为什么64位版本的windows更安全

大多数新的个人电脑都有64位版本的Windows——包括Windows7和Windows8——已经有好几年了。64位版本的Windows不仅仅是利用额外的内存。它们也比32位版本更安全。...

为什么64位版本的windows更安全

大多数新的个人电脑都有64位版本的Windows——包括Windows7和Windows8——已经有好几年了。64位版本的Windows不仅仅是利用额外的内存。它们也比32位版本更安全。

64位操作系统不能免受恶意软件的攻击，但它们确实有更多的安全功能。其中一些还适用于其他操作系统的64位版本，如Linux。Linux用户将通过切换到64位版本的Linux发行版来获得安全优势。

地址空间布局随机化

ASLR是一种安全特性，它使程序的数据位置在内存中随机排列。在ASLR之前，程序在内存中的数据位置是可以预测的，这使得对程序的攻击更加容易。使用ASLR，攻击者在尝试利用程序中的漏洞时必须猜测内存中的正确位置。错误的猜测可能导致程序崩溃，因此攻击者将无法重试。

此安全功能也用于32位版本的Windows和其他操作系统，但在64位版本的Windows上功能更强大。64位系统的地址空间比32位系统大得多，这使得ASLR的效率更高。

强制驱动程序签名

64位版本的Windows强制执行强制驱动程序签名。系统上的所有驱动程序代码必须具有数字签名。这包括内核模式设备驱动程序和用户模式驱动程序，例如打印机驱动程序。

强制驱动程序签名可防止恶意软件提供的未签名驱动程序在系统上运行。恶意软件作者将不得不通过引导时rootkit绕过签名过程，或者设法用从合法驱动程序开发人员处窃取的有效证书对受感染的驱动程序进行签名。这使得受感染的驱动程序更难在系统上运行。

驱动程序签名也可以在32位版本的Windows上强制执行，但不太可能继续与可能未签名的旧32位驱动程序兼容。

要在64位版本的Windows上开发期间禁用驱动程序签名，必须附加内核调试器或使用特殊的启动选项，该选项在系统重新启动时不会持久存在。

为什么64位版本的windows更安全

内核补丁保护

KPP，也称为PatchGuard，是一种仅在64位版本的Windows上才能找到的安全功能。PatchGuard防止软件，甚至是在内核模式下运行的驱动程序，修补Windows内核。这一直不受支持，但在32位版本的Windows上技术上是可行的。一些32位防病毒程序使用内核补丁实现了防病毒保护措施。

PatchGuard防止设备驱动程序修补内核。例如，PatchGuard阻止rootkit修改Windows内核以嵌入到操作系统中。如果检测到内核修补尝试，Windows将立即关闭并显示蓝屏或重新启动。

这种保护可以在32位版本的Windows上实施，但还没有实施，很可能无法继续与依赖此访问的传统32位软件兼容。

数据执行保护

DEP允许操作系统通过设置一个“NX位”将内存的某些区域标记为“不可执行”的。应该只保存数据的内存区域将不可执行。

例如，在没有DEP的系统上，攻击者可以使用某种缓冲区溢出将代码写入应用程序内存的某个区域。然后可以执行此代码。使用DEP，攻击者可以将代码写入应用程序内存的某个区域-但该区域将被标记为不可执行且无法执行，从而阻止攻击。

64位操作系统具有基于硬件的DEP。如果您有现代CPU，32位版本的Windows也支持此功能，但默认设置更为严格，并且对于64位程序始终启用DEP，而出于兼容性原因，对于32位程序默认禁用DEP。

Windows中的DEP配置对话框有点误导。正如Microsoft的文档所述，DEP始终用于所有64位进程：

“System DEP configuration settings apply only for 32-bit applicati*** and processes when running on 32-bit or 64-bit versi*** of Windows. On 64-bit versi*** of Windows, if hardware-enforced DEP is available it is always applied to 64-bit processes and kernel memory spaces and there are no system configuration settings to disable it.”

为什么64位版本的windows更安全

第64页

64位版本的Windows运行32位Windows软件，但它们是通过一个称为WOW64（Windows 64位上的Windows 32位）的兼容层来实现的。此兼容性层对这些32位程序实施了一些限制，这可能会阻止32位恶意软件正常运行。32位恶意软件也将无法在内核模式下运行-只有64位程序可以在64位操作系统上运行-因此这可能会阻止一些旧的32位恶意软件正常运行。例如，如果您有一张带有Sony rootkit的旧音频CD，它将无法在64位版本的Windows上自行安装。

64位版本的Windows也不再支持旧的16位程序。除了防止古老的16位病毒执行外，这还将迫使公司升级可能易受攻击和未修补的古老16位程序。

考虑到目前64位版本的Windows的广泛应用，新的恶意软件将有可能在64位Windows上运行。然而，缺乏兼容性有助于防止旧的恶意软件在野外。

除非你使用破旧的16位程序、只提供32位驱动程序的古老硬件，或者使用相当陈旧的32位CPU的计算机，否则你应该使用64位版本的Windows。如果你不确定你使用的是哪个版本，但是你有一台运行Windows7或Windows8的现代电脑，那么你很可能使用的是64位版本。

当然，这些安全功能都不是万无一失的，64位版本的Windows仍然容易受到恶意软件的攻击。不过，64位版本的Windows肯定更安全。

图片来源：William Hook on Flickr