Windows 7: Mark Russinovich presenta AppLocker

Un TechEd 2009 piuttosto “piatto” è stato movimentato da Mark Russinovich con la presentazione della funzionalità AppLocker di Windows 7. La nuova caratteristica può essere paragonata ad un firewall che però agisce a livello kernel. Quando abilitata in un ambiente di rete, in modo prefederito AppLocker provvede ad impedire l’avvio di qualsiasi applicazione che non sia riconosciuta come parte del sistema operativo. Agendo sui criteri di protezione locali un utente od un amministratore è comunque libero di definire delle eccezioni, specificando un comportamento differente. In questo modo, Windows monitorerà i “metadati” relativi alle applicazioni in esecuzione, permettendo anche l’aggiornamento ed il successivo avvio dei software ritenuti fidati.
In Windows Vista ogniqualvolta il programma modificava il suo eseguibile, ad esempio in seguito ad un aggiornamento, anche i criteri di protezione dovevano essere nuovamente adeguati.

Durante la sua dimostrazione, Russinovich ha lanciato una delle sue utilità destinate alle aziende (Stock Viewer): in base alla regola predefinita, l’avvio del programma è stato bloccato. Mentre il sistema di protezione integrato in Vista limita la definizione delle regole ai nomi dei file ed agli hash degli stessi (l’hash è una firma che permette di avere garanzie che il contenuto di un file non sia stato modificato), Windows 7 consente di fidare anche sul “Publisher” ovvero di controllare i metadati inseriti nel file dal produttore o dallo sviluppatore. In fase di definizione di una regola di protezione, come illustrato da Russinovich, una pratica barra consente di impostare la complessità della restrizione. Ad esempio, è possibile consentire l’esecuzione di tutte le applicazioni che risultano sviluppate da uno stesso produttore (“publisher”) oppure rendere più severa la regola consentendono l’avvio di programmi ed addirittura versioni specifiche.

AppLocker può anche essere impostato in modo tale da consentire l’esecuzione di tutte le applicazioni, fatta eccezione per i programmi esplicitamente indicati.

Russinovich ha anche mostrato le potenzialità della nuova PowerShell (versione 2.0) per la generazione di script in grado di applicare policy di gruppo.
Un fragoroso applauso si è poi scatenato quando l’esperto ha rivelato che Windows 7 potrà montare ed utilizzare hard disk virtuali salvati in formato .VHD. Gli utenti potranno insomma avere accesso al contenuto dei file .VHD senza caricare la macchina virtuale con la quale sono stati prodotti. Un’innovazione interessantissima che apre nuovi scenari.