Am Puls von Microsoft

Windows Kernel-Zugriff für Antivirenprogramme: Die Faulheit darf nicht erneut siegen

DrWindows

DrWindows

Redaktion
Windows Kernel-Zugriff für Antivirenprogramme: Die Faulheit darf nicht erneut siegen
von Martin Geuß
Sicherheit Titelbild


Was sich im vergangenen Herbst bereits angedeutet hatte, ist jetzt bestätigt: Microsoft möchte Antiviren-Programmen den Kernel-Zugriff entziehen. Im Juli soll es konkrete technische Details dazu geben. Einige Hersteller konnte man in Redmond bereits für diese Idee gewinnen, aber es ist absehbar, dass sich andere dagegen stemmen. Der gegenwärtige Zustand basiert gewissermaßen auf der „Faulheit“ von Microsoft. Die Reform darf jetzt nicht an der Faulheit der Hersteller scheitern.

Kernel-Mode kam auf Druck der EU​


Als Microsoft seine eigenen Antivirus-Produkte für Windows veröffentlichte und diese Privatanwendern kostenlos zur Verfügung stellte, gingen die Anbieter kommerzieller Produkte auf die Barrikaden. Sie fürchteten eine Benachteiligung, weil Microsoft die eigene Software tiefer ins System eingraben konnte.

Die EU drohte, und Microsoft reagierte, indem man Antivirus-Programmen Zugriff auf den Kernel gewährte. Das war der bequemste Weg, diese Schnittstelle war vorhanden und man musste sie nur freigeben. Man scheute den Aufwand, dedizierte Schnittstellen für Sicherheitssoftware zu implementieren, an die dann sowohl die eigenen als auch fremde Programme andocken können.

Das CrowdStrike-Erwachen​


Nachdem im vergangenen Jahr ein fehlerhafter Treiber in der Software von CrowdStrike weltweit mehrere Millionen PCs lahmgelegt hatte, richteten sich die Blicke auch nach Redmond. Microsoft traf zwar keine direkte Schuld, aber es kam schnell die Frage auf, ob Windows einen solch fatalen Fehler nicht besser abfangen kann.

Microsoft verwies auf den Kernel-Zugriff, den man auf Drängen der EU eingeführt hatte. Man sagte zwar nicht, dass Windows wegen der EU unsicherer sei, zwischen den Zeilen konnte man das aber herauslesen. Die EU hatte allerdings niemals eine konkrete technische Maßnahme angeordnet.

Wie dem auch sei: Spätestens seit dem CrowdStrike-Desaster war klar, dass hier etwas getan werden muss. Eine günstige Gelegenheit für Microsoft, den Kernel-Zugriff infrage zu stellen, was sie dann auch taten.

Die Lösung (?): Windows Endpoint Security Platform​


Jetzt wird die Sache konkret. Am Donnerstag hat Microsoft angekündigt, im kommenden Monat eine neue technische Lösung zu präsentieren. Die „Windows Endpoint Security Platform“ soll es Antivirus-Anbietern ermöglichen, ohne Kernel-Zugriff zu arbeiten. Wie alle anderen Programme auch, soll die Antivirus-Software künftig im User-Mode laufen.

Die Ankündigung zitiert bekannte Hersteller wie Trend Micro, Eset oder Bitdefender, die zumindest ihre vorsichtige Unterstützung für den neuen Ansatz formulieren.

Von anderen Herstellern ist möglicherweise erbitterter Widerstand zu erwarten. Denn unabhängig von der noch zu klärenden Frage, ob die Windows Endpoint Security Platform so gut ist, wie Microsoft verspricht: Für die Hersteller bedeutet sie in jedem Fall Arbeit. Die AV-Programme müssen aller Voraussicht nach umfangreich angepasst werden.

Daran darf ein Ansatz, Windows besser abzusichern, jedoch nicht scheitern. Die Faulheit darf kein zweites Mal siegen.

Der Beitrag Windows Kernel-Zugriff für Antivirenprogramme: Die Faulheit darf nicht erneut siegen erschien zuerst auf Dr. Windows.


Hinweis: Der Artikel wird möglicherweise nicht vollständig angezeigt, eingebettete Medien sind in dieser Vorschau beispielsweise nicht zu sehen.

Artikel im Blog lesen
 
Windows war für sowas immer offen, sollte so bleiben.

Wenn alles nur noch über vorgegebene AV Schnittstellen geht, ist die Funktionalität genau darauf beschränkt.

Jeder Gerätetreiber hat Kernel-Zugriff.


(Ich selbst benutze keine solchen AV Produkte von dritten)
 
ntoskrnl schrieb:
Wenn alles nur noch über vorgegebene AV Schnittstellen geht, ist die Funktionalität genau darauf beschränkt.
Zum Vergrößern anklicken....
Genau das ist der Sinn von Schnittstellen. Fremdprogramme sollen nicht machen dürfen was sie wollen. Unterm Strich ist das eine Frage der Sicherheit. Da hat Windows Bekannterweise noch Nachholbedarf, obwohl es heute sicherlich schon deutlich sicherer ist als frühere Versionen.
 
ntoskrnl schrieb:
Windows war für sowas immer offen, sollte so bleiben.

Wenn alles nur noch über vorgegebene AV Schnittstellen geht, ist die Funktionalität genau darauf beschränkt.
Zum Vergrößern anklicken....
Der wesentliche Punkt ist aber, dass auch Malware sich nicht mehr so tief ins System eingraben kann, wenn der Kernelzugriff generell gestrichen wird.

Denn das ist bislang der einzige Grund für diese erweiterten Möglichkeiten, die die AV-Hersteller gerne hätten. Die sagen immer, sie müssten Kernelzugriff haben, weil sie sonst nicht in der Lage wären, sich gegen Malware zur Wehr zu setzen, die auf ähnlich hoher Ebene agiert.

Wenn MS den Kernel jetzt aber verrammelt, kann auch Malware da nicht mehr eingreifen, sondern ebenfalls auch nur die vom Betriebssystem bereitgestellten Schnittstellen nutzen. Und dann besteht für AV-Software auch überhaupt kein Grund mehr, weitergehende Berechtigungen zu haben.

Man hat sich das Problem quasi selbst geschaffen. Die Möglichkeit des Eingriffes in den Windows-Kernel führt erst zur Existenz von Malware, die man nur durch Eingriff in den Windows-Kernel abwehren kann. Geht dieser Eingriff von vornherein nicht, bedarf es gar keiner Abwehr gegen diesen mehr.
 
mh0001 schrieb:
Der wesentliche Punkt ist aber, dass auch Malware sich nicht mehr so tief ins System eingraben kann, wenn der Kernelzugriff generell gestrichen wird.
Zum Vergrößern anklicken....
Wird nicht allgemein gestrichen. Nur für diese Funktion ggf. offiziell nicht mehr erlaubt.

Ohne Kernelzugriff durch Dritte (Treiber) funktioniert dein Windows nicht.

Malware kann eigene Treiber mitbringen (müssen leider signiert sein, all die alte Freiheit ist eh schon weg), oder Lücken in anderen Treibern mißbrauchen, oder andere Lücken im System, oder installiert am besten gleich ein System Management Mode Rootkit 🤷🏻‍♂️.
 
mh0001 schrieb:
Denn das ist bislang der einzige Grund für diese erweiterten Möglichkeiten, die die AV-Hersteller gerne hätten. Die sagen immer, sie müssten Kernelzugriff haben, weil sie sonst nicht in der Lage wären, sich gegen Malware zur Wehr zu setzen, die auf ähnlich hoher Ebene agiert.
Zum Vergrößern anklicken....
Eigentlich wäre die bessere Frage ja, warum man den Sumpf nicht insgesamt trocken legt und die jetzigen AV-Hersteller überhaupt keine Möglichkeit mehr bekommen, das Sicherheitskonzept von Windows in dem Sinne aufzubrechen. Dass diese Programme mit derart hohe Rechten und in unmittelbarer Einflussnähe zum Kernel arbeiten, ist ja das eine Problem, aber wir dürfen auch den Faktor nicht vergessen, dass die AV-Programme heute vor allem auch den standardmäßig allgemein verschlüsselten Netzwerkverkehr mittels Root-Zertifikaten in Windows aufbrechen (müssen), damit sie den überhaupt noch mitlesen können. Technisch ist das nichts anderes als ein klassischer Man-in-the-middle, also ein klarer Angriffsvektor.

Wir haben ja alleine bei Firefox oft genug gesehen, was das für gravierende Folgen hat, wenn die AV-Programme frei drehen, wenn dann der Updatemechanismus geschreddert wird, wichtige Systemdateien gelöscht werden oder das Programm einen signifikanten Leistungsabfall erleben muss. Das sind nur einige Beispiele, die wir da hatten. Insofern muss man, wenn man das AV-Problem konsequent angehen will, auch beide Punkte gleichermaßen adressieren.

Sicherheit findet grundsätzlich auf unterschiedlichsten Ebenen statt, und wenn Microsoft die Sicherheit von Windows mit seinem Sicherheitskonzept nicht auf die Kette kriegt, wird auch kein drittes Programm diese Unzulänglichkeiten ausbügeln können. Eine Etage tiefer gilt das auch für die Entwickler einzelner Programme, also Google bei Chrome, Mozilla bei Firefox und Thunderbird, Microsoft bei seinen anderen Produkten, Adobe bei den CC-Programmen und so weiter. Und dann müssen normalerweise die Nutzer selbst noch relevante Sachen lernen, wie eine möglichst flächendeckende Verschlüsselung in verschiedenen Bereichen funktioniert, wie man Backups macht, wie man bei FOSS-Projekten eine Integritätsprüfung mit den Signaturschlüsseln machen kann etc. etc. etc.

Natürlich ist die ganze Scheinargumentation mit brain.exe und dergleichen auch kompletter Schwachsinn, aber es ist eben mindestens genauso schlimm, dass man den Leuten via Marketing vorgaukelt, dass sie sich sowas kaufen sollen, installieren es und dann ist alles in Ordnung. Das gilt nicht nur für AV-Programme, damit meine ich auch System Cleaner, Driver Booster und all solches Gedöns. Die Resultate davon hatten wir nicht nur einmal hier im Forum, wo wir dann erste Hilfe geleistet haben. Aber da sich die AVler kaum in ihrer Unternehmerfreiheit beschränken lassen möchten, muss Microsoft zumindest die technischen Auswirkungen mitigieren.

Besser wäre natürlich, dass man die Nutzer entsprechend selbst schult, damit die eine bessere Ahnung von der Gesamtthematik bekommen. Aufgrund der Masse, weil wir Techies eben eine Minderheit in der Gesellschaft sind, ist das aber weitestgehend unrealistisch. Da muss sich dann die Minderheit in unserer Minderheit fragen lassen, ob vielleicht Konzepte wie die unveränderlichen Systeme bzw. Immutable Systems, woran die Linux-Gemeinde konsequent arbeitet (Fedora Silverblue, SUSE microOS), auch für Windows die Richtung sein sollten. Daran ist Microsoft mit verschiedenen Ansätzen wie Windows Core OS aber immer wieder gescheitert - leider. Ansonsten hätten wir an entscheidenden Stellen wahrscheinlich schon einige Probleme weniger.
 
Nach dem Supergau eine Rückschau:

www.heise.de

Ein Jahr nach dem Crowdstrike-GAU: Wurden die richtigen Konsequenzen gezogen?

Vor einem Jahr legte ein kaputtes Crowdstrike-Update Millionen Windows-Systeme lahm. Ein Blick darauf, was sich seit diesem Debakel in der IT-Welt getan hat.
www.heise.de www.heise.de
apropos Luftnummer:
Zu kurz kommt in der Diskussion meiner Ansicht nach hingegen die Frage, wie es kommen konnte, dass ein großer, renommierter Hersteller wie Crowdstrike bei der Qualitätssicherung derart schlampt. Das liegt primär an den fehlenden Konsequenzen. Der Börsenkurs von Crowdstrike ist zwar kurzfristig abgestürzt, aber längst wieder auf neuen Höhenflügen.
Zum Vergrößern anklicken....
In dem Fall hätte eine Spekulation auf steigenden Kurs eine nette "Wertsteigerung" erzielen können.
 
Wir wollen ja hier nicht auch noch über Aktienkurse diskutieren. Aber wenn bei einer an sich gut aufgestellten Firma eine Katastrophe passiert, lohnt es sich eigentlich immer, sofort einzusteigen.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Oben