Credential Guard

Credential Guard to funkcja Windows izolująca dane logowania w chronionym środowisku wirtualizowanym, utrudniająca ich kradzież nawet przy przejęciu jądra systemu.

Credential Guard — czym jest i jak działa

Credential Guard to mechanizm ochrony dostępny w wybranych edycjach systemu Windows, którego zadaniem jest ograniczenie dostępu do danych uwierzytelniających przechowywanych i wykorzystywanych podczas logowania. Zamiast pozostawiać najważniejsze informacje w zwykłej części systemu, rozwiązanie wykorzystuje izolowane środowisko zabezpieczone przez funkcje wirtualizacji oparte na sprzętowych mechanizmach ochrony. Dzięki takiemu podziałowi procesy działające w głównym środowisku Windows mają znacznie trudniejszy dostęp do sekretów używanych przez mechanizmy logowania.

Ochroną mogą zostać objęte między innymi elementy związane z uwierzytelnianiem domenowym, biletami Kerberos oraz innymi danymi, które mogłyby zostać wykorzystane do podszycia się pod użytkownika. Credential Guard nie jest osobnym programem uruchamianym z pulpitu. Stanowi część architektury zabezpieczeń systemu i współpracuje z odpowiednio skonfigurowanym rozruchem, ochroną integralności kodu oraz obsługą wirtualizacji. Jego skuteczność zależy więc nie tylko od samego przełącznika w ustawieniach, lecz także od wersji Windows, możliwości płyty głównej, konfiguracji firmware’u i zgodności pozostałych zabezpieczeń.

Najważniejszym celem funkcji jest utrudnienie ataków, w których po uzyskaniu podwyższonych uprawnień próbuje się odczytać dane logowania z pamięci systemu. Samo przejęcie części środowiska Windows nie powinno wtedy automatycznie oznaczać dostępu do wszystkich chronionych poświadczeń. Nie oznacza to jednak pełnej odporności na każde zagrożenie. Credential Guard nie zastępuje aktualizacji, ochrony kont, szyfrowania dysku, zapory ani ostrożnego zarządzania uprawnieniami.

Kontekst techniczny i porównanie z innymi zabezpieczeniami - Credential Guard

W tradycyjnym modelu ochrony dane potrzebne do obsługi logowania mogą być przetwarzane w tej samej przestrzeni systemowej co wiele innych usług. Jeżeli złośliwy kod uzyska odpowiednie uprawnienia, może próbować analizować pamięć, przechwytywać tokeny lub wykorzystywać pozyskane informacje do poruszania się po zasobach użytkownika. Credential Guard wprowadza rozdzielenie zaufania: część operacji związanych z poświadczeniami zostaje przeniesiona do odizolowanego obszaru, a zwykły system otrzymuje jedynie ograniczony interfejs komunikacyjny.

Warto odróżnić tę funkcję od Windows Hello, modułu TPM, kontroli konta użytkownika i zwykłego logowania wieloskładnikowego. Windows Hello może zmienić sposób uwierzytelniania osoby, TPM przechowuje lub poświadcza klucze przy użyciu sprzętu, a kontrola konta użytkownika ogranicza samowolne uzyskiwanie wyższych uprawnień. Credential Guard koncentruje się natomiast na ochronie określonych sekretów używanych przez system podczas uwierzytelniania. Poszczególne mechanizmy uzupełniają się, lecz żaden z nich nie powinien być traktowany jako jedyne zabezpieczenie.

Włączenie ochrony może wymagać sprawdzenia ustawień UEFI, aktywnej wirtualizacji procesora, bezpiecznego rozruchu oraz zgodności sterowników. Na starszym sprzęcie albo w nietypowej konfiguracji może pojawić się problem z uruchomieniem określonych narzędzi, obsługą starszych metod logowania lub działaniem programów ingerujących w proces rozruchu. Dlatego przed zmianą ustawień powinno zostać wykonane sprawdzenie zasad zabezpieczeń, kopia ważnych danych oraz zapis bieżącej konfiguracji. Pozwala to odróżnić prawidłowe działanie ochrony od błędu powstałego przy niepełnej konfiguracji systemu.

Credential Guard może także występować jako element szerszego zestawu zasad ochrony urządzenia. W praktyce analizowane są wtedy komunikaty w Podglądzie zdarzeń, ustawienia zabezpieczeń urządzenia, zasady lokalne lub zasady zarządzania systemem oraz informacje o stanie funkcji w narzędziach administracyjnych Windows. Sam brak widocznej ikony w interfejsie nie przesądza jeszcze o wyłączeniu mechanizmu, ponieważ stan ochrony może być kontrolowany przez zasady systemowe.

Typowe problemy, błędy i nieporozumienia - Credential Guard

Częstym problemem jest próba aktywacji Credential Guard na komputerze, na którym wyłączono wirtualizację sprzętową albo bezpieczny rozruch. W takiej sytuacji funkcja może pozostać nieaktywna, zgłosić niepełny stan ochrony lub zostać ponownie wyłączona po restarcie. Przyczyną bywa również niezgodność ustawień UEFI z wymaganiami bieżącej wersji Windows, nieaktualne firmware albo zmiana konfiguracji po aktualizacji płyty głównej.

Inny błąd polega na uznaniu, że każda informacja o aktywnej wirtualizacji oznacza już działający Credential Guard. Wirtualizacja może być wykorzystywana przez różne składniki systemu, a sama jej obecność nie potwierdza prawidłowej izolacji danych logowania. Konieczne jest sprawdzenie faktycznego stanu zabezpieczenia, zastosowanych zasad oraz komunikatów systemowych. Weryfikacja powinna obejmować także to, czy uruchomiony system jest właściwą edycją Windows i czy określone wymagania sprzętowe są spełnione.

Problemy mogą wystąpić po zmianie zasad grupy, przywróceniu starszego obrazu systemu albo migracji dysku do innego komputera. Niekiedy zostają wtedy sprzeczne wpisy konfiguracyjne, a system próbuje uruchomić ochronę według ustawień, które nie pasują do aktualnego sprzętu. Objawami bywają komunikaty o niezgodności zabezpieczeń, dłuższy start, brak oczekiwanego statusu funkcji lub problemy z programem korzystającym ze starych metod uwierzytelniania.

Nie należy też mylić ochrony poświadczeń z ochroną przed wyłudzeniem hasła. Credential Guard nie rozpozna każdej fałszywej strony, nie zatrzyma użytkownika przed podaniem danych w wiadomości phishingowej i nie naprawi przejętego konta. Nie chroni również przed sytuacją, w której hasło zostanie ujawnione poza komputerem. W razie podejrzenia incydentu potrzebne są dodatkowe działania: zmiana danych dostępowych, przegląd aktywnych sesji, aktualizacja systemu, kontrola programów uruchamianych przy starcie oraz sprawdzenie innych urządzeń używanych do logowania.

Przed wyłączeniem Credential Guard warto ustalić, dlaczego ma zostać zmieniona konfiguracja. Dezaktywacja może obniżyć poziom ochrony, a w niektórych przypadkach problem leży w sterowniku, ustawieniu UEFI albo niezgodnym oprogramowaniu. Bezpieczniejsze jest zebranie informacji o wersji systemu, stanie rozruchu, ostatnich aktualizacjach i komunikatach błędów, a następnie dobranie rozwiązania do konkretnego modelu urządzenia.

W jakich sytuacjach warto zgłosić sprzęt do serwisu - Credential Guard

Zgłoszenie do serwisu jest uzasadnione, gdy Credential Guard nie chce się uruchomić, po restarcie wraca do nieprawidłowego stanu, powoduje konflikt z innym składnikiem Windows albo pojawia się podejrzenie, że dane logowania mogły zostać odczytane. Pomoc przydaje się również wtedy, gdy nie jest jasne, czy źródłem problemu jest system, firmware, ustawienia UEFI, sterownik czy ograniczenie sprzętowe. Samodzielne przełączanie kilku zasad naraz utrudnia późniejsze ustalenie przyczyny i może doprowadzić do problemów z rozruchem.

W Warszawie diagnostykę konfiguracji laptopa można powierzyć serwisowi „Warszawskie Pogotowie Komputerowe 24/7”, gdzie diagnoza laptopa jest darmowa. Przed rozpoczęciem prac można sprawdzić zgodność urządzenia, stan zabezpieczeń, komunikaty systemowe oraz wpływ aktywacji funkcji na używane oprogramowanie. W przypadku problemu z komputerem stacjonarnym zakres i sposób rozliczenia diagnozy powinien zostać ustalony przed przyjęciem urządzenia.

Podczas analizy warto zachować ważne pliki, zanotować moment pojawienia się usterki i przygotować informacje o ostatnich aktualizacjach lub zmianach w ustawieniach. Nie powinno się przekazywać haseł w wiadomości ani zapisywać ich na kartce dołączonej do sprzętu. Do rzetelnej diagnostyki zwykle wystarczają opis objawów, komunikaty błędów oraz zgoda na sprawdzenie konfiguracji systemu. Po zakończeniu prac powinno zostać wyjaśnione, czy Credential Guard działa prawidłowo, które ustawienia zostały zmienione i jakie dodatkowe działania zwiększą bezpieczeństwo logowania.