Microsoft heeft de eerste details van zijn nieuwe kernel data protection-functie in Windows gedeeld. Het gaat om een functie die bepaalde soorten malware tegenhoudt. Microsoft levert hiervoor api's aan ontwikkelaars, waarmee die bepaalde delen van de kernel read-only kunnen maken.
Volgens Microsoft is kernel data protection bedoeld om datacorruptieaanvallen tegen te gaan. Deze aanvallen worden bijvoorbeeld gebruikt om systeemprivileges te verhogen, het beveiligingsbeleid van systemen te veranderen, of om bepaalde datastructuren aan te passen. Kdp omvat een set api's waarmee ontwikkelaars bepaalde onderdelen van het kernelgeheugen als read-only kunnen aanwijzen. Dit voorkomt dat aanvallers dit geheugen kunnen wijzigen, wat bijvoorbeeld de bovenstaande aanvallen voorkomt, zo schrijft ZDNet.
Microsoft maakt onderscheid tussen 'statische kdp' en 'dynamische kdp'. Die eerste maakt het mogelijk dat software die in de kernelmodus draait, een deel van zijn eigen image beschermt tegen manipulatie door een ander programma in de kernelomgeving. Dynamische kdp helpt software die in de kernelmodus draait om read-only-geheugen toe te wijzen en vrij te geven vanuit een 'veilige pool'. Het geheugen dat hieruit vrijkomt, kan slechts een keer geïnitialiseerd worden, waardoor dit niet meer kan worden aangepast.
Dit concept van het beschermen van kernelgeheugen heeft volgens Microsoft 'waardevolle toepassingen voor de Windows-kernel', maar het kan daarnaast ook gebruikt worden voor drivers van derde partijen. Denk hierbij bijvoorbeeld aan anti-cheat- of drm-software. Naast de beveiligingsverbeteringen, heeft kdp volgens Microsoft ook enkele andere voordelen. Zo is er een prestatiewinst, doordat kdp de werklast voor attestation components verlaagt. Deze onderdelen hoeven door kdp niet langer periodiek datavariabelen te verifiëren die read-only zijn.
De nieuwe functie werkt op basis van virtualization-based security. Vbs kan gestart worden op computers die virtualisatie-extensies voor Intel, AMD of ARM ondersteunen. Ook moet de pc second-level address translation ondersteunen. Hardwarematige ondersteuning voor mode based execution control wordt aangeraden, omdat daardoor de prestatiekosten verminderen. Computers met het Secured-core-label ondersteunen al deze features standaard.
Kdp is inmiddels verwerkt in de meest recente Windows 10 Insider-build. Het is nog niet duidelijk wanneer Microsoft de feature toevoegt aan de reguliere versie van Windows 10.