Windows Vista の新機能であるセキュリティと安全性の機能

Windows Vistaには数多くの新しいセキュリティ機能と安全性機能が あり、そのほとんどは以前のMicrosoft Windows オペレーティング システムのリリースでは利用できません。

2002 年初頭に Microsoft がTrustworthy Computingイニシアチブを発表して以来、Windows Vista を以前のバージョンよりも安全なオペレーティング システムとするために多大な努力が払われてきました。Microsoft は社内で、「設計時に安全、デフォルトで安全、展開時に安全」という基本理念に基づく「セキュリティ開発ライフサイクル」^[1]を採用しました。Windows Vista の新しいコードは SDL 方法論で開発され、既存のコードはすべてレビューされ、セキュリティを向上させるためにリファクタリングされました。

Windows Vista で新しいセキュリティと安全性のメカニズムが導入されている具体的な領域としては、ユーザー アカウント制御、ペアレンタル コントロール、ネットワーク アクセス保護、組み込みのマルウェア対策ツール、新しいデジタル コンテンツ保護メカニズムなどがあります。

ユーザー アカウント制御は、管理者権限を必要とする操作を許可する前にユーザーの同意を求める新しいインフラストラクチャです。この機能により、ほとんどのアプリケーションではより高い権限が必要ないため、管理者権限を持つユーザーを含むすべてのユーザーが既定で標準ユーザー モードで実行されます。新しいソフトウェアのインストール、システムまたはセキュリティ設定の変更など、管理者権限を必要とする操作が試行されると、Windows は操作を許可するかどうかをユーザーに確認します。ユーザーが許可を選択した場合、操作を開始するプロセスは、続行するためにより高い権限のコンテキストに昇格されます。標準ユーザーは、プロセスを昇格させるために管理者アカウントのユーザー名とパスワードを入力する必要がありますが (肩越し資格情報)、管理者は同意のみを求めるか、資格情報を求めるかを選択できます。ユーザーが [はい] をクリックしない場合、30 秒後にプロンプ​​トは拒否されます。

UAC は、セキュア デスクトップモードで資格情報を要求します。このモードでは、画面全体がフェードアウトして一時的に無効になり、昇格 UI のみが表示されます。これは、昇格を要求するアプリケーションによる UI またはマウスのスプーフィングを防ぐためです。セキュア デスクトップへの切り替えが発生する前に昇格を要求するアプリケーションにフォーカスがない場合、そのタスクバー アイコンが点滅し、フォーカスされると昇格 UI が表示されます (ただし、悪意のあるアプリケーションが密かにフォーカスを取得するのを防ぐことはできません)。

Secure Desktop では最高権限のシステムアプリケーションのみ実行できるため、ユーザー モード アプリケーションはそのデスクトップにダイアログ ボックスを表示できません。そのため、昇格の同意を求めるプロンプトは本物であると安全に想定できます。さらに、これは、許可されていないプロセスが高権限のプロセスにメッセージを送信するのを防ぐことで、Windows のプロセス間メッセージを傍受して悪意のあるコードを実行したり、ユーザー インターフェイスを偽装したりするShatter攻撃に対する保護にも役立ちます。高権限のプロセスにメッセージを送信するプロセスは、UAC を介して、より高い権限のコンテキストに昇格する必要があります。

ユーザーが管理者権限で実行することを前提に作成されたアプリケーションは、以前のバージョンの Windows では、制限付きユーザー アカウントから実行すると問題が発生していました。これは多くの場合、マシン全体またはシステム ディレクトリ ( Program Filesなど) やレジストリ キー (特にHKLM )への書き込みを試行したことが原因でした。 ^{[2] UAC は、}ファイルとレジストリの仮想化を使用してこの問題を軽減しようとします。これは、書き込み (およびそれに続く読み取り) をユーザー プロファイル内のユーザーごとの場所にリダイレクトします。たとえば、アプリケーションが “C:\program files\appname\settings.ini” に書き込もうとし、ユーザーにそのディレクトリへの書き込み権限がない場合、書き込みは “C:\Users\username\AppData\Local\VirtualStore\Program Files\appname\” にリダイレクトされます。

BitLocker は、以前は「セキュア スタートアップ」と呼ばれていましたが、この機能はシステム ボリュームのディスク全体を暗号化します。コマンド ライン ユーティリティを使用すると、追加のボリュームを暗号化できます。BitLocker は、USB キーまたは TCG 仕様の Trusted Platform Module (TPM) バージョン 1.2 を使用して暗号化キーを保存します。これにより、Windows Vista を実行しているコンピューターが正常な状態で起動することが保証され、不正アクセスからデータを保護します。^[3]ボリューム上のデータは、フル ボリューム暗号化キー (FVEK) で暗号化され、ボリューム マスター キー (VMK) でさらに暗号化されてディスク自体に保存されます。

Windows Vistaは、TPMの使用と管理のためのAPI、コマンド、クラス、サービスのセットを提供することで、TPM 1.2のネイティブサポートを提供する最初のMicrosoft Windowsオペレーティングシステムです。^{[4] [5]} TPMベースサービスと呼ばれる新しいシステムサービスにより、デバイスをサポートするアプリケーションを構築したい開発者は、TPMリソースにアクセスして共有することができます。^[6]

Windows Vista の暗号化ファイル システム (EFS) を使用すると、システムページ ファイルとユーザーごとのオフライン ファイルキャッシュを暗号化できます。EFS は、エンタープライズ公開キー インフラストラクチャ(PKI)ともより緊密に統合されており、PKI ベースのキー回復、EFS 回復証明書によるデータ回復、またはこの 2 つの組み合わせの使用をサポートしています。また、 EFS にスマート カードを要求したり、ページ ファイルの暗号化を強制したり、EFS の最小キー長を規定したり、ユーザーのドキュメント フォルダーの暗号化を強制したり、自己署名証明書を禁止したりする新しいグループ ポリシーもあります。EFS 暗号化キー キャッシュは、ユーザーがワークステーションをロックしたとき、または一定の時間制限が経過したときにクリアできます。

EFS キー再生成ウィザードを使用すると、ユーザーは EFS の証明書を選択し、新しく選択した証明書を使用する既存のファイルを選択して移行できます。証明書マネージャーを使用すると、ユーザーは EFS 回復証明書と秘密キーをエクスポートすることもできます。ユーザーは、初めて使用するときにバルーン通知によって EFS キーをバックアップするように通知されます。キー再生成ウィザードは、既存のインストールのユーザーをソフトウェア証明書からスマート カードに移行するためにも使用できます。また、回復状況では、管理者またはユーザー自身がウィザードを使用することもできます。この方法は、ファイルを復号化して再暗号化するよりも効率的です。

Windows Vistaでは、企業環境における Windowsファイアウォールの柔軟性に関する多くの懸念に対処するために、ファイアウォール^{[7]が大幅に改善されました。}

• IPv6接続フィルタリング
• 送信パケット フィルタリングは、「自宅に電話」しようとするスパイウェアやウイルスに関する懸念の高まりを反映しています。
• 高度なパケット フィルターを使用すると、送信元と宛先の IP アドレスおよびポート範囲に対してルールを指定することもできます。
• フルパスファイル名を指定する必要なく、リストで選択されたサービス名によってサービスのルールを設定できます。
• IPsecは完全に統合されており、セキュリティ証明書、 Kerberos認証などに基づいて接続を許可または拒否できます。また、あらゆる種類の接続に暗号化を要求できます。マシン上の IPsec ポリシーの複雑な構成を処理するウィザードを使用して、接続セキュリティ ルールを作成できます。Windows ファイアウォールは、トラフィックが IPsec によって保護されているかどうかに基づいてトラフィックを許可できます。
• セキュリティが強化された Windows ファイアウォールという新しい管理コンソールスナップインにより、 IPsec構成を含む多くの高度なオプションにアクセスでき、リモート管理が可能になります。
• コンピュータがドメインに参加している場合や、プライベート ネットワークまたはパブリック ネットワークに接続されている場合に、個別のファイアウォール プロファイルを設定できます。サーバーおよびドメイン分離ポリシーを適用するためのルールの作成をサポートします。

Windows Vista には、Microsoft のスパイウェア対策ユーティリティである Windows Defender が含まれています。Microsoft によると、このユーティリティは、市場に出回っている他の無料製品と同様に、スパイウェアを検出するためにシステムをスキャンする機能だけでなく、スパイウェアによって引き起こされる可能性のある変更がないか Windows のいくつかの一般的な領域を監視するリアルタイム セキュリティ エージェントも含まれているため、「Microsoft AntiSpyware」から名前が変更されました。これらの領域には、Internet Explorer の構成とダウンロード、自動起動アプリケーション、システム構成設定、Windows シェル拡張機能などの Windows のアドオンが含まれます。

Windows Defender には、インストールされているActiveXアプリケーションを削除し、スタートアップ プログラムをブロックする機能も含まれています。また、 SpyNetネットワークも組み込まれており、ユーザーはこれを使用して Microsoft と通信し、スパイウェアと思われるものを送信し、どのアプリケーションが許容されるかを確認できます。

Windows Vistaでは、管理者はグループポリシーを介してハードウェア制限を適用し、ユーザーがデバイスをインストールできないようにしたり、デバイスのインストールを定義済みのホワイトリストに制限したり、リムーバブルメディアやデバイスのクラスへのアクセスを制限したりできます。^{[8] [9]}

Windows Vista には、管理者がドメインに属していない標準ユーザー アカウントのコンピュータ アクティビティを監視および制限するためのさまざまなペアレンタル コントロールが含まれています。ユーザー アカウント制御は、管理上の制限を適用します。機能には、次のものがあります。Windows Vista Web フィルター(すべての Web ブラウザーで機能するようにWinsock LSPフィルターとして実装されています) は、コンテンツのカテゴリまたは特定のアドレスに基づいて Web サイトへのアクセスを禁止します (すべてのファイルのダウンロードをブロックするオプション付き)。時間制限は、管理者が指定した日付または時間に標準ユーザーがログインできないようにします (また、その時間帯に既にログインしている制限付きアカウントをロックします)。ゲーム制限は、管理者が、名前、コンテンツ、またはEntertainment Software Rating Board (ESRB)などのビデオゲーム コンテンツ評価システムによって定義された評価に基づいてゲームをブロックできるようにします。コンテンツの制限は評価の制限よりも優先されます (例: Everyone 10+ (E10+)ゲームは一般に実行が許可されますが、アクティビティ レポートは、制限された標準ユーザー アカウントのアクティビティを監視および記録します。

Windows ペアレンタル コントロールには、開発者がバンドルされた機能を独自の機能に置き換えるための アプリケーション プログラミング インターフェイス(API)を備えた拡張可能なオプション セットが含まれています。

Windows Vista は、アドレス空間レイアウトのランダム化(ASLR) を使用して、システム ファイルをメモリ内のランダムなアドレスに読み込みます。^[10]既定では、すべてのシステム ファイルは 256 個の可能な場所のいずれかにランダムに読み込まれます。他の実行可能ファイルでは、 ASLR を使用するために、Windows 実行可能ファイルのファイル形式であるPortable Executable (PE)ファイルのヘッダーのビットを明示的に設定する必要があります。このような実行可能ファイルの場合、割り当てられるスタックとヒープはランダムに決定されます。システム ファイルをランダムなアドレスに読み込むことで、悪意のあるコードが特権システム関数の場所を知ることが難しくなり、それらの関数を予測どおりに使用する可能性が低くなります。これにより、RETURN-TO-LIBCバッファー オーバーフロー攻撃を防ぎ、ほとんどのリモート実行攻撃を防ぐことができます。

Portable Executable形式が更新され、ヘッダーに例外ハンドラー アドレスを埋め込むことがサポートされるようになりました。例外がスローされるたびに、ハンドラーのアドレスが実行可能ヘッダーに格納されているアドレスと検証されます。一致した場合は例外が処理され、一致しない場合はランタイム スタックが侵害されたことを示し、プロセスが終了します。

関数ポインタは乱数とのXOR 演算によって難読化されるため、実際に指し示されているアドレスを取得するのは困難です。ポインタに使用される難読化キーを取得するのは非常に困難であるため、手動でポインタを変更する場合も同様です。したがって、関数ポインタの権限のないユーザーが実際に使用することは困難です。また、ヒープ ブロックのメタデータは乱数との XOR 演算が行われます。さらに、ヒープ ブロックのチェックサムが維持され、権限のない変更やヒープの破損を検出するために使用されます。ヒープの破損が検出されると、アプリケーションは強制終了され、エクスプロイトの完了を防止します。

Windows Vista バイナリには、スタック オーバーフローの検出に対する固有のサポートが含まれています。Windows Vista バイナリでスタック オーバーフローが検出されると、プロセスは強制終了され、エクスプロイトの実行に使用できなくなります。また、Windows Vista バイナリは、バッファをメモリの上位に配置し、ポインタや指定されたパラメータなどの非バッファを下位のメモリ領域に配置します。そのため、実際にエクスプロイトを行うには、バッファ アンダーランが発生してそれらの場所にアクセスする必要があります。ただし、バッファ アンダーランはバッファ オーバーランよりもずっとまれです。

Windows Vista では、プロセスの整合性レベルを設定するための必須整合性制御が導入されています。整合性の低いプロセスは、整合性の高いプロセスのリソースにアクセスできません。この機能は、アプリケーションの分離を強制するために使用されています。整合性のレベルが中程度のアプリケーション (標準ユーザー コンテキストで実行されているすべてのアプリケーションなど) は、整合性のレベルが高いシステム レベル プロセス (管理者モード アプリケーションなど) にはフックできませんが、整合性の低いプロセス (Windows Internet Explorer 7または8など) にはフックできます。特権の低いプロセスは、より高いプロセス特権のウィンドウ ハンドル検証を実行できず、特権の高いアプリケーション ウィンドウに SendMessage または PostMessage を送信できず、特権の高いプロセスにアタッチするためにスレッド フックを使用できず、特権の高いプロセスを監視するために Journal フックを使用できず、特権の高いプロセスに DLL インジェクションを実行できません。

Windows Vistaは、最新のプロセッサのNX （No-Execute）機能を完全にサポートしています。^[11] DEPは、Windows XP Service Pack 2およびWindows Server 2003 Service Pack 1で導入されました。AMDのAMD64プロセッサではNX（EVP）、 IntelのプロセッサではXD（EDB）として存在するこの機能は、メモリの特定の部分に実行可能コードではなくデータが含まれていることをフラグ付けし、オーバーフローエラーによる任意のコードの実行を防止します。

プロセッサが NX ビットをサポートしている場合、Windows Vista はすべてのプロセスに対してハードウェアベースのデータ実行防止を自動的に実施し、一部のメモリ ページを実行不可能なデータ セグメント (ヒープやスタックなど) としてマークします。これにより、データがコードとして解釈および実行されることが防止されます。これにより、エクスプロイト コードがデータとして挿入されて実行されることが防止されます。

すべてのアプリケーションでDEP を有効にすると、ゼロデイ エクスプロイトに対する耐性が高まります。ただし、すべてのアプリケーションが DEP に準拠しているわけではなく、一部のアプリケーションでは DEP 例外が生成されます。そのため、32 ビット バージョンの Windows では、DEP はすべてのアプリケーションに既定で強制されるわけではなく、重要なシステム コンポーネントに対してのみ有効になっています。ただし、Windows Vista では、ソフトウェア開発者がシステム全体の互換性強制設定とは関係なく、コードに対して NX ハードウェア保護を有効にできる追加の NX ポリシー コントロールが導入されています。開発者は、アプリケーションをビルド時に NX 準拠としてマークできます。これにより、そのアプリケーションがインストールされて実行されるときに保護が強制されます。これにより、NX の既定のシステム互換性ポリシーがオペレーティング システム コンポーネントのみを保護するように構成されている 32 ビット プラットフォーム上のソフトウェア エコシステムで、NX で保護されたコードの割合が高くなります。x86-64 アプリケーションの場合、下位互換性は問題にならないため、すべての 64 ビット プログラムに対して DEP が既定で強制されます。また、セキュリティを強化するために、x86-64 バージョンの Windows Vista ではプロセッサ強制 DEP のみが使用されます。

Windows Vista では、デジタル コンテンツ プロバイダーや企業がデータのコピーを防止できるように、新しいデジタル著作権管理機能とコンテンツ保護機能が導入されました。

• PUMA: 保護されたユーザーモードオーディオ (PUMA) は、新しいユーザーモードオーディオ (UMA) オーディオスタックです。その目的は、著作権で保護されたオーディオのコピーを制限し、保護されたコンテンツの発行者が許可したものだけを有効にしたオーディオ再生環境を提供することです。^[12]
• 保護されたビデオパス - 出力保護管理(PVP-OPM) は、保護されたデジタルビデオストリームのコピーや、同等のコピー保護 (通常はHDCP ) のないビデオデバイスでの表示を防止する技術です。マイクロソフトは、これらの制限がなければ、コンテンツ業界は HD DVD、Blu-ray ディスク、またはその他のコピー保護されたシステムで使用される暗号化のライセンスキーの発行を拒否することで、PC が著作権で保護されたコンテンツを再生できないようにする可能性があると主張しています。^[12]
• 保護されたビデオ パス - ユーザー アクセス可能なバス(PVP-UAB) は、PCI Expressバス経由で保護されたコンテンツの暗号化を適用する点を除いて、PVP-OPM と似ています。
• Rights Management Services (RMS) のサポート。これは、企業が企業の文書、電子メール、イントラネットに DRM のような制限を適用して、権限のないユーザーによるコピー、印刷、さらには開封から保護できるようにするテクノロジです。
• Windows Vistaでは保護されたプロセス^[13]が導入されており、これは他のプロセスがそのプロセスの状態を操作することができず、他のプロセスのスレッドをそこに導入することもできない点で通常のプロセスと異なります。保護されたプロセスはWindows VistaのDRM機能へのアクセスが強化されています。ただし、現在、保護されたビデオパスを使用するアプリケーションのみが保護されたプロセスを作成できます。

新しいデジタル著作権管理機能が組み込まれたことは、 Windows Vista に対する批判の原因となってきました。

Windows サービス強化機能は、サービスを区分化して、1 つのサービスが侵害されても、システム上の他のサービスを簡単に攻撃できないようにします。Windows サービスがファイル システム、レジストリ、またはネットワーク^[14]に対して想定されていない操作を実行できないようにすることで、システム全体の攻撃対象領域を減らし、システム サービスを悪用したマルウェアの侵入を防ぎます。サービスにはサービスごとのセキュリティ識別子(SID) が割り当てられるようになりました。これにより、セキュリティ識別子で指定されたアクセスに従ってサービスへのアクセスを制御できます。サービスごとの SID は、サービスのインストール時にChangeServiceConfig2 API を介して、またはsidtypeSC.EXE動詞を指定したコマンドを使用して割り当てることができます。サービスはアクセス制御リスト(ACL) を使用して、自分専用のリソースへの外部からのアクセスを防ぐこともできます。

Windows Vista のサービスも、 Systemアカウントではなく、Local ServiceやNetwork Serviceなどの権限の低いアカウントで実行されます。以前のバージョンの Windows では、システム サービスはローカルにログインしたユーザーと同じログイン セッション (セッション 0) で実行されていました。Windows Vista では、セッション 0 はこれらのサービス用に予約されており、すべての対話型ログインは他のセッションで実行されます。^{[15]これは、} Shatter 攻撃と呼ばれる Windows メッセージ パッシング システムの悪用を軽減することを目的としています。サービスをホストするプロセスには、HKLM\System\CurrentControlSet\Servicesの下のRequiredPrivilegesレジストリ値で指定された権限のみがあります。

また、サービスには、サービスごとに、リソースへの書き込みのための明示的な書き込み権限が必要です。書き込み制限付きアクセス トークンを使用すると、サービスによって変更されるリソースのみに書き込み権限が付与されるため、他のリソースを変更しようとすると失敗します。また、サービスには、適切に機能するために必要な権限のみが付与される、構成済みのファイアウォール ポリシーもあります。独立系ソフトウェア ベンダーも、Windows サービス強化を使用して、独自のサービスを強化することができます。Windows Vista では、RPCサーバーが使用する名前付きパイプも強化され、他のプロセスがそれらをハイジャックできないようになっています。

安全な認証と対話型ログオンに使用されるグラフィカル識別および認証( GINA ) は、資格情報プロバイダーに置き換えられました。資格情報プロバイダーは、サポート ハードウェアと組み合わせることで、オペレーティング システムを拡張し、ユーザーが生体認証デバイス(指紋、網膜、または音声認識)、パスワード、PIN、スマート カード証明書、またはサード パーティ開発者が作成する任意のカスタム認証パッケージおよびスキーマを使用してログオンできるようにすることができます。スマート カード認証は、証明書の要件が緩和されているため柔軟です。企業は、すべてのドメイン ユーザーに対してカスタム認証メカニズムを開発、展開し、必要に応じて強制することができます。資格情報プロバイダーは、シングル サインオン(SSO)、安全なネットワーク アクセス ポイント( RADIUSおよびその他のテクノロジを活用) へのユーザーの認証、およびマシン ログオンをサポートするように設計できます。資格情報プロバイダーは、アプリケーション固有の資格情報収集をサポートするようにも設計されており、ネットワーク リソースへの認証、マシンのドメインへの参加、またはユーザー アカウント制御に対する管理者の同意の提供に使用できます。認証は、 IPv6またはWeb サービスを使用してもサポートされます。新しいセキュリティ サービス プロバイダーである CredSSP は、セキュリティ サポート プロバイダー インターフェイスを通じて利用できます。これにより、アプリケーションは、ユーザーの資格情報をクライアント (クライアント側 SSP を使用) からターゲット サーバー (サーバー側 SSP 経由) に委任できます。CredSSP は、ターミナル サービスによってシングル サインオンを提供するためにも使用されます。

Windows Vista では、スマート カードまたはパスワードとスマート カードの組み合わせ ( 2 要素認証)を使用してユーザー アカウントを認証できます。Windows Vista では、スマート カードを使用してEFSキーを保存することもできます。これにより、暗号化されたファイルには、スマート カードが物理的に存在する場合にのみアクセスできるようになります。スマート カードを使用してログオンする場合、EFS はシングル サインオンモードで動作し、PIN を要求せずにログオン スマート カードを使用してファイルを暗号化します。

Windows XP ではワークグループ コンピュータに限定されていた高速ユーザー切り替えは、Windows Vista 以降ではドメインに参加しているコンピュータでも有効にできるようになりました。Windows Vista には、Windows Server 2008で導入された読み取り専用ドメイン コントローラの認証サポートも含まれています。

Windows Vista には、Cryptography API: Next Generation (CNG) と呼ばれる暗号化 API の更新機能があります。CNG APIは、楕円曲線暗号化(ECC) と、国家安全保障局(NSA) Suite Bの一部であるいくつかの新しいアルゴリズムのサポートを含む、ユーザー モードおよびカーネル モードAPIです。これは拡張可能で、カスタム暗号化 API を CNG ランタイムにプラグインするためのサポートを備えています。また、開発者やスマート カード製造元が必要とするすべての標準バックエンド暗号化機能を実装する Base CSPモジュールを含めることで、スマート カードサブシステムと統合されるため、複雑なCSP を記述する必要がありません。Microsoft証明機関はECC 証明書を発行でき、証明書クライアントは ECC および SHA-2 ベースの証明書を登録および検証できます。

失効の改善には、オンライン証明書ステータス プロトコル(OCSP)のネイティブ サポートが含まれ、リアルタイムの証明書有効性チェック、CRLプリフェッチ、および CAPI2 診断が提供されます。証明書の登録はウィザード ベースで、ユーザーは登録中にデータを入力でき、失敗した登録や期限切れの証明書に関する明確な情報が提供されます。新しい COM ベースの登録 API である CertEnroll は、柔軟なプログラミングのためにXEnrollライブラリに代わるものです。資格情報ローミング機能は、ネットワーク内の ユーザー名とパスワードに保存されている Active Directory キー ペア、証明書、および資格情報を複製します。

Windows Vista では、ネットワーク アクセス保護(NAP) が導入されています。これは、ネットワークに接続または通信するコンピュータが、ネットワーク管理者によって設定されたシステム正常性の必須レベルに準拠していることを確認します。管理者によって設定されたポリシーに応じて、要件を満たさないコンピュータには、警告が表示されてアクセスが許可されるか、限られたネットワーク リソースへのアクセスが許可されるか、またはアクセスが完全に拒否されます。NAP は、修復サーバーを使用して、非準拠のコンピュータにソフトウェア更新を提供して、ネットワークへのアクセスに必要なレベルにアップグレードすることもできます。準拠しているクライアントには正常性証明書が提供され、クライアントはこれを使用してネットワーク上の保護されたリソースにアクセスします。

Windows Server 2008を実行するネットワークポリシー サーバーは正常性ポリシー サーバーとして機能し、クライアントはWindows XP SP3以降を使用する必要があります。VPNサーバー、RADIUSサーバー、またはDHCPサーバーも正常性ポリシー サーバーとして機能することができます。

• TCP/IP セキュリティ (ローカル ホスト トラフィックのフィルタリング)、ファイアウォール フック、フィルタ フック、およびパケット フィルタ情報の保存用のインターフェイスは、Windows Filtering Platform (WFP) と呼ばれる新しいフレームワークに置き換えられました。WFP は、TCP/IP プロトコル スタックのすべての層でフィルタリング機能を提供します。WFP はスタックに統合されており、開発者は TCP/IP トラフィックをフィルタリング、分析、または変更する必要があるドライバー、サービス、およびアプリケーションを簡単に構築できます。
• ネットワーク経由でデータを転送する際のセキュリティを強化するために、Windows Vista では、データの難読化に使用される暗号化アルゴリズムが強化されています。256 ビットおよび 384 ビットの楕円曲線 Diffie-Hellman (DH) アルゴリズム、および 128 ビット、192 ビット、256 ビットのAdvanced Encryption Standard (AES) のサポートが、ネットワーク スタック自体とKerberosプロトコルおよびGSS メッセージに含まれています。新しいWinsock API でのSSLおよび TLS 接続の直接サポートにより、ソケット アプリケーションは、ネットワーク経由のトラフィックのセキュリティを直接制御できます (セキュリティ ポリシーとトラフィックの要件の提供、セキュリティ設定の照会など)。セキュリティで保護された接続をサポートするために余分なコードを追加する必要がありません。Windows Vista を実行するコンピューターは、Active Directoryドメイン内の論理的に分離されたネットワークの一部にすることができます。同じ論理ネットワーク パーティション内にあるコンピューターだけが、ドメイン内のリソースにアクセスできます。他のシステムが物理的に同じネットワーク上にあっても、同じ論理パーティション内にない限り、パーティション化されたリソースにアクセスすることはできません。システムは複数のネットワーク パーティションの一部である可能性があります。Schannel SSPには、楕円曲線暗号をサポートする新しい暗号スイートが含まれているため、ECC 暗号スイートを標準の TLS ハンドシェイクの一部としてネゴシエートできます。Schannel インターフェイスはプラグ可能なので、暗号スイートの高度な組み合わせにより、より高度な機能を代用できます。
• IPsecはWindows ファイアウォールと完全に統合され、構成が簡素化され、認証が改善されました。IPsec は IPv6 をサポートし、インターネット キー交換(IKE)、AuthIP、データ暗号化、クライアントからDCへの保護、ネットワーク アクセス保護との統合、ネットワーク診断フレームワークのサポートなどが含まれます。IPsec VPNのセキュリティと展開性を高めるために、Windows Vista にはAuthIPが含まれています。AuthIP はIKE暗号化 プロトコルを拡張し、複数の資格情報による認証、代替メソッド ネゴシエーション、非対称認証などの機能を追加します。^[16]
• ワイヤレス ネットワークのセキュリティは、 802.11i ( WPA2 )などの新しいワイヤレス標準のサポートが強化されつつあります。EAPトランスポート層セキュリティ(EAP-TLS) は、デフォルトの認証モードです。接続は、ワイヤレス アクセス ポイントでサポートされている最も安全な接続レベルで行われます。WPA2は、アドホック モードでも使用できます。Windows Vista では、ワイヤレス ネットワーク経由でドメインに参加する際のセキュリティが強化されています。シングル サインオンを使用すると、同じ資格情報を使用して、ワイヤレス ネットワークとネットワーク内に格納されているドメインに参加できます。^[17]この場合、ネットワークに参加するためのPEAP認証と、ドメインにログインするためのMS-CHAP v2認証の両方に、同じRADIUSサーバーが使用されます。ワイヤレス クライアントでブートストラップ ワイヤレス プロファイルを作成することもできます。このプロファイルは、最初にコンピューターをワイヤレス ネットワークに認証し、ネットワークに参加します。この段階では、マシンはまだドメイン リソースにアクセスできません。マシンは、システムまたは USB サム ドライブに保存されているスクリプトを実行し、ドメインに認証します。認証は、ユーザー名とパスワードの組み合わせを使用するか、VeriSignなどの公開鍵インフラストラクチャ(PKI) ベンダーからのセキュリティ証明書を使用して行うことができます。
• Windows Vistaには、802.1XやPPPなどの一般的に使用される保護されたネットワークアクセステクノロジの認証方法の拡張性を提供する拡張認証プロトコルホスト（EAPHost）フレームワークも含まれています。 ^[18]これにより、ネットワークベンダーはEAPメソッドと呼ばれる新しい認証方法を開発し、簡単にインストールできます。
• Windows Vista は、 PPTPでのPEAPの使用をサポートしています。サポートされている認証メカニズムは、PEAPv0/EAP-MSCHAPv2 (パスワード) と PEAP-TLS (スマートカードと証明書) です。
• Windows Vista Service Pack 1には、 SSLチャネルを介してポイントツーポイント プロトコル(PPP) トラフィック ( IPv6トラフィックを含む)を転送するメカニズムを提供する、Microsoft独自の新しいVPNプロトコルであるSecure Socket Tunneling Protocolが含まれています。

• Windows Vista の 64 ビット バージョンでは、フォールバック ソフトウェア エミュレーションなしで、ハードウェア ベースのデータ実行防止(DEP) が強制されます。これにより、効果の低いソフトウェア強制 DEP (安全な例外処理のみで、NX ビットとは無関係) が使用されなくなります。また、DEP は、x86-64 バージョンのすべての 64 ビット アプリケーションとサービス、およびオプトインした 32 ビット アプリケーションに対して既定で強制されます。一方、32 ビット バージョンでは、ソフトウェア強制 DEP は利用可能なオプションであり、既定では必須のシステム コンポーネントに対してのみ有効になります。
• アップグレードされたカーネルパッチ保護（ PatchGuardとも呼ばれる）は、カーネルモードドライバを含むサードパーティソフトウェアがカーネルやカーネルが使用するデータ構造をいかなる方法でも変更するのを防ぎます。変更が検出されると、システムはシャットダウンされます。これにより、ルートキットがユーザーモードアプリケーションから身を隠すために使用する一般的な戦術が緩和されます。^[19] PatchGuardは、Windows Server 2003 Service Pack 1のx64エディションで初めて導入され、Windows XP Professional x64エディションに含まれていました。
• 64 ビット版の Windows Vista のカーネル モード ドライバーはデジタル署名されている必要があります。管理者であっても、署名されていないカーネル モード ドライバーをインストールすることはできません。^[20]起動時のオプションを使用して、Windows の単一セッションでこのチェックを無効にすることができます。64 ビット ユーザー モード ドライバーはデジタル署名されている必要はありません。
• コード整合性は、署名されたコードをチェックサムします。システム バイナリをロードする前に、チェックサムに対して検証し、変更されていないことを確認します。バイナリは、システム カタログで署名を検索して検証されます。Windows Vista ブート ローダーは、カーネル、ハードウェア抽象化レイヤー (HAL)、およびブート開始ドライバーの整合性をチェックします。カーネル メモリ領域とは別に、コード整合性は、保護されたプロセスにロードされたバイナリと、コア暗号化機能を実装するシステムにインストールされた動的ライブラリを検証します。

セキュリティと信頼性に関するいくつかの具体的な変更が行われました。

• より強力な暗号化は、LSAシークレット（キャッシュされたドメインレコード、パスワード、EFS暗号化キー、ローカルセキュリティポリシー、監査など）の保存に使用されます。^[21]
• Windows Vista Service Pack 2の修正プログラムにより、USBフラッシュドライブのIEEE 1667認証規格がサポートされる。^[22]
• Kerberos SSPはAES暗号化をサポートするように更新されました。^[23] SChannel SSPはより強力なAES暗号化とECCサポートも備えています。^[24]
• Windows XPで導入されたソフトウェア制限ポリシーは、Windows Vistaで改善されました。^[25]基本ユーザーセキュリティレベルは、非表示ではなく、デフォルトで公開されています。デフォルトのハッシュルールアルゴリズムは、 MD5からより強力なSHA256にアップグレードされました。証明書ルールは、ソフトウェア制限ポリシースナップイン拡張機能内の[強制プロパティ]ダイアログボックスから有効にできるようになりました。
• Windows が誤って削除されるのを防ぐため、Vista では、アクティブなブート パーティションのフォーマットは許可されません (C: ドライブを右クリックして [フォーマット] を選択するか、コマンド プロンプトで「Format C:」(引用符なし) と入力すると、このボリュームのフォーマットは許可されないというメッセージが表示されます)。メイン ハード ドライブ (Windows を含むドライブ) をフォーマットするには、ユーザーは Windows インストール ディスクからコンピューターを起動するか、コンピューターの電源を入れたときに F8 キーを押して、高度なシステム回復オプションからメニュー項目 [コンピューターの修復] を選択する必要があります。
• 追加の EFS 設定では、暗号化ポリシーが更新されるタイミング、暗号化されたフォルダーに移動されたファイルが暗号化されるかどうか、オフライン ファイルのキャッシュ ファイルの暗号化、暗号化されたアイテムをWindows Searchでインデックス作成できるかどうかを構成できます。
• 保存されたユーザー名とパスワード(資格情報マネージャー)機能には、ユーザー名とパスワードをファイルにバックアップし、 Windows Vista以降のオペレーティング システムを実行しているシステムで復元するための新しいウィザードが含まれています。
• グループ ポリシーの新しいポリシー設定により、最後に成功した対話型ログオンの日時と、同じユーザー名で最後に成功したログオン以降の失敗したログオン試行回数を表示できます。これにより、ユーザーは自分の知らないうちにアカウントが使用されたかどうかを判断できます。このポリシーは、ローカル ユーザーだけでなく、機能レベル ドメインに参加しているコンピューターに対しても有効にできます。
• Windowsリソース保護は、Windowsインストーラー以外のプロセスによるシステムファイルや設定の変更を防止することで、潜在的に有害なシステム構成の変更を防止します。 ^[26]また、許可されていないソフトウェアによるレジストリの変更もブロックされます。
• 保護モードの Internet Explorer: Internet Explorer 7以降では、フィッシング フィルター、ActiveXオプトイン、URL 処理保護、クロスドメイン スクリプト攻撃およびステータス バーのスプーフィングに対する保護など、いくつかのセキュリティ変更が導入されています。これらは、Windows Vista では整合性の低いプロセスとして実行され、Temporary Internet Filesフォルダーにのみ書き込み可能で、ユーザー プロファイル内のファイルおよびレジストリ キーへの書き込みアクセス権を取得できないため、ActiveX コントロールであっても、悪意のあるコンテンツやセキュリティの脆弱性からユーザーを保護します。また、Internet Explorer 7 以降では、安全性の低いProtected Storage (PStore)ではなく、より安全なData Protection API ( DPAPI ) を使用して、パスワードなどの資格情報を保存します。
• Windows ファイアウォールとのネットワーク ロケーション認識の統合。新しく接続されたすべてのネットワークは、デフォルトで「パブリック ロケーション」に設定され、リスニング ポートとサービスがロックダウンされます。ネットワークが信頼済みとしてマークされている場合、Windows はその設定を記憶し、そのネットワークへの今後の接続に使用します。
• ユーザーモードドライバフレームワークは、ドライバがカーネルに直接アクセスすることを防ぎ、代わりに専用のAPIを介してアクセスします。システムクラッシュの大部分は、サードパーティのデバイスドライバが不適切にインストールされたことに起因するため、この新機能は重要です。^[27]
• Windows セキュリティ センターがアップグレードされ、マルウェア対策ソフトウェアの存在を検出して報告するほか、Internet Explorer のセキュリティ設定やユーザー アカウント制御を監視および復元できるようになりました。セキュリティ センターと統合されたウイルス対策ソフトウェアの場合、独自のユーザー インターフェイスで問題を修正するソリューションが提供されます。また、Windows API呼び出しがいくつか追加され、アプリケーションが Windows セキュリティ センターから総合的な正常性状態を取得し、正常性状態が変化したときに通知を受信できるようになりました。
• 保護ストレージ (PStore) は非推奨となり、Windows Vista では読み取り専用になりました。Microsoft は、新しい PStore データ項目を追加したり、既存のデータ項目を管理したりする場合はDPAPIを使用することを推奨しています。 ^[28] Internet Explorer 7 以降でも、資格情報の保存に PStore ではなくDPAPI を使用しています。
• Windows Vista のクリーン インストールでは、組み込みの管理者アカウントは既定で無効になっています。少なくとも 1 つの追加のローカル管理者アカウントがある限り、セーフ モードからもアクセスできません。

• コンピュータセキュリティ

• SecurityFocusの Vista の脆弱性