Các bạn biết tôi sucker cho smart, intelligent software. Và by that tôi mean tools designed correctly trên philosophical level; chúng solve strategic problems thay vì tactical annoyances. Trong Windows, hai prime examples của design đó là EMET và Exploit Mitigation, fire-and-forget security concepts không dùng outdated blacklist model filter out bad software. Thay vào đó, chúng dùng philosophical approach filter out illegal memory instructions. Không quan trọng app của bạn là gì, nếu behave badly, nó goes down.
Điều này nghĩa là tôi quite intrigued và almost ended up keen sau đọc về recently unveiled Microsoft software solution gọi Windows Defender Application Guard, dùng hardware isolation block threats. Nghe như my kind of tool. No signatures, no chasing one's tail. Thay vào đó bạn có isolated browsing instances, và whatever happens inside them, stays inside them. Như Las Vegas. Vậy tôi bắt đầu testing.
Application Guard setup
Và hopes của tôi dashed right away. Application Guard designed cho enterprises, well much như hai security solutions khác, và yêu cầu ít nhất Windows 10 Pro, không giống hai solutions khác, và đó là điều tôi không có trên test machine. Tôi biết attempt sẽ fail. Nhưng tôi muốn complete testing session và viết bài này, vì có important lessons để học regardless. Vì vậy mà chúng ta shan't be having happy moment at the end of this piece, bạn sẽ không chỉ đọc another useless piece of Internet fluff.
Có element của somewhat shameless self promotion, of course (not me). Application Guard dùng Microsoft Edge làm underlying isolation engine (với Hyper-V in background). To that end, nó offered through browser extension cho cả Firefox và Chrome. Vâng, bạn đọc đúng. Bạn cài extensions cho phép launch isolated tabs dùng Edge. Back in the day, bạn có IETab cho Firefox. Vâng, similar, trừ underlying technology khác, và focus là security thay vì compatibility.
Tôi bắt đầu bằng cài Firefox extension. Mở tab báo tôi cần another step, và đó là get actual Application Guard, eh, app từ Store. Tôi thấy incredibly badly orchestrated idea, vì nhiều lý do.
Một, If I'm not mistaken, Windows Enterprise typically không dùng Store. Hai, với unfortunate demise của Windows Phone, whole store idea sort of pointless, nên pointing [sic] people there không really have value. Ba, bạn cần install App Guard component qua Control Panel — vẫn more valuable và useful hơn Settings bốn năm sau. Bốn, back to Store, nó sẽ of course nudge và prompt bạn dùng online account, nhưng nếu bạn dùng local setup — hoặc enterprise logon — thì này completely misses the mark.
Lúc này, tôi cũng happen to test operational setup — vì tôi changed store và WU settings, và với services disabled, Windows couldn't install companion app. Nhưng tôi bật services lại, cài app, rồi tắt chúng. Easy peasy.
Tuy nhiên, while tôi doing setup của app — Firefox browsing bị blocked! Yup, App Guard extension preventing Internet connectivity. Lại, bad design. Vì nó forces users complete setup right away, và họ không nhất thiết có access Web search answers hoặc information họ có khi làm này.
Bạn work around bằng disable App Guard extension, nhưng really. Có many ways, elegant ways này could have been done. Ví dụ, offer everything as one bundle thay vì scatter setup across four different vectors. Hoặc maybe not feed setup piecemeal.
Sau bước này complete, Firefox extension screen show another missing piece! Và đó là cái tôi không thể fix — Home edition và all that. Nhưng tại sao không show ngay từ đầu? Cách này feel whole effort là để make me go to Store và install app.
Tôi really annoyed. Không reason để make me install companion app nếu system là Home và cannot use technology. Nhưng tôi guess Microsoft repeating same mistakes all over. Chúng ta có aggressive marketing với GWX, forced updates, và giờ này. Not professional.
After all, nếu software này intended cho serious people, họ sẽ không monkeying about Store, họ surely không dùng nó vì pretty much dead platform — woe my Lumia 950 right, right! — cũng có pretty good chance họ dùng local account, và trong enterprise, whole different set of rules applies.
Microsoft could have offered single MSI hoặc EXE làm everything — add optional Windows features như Hyper-V và Application Guard, configure system — và chỉ leave extension configuration cho browser users. That's it. But apparently, có checkbox phải check đâu đó, và đọc: Store. Sau đó, đọc fine print, cũng có mention diagnostic data. Sigh. Will they never learn?
Và rồi, có actual configuration, nếu bạn get everything running.
Security benefits
Tôi reserve judgment cho until và when tôi test Application Guard — bạn might want read ghacks article on topic, vì nó sheds wee more light than my sad-face attempt. Nhưng tôi có whole bunch questions. Nếu made with same kind of sensible philosophy như EMET và Exploit Mitigation, thì nó sẽ supreme product. Nhưng rồi... Đầu tiên, Edge giờ dùng same engine như Chrome, nên concepts của security và sandboxing similar. Added benefit của Application Guard trong instance này là gì?
Application Guard fit alongside Exploit Mitigation như thế nào? Tức là, tôi có mitigations enabled cho various programs, nhưng KHÔNG cho Edge, vì tôi không dùng nó. Có nghĩa exploit-hardened Firefox của tôi có better security hơn non-hardened Edge, regardless actual browser baseline security?
Nói về Firefox, nếu bạn dùng Adblock và/hoặc Noscript, có good chance bạn filter out lots of noise và garbage, cũng coincidentally associated với security risks. Additional benefits Application Guard introduce không covered bởi above là gì?
Câu hỏi quan trọng nhất...
Home edition users không get nice thing này. Nhưng rồi, nếu really good — dựa trên những gì tôi đọc, no actual testing just yet, thì begs following question:
Nếu Application Guard quan trọng và effective đến vậy, tại sao Home edition users bị left unprotected? Và nếu Home edition users đã có adequate security, thì có real practical value Application Guard không?
Kết luận
Application Guard nghe như really cool thing. Nhưng current implementation rough. Đầu tiên, Home edition users left out, nhưng okay, I get it. Setup clunky. Không reason cho piecemeal checkbox exercise trong browser extension screen — nếu system not compatible, Store step unnecessary. Và unnecessary regardless. Vì đây không phải viable delivery method trong post-mobile Microsoft era, và simply does not align well với typical Pro hoặc Enterprise modes of usage. Sau đó, có practical questions về security, và value của Edge as browser used in isolated environment.
Tôi can't escape feeling này more than great security feature. Nó looks like attempt make people dùng Edge, one way or another, sau roughly fifteen years steady market share decline Microsoft browsers. Overall container + isolation idea quite interesting. Fresh, innovative, my kind of fun. Nhưng rồi, nó solve real problem không, và đó là people doing silly things với browsers? Rồi, so-called drive-by exploits có phải thing trong modern Firefox hoặc Chrome không? Tôi không biết, maybe.
One day, tôi hope có practical answers. Nếu Application Guard anywhere as robust và flexible như EMET và friends, thì might be worthy tool, browser engine notwithstanding. For now, tôi skeptical, vì first experience rather stilted. Oh well. To be continued.
Cheers.