Vista 'gehackt' tijdens Blackhat

Terwijl Microsoft tijdens de Blackhat 2006-conferentie een presentatie hield over de veiligheidsmaatregelen in het nieuwe besturingssysteem, demonstreerde een Poolse onderzoekster in een andere zaal hoe enkele veiligheidsmaatregelen van Vista omzeild kunnen worden. Joanna Rutkowska, werkzaam voor het Singaporese bedrijf Coseinc, liet zien hoe het dankzij virtualisatietechnieken mogelijk is om kwaadaardige programmacode onzichtbaar te laten functioneren onder Vista, waarmee in feite de eerste rootkit voor Vista is getoond. De onderzoekster heeft haar malware de naam 'Blue Pill' gegeven.

Tijdens de Blackhat-conferentie deelde Microsoft cd's uit met bètaversies van het nieuwe besturingssysteem, zodat de hackers de veiligheidsmaatregelen die Microsoft heeft ingebouwd kunnen testen. Het bedrijf is nu dan ook bezig om te onderzoeken hoe veiligheidsproblemen zoals gedemonstreerd door Rutkowska kunnen worden verholpen. 'We werken samen met onze hardwarepartners om te onderzoeken hoe we de virtualisatieaanval die gebruikt wordt door Blue Pill kunnen voorkomen', aldus een woordvoerder van het bedrijf.

De aanval die Rutkowska heeft bedacht, omzeilt het systeem van Vista dat moet voorkomen dat ongecertificeerde drivers op de 64bit-versie van het besturingssysteem kunnen worden geïnstalleerd. Aangezien drivers op een vrij laag niveau van het besturingssysteem werken, hebben ze vrijwel onbeperkte toegang tot alle delen van het besturingssysteem en is dit dus een serieus veiligheidsrisico. 'Het feit dat het beschermingsmechanisme is omzeild, betekent niet dat Vista volledig onveilig is', aldus Rutkowska. 'Het is erg complex om een 100 procent veilige kernelprotectie te ontwikkelen', zo voegt de veiligheidsonderzoekster toe. Overigens werkt de exploit die ze ontwikkeld heeft alleen op Vista-installaties op AMD-systemen, aangezien Blue Pill gebruikmaakt van de virtualisatietechnologie Pacifica die is ingebouwd in AMD-processors. Ze denkt echter dat de exploit ook mogelijk is op Intel-systemen en ontkent elke verdenking dat ze door Intel wordt gesponsord, zoals sommige mensen beweren.

Rutkowska had wel kritiek op de User Account Control-feature van Vista. Deze feature zorgt ervoor dat gebruikers met beperkte gebruikersrechten kunnen werken, en expliciet toestemming moeten geven om veranderingen op systeemniveau door te voeren. Om haar exploit te laten werken is het noodzakelijk dat de gebruiker toestemming geeft voor zo'n verandering. Op een vraag uit het publiek hoe ze dit omzeilde antwoorde Rutkowska dat ze gewoon op 'accept' heeft geklikt. Volgens Rutkowska zullen veel gebruikers dit ook doen omdat Vista erg veel veiligheidsmeldingen geeft, waardoor gebruikers niet meer realiseren waar ze toestemming voor geven. Microsoft claimt dat Vista de meest veilige Windows-versie ooit zal worden.