UEFI و بوت امن
مايكروسافت در ويندوز 8 بوت امني را معرفي كرده است كه اجازه مي دهد تا فرآيند بوت شدن سيستم، ايمن و قابل اعتماد شود. براي تأييد رمزنگاري اجزاي بوت، نياز به ميان افزاري است كه نگهداري كند:

• * يك "پايگاه داده امضاء" از امضاء كنندگان يا هش هاي تصويري از رابط ميان افزار توسعه پذير يكپارچه (UEFI )  برنامه هاي كاربردي/درايورها و بارگذاركننده هاي سيستم عامل كه قابل اعتماد هستند.
• * يك "پايگاه داده لغو امضاء" كه شامل امضاء آيتم هايي است كه ديگر مورد اعتماد نيستند.

در شكل زير، چگونگي كاركرد فرآيند بوت امن نمايش داده شده است:

بوت امن ويندوز 8
براي سازندگان كامپيوترهاي شخصي و دستگاه هايي كه از لگوي "طراحي شده براي ويندوز 8 " استفاده مي كنند، آن ها هم اكنون بايد بتوانند تا به طور پيش فرض، از UEFI با بوت امن پشتيباني كنند. اگرچه ويندوز 8 در سيستم هاي با استاندارد BIOS نيز بوت مي شود، اما آن دستگاه مجاز به استفاده از لگوي "طراحي شده براي ويندوز 8 " نخواهد بود.
اين مسئله، باعث ايجاد بحث هاي بسيار زيادي در جامعه متن باز (به ويژه در لينوكس) شده است چرا كه هرگونه سيستم عامل مستندي، مي تواند موجب نصب توزيع هاي مختلف پيچيده تر و همچنين نگراني كاربران شود.
البته مايكروسافت از اين امضاء، براي ديگر فروشندگان سيستم عامل در يك هزينه اسمي پشتيباني مي كند، به طوري كه اين فروشندگان مي توانند سيستم عاملي بسازند كه در سيستم هاي طراحي شده براي ويندوز 8 هم بوت شود. فدورا طرحي را براي استفاده از اين سرويس اعلام كرده است. اگرچه اوبونتو هنوز برنامه اي را براي خريد اين سرويس اعلام نكرده، اما مسلماً به توليدكنندگان سخت افزار با "گواهي اوبونتو" نيازمند است تا بتواند كليد خود را در پايگاه داده امضاء UEFI بگنجاند.
بنياد لينوكس هم توصيه هايي را در مورد چگونگي ايجاد بوت امن UEFI منتشر كرده است كه با پلت فرم هاي متن باز كار مي كند. براي پلت فرم هاي مبتني بر ARM نيز، ويندوز 8 كماكان فرآيند بوت را فقط در سيستم هاي مجهز به UEFI پشتيباني خواهد كرد.
UEFI يك فرآيند بوت بسيار قابل اعتماد را فراهم مي كند كه هر جزء فرآيند بوت، بارگذاري ها و اجراهاي قبلي و بعدي را تأييد مي نمايد.

درايور ELAM
محبوبيت ويندوز به اين معني است كه سيستم عامل بايد بتواند دستگاه هاي زيادي را پشتيباني كند. ويندوز جهت رسيدن به يك مرحله قابل استفاده، به درايورهاي غيرمايكروسافت (براي دستگاه هاي ورودي و خروجي) نياز دارد و همچنين بايد به ساير درايورها نيز در ابتداي فرآيند بوت اعتماد كند. هر چند كه در طول سال ها، اين اعتماد توسط بدافزارها براي وارد كردن درايورهاي مخرب در هنگام بوت، در معرض خطر قرار گرفته است.
بهره برداري بدين شكل، موجب مشكلات بزرگي مي شود زيرا يك فرآيند بوت در معرض خطر، مي تواند سيستمي غير قابل اعتماد را ايجاد كند كه نياز به كمك ويژه اي از راه حل هاي ضد بدافزار براي تعمير و بازيابي دارد.
يك مكانيسم حفاظتي كه در ويندوز 8 معرفي شده است بارگذاري يك درايور اوليه ضد بدافزار (ELAM ) است كه تضمين مي كند حداقل اجراي بعضي از نرم افزارهاي ضد بدافزار در سيستم امكان پذير است. نرم افزار ELAM با الزام حفاظت زمان بوت، توسط كمك به تأييد ديگر درايورها هنگامي كه بارگذاري مي شوند، باعث بهبود فرآيند بوت امن مي شود.
براي حفظ اعتماد، تمام درايورهاي ELAM بايد توسط مايكروسافت امضاء شوند. داده ها در بطن رجيستري به منظور ذخيره سازي مداوم قابل دسترس براي ELAM ذخيره مي شود.
اگرچه درايورهاي ELAM بهبودي قابل توجه در وضعيت ويندوز 7 محسوب مي شوند، اما مشخص نيست كه آن ها چه منفعتي براي امنيت دارند. هنوز نياز به عملكرد دقيقي براي اين درايورها بوده و هدف اصلي آن ها، فقط اعتباردهي امضاء داده هايي است كه در طول فرآيند بوت مورد نياز مي باشد. امروزه با وجود انواع بدافزارهاي پيچيده اي كه هر روز آشكار شده و سازمان هاي مورد توجه را هدف خويش قرار مي دهند، تأييد امضاء نمي تواند به تنهايي حفاظتي جامع و پيشگيرانه را در برابر اين قبيل از تهديدات به عمل آورد.

Sideloading و AppLocker
كسب و كارها مي توانند برنامه هايي به سبك Metro را كه براي ويندوز، سفارشي شده اند، بدون اينكه توسط فروشگاه ويندوز انتشار يابند، نصب كنند كه به آن  Sideloading گفته شده و جهت توسعه برنامه هاي سفارشي در محيط هاي سازماني طراحي گرديده است. Sideloading نيازمند تجهيزات خاصي است:

• * امضاء برنامه كاربردي بايد به صورت رمزنگاري شده باشد.
• * گواهي مورد استفاده براي امضاي برنامه، بايد توسط سيستم نصب شده و مورد اعتماد آن باشد.
• * بايد گروهي از خط و مشي ها براي مجاز شمردن برنامه هاي قابل اعتماد تنظيم شود.
• * براي اجراي برنامه، كامپيوتر بايد عضو  يك دامنه (Domain ) باشد.

مديران سيستم مي توانند از AppLocker براي جلوگيري از نصب برنامه ها استفاده كنند. آن ها ممكن است قوانين را بر اساس شرايط مختلف ايجاد كنند – از جمله منتشر كننده، نام بسته و نسخه بسته – و سيستم ها را به صورت مركزي و مديريت شده، كنترل نمايند. در واقع، AppLocker يك مكانيسم واكنش فراهم كرده و به صورت محدود، براي مديريت و اجراي خط و مشي هاي سازماني به كار مي رود.

نگاهي به بيرون ويندوز
مايكروسافت Windows To Go را كه يك سيستم پشتيبان توسعه داده شده براي درجات سازماني سيستم عامل است، معرفي كرده كه اجازه مي دهد تا ويندوز 8 از يك درايو USB هم بوت شود – بدون نياز به نصب قبلي هر يك از اجزاي ويندوز بر روي سخت افزاري كه درايو USB به آن وصل مي شود.
ويندوز 8 درايوهاي سخت افزاري كه براي نخستين بار بر روي آن بوت مي شود را (بدون نياز به راه اندازي دوباره) نصب خواهد كرد. سپس، دستگاه به طور مستقيم از روي سيستم عامل بوت شده و اطلاعات مربوط به مشخصات سخت افزاري، در درايو USB ذخيره مي شود. اين روش، اجازه مي دهد كه درايو USB با استفاده از BitLocker امن شود.
Windows To Go بر روي پلت فرم هاي ARM پشتيباني نمي شود و چند تفاوت با نصب ويندوز در حالت استاندارد دارد:

• * ويژگي هاي Hibernate و Sleep به طور پيش فرض غير فعال شده اند.
• * هارد ديسك هاي داخلي كامپيوتر ميزبان، به صورت پيش فرض آفلاين هستند.
• * يك رمز عبور پيش از بوت شدن سيستم، به صورت مطمئن جايگزين ماژول پلت فرم براي رمزگذاري درايو BitLocker مي شود.

اگر شما نياز به بازيابي درايو Windows To Go يا تنظيم مجدد آن به حالت اصلي خود را داشته باشيد، احتياج به يك image دوباره از درايو با يك نسخه جديد از ويندوز خواهيد داشت زيرا در اين حالت، محيط بازيابي ويندوز دسترس پذير نمي باشد.

AppContainer
 AppContainer يك مكانيسم جديد فرآيند جداسازي برنامه هاي كاربردي، همچون Sandbox و jail است كه جديداً در ويندوز 8 اضافه شده است. برنامه Metro در AppContainer و در سطح "يكپارچگي كم" اجرا مي شود. با AppContainer مي توان دسترسي به قابليت هاي درخواستي برنامه ها را غير فعال نمود.
AppContainer به نفع توسعه دهندگان نرم افزار است چرا كه اين فرآيند ايزوله شده، روند در معرض خطر قرار گرفتن برنامه هاي كاربردي آن ها را، در حالي كه اين برنامه ها از دستكاري توسط ديگر برنامه هاي Metro محافظت مي گردند، كاهش خواهد داد.

Metro و برنامه هاي دسكتاپ ويندوز
در ويندوز 8 ، برنامه هاي دسكتاپ و Metro براي حفظ قابليت سازگاري با برنامه هاي كاربردي فعلي دسكتاپ ويندوز، با يكديگر پيوند مي خورد. همچنين ويندوز، به نصب و اجراي برنامه هاي دسكتاپ، خارج از محدوديت هاي معمول برنامه Metro نيز اجازه مي دهد. اين نشان دهنده يك وضعيت جالب توجه است كه: برنامه هاي Metro نمي توانند بيرون از محيط Sandbox خود اجرا شوند؛ در حاليكه برنامه هاي دسكتاپ قادر به ورود به محيط Sandbox هستند.
در آزمايشات مان، متوجه شديم كه در فرآيند محدود كردن مقدار متغيرهاي برنامه (enumeration )، رابط هاي كاربردي برنامه نويسي (API ها) دسترسي به برنامه Metro داشتند، اما آن ها فقط نتايج محدودي را بازمي گرداندند، در صورتيكه همين API هاي استفاده شده توسط برنامه هاي دسكتاپ، همه برنامه هاي اجرا شده توسط آن كاربر، از جمله Metro را نمايش مي دادند. البته اين جاي تعجب نيست چرا كه برنامه هاي دسكتاپ توسط هر AppContainer محدود شده نيستند.
نكته جالب اين است كه ما قادر به تزريق كد از يك برنامه دسكتاپ به درون يك برنامه Metro در حال اجرا بوديم؛ برنامه در حال اجرا، امتيازات بالاي اجرايي نداشت. كد، تزريق شده و بدون هيچ گونه خطايي نيز اجرا گرديد.
اين عملكرد، بيانگر ميزباني از خطرات امنيتي براي توسعه دهندگان نرم افزار در جهت اجراي اطلاعات حساس يا محرمانه كاربران در اين محيط است.

ارایه دهندگان گواهي نامه ويندوز
علاوه بر اين موارد، ارائه دهندگان گواهي نامه ويندوز، به طور پيش فرض در داخل ويندوز 8 ايجاد شده اند. آن ها شامل حركت و مبتني بر PIN ورودي (متفاوت از رمز عبور عادي) و همچنين بر اساس گواهي نامه ها، بعلاوه مجموعه فعلي نسخه هاي قبلي ويندوز هستند. تغييرات اوليه، با تغييرات رابط كاربري كاربران در انتخاب يك روش احراز هويت، سپس با انتخاب يك حساب كاربري براي ورود به سيستم و يك روش احراز هويت، در ارتباط هستند. اين امر، منعكس كننده مجدد تغييرات كاربر محور است كه براي ويندوز ساخته شده اند.
رابط هاي كاربري جديد داخلي، براي پشتيباني از اين تغييرات و بعضي از دستورالعمل هاي جديد پيرامون فرآيند محدود كردن مقدار متغيرهاي برنامه حساب هاي كاربري، معرفي شده اند.

Metro در مقايسه با Android
برنامه امنيتي Metro ويندوز 8 و فروشگاه مايكروسافت، يادآور بسياري از برنامه هاي اندرويدي و امنيتي بوده كه امكان مقايسه امنيت هر كدام از آن ها، به خصوص مجوزهاي برنامه ها امكان پذير است. در اندرويد، كاربران براي مرور مجوزها و تصويب آن ها قبل از نصب يك برنامه، اعلام مي شوند كه اين كار، ارزش كمي دارد زيرا معمولاً كاربران به سرعت از طريق دكمه ها، برنامه هاي مشغول به كار را دريافت مي كنند.
در زير، يك مقايسه طرف به طرف بين اين دو آمده است:

با ارايه هر نسخه از ويندوز، ما شاهد بهبودهايي در هسته هاي مختلف هستيم. مايكروسافت با اين تغييرات سيستم عامل، درصدد است تا محيطي امن تر را براي كاربران فراهم سازد. اما اين محيط، هنوز هم در برابر خطرات امنيتي زير آسيب پذير است:

• * ايميل هاي مهندسي اجتماعي يا وب سايت هايي كه حاوي فايل هاي پيوست با قابليت اجرايي هستند.
• * آسيب پذيري ها و كدهاي مخربي كه برنامه هاي ويندوز را هدف خويش قرار داده اند.
• * توزيع انبوه بدافزارهاي دسكتاپ

بسياري از بدافزارهايي كه ما امروزه مي بينيم، ديگر وارد BIOS نمي شوند. بعضي از آن ها در مرحله بوت شدن سيستم و اغلب شان نيز در نقاطي پس از فرآيند بوت، مانند زمان شروع به كار پوشه ها، كليدهاي رجيستري اتوران و DLL هاي خود اجرا، تزريق مي شوند. معماري بوت امن، فرآيندهاي پيش از بوت را اداره كرده و روش خوبي در اعتبارسنجي درايور بوت به شما مي رود ولي همچنان، هنوز تا رسيدن به محافظتي تمام عيار عليه تزريق كدهاي مخرب توسط بيشتر بدافزارها فاصله دارد.