Я являюсь диановодом уже много лет. Конкретно с 2011 года. И на днях был несколько удивлён, обнаружив для себя проблему с безопасностью операционной системы при подключении этого полиграфа. А произошло это так. Приобрёл на днях новый ноутбук с видеокартой Nvidia RTX для работы в системе «Сокол» с локальными нейронными сетями. Локальные нейронные сети необходимы, если требуется соблюдение конфиденциальности. Работа с ними исключает передачу чувствительных данных в сеть — владельцам облачных нейронных сетей. Об этом ноутбуке, точнее опыте работы с ним и инференсе локальных нейронных сетей на нём я планирую рассказать позже. А сперва получилось так, что благодаря ему я увидел дыру в безопасности операционной системы Windows. На свежеустановленную Windows 11 Pro я попытался установить ПО «Диана» версии 26.2.0. Программа установилась, но при подключении самого блока полиграфа ПО не увидело его. И зелёная лампочка на блоке не загоралась. Естественно, первое, что я сделал, это заглянул на сайт Поликониуса в раздел ЧАВО. Там описывалась эта проблема и её решение.
Производим следующие действия: отключаем полиграф от компьютера, далее необходимо запустить файл FTDIDRV.exe, который находится в следующей папке: локальный диск C → Program Files(86) → Common Files → Polyconius Shared → FTDI → FTDIDRV.exe. Выполняем установку драйвера, после чего запускаем ПФК «Диана».
Воодушевлённый простотой решения я полез в указанную папку Common Files и обнаружил, что в ней отсутствует папка Polyconius Shared. Сразу же заглянул по указанному адресу в старый ноутбук (Windows 11) — там эта папка присутствовала. Но на этом ноуте ПО «Диана» установлено уже давно, начиная с версии ещё 7.9, а потом и первой «восьмёрки». И каким образом была установлена эта папка, доподлинно сказать не могу. Не помню, чтобы я устанавливал её руками. Наверняка это делало ПО «Диана». Но при установке версии 26.2.0 на свежую Win11 этого не случилось. На сайте Поликонуса инструкции по установке папки Polyconius Shared я не обнаружил, и поэтому просто скопировал её со старого ноутбука. Далее запустил, как предписано инструкцией, FTDIDRV.exe и установил драйвер, что подтверждала запись в списке установленных программ.
Как видно, драйвер ещё от 2014 года. Уже довольно старенький. Я уже было думал, что проблема решена, и подключил кабель от полиграфа в гнездо USB ноутбука. Но не тут-то было! Зелёный диод на полиграфе не загорелся, а система выдала сообщение.
Иначе говоря, безопасность системы блокировала подключение полиграфа, так как драйвер устаревший и несовместим с безопасностью ядра Windows. При переходе по кнопке «Подробнее» получил следующую информацию:
Вы получили это сообщение, так как параметр целостности памяти в программе Безопасность Windows блокирует загрузку драйвера на устройство. Чтобы использовать этот драйвер, можно попробовать следующие варианты.
Посмотрите, доступен ли обновленный и совместимый драйвер через Центр обновления Windows или на веб-сайте изготовителя.
Если это не поможет, попробуйте отключить параметр целостности памяти в разделе Безопасность Windows.
Так как свежего совместимого драйвера я не нашёл, осталось только отключить «параметр целостности памяти».
Найти и отключить этот параметр можно, введя в строку системного поиска Безопасность устройства.
После отключения параметра целостности памяти система выдала предупреждение о том, что устройство может быть уязвимо, но при подключении полиграфа зелёный диод загорелся и ПО увидело полиграф. Вроде бы проблема решена, но ценой открытия бреши в безопасности системы.
Целостность памяти (Memory Integrity / HVCI) — это функция безопасности на уровне ядра Windows 11, используемая для предотвращения внедрения вредоносного кода через драйверы. Отключение этой функции ради совместимости с одним драйвером равносильно отказу от важного оборонительного рубежа системы. Более правильный подход — сначала попытаться устранить несовместимый драйвер.
Почему не рекомендуется отключать?
Значительное снижение безопасности ядра.
Когда целостность памяти включена, все драйверы режима ядра должны пройти дополнительную проверку, прежде чем получить разрешение на выполнение. Это в первую очередь предотвращает атаки типа BYOVD (Bring Your Own Vulnerable Driver) — злоумышленники используют уязвимости в легальных драйверах для получения контроля над ядром, а затем отключают антивирус, разворачивают программы-вымогатели и т. д. Отключение этой функции означает открытие этого критического пути атаки.
Что произойдёт после отключения?
Несовместимый драйвер сможет загрузиться, и связанное с ним оборудование или программное обеспечение вернётся к работе. Но при этом:
- Ваша система теряет защиту от атак уровня ядра.
- Если это устройство Secure-core, оно может потерять статус Secure-core.
- В будущем при подключении других старых устройств с несовместимыми драйверами проблем не возникнет, но угроза безопасности сохранится.
В будущем при подключении других старых устройств с несовместимыми драйверами проблем не возникнет, но угроза безопасности сохранится.
Я решил, что можно отключать параметр целостности памяти перед подключением полиграфа, а затем включать его, сводя тем самым риски почти к нулю. Требует дополнительных манипуляций — это так. Тем более что после отключения/включения параметра надо делать перезагрузку системы. Но если хочется соблюсти невинность, максимум безопасности, то стоит удобством пожертвовать. Но не тут-то было. Оказалось, что теперь этот параметр не включается. При попытке включения система предлагает разобраться с несовместимым драйвером — удалить его. Я удалил. Но параметр по-прежнему не включался. Пришлось лезть в реестр системы и через него принудительно включать защиту ядра системы.
Я проверил старый ноутбук и стационарный компьютер, к которому также подключал полиграф. На них целостность памяти оказалась также отключена.
В целом, если вы на рабочий ноутбук не ставите разнообразные программы из ненадёжных источников, не подключаете устройства, устанавливая драйвера, то особо бояться нечего... если уже что-нибудь такое не произошло...). Но знать сей факт о нарушении безопасности в операционной системе, иметь его в виду, дабы быть осторожнее и избежать возможных неприятностей, думаю, надо.