비스타의 강화된 보안 시스템 (비스타 홈 펌)

[마틴]

강화된 보안

Microsoft Windows XP 서비스 팩 2의 강화된 보안을 기반으로 하는 Windows Vista에서는 웜 및 기타 악성 소프트웨어를 비롯한 위협으로부터 고객의 보안을 유지하기 위해 기본 아키텍처가 변경되었습니다. Windows Vista는 보안 관련 디자인 및 코딩 결함의 수와 정도를 크게 줄여 주는 엄격한 프로세스인 Microsoft의 SDL(Security Development Lifecycle)을 사용하여 디자인 및 개발되었습니다. 이러한 개선을 통해 운영 체제의 공격 노출 영역을 최소화해 주므로 그 결과 시스템과 응용 프로그램의 무결성이 향상되고 조직에서 더욱 안전하게 네트워크를 관리하고 격리시킬 수 있습니다.

또한 Windows Vista에는 맬웨어 위협, 침입, 데이터 손상 등에 대한 계층적 방어를 제공하는 새로운 기능이 포함되어 있습니다. 이 방법에는 공격을 차단하는 방지, 손상 가능성을 제한하는 격리, 영향을 받은 사용자의 "정상적인" 상태로의 복구, 자격 있는 사용자만 장치, 응용 프로그램 및 데이터에 액세스할 수 있도록 ID 및 액세스 제어 등의 기능이 통합되어 있습니다.
Windows Vista는 Windows Update, 자동 업데이트, Microsoft Update 및 고객에게 출시되기 전에 업데이트를 엄격하게 테스트하는 Software Update Validation 프로그램에서도 지원됩니다. Windows Vista는 향후에 Eval‎uation Assurance Level 4 인증 및 Federal Information Processing Standard 140-2 평가를 만족하는 일반 기준 요구 사항을 지원하도록 엔지니어링되었습니다.
Windows Vista의 강화된 보안에 대한 IT(정보 통신) 전문가를 위한 정보는 위협 및 취약성에 대한 보호, 정보에 보다 안전하게 액세스, 승인되지 않은 보기로부터 데이터 보호의 세 가지로 구성되어 있습니다.

위협 및 취약성에 대한 보호
IT 부서 및 개인 사용자들은 맬웨어로 인한 문제를 해결하고 문제를 사전에 방지하는 데 많은 시간과 리소스를 소비합니다. Windows Vista에서는 문제를 일으키기 전에 맬웨어를 방지, 발견 및 제거하기 위한 강력한 기능을 제공하여 컴퓨터 성능과 보안을 향상시키고 지원 센터로 걸려 오는 고객 전화 수를 줄여 줍니다.

스파이웨어 및 사용자 동의 없이 설치된 소프트웨어
Windows Defender(이전 명칭: Microsoft AntiSpyware)는 스파이웨어와 기타 사용자 동의 없이 설치된 소프트웨어를 발견해 제거하고 실시간으로 차단하는 도구입니다. 또한 Windows Vista로 업그레이드하거나 마이그레이션하는 동안에 운영 체제에서는 Microsoft 악성 소프트웨어 제거 도구의 기본 서명을 사용해 바이러스와 기타 악성 소프트웨어를 발견 및 제거합니다. 설치가 완료되면 사용자는 www.microsoft.com/security에서 아무 때나 이 도구를 다운로드해 실행하거나 자동 업데이트를 통해 매달 다운로드할 수 있습니다. (참고: 이 기능은 바이러스 백신 소프트웨어를 대신하지는 않습니다.) 비즈니스용 Microsoft 맬웨어 방지 솔루션인 Microsoft Forefront Client Security에 대한 자세한 내용은 www.microsoft.com/forefront/clientsecurity/default.mspx.를 참조하십시오.

Windows Defender에 대한 자세한 내용은  3.09: Windows Defender을 참조하십시오.

개인 방화벽
IT 부서에서 보안 위험을 완화시키는 가장 중요한 방법 중 하나는 네트워크에 액세스할 수 있는 응용 프로그램을 제한하는 것입니다. Windows Vista에 기본 제공되는 개인 방화벽은 이러한 전략의 중요한 부분을 차지합니다. 개인 방화벽은 기본적으로 실행되며 양방향 트래픽 필터링을 제공합니다. 개인 방화벽을 사용하여 관리자는 응용 프로그램을 컴퓨터에서 로컬로 실행하는 동시에 네트워크를 통해 통신하지 못하도록 할 수 있습니다.
예를 들어 Windows Vista의 Windows 방화벽을 사용하면 관리자가 미디어 응용 프로그램 같은 응용 프로그램이 다른 컴퓨터에 연결하거나 응답하지 못하도록 차단할 수 있습니다. 로컬 컴퓨터에서 음악이나 비디오를 재생하는 용도로 이 응용 프로그램을 사용할 수는 있지만 인터넷 콘텐츠에 액세스하지 못하도록 응용 프로그램이 차단됩니다. 또한 Windows Vista 방화벽 설정을 그룹 정책 개체별로 구성하여 간편하게 관리하고 엔터프라이즈를 제어할 수 있습니다.

Windows 서비스 보안 강화
개인 방화벽은 Windows 서비스 보안 강화라는 새로운 플랫폼 관리 방식과 밀접한 관련이 있습니다. 여기서는 중요한 Windows 서비스가 파일 시스템, 레지스트리 또는 네트워크에서 비정상적인 작업에 사용되지 않도록 할 수 있습니다. Windows 방화벽은 인바운드 및 아웃바운드 필터링을 모두 지원하며 서비스 보안 강화 네트워크 규칙을 적용하는 데 사용됩니다. 또한 ACL(액세스 제어 목록)을 기반으로 파일 시스템이나 레지스트리의 특정 영역에만 쓸 수 있도록 서비스를 제한할 수도 있습니다. 이렇게 하면 파일 시스템이나 레지스트리에서 손상된 서비스로 인해 중요한 구성 설정이 변경되거나 네트워크의 다른 컴퓨터가 영향을 받지 않도록 하는 데 도움이 됩니다. 예를 들어, RPC(원격 프로시저 호출) 서비스가 시스템 파일을 바꾸거나 레지스트리를 수정하지 못하도록 제한할 수 있습니다.

NAP(네트워크 액세스 보호)
Windows Vista의 NAP 클라이언트는 조직에서 클라이언트 상태(예: 소프트웨어 업데이트 상태 및 최신 바이러스 스캐너 서명)에 대한 요구 사항을 설정할 수 있도록 하고 클라이언트가 네트워크에 연결될 때 이러한 요구 사항을 확인할 수 있도록 합니다. 상태 요구 사항을 만족하지 않는 클라이언트는 네트워크에서 허용되지 않습니다.

통합 IPSec/방화벽 관리
Windows Vista에서는 IPSec(인터넷 프로토콜 보안) 및 방화벽 관리가 고급 보안이 포함된 Windows 방화벽이라는 하나의 콘솔로 통합됩니다.
이 콘솔은 IPSec 서버 및 도메인 격리 설정과 함께 인바운드 및 아웃바운드 트래픽 필터링을 사용자 인터페이스에서 중앙 집중화하므로 보안 설정을 보다 확실하게 확인할 수 있습니다.

웹 검색을 위해 강화된 보안
Windows Vista의 Microsoft Internet Explorer 7에서 강화된 보안 기능은 맬웨어로부터 사용자를 보호하고 사용자의 개인 데이터를 보호하기 위한 두 가지 목표를 염두에 두고 개발되었습니다.

맬웨어 보호. Internet Explorer 7의 경우 사용자의 컴퓨터에서 악성 소프트웨어를 실행하려는 시도를 막기 위해 보안이 크게 "강화"되었습니다. 예를 들어, 통합 URL 파서가 구문 분석 또는 버퍼 오버플로 공격의 위험을 최소화해 줍니다. 교차 도메인 스크립팅 컨트롤은 스크립트가 하나의 인터넷 도메인에서 다른 도메인의 콘텐츠를 조작하는 악용 사례를 제한합니다. Internet Explorer 7에는 또한 ActiveX Opt-In이라는 새로운 보안 메커니즘이 도입되었습니다. 이 메커니즘은 사용자의 컴퓨터에 미리 설치되었지만 사전에 사용하도록 설정하지 않은 ActiveX 컨트롤이 실수로 공개되지 않도록 도와줍니다. ActiveX Opt-In을 사용할 경우 새로운 웹 사이트를 볼 때 아직 사용되지 않은 ActiveX 컨트롤에 대한 액세스를 허용하거나 거부하도록 사용자에게 메시지를 표시하므로 공격에 노출될 확률이 크게 줄어듭니다. Internet Explorer 7에는 임시 인터넷 파일을 제외한 모든 로컬 컴퓨터 영역 리소스에 쓰지 못하도록 제한하여 악의적인 다운로드로부터 사용자를 보호하는 보호 모드(Windows Vista에서만 사용 가능함)라는 기능도 있습니다. 보호 모드일 경우 Internet Explorer 7에서 사용자 조작 없이 사용자 또는 시스템 파일 및 설정을 수정할 수 없습니다. 모든 통신은 Internet Explorer 브라우저 및 운영 체제 사이를 중재하는 조정 프로세스를 통해 발생합니다. Broker 프로세스는 사용자가 Internet Explorer 메뉴 및 화면을 클릭할 때에만 시작됩니다. 보호 모드는 스크립트 처리된 동작이나 자동으로 실행되는 프로세스가 데이터를 다운로드하거나 시스템에 영향을 주지 못하도록 합니다. Internet Explorer 보호 모드에서는 새 탭 대신 새 창을 여는 방식으로 현재 보안 영역 밖에 있는 콘텐츠에 대해 탭 검색 보안 보호를 제공합니다.

데이터 도용으로부터 보호. Internet Explorer 7에는 사용자의 개인 정보 및 데이터를 보호하기 위한 중요한 기능이 여러 개 제공됩니다. - 보안 상태 표시줄: 이 기능은 보안 사이트 잠금 아이콘을 효과적으로 확인하고 -사이트 인증서의 유효성을 검사하는 등 사이트의 보안과 신뢰도를 확실하게 눈으로 확인할 수 있도록 함으로써 사용자가 더욱 빠르게 인증된 웹 사이트를 확인할 수 있도록 도와줍니다. - 피싱 필터: Internet Explorer 7의 피싱 필터는 의심스럽거나 알려진 피싱 웹 사이트에 조언을 제공하는 방법으로 사용자가 보다 안전하게 검색할 수 있도록 도와줍니다. - 모든 창에 주소 표시줄 표시: Internet Explorer 7에서는 모든 브라우저 창에 주소 표시줄이 있어야 합니다. 해커들은 주로 유효한 팝업 창을 악용해 잘못된 그래픽 및 데이터가 들어 있는 창에서 맬웨어를 다운로드하거나 설치하도록 사용자를 속이기 때문에 창마다 주소 표시줄을 표시하도록 하면 사용자가 표시 되는 정보의 출처를 정확히 알 수 있습니다. - 검색 기록 삭제: 지금까지 사용자들은 기록 정보를 따로 삭제하고 캐시를 정리하고 자동으로 완료된 양식 기록과 시작/실행 기록을 지워야 했습니다. 검색 기록삭제 옵션을 사용하면 단 한 번의 클릭으로 브라우저 사용 기록과 개인 데이터가 바로 지워지며 정리됩니다

64비트 보호
Windows Vista의 64비트 버전은 최신 64비트 프로세서의 보안 기능을 활용해 가장 악독한 웜이나 악용 사례로부터 하드웨어를 보다 강력하게 보호해 줍니다.

DEP(데이터 실행 방지)
버퍼 오버플로 악용은 지난 몇 년 간 Windows에 큰 악영향을 끼치는 것으로 판명되었습니다. 버퍼 오버플로는 메모리 영역(버퍼)에서 데이터의 양이 최고치가 될 것으로 예상되는 상황에서 메모리가 더 늘어나고 제대로 처리되지 않을 경우에 발생합니다. 예를 들어, 파일 이름에 문자가 최대 255자 포함된 첨부 파일을 처리하도록 전자 메일 클라이언트가 설정되어 있는 경우에 파일 이름이 256자로 된 첨부 파일을 받으면 버퍼 오버플로가 발생할 수 있습니다. 그 결과 주변 메모리 공간을 덮어쓰고 악성 코드가 실행될 수 있습니다. 이러한 유형의 악용으로 악명 높은 MSBlaster 웜이 있습니다.
Windows Vista 64비트 버전은 64비트 프로세서의 DEP 기능을 사용하여 버퍼 오버플로 공격으로부터 컴퓨터를 보호해 줍니다. 일부 32비트 프로세서에는 DEP용 하드웨어 지원이 기본적으로 포함되어 있으며 Windows Vista 32 비트 버전은 32비트 프로세서에서 DEP를 지원합니다. DEP가 제대로 디자인되고 구현된 바이러스 백신 및 맬웨어 방지 배포를 대체하지는 못하지만 MSBlaster 웜이 성행할 당시 광범위하게 구현되었더라면 이 웜이 확산되지 못하도록 보안을 강화시키는 데 중요한 역할을 할 수 있었을 것입니다.

커널 패치 보호
Windows 64비트 버전은 커널 패치 보호 기술도 지원합니다. 이 기술은 프로그램이 무단으로 Windows 커널을 패치하지 못하도록 합니다. 커널 패치 보호는 기록되지 않고 지원되지 않는 커널 후크를 중지하여 Windows의 안정성을 개선합니다. 기록되지 않은 커널 후크는 안정성과 성능 문제를 일으킬 수 있으며 시스템에 잠재적인 보안 문제를 일으킬 수 있습니다.

드라이버 서명
Microsoft는 사용자가 드라이버의 출처와 운영 체제 커널에서 실행되는 다른 소프트웨어를 확인할 수 있도록 Windows 2000부터 "서명된 드라이버"의 개념을 도입했습니다. 이를 통해 서명되지 않은 드라이버 설치를 방지할 수 있었지만 기본 구성은 사용자에게 서명되지 않은 드라이버 설치에 대한 경고만 표시하는 것이었습니다. IT 관리자가 그룹 정책을 통해 서명되지 않은 드라이버 설치를 차단할 수도 있었지만 대부분의 경우 많은 사용자가 서명되지 않은 드라이버를 설치해 이를 불가능하게 했습니다. 악성 커널 소프트웨어는 사용자 동의 없이 자동으로 설치를 시도하고 Windows Vista 이전에는 커널 로드 시간 확인 기능이 없었으므로 악성 커널 소프트웨어가 성공적으로 실행될 수 있었고 이러한 조작은 사용자가 관리자 권한으로 수행한 것으로 인식되었습니다.
64비트 시스템에서 Windows Vista를 사용함으로써 모든 커널 모드 드라이버에 디지털 서명을 요구하여 커널의 보안 수준을 향상시켰습니다. 디지털 서명은 ID뿐만 아니라 코드의 무결성도 제공합니다. 손상되었거나 변조된 커널 모듈은 로드되지 않습니다. 제대로 서명되지 않은 드라이버는 커널 공간에 들어갈 수 없으며 로드에 실패하게 됩니다.
서명된 드라이버가 안전을 보장하지는 않지만 악의적인 공격을 구분해 방지하는 데는 분명히 효과가 있으며 Microsoft에서 드라이버의 전체 품질을 높이고 드라이버 관련 충돌 사례를 줄일 수 있도록 개발자를 지원하는 데에도 도움이 됩니다.
또한 많은 시스템 충돌이 커널 모드 드라이버의 취약성으로 인해 발생하기 때문에 필수 드라이버 서명이 Windows Vista의 안정성을 향상시키는 데 도움이 됩니다. 필수 드라이버를 만든 사람에게 이러한 드라이브를 확인하게 함으로써 Microsoft가 시스템 충돌의 원인을 확인하고 책임 공급업체와 협력하여 이 문제를 해결하기가 쉬워집니다. 또한 시스템 관리자가 소프트웨어 인벤토리와 클라이언트 컴퓨터의 설치 상태를 보다 잘 확인할 수 있기 때문에 디지털 서명되고 확인된 드라이버를 통해 이점을 누릴 수 있습니다. 호환성의 관점에서는 Windows Vista에서 기존의 Windows Hardware Quality Labscerfitied x64 커널 드라이버가 올바르게 서명된 것으로 간주됩니다.

관리 - 주요 기능
기능	간단한 설명
스파이웨어
Windows Defender	스파이웨어 및 기타 사용자 동의 없이 설치된 소프트웨어를 검색하고 실시간으로 차단합니다.
개인 방화벽
아웃바운드 필터링	아웃바운드 및 인바운드 트래픽을 필터링합니다.
Windows 서비스 보안 강화
Windows 서비스 보안 강화	파일, 레지스트리 및 네트워크 액세스를 서비스 운영에 합법적으로 필요한 내용으로 제한하는 쓰기 제한 토큰에 각 서비스를 연결할 수 있습니다.
네트워크 액세스 보호
NAP(네트워크 액세스 보호) 클라이언트 에이전트	패치 상태, 바이러스 서명 및 시스템 구성 같은 영역에서 상태를 선언하는 데 사용되는 시스템 상태 에이전트와 클라이언트 상태를 보고하고 시스템 상태 에이전트 및 서버 기반 차단 실행 서비스 사이를 조정하는 차단 에이전트가 들어 있습니다.
통합 IPSec/방화벽 관리
IPv6(인터넷 프로토콜 버전 6)에 대한 완벽한 지원	사용자 인터페이스 및 GPO(그룹 정책 개체)를 통해 IPv6를 구성합니다.
보안이 강화된 Windows 방화벽	인바운드 및 아웃바운드 트래픽 필터링을 사용자 인터페이스에서 중앙 집중화하므로 보안 설정을 보다 확실하게 확인할 수 있습니다.
웹 검색에 대한 보안 강화 - 맬웨어 방지
ActiveX Opt-In	처음으로 ActiveX 컨트롤을 실행하기 전에 사용자에게 알려 줍니다.
보호 모드	인터넷 영역의 임시 인터넷 파일 디렉터리에만 쓸 수 있도록 Internet Explorer를 제한합니다.
웹 검색에 대한 보안 강화 - 데이터 도용에 대한 보호
피싱 필터	TCP/IP 주소나 특수한 문자가 있는 URL과 같은 기타 의심스러운 URL이 참조하는 사이트로 이동하려 할 때 사용자에게 경고를 표시합니다. 사용자가 페이지로 이동할 때 라이브 서비스에 대해 보고된 피싱 사이트의 검사도 수행합니다.
검색 기록 삭제	한 번의 클릭으로 캐시된 데이터(기록, 브라우저 캐시, 양식 데이터)를 모두 지웁니다.
보안 상태 표시줄	사용자가 보안 사이트에 있을 때 주소 표시줄을 강조 표시하고 사용자가 사이트의 보안 인증서 유효성을 쉽게 확인할 수 있도록 합니다.
64비트 보호
데이터 실행 방지	메모리를 오버런하는 원치 않는 코드가 실행되지 않도록 차단합니다..
Kernel patch protection	프로그램이 무단으로 Windows 커널의 일부를 확장하거나 바꾸지 못하도록 차단합니다.
서명된 커널 모드 드라이버	Windows는 보다 나은 안정성을 제공하고 드라이버 작성자 확인을 돕기 위해 개발자에게 커널 모드 드라이버에 서명할 것을 요구합니다.

보다 안전한 정보 액세스 IT 전문가가 사용자를 인증하고 장치, 응용 프로그램 및 데이터에 대한 액세스를 제어할 수 있도록 돕기 위해 Windows Vista에서는 다음을 포함하는 여러 가지 중요한 기능이 개선되었습니다.

사용자 계정 컨트롤
Windows Vista의 UAC(사용자 계정 컨트롤)는 보안을 향상시키고 관리자 권한 없이 Windows를 배포하여 TCO(총 소유 비용)를 개선합니다. 표준 사용자는 이제 더 많은 작업을 수행하고 향상된 응용 프로그램 호환성을 확인할 수 있습니다. 이는 맬웨어의 영향, 무단 소프트웨어 설치 및 승인되지 않은 시스템 변경을 줄여 줍니다.
Windows Vista에는 기본적으로 표준 사용자와 관리자라는 두 가지 유형의 사용자가 있습니다. 표준 사용자는 대부분의 응용 프로그램 설치, 시스템 설정 변경 또는 기타 관리자 작업을 수행할 수 없습니다. 표준 사용자가 관리자 권한이 필요한 작업을 수행하려고 하면 작업이 금지되었다거나 UAC의 구성에 따라 관리 자격 증명이 필요하다는 메시지가 사용자에게 표시됩니다. 후자의 경우 사용자에게 관리자가 제공한 합법적인 자격 증명이 있는 경우 작업을 완료할 때까지만 그 권한이 허용됩니다.
이전에 많은 표준 사용자들이 겪었을 불편함을 해결하기 위해 Windows Vista는 추가 권한을 제공하여 사용자들이 일반적인 업무를 수행할 수 있도록 합니다. 이러한 권한들은 위험 요소가 적은 것으로 구성되어 있으나 관리자가 원하지 않을 경우에는 권한을 제한할 수 있습니다.
표준 사용자에게 제공되는 새로운 권한에는 시스템 시계 및 달력 보기, 표준 시간대 변경, 안전한 무선 네트워크에 연결하기 위한 WEP(Wired Equivalent Privacy) 설치, VPN(가상 사설망) 연결 만들기와 구성 및 승인된 장치와 ActiveX 컨트롤 설치가 포함됩니다. 또한 디스크 조각 모음의 경우 사용자가 시작할 필요 없이 자동으로 일정에 맞게 진행됩니다.
Windows XP에서 표준 사용자 계정으로 실행되지 않았던 이전의 많은 응용 프로그램들이 파일 및 레지스트리 시각화 기능으로 인해 Windows Vista에서는 수정 없이 실행됩니다. 현재 표준 사용자가 액세스할 수 없는 파일 시스템 및 레지스트리의 보호 영역에 쓰기를 시도하기 때문에 많은 응용 프로그램이 손상되었습니다. Windows Vista는 쓰기(후속 파일 또는 레지스트리 작업)를 사용자 프로필 내의 사용자별 위치로 리디렉션하여 이러한 사용자의 응용 프로그램 호환성을 개선합니다.
Windows Vista는 또한 관리 승인 모드라고 하는 관리자를 위한 새로운 보호 단계를 제공합니다. 일반 환경에서 관리자는 표준 사용자와 같은 권한으로 실행합니다. 사용자가 관리자 권한이 필요한 작업을 수행하려고 하면 사용자에게 동의 여부를 묻는 메시지가 표시되고 계속 진행할지 여부를 결정할 수 있습니다. 이 경우 작동 중에 권한이 상승됩니다.

인증
현재 가장 일반적인 인증 방법은 암호를 사용하는 것입니다. 그러나 이와 같은 단일 요소 인증에는 여러 가지 제한 사항이 있습니다. 암호가 짧거나 기억하기 쉬우면 공격자가 쉽게 추측할 수 있습니다. 길이가 길고 복잡한 암호는 기억하기 어렵기 때문에 사용자들이 적어 두는 경우가 많습니다. Windows Vista에는 생체 인식 또는 토큰 같은 대체 인증 방법을 추가하기 위한 수정된 아키텍처가 도입되었습니다. Winlogon 수정 아키텍처에서는 ISV(Independent Software Vendor) 및 조직이 자격 증명 공급자를 작성하여 생체 인식이나 토큰 같은 자체 인증 방법을 구현할 수 있습니다. 자격 증명 공급자 모델은 GINA(Graphical Identification and Authorization) 교체에 비해 훨씬 간단하며 여러 공급자가 함께 작동할 수 있습니다.

권한 부여
권한이 있는 사용자만 중요한 데이터에 액세스할 수 있도록 하고 지적 재산권에 대한 제어권을 유지하기 위해 Windows Vista에서는 향상된 권한 관리 기능을 제공합니다. 개발자들은 디지털 콘텐츠과 관련된 권한 및 조건을 표현하기 위해 XrML(Extensible Rights Markup Language)에 대한 지원을 제공받게 됩니다.

세분화된 감사
Windows Vista의 감사 기능을 사용하면 사용자가 수행하는 작업을 보다 쉽게 추적할 수 있습니다. 감사 범주에는 다양한 하위 범주가 포함되어 있어 관련 없는 이벤트의 수가 줄어듭니다. IT 전문가는 별도의 컴퓨터에서 이벤트를 감사할 수 있으며 분석을 위해 이벤트를 중앙 위치에 수집할 수 있습니다.

자격 증명 관리
암호와 인증서 같은 자격 증명 및 자격 증명을 보유한 스마트 카드 같은 하드웨어는 조직에서 관리하기가 어렵습니다. Windows Vista에는 로밍 사용자의 자격 증명 관리 지원을 돕기 위해 새 DIMS(Digital Identity Management Service) 및 새 인증서 등록 프로세스를 포함하는 새로운 도구가 포함되어 있습니다. 셀프 서비스 개인 ID 번호(PIN) 다시 설정 도구 같은 새로운 스마트 카드 관리 리소스를 사용하면 더 쉽게 스마트 카드를 배포할 수 있습니다. 소규모 기업 및 고객들은 저장된 사용자 이름 및 암호 키 링에 저장된 자격 증명을 백업 및 복원할 수 있습니다.

암호화 서비스
암호화는 Windows 인증 및 권한 부여 서비스의 중요한 구성 요소입니다. Windows Vista에서는 수많은 정부 및 조직에서 요청한 바 있는 CNG(Crypto Next Generation) 서비스를 제공합니다. CNG의 초기 버전에서는 새 알고리즘을 추가해 SSL/TLS(Secure Sockets Layer/Transport Layer Security) 및 IPSec에서 사용할 수 있습니다. 또한 Windows Vista에는 권한 관리 같은 서비스에서 신뢰할 수 있는 결정을 내릴 수 있도록 새로운 보안 프로세서가 포함되어 있습니다.

보다 안전한 정보 액세스 - 주요 기능
기능	간단한 설명
사용자 계정 컨트롤
관리자 승인 모드	관리자 권한이 있는 사용자가 대화형 로그온을 수행하면 전체 권한 "관리자" 토큰을 만들고 관리 권한 및 그룹을 필터링하여 두 번째 "표준" 토큰을 파생합니다. 이 표준 사용자 토큰은 기본적으로 데스크톱 및 기타 응용 프로그램을 시작하는 데 사용됩니다.
동의/자격 증명 프롬프트	전체 관리 수준 권한으로 응용 프로그램을 시작하는 데 필요한 사용자의 동의 또는 자격 증명을 얻기 위해 보안 데스크톱에서 실행됩니다.
파일 및 레지스트리 가상화	컴퓨터별 파일을 리디렉션하면 오류가 발생한 사용자의 프로필에 레지스트리가 쓰여집니다. 가상화된 사용자별 위치를 먼저 살펴보고 다음으로 컴퓨터별 위치를 확인하기 위해 읽기를 리디렉션합니다. 관리 권한 없이 이전 응용 프로그램을 실행하기 위한 과정입니다.
권한 상승을 위한 방패 UI	방패 아이콘은 사용자가 관리자 자격 증명을 제공해야 하는 작업을 표시하기 위해 사용자 인터페이스에서 전반적으로 사용됩니다. 표준 사용자는 로그오프하지 않은 상태에서 관리자 자격 증명을 입력하여 관리 기능을 잠금 해제할 수 있습니다.
인증
개선된 Kerberos 및 프로토콜	새 사용 시나리오를 지원하는 것은 물론 향상된 성능 및 지원 가능성, WS-*(웹 서비스 표준) 지원 및 IPv6에 대한 완벽한 지원을 제공합니다.
Winlogon 수정 아키텍처	ISV 및 조직에서 자격 증명 공급자를 작성해 생체 인식 및 토큰 같은 자체 인증 방법을 구현할 수 있도록 합니다. 자격 증명 공급자 모델은 GINA(Graphical Identification and Authorization) 교체보다 훨씬 간단합니다. 자격 증명 공급자의 경우 GINA 교체에 비해 작성하기가 훨씬 수월할 뿐 아니라 여러 공급자가 공존할 수 있습니다.
권한 부여
권한 부여 관리자	역할, 정의 및 역할 할당을 효과적으로 제어할 수 있으며 확장성 및 성능을 크게 향상시켜 줍니다.
XrML	디지털 콘텐츠와 관련된 권한 및 조건을 표현하는 데 사용되는 XrML 2.0 및 XrML 1.2를 지원합니다.
자격 증명 관리
개선된 자격 증명 관리자	사용자의 자격 증명을 백업 및 복원합니다.
DIMS(Digital Identity Management Service)	Active Directory 포리스트 및 종단 간 인증서 주기 관리 시나리오 내에서 인증서 및 자격 증명 로밍을 제공합니다.
스마트 카드 관리	도메인 가입을 비롯하여 추가 시나리오를 지원합니다.
X.509 등록	고급 개발자 API(응용 프로그래밍 인터페이스) 클래스 및 사용자 환경으로 등록 프로세스를 다시 씁니다.
암호화 서비스
CNG(Crypto Next Generation)	시스템에 새 알고리즘이나 알고리즘 구현을 쉽게 추가할 수 있도록 암호화 인프라 안에서 API 및 인프라를 제공합니다. CNG는 S/MIME(Secure/Multipurpose Internet Mail Extension) 및 EFS(파일 암호화 시스템)와 같은 다른 시나리오와 함께 SSL/TLS 및 IPSec을 지원합니다.
스마트 카드 인프라	일반 카드 모듈을 통해 모든 카드 유형에 일반적인 CSP(암호화 서비스 공급자)를 제공하고 도메인 가입을 지원합니다.

승인되지 않은 보기로부터 데이터 보호
IT 관리자가 장치 및 데이터의 무결성을 유지할 수 있도록 돕기 위해 Windows Vista에는 다음을 포함하는 여러 가지 새 기능이 제공됩니다.

Windows BitLocker 드라이브 암호화
BitLocker 드라이브 암호화는 클라이언트 컴퓨터용 Windows Vista Enterprise 및 Ultimate 버전과 Windows Server "Longhorn"에서 사용 가능한 데이터 보호 기능입니다. BitLocker는 Windows 운영 체제에 완벽하게 통합된 솔루션 개발을 통해 PC 하드웨어 손상, 도난, 오작동 등으로 인한 데이터 도용 또는 공개 같은 실제 위협을 해결해 달라는 고객의 주요한 요청에 대한 Microsoft의 응답입니다

BitLocker는 도둑이 다른 운영 체제 시스템을 부팅하거나 소프트웨어 해킹 도구를 실행하여 Windows Vista 파일 및 시스템 보호에 침입하거나 보호된 드라이브에 저장된 파일을 오프라인으로 보는 것을 방지합니다.
이 기능은 TPM 1.2(신뢰할 수 있는 플랫폼 모듈)를 사용하여 사용자 데이터를 보호하고 시스템이 오프라인일 때 Windows Vista를 실행하는 PC가 변조되는 것을 방지해 줍니다. BitLocker는 모바일 작업자 및 현장 정보 근로자들의 시스템이 손상되거나 도난당하는 경우 강화된 데이터 보호를 제공하며 시스템이 중단되는 경우에는 안전한 데이터 삭제 기능도 제공합니다.
BitLocker는 드라이브 암호화 및 이전 부팅 구성 요소를 확인하는 무결성과 같은 두 가지 주요 하위 기능을 통합하여 데이터 보호를 강화합니다. 드라이브 암호화는 권한이 없는 사용자가 분실, 도난 또는 부적절하게 중지된 컴퓨터의 Windows 파일 및 시스템 보호에 침입하지 못하도록 함으로써 데이터를 보호합니다. 이 보호 기능은 전체 Windows 볼륨을 암호화하여 수행됩니다. BitLocker로 스와핑 및 최대 절전 모드 파일을 비롯하여 모든 사용자와 시스템 파일을 암호화합니다.
이전 부팅 구성 요소를 확인하는 무결성은 구성 요소가 손상되지 않고 암호화된 드라이브가 원래의 컴퓨터에 위치한 경우에만 데이터 해독이 수행되도록 도와줍니다.

Windows RMS(Rights Management 서비스) 클라이언트
RMS는 스마트 카드 통합을 제공하고 키 길이를 늘리고 기업 간(B2B) 특별 정보 교환을 지원하여 기업 고객이 중요한 디지털 정보를 제어 및 보호할 수 있도록 도와줍니다. Windows Vista에는 통합 RMS 클라이언트가 포함되어 있습니다.

EFS(파일 암호화 시스템)
EFS는 사용자 수준의 파일 및 폴더 암호화에 유용합니다. 예를 들어 두 명의 사용자가 컴퓨터를 공유하는 경우 서로 데이터를 사용할 수 없도록 EFS를 사용하여 각 사용자의 데이터를 암호화할 수 있습니다. Windows Vista에서는 관리자가 스마트 카드에 EFS 키를 저장할 수 있으므로 네트워크에서 보다 효과적으로 EFS를 관리할 수 있습니다.

장치 드라이버 설치 컨트롤
IT 관리자는 Windows Vista에서 그룹 정책을 사용하여 이동식 저장 장치(예: USB 플래시 드라이브 및 외부 하드 드라이브)의 설치를 차단할 수 있습니다. 이렇게 하면 회사 지적 재산권이나 중요한 데이터가 손상되거나 도용당하는 사례를 막을 수 있습니다.

이동식 저장소 장치의 사용 제어
이동식 저장소용 그룹 정책은 장치 설치 제어와 함께 Windows Vista의 새로운 기능으로, IT 관리자는 이를 통해 사용자별로 이동식 저장소 간의 데이터 전송을 제어할 수 있습니다

승인되지 않은 보기로부터 데이터 보호 - 주요 기능
기능	간단한 설명
BitLocker 드라이브 암호화	시스템 부팅 볼륨의 전체 암호화.
장치 설치 제어	이동식 저장 장치 및 기타 장치 드라이버의 사용을 거부하는 정책을 설정할 수 있습니다.
EFS 스마트 카드	스마트 카드에 EFS 키를 저장할 수 있습니다.
RMS 클라이언트	권한 관리 보호 문서에 액세스하고 이러한 문서를 만들 수 있습니다. RMS 서버가 있어야 합니다.

이 기술에 대한 자세한 내용은 6.08: 하드웨어 및 장치 환경을 을 참조하십시오.