2.7. Безопасность изнутри: как ОС защищает вас

Опубликовано: 11.04.2026

Безопасность изнутри: как ОС защищает вас

Права доступа, пользователи, вирусы и антивирусы, шифрование — как операционная система выстраивает оборону вашего компьютера

В предыдущих статьях мы разобрали, как устроена операционная система изнутри: процессы, память, файловые системы, различия между Windows, Linux, macOS и Android. Но за всем этим стоит вопрос, который касается каждого: кто решает, что программе можно делать, а что нельзя? Кто мешает только что скачанному файлу залезть в ваши пароли? Почему вирус, который заразил один компьютер, не всегда уничтожает всё подряд? Ответ - в архитектуре безопасности, встроенной в саму операционную систему. Разберёмся, как она работает.

🏛️ Фундамент: пользователи и права доступа

Безопасность в ОС строится на одном простом принципе, унаследованном от Unix 1969 года: каждый объект системы принадлежит кому-то, и не каждый может с ним что-то делать. Этот принцип называется дискреционным контролем доступа - Discretionary Access Control, DAC.

В системе существуют пользователи. У каждого файла, процесса, устройства - есть владелец. И есть три базовых разрешения, которые можно выдать или отозвать: читать, писать, выполнять. В Unix-системах это записывается знаменитой строкой вроде rwxr-xr--, где первые три символа - права владельца, вторые три - группы, последние три - всех остальных.

В Windows та же идея реализована через списки управления доступом - Access Control Lists (ACL). Каждый файл и папка имеют список: кому что разрешено. Это мощнее простой Unix-схемы, но и сложнее в управлении. Именно поэтому, если вы видите ошибку «Нет доступа» при попытке открыть системную папку — это не ошибка, это система работает правильно.

Суперпользователь и обычный пользователь

В каждой ОС есть привилегированная учётная запись: root в Linux и macOS, Administrator в Windows. Это учётная запись без ограничений - она может делать в системе всё что угодно. Именно поэтому работать постоянно под таким аккаунтом - плохая идея: любая программа, которую вы запустите, тоже получит эти права.

Современные ОС используют принцип наименьших привилегий: каждая программа и каждый пользователь получают ровно столько прав, сколько нужно для работы - и ни байта больше. Вашему браузеру не нужен доступ к системным файлам. Текстовому редактору не нужно управлять сетевыми соединениями. Если программа просит лишнего — это повод насторожиться.

🔒 Кольца защиты: как железо помогает ОС

Разделение прав - не только программная идея. Процессор поддерживает её аппаратно. Мы уже говорили об этом в статье 2.1: у процессора есть режим ядра (kernel mode) и пользовательский режим (user mode). Это два разных уровня привилегий, реализованных в железе.

В режиме ядра работает только сам код ОС. Он может делать всё: обращаться к любой памяти, управлять устройствами, менять таблицы страниц. Любая обычная программа работает в пользовательском режиме - она физически не может напрямую обратиться к железу или чужой памяти. Если она попытается - процессор генерирует исключение, и ОС аварийно завершает процесс.

Именно поэтому один зависший браузер не обрушивает всю систему. Его процесс изолирован: у него своё виртуальное адресное пространство (мы разбирали это в статье 2.4), и он не может случайно или намеренно «испортить» память другого процесса.

🦠 Что такое вирус и как он вообще попадает в систему

Слово «вирус» в народе означает любую вредоносную программу, но технически это лишь один из видов. Вирус — программа, которая умеет копировать себя, внедряясь в другие файлы. Червь распространяется по сети самостоятельно. Троян притворяется полезной программой. Шпион (spyware) тихо собирает данные. Программа-вымогатель (ransomware) шифрует ваши файлы и требует деньги. Руткит прячется в системе, скрывая следы своего присутствия.

Общее у них одно: они хотят делать что-то, на что вы не давали согласия. И для этого им нужно как-то попасть в систему и получить достаточно прав.

Векторы заражения

Большинство заражений происходит одним из нескольких путей. Первый - исполняемый файл: вы скачали и запустили программу, которая оказалась вредоносной. Второй - уязвимость в ПО: ошибка в браузере, PDF-ридере или архиваторе позволяет вредоносному файлу выполнить код без вашего ведома. Третий - социальная инженерия: вас убедили что-то сделать (нажать ссылку, ввести пароль, разрешить действие) обманным путём.

Почему Linux «почти не болеет»

Это отчасти верно, но во многом объясняется малой долей Linux на десктопе. Причины, по которым Linux реже поражается вирусами, реальные. Во-первых, архитектура прав: по умолчанию пользователь работает без прав root, и программа, запущенная от его имени, мало что может сделать с системными файлами. Во-вторых, разнообразие: существуют сотни дистрибутивов с разными конфигурациями - вирус, написанный под Ubuntu, может не заработать на Arch. В-третьих, открытый код: уязвимости находят и закрывают быстрее. В-четвёртых, культура установки: в Linux программы ставятся из официальных репозиториев - проверенных источников с цифровой подписью. Пользователи Windows десятилетиями скачивали случайные .exe с незнакомых сайтов - это огромный фактор риска, которого в Linux-экосистеме почти нет.

Но Linux - не иммунен. Серверы на Linux атакуют постоянно. Android (ядро Linux) - одна из самых атакуемых платформ в мире. Безопасность определяется не названием ОС, а архитектурой, конфигурацией и поведением пользователя.

🛡️ Как работает антивирус

Антивирус — это программа, которая ищет признаки вредоносной активности. Делает она это несколькими способами, и важно понимать каждый.

Сигнатурный анализ

Это самый старый и до сих пор самый распространённый метод. Каждый известный вирус имеет характерный «отпечаток» - последовательность байт, которая встречается только в этой вредоносной программе. Антивирус сканирует файлы и сравнивает их с базой таких отпечатков - сигнатур. Если совпадение найдено — файл помечается как опасный.

Слабость метода очевидна: база знает только о том, что уже видела. Новый вирус, только что выпущенный, в базе не значится. Именно поэтому антивирусные базы нужно обновлять постоянно - иногда несколько раз в день.

Эвристический анализ

Антивирус смотрит не на сигнатуру, а на поведение или структуру программы. Подозрительные признаки: программа пытается записать себя в автозапуск, перехватить нажатия клавиш, зашифровать сразу много файлов, обратиться к системным структурам, которые обычным программам не нужны. Эвристика позволяет поймать новые угрозы - но даёт больше ложных срабатываний.

Поведенческий анализ и «песочница»

Самый мощный современный подход - запустить подозрительную программу в изолированной среде (sandbox, песочница) и посмотреть, что она делает. Никакого реального вреда она причинить не может, зато её намерения становятся очевидны. Современные антивирусы, браузеры и даже операционные системы используют этот принцип.

Руткиты: когда враг уже внутри

Особая категория угроз - руткиты. Они не просто делают что-то вредоносное - они скрывают своё присутствие. Руткит, получивший права ядра, может модифицировать саму операционную систему: подменять результаты системных вызовов, скрывать свои файлы из списка директорий, свои процессы - из диспетчера задач. Антивирус, работающий внутри заражённой системы, может «не видеть» руткит - потому что спрашивает у той же системы, которая уже скомпрометирована.

Именно поэтому существуют загрузочные антивирусные диски: система запускается с внешнего носителя, а заражённый диск проверяется «снаружи» - без участия потенциально скомпрометированной ОС. И именно поэтому Secure Boot, о котором мы говорили в статье 2.2, важен: он не даёт руткиту внедриться на этапе загрузки, проверяя цифровую подпись каждого звена цепочки - от прошивки до ядра.

🔑 Шифрование простыми словами

Шифрование — это преобразование данных так, что без специального ключа они становятся бессмысленным набором байт. Это не магия и не чёрный ящик - в основе лежат математические задачи, которые легко решить «в одну сторону», но почти невозможно - «в обратную».

Симметричное шифрование

Самый простой вид: один и тот же ключ используется для шифрования и расшифровки. Аналогия - обычный замок с ключом: кто владеет ключом, тот и открывает. AES (Advanced Encryption Standard) — самый распространённый симметричный алгоритм сегодня. Он используется для шифрования файлов, дисков, архивов. AES-256 считается практически нераскрываемым перебором: количество возможных ключей - 2²⁵⁶, это больше числа атомов во всей наблюдаемой вселенной.

Проблема симметричного шифрования одна: как передать ключ другому человеку, не рискуя, что его перехватят? Если вы звоните по незащищённой линии и говорите «мой пароль - qwerty123», кто угодно может подслушать.

Асимметричное шифрование

Решение этой проблемы - асимметричное шифрование, или криптография с открытым ключом. У каждого участника есть пара ключей: открытый (публичный) и закрытый (приватный). Открытый можно раздавать всем - разместить на сайте, напечатать на визитке. Закрытый - только у вас, и никогда никому.

Работает это так: сообщение, зашифрованное вашим открытым ключом, может расшифровать только ваш закрытый ключ. Значит, кто угодно может отправить вам зашифрованное сообщение - но прочитать его можете только вы. При этом открытый ключ не позволяет вывести закрытый - в этом и состоит математическое чудо.

Как шифрование работает в HTTPS

Когда вы открываете сайт с HTTPS, происходит следующее. Сначала - рукопожатие (TLS handshake): браузер и сервер договариваются о параметрах шифрования и обмениваются открытыми ключами. Затем с помощью асимметричного шифрования они безопасно передают друг другу сессионный ключ - случайно сгенерированный симметричный ключ, который будет использоваться для шифрования дальнейшего обмена. Сам обмен данными идёт через быстрое симметричное шифрование (AES), а не медленное асимметричное.

Этот гибридный подход используется везде: в браузерах, мессенджерах, VPN, SSH. Асимметричное шифрование решает проблему передачи ключа, симметричное обеспечивает скорость.

Шифрование диска

BitLocker в Windows, FileVault в macOS, LUKS в Linux — всё это инструменты полнодискового шифрования. Если они включены, все данные на диске хранятся в зашифрованном виде. Без правильного пароля (или аппаратного ключа в чипе TPM) данные - бессмысленный шум. Именно поэтому кража ноутбука с включённым BitLocker не означает утечку данных: физическое владение диском ничего не даёт без ключа.

🗄️ Хранение паролей: почему «забыть пароль» - нормально

Грамотные системы не хранят ваш пароль. Вообще никогда. Вместо этого они хранят его хеш - результат необратимого математического преобразования. Хеш-функция устроена так, что из пароля вычислить хеш легко, а из хеша восстановить пароль - принципиально невозможно.

Когда вы вводите пароль при входе, система вычисляет его хеш и сравнивает с сохранённым. Совпало - добро пожаловать. Именно поэтому, если вы забыли пароль, его не «напомнят» - его просто нет нигде. Система предлагает сбросить пароль, а не восстановить.

🔐 Gatekeeper, Notarization и подпись кода

Последний рубеж защиты - верификация происхождения программ. В macOS работает механизм Gatekeeper: система не позволяет запустить программу, которая не подписана сертификатом разработчика, одобренным Apple. Более того, с 2019 года Apple требует «нотаризацию» - программу должны загрузить на серверы Apple, где она проверяется автоматически, и только потом получает разрешение на запуск.

В Windows аналогичный механизм - подпись кода через SmartScreen: если программа не имеет действующей цифровой подписи известного издателя, Windows выводит предупреждение. В Android каждое приложение в Google Play перед публикацией проходит автоматическую проверку и сканирование на вредоносный код.

Идея всюду одна: цифровая подпись привязывает программу к конкретному разработчику. Если после подписи хоть один байт изменится - подпись станет недействительной. Вредоносная программа не может выдать себя за подписанное ПО, не имея закрытого ключа разработчика.

🧱 SELinux и мандатный контроль доступа

Классические права доступа (rwx, ACL) — это дискреционный контроль: владелец файла сам решает, кому давать доступ. Но это означает, что скомпрометированная программа с правами владельца может делать всё, что мог делать владелец.

SELinux (Security-Enhanced Linux) - система другого уровня: мандатный контроль доступа. Здесь правила задаёт не владелец, а администратор безопасности, и они не могут быть обойдены даже root'ом. Каждый процесс и файл получают метку (label), и система строго определяет, какой процесс с какой меткой к какому файлу с какой меткой может обращаться.

Именно SELinux стоит за тем, что приложения Android изолированы друг от друга настолько жёстко, что даже root-доступ к одному приложению не даёт доступ к данным другого. Мы упоминали это в статье 2.6: в Android каждое приложение - отдельный Unix-пользователь, а SELinux добавляет ещё один слой изоляции поверх этого.

🎯 Полная картина: эшелонированная оборона

Безопасность современной ОС — это не одна стена, а несколько слоёв защиты. Атакующему нужно пробить каждый, и на каждом уровне система пытается остановить угрозу или хотя бы ограничить ущерб.

Ни один из этих слоёв не абсолютен. Но в совокупности они поднимают стоимость атаки настолько высоко, что большинство угроз просто не окупается. Реальные взломы чаще всего происходят не через уязвимости в ОС, а через ошибки пользователей: клик по фишинговой ссылке, запуск «взломанного» ПО, использование одного пароля на всех сайтах. Самый слабый слой защиты - человеческий.

На этом мы завершаем второй раздел цикла. Мы разобрали операционную систему от первого включения до механизмов безопасности. Следующий раздел - сети. Как компьютеры вообще научились разговаривать друг с другом, что такое пакет данных и почему интернет продолжает работать, даже когда часть его инфраструктуры выходит из строя - начнём с самого начала, с идеи сети, в статье 3.1.

📞 Мы на связи для Вас:

+375 (33) 323 7000 +375 (29) 323 7000 Написать в Telegram Написать в Viber Схема проезда к мастерской