система, обновляемая до Windows XP с пакетом обновления 2 (SP2) или Windows Server 2003 с пакетом обновления 1 (SP1), откатывается до более раннего состояния, все ACE, которые были изменены для разрешения локального доступа, удаленного доступа или обоих версий, интерпретируются для разрешения локального и удаленного доступа. Любой ACE, который был изменен, чтобы запретить локальный доступ, удаленный доступ или оба, интерпретируется, чтобы запретить как локальный, так и удаленный доступ. При удалении пакета обновления необходимо убедиться, что только что установленные acEs не вызывают работу приложений.

Разделы справки устранить эти проблемы?

Если вы реализуете COM-сервер и переопределяете параметры безопасности по умолчанию, убедитесь, что ACL запуска для конкретного приложения предоставляет разрешение на активацию соответствующим пользователям. Если это не так, необходимо изменить ACL разрешений запуска для конкретного приложения, чтобы предоставить соответствующим пользователям права активации, чтобы приложения и компоненты Windows, использующие DCOM, не завершаются ошибкой. Эти разрешения запуска для конкретного приложения хранятся в реестре.

Списки управления доступом com можно создавать или изменять с помощью обычных функций безопасности.

Какие параметры добавляются или изменяются в Пакете обновления 2 (SP2) Windows XP?

В следующей таблице используются следующие аббревиаций:

LL — локальный запуск

LA — локальная активация

RL — удаленный запуск

RA — удаленная активация

LC — локальные вызовы доступа

RC — вызовы удаленного доступа

ACL — список контроль доступа

Какие параметры добавляются или изменяются в Windows Server 2003 с пакетом обновления 1 ?

В следующей таблице используются следующие аббревиаций:

LL — локальный запуск

LA — локальная активация

RL — удаленный запуск

RA — удаленная активация

LC — локальные вызовы доступа

RC — вызовы удаленного доступа

ACL — список контроль доступа

См. также

Безопасность в COM