Меры безопасности

Inno Setup включает в себя множество мер безопасности, которые применяются не только в процессах установки и удаления, но и в инструментарии компилятора.

Многие из этих мер безопасности обеспечивают многоуровневую защиту, но они не направлены на устранение конкретных уязвимостей.

В данном разделе перечислены меры безопасности с акцентом на процесс установки. В целом, всё, что относится к установке, применимо также к удалению и к программе-загрузчику установки (SetupLdr).

Защита от подмены DLL-файлов

Программа установки использует следующие механизмы защиты от подмены DLL (также известной как атака "DLL sideloading"):

• При запуске установщик немедленно удаляет из пути поиска DLL все сторонние каталоги, за исключением системного.
• Установщик исключает загрузку DLL с относительными путями и использует только абсолютные пути.
• Известно, что Windows может загружать определенные DLL без указания пути, даже если это не было явно запрошено. Чтобы принудительно загружать такие библиотеки из системного каталога, в манифест программы установки включены специальные инструкции loadFrom. Для выявления случаев, когда Windows начинает загружать новые DLL, еще не охваченные этими инструкциями, используется ежедневный автоматический тест.
• В манифест программы-загрузчика установки на этапе компиляции добавляется ещё одна специальная инструкция loadFrom, предназначенная именно для comctl32.dll и заменяющая собой стандартный раздел зависимостей.

Безопасность временного каталога

SetupLdr, Setup и Uninstall создают подкаталоги внутри временного каталога верхнего уровня текущего пользователя (как правило, по пути %LOCALAPPDATA%\Temp для всех пользователей, за исключением SYSTEM).

Непосредственно сам установщик извлекается в подкаталог, созданный загрузчиком SetupLdr, и запускается из него. Размещение файла в подкаталоге гарантирует, что программа установки не сможет непреднамеренно использовать DLL-библиотеки или другие файлы, находящиеся в каталоге верхнего уровня.

Создание подкаталогов обеспечивается несколькими способами:

• Путь к временному каталогу верхнего уровня извлекается с помощью API-функции GetTempPath2, если она доступна. Это означает, что при запуске под учётной записью SYSTEM подкаталоги будут создаваться в частном каталоге %SystemRoot%\SystemTemp вместо общего каталога %SystemRoot%\Temp. Функция GetTempPath2 впервые появилась в Windows 11, а затем была добавлена в Windows 10 и Windows Server 2016. На более старых системах вместо неё используется функция GetTempPath.
• Имена подкаталогов содержат десять символов в системе счисления с основанием 36 (0–9, A–Z), сгенерированных случайным образом с использованием криптографически стойкого генератора случайных чисел (CSPRNG).

• Если в качестве пути к временному каталогу верхнего уровня используется %SystemRoot%\Temp, создаваемые подкаталоги получают специальный список управления доступом (ACL), содержащий записи с разрешением доступа только для текущего пользователя, встроенной группы "Администраторы" и учётной записи SYSTEM. Это необходимо, поскольку стандартный список ACL для каталога %SystemRoot%\Temp позволяет всем пользователям без прав администратора создавать файлы внутри подкаталогов.

  Аналогичный список управления доступом (ACL) применяется и в том случае, когда процесс выполняется с повышенными привилегиями, а временный каталог верхнего уровня находится на локальном диске (независимо от пути); однако для текущего пользователя вместо прав "Полный доступ" (Full Control) устанавливаются права "Чтение и выполнение" (Read & Execute). Хотя Microsoft не рассматривает повышение привилегий как границу безопасности, такая мера реализована в рамках эшелонированной защиты, чтобы предотвратить запись в подкаталог со стороны процессов, запущенных от имени того же пользователя без повышенных привилегий.

Конфиденциальные данные не записываются во временные каталоги.

Защита памяти

Программа установки по умолчанию включает функции предотвращения выполнения данных (DEP) и рандомизации размещения адресного пространства (ASLR). 64-разрядные установщики поддерживают ASLR с высокой энтропией.

Более подробную информацию смотрите в разделах "DEPCompatible" и "ASLRCompatible".

Безопасность пути

В процессе установки используется специализированная библиотека функций для проверки путей. Она отличается высокой надежностью и учитывает все механизмы работы с путями, доступные в Windows, включая весьма редкие и малоизвестные. Библиотека прошла тестирование с использованием обширного набора корректных и некорректных входных данных.

При извлечении файлов из внешних архивов (например, форматов .7z или .zip) эта библиотека используется для защиты от вредоносных архивов.

Меры по снижению рисков перенаправления

Механизм защиты RedirectionGuard, доступный на Windows 11 и Windows 10 22H2, блокирует обход NTFS-соединений и символических ссылок, созданных пользователями без привилегий (или любыми процессами без повышенных прав)

По умолчанию программа установки пытается включить механизм RedirectionGuard системы Windows для своего собственного процесса. Программа удаления также включает RedirectionGuard для своего процесса, если этот механизм был успешно включен во время последней установки приложения.

Более подробную информацию см. в разделе "RedirectionGuard".

Безопасность запуска программы

Загрузчик программы установки всегда использует манифест с уровнем выполнения asInvoker независимо от настройки PrivilegesRequired, а сам установщик запрашивает повышение прав только при необходимости.

При запуске других программ для пользователя (например, задач из секции [Run]) или при переходе пользователя по ссылке программа установки по умолчанию обеспечивает их запуск без повышенных привилегий, даже если сама она запущена с такими привилегиями. Это достигается за счёт того, что программа установки поручает выполнение запуска загрузчику установки, вместо того чтобы запускать сторонние программы напрямую.

Кроме того, при запуске других программ и создании ярлыков программа установки гарантирует, что рабочая директория никогда не останется неопределённой.

Обнаружение повреждения или фальсификации

Компилятор может автоматически подписывать программу установки (и деинсталляции) цифровой подписью. Кроме того, он способен подписывать ваши исходные файлы или просто проверять, не забыли ли вы сделать это самостоятельно.

После подписания компилятор повторно проверяет, что подпись была добавлена ​​без внесения каких-либо сторонних изменений в исходный файл.

Более подробную информацию см. в разделе "SignTool".

Кроме того, предусмотрена встроенная функция проверки подписи, позволяющая выявлять повреждение или несанкционированное изменение файлов на этапе компиляции (до их включения в создаваемый установщик) либо в процессе установки (перед копированием внешних файлов в систему пользователя). Данная функция надежно защищена от уязвимостей типа TOCTOU (Time-Of-Check to Time-Of-Use — разрыв между моментом проверки состояния ресурса (файла, каталога, объекта) и моментом его использования) и использует надёжные криптографические методы.

Более подробную информацию см. в разделе "Подписи .issig: Введение".

Для проверки различных компонентов программа установки также использует хеши SHA-256; вы тоже можете воспользоваться ими. Доступны и более старые алгоритмы хеширования, однако программа установки не использует их в целях обеспечения безопасности.

Шифрование

Предусмотрена возможность шифрования с защитой паролем, использующая надёжный алгоритм XChaCha20 и функцию формирования ключа PBKDF2-HMAC-SHA256. Все "соли" и одноразовые числа (nonce) генерируются с помощью криптографически стойкого генератора случайных чисел (CSPRNG).

Более подробную информацию см. в разделе "Encryption".

Безопасность загрузки

Программа установки может безопасно загружать файлы с удалённых серверов и проверять их целостность без использования какого-либо кода в секции [Code]. При этом применяются следующие средства защиты:

• Сертификаты с истекшим сроком действия и самоподписанные сертификаты не принимаются ни при каких обстоятельствах.
• TLS 1.0 и TLS 1.1 не принимаются. Поддерживаются только TLS 1.2 и TLS 1.3.
• Загруженные файлы можно проверить с помощью хеша SHA-256 или подписи .issig. Преимущество использования подписи .issig заключается в том, что при изменении загруженного файла или архива не требуется вносить правки в сценарий установки, благодаря чему созданные ранее установщики продолжат работать (т.е. будут "вечно актуальными").
• Пароли в URL-адресах автоматически исключаются из журнала установщика.

Другие меры безопасности

Установщик:

• Секции [Run] и [UninstallRun] поддерживают флаг dontlogparameters, позволяющий исключить параметры из журнала программы установки.

Компилятор:

• Сам компилятор использует файлы подписи .issig для обнаружения повреждений или фальсификации в таких компонентах, как Setup, прежде чем использовать их для создания вашего установщика.
• Компилятор не допускает использования директив компилятора (например, #include) в файлах сообщений .isl, указанных в секции [Languages]. Это предотвращает внедрение непредвиденного содержимого через переводы.
• В секции [Files] поддерживается флаг notimestamp, предотвращающий сохранение файлов с метками времени. Используйте этот флаг для обеспечения воспроизводимости сборок, даже если невозможно сохранить исходные метки времени файлов.

Среда разработки (IDE):

• Среда разработки (IDE) настроена таким образом, что при простом открытии файлов сценариев никакие команды из них не выполняются.

Безопасность цепочки поставок

Помимо защиты самой программы Inno Setup, мы также предприняли множество мер для обеспечения целостности выпусков Inno Setup:

• Сборка релизов выполняется на выделенной машине, используемой исключительно для этой цели. Ключи для подписи не хранятся на других машинах.
• Исходный код Inno Setup является самодостаточным и при сборке релиза не подтягиваются никакие внешние зависимости.
• Предварительно скомпилированные файлы, входящие в исходный код Inno Setup, подписаны цифровой подписью и сопровождаются файлами подписи .issig, что позволяет выявить их повреждение или подмену перед использованием для сборки релиза.
• Обновления стороннего исходного кода (7-Zip, LZMA SDK, zlib, bzip2, Scintilla), предоставляемые разработчиками, проверяются перед их внедрением. Доступен перечень компонентов программного обеспечения (SBOM) в формате SPDX. Из перечисленных компонентов только LZMA SDK является неотъемлемой частью программы установки, причем лишь в сокращенном виде.
• Готовые к использованию бинарные файлы доступны через неизменяемые релизы на и сопровождаются файлами подписи .issig, которые позволяют выявить повреждение или фальсификацию файлов перед их запуском. Дополнительную информацию см. в разделе "Verifying Inno Setup Downloads.
• В наших репозиториях на GitHub для всех веток требуется подпись коммитов, функция GitHub Actions отключена, а запуск каких-либо рабочих процессов (workflows) не допускается.

Управление уязвимостями

Мы приветствуем сообщения о проблемах безопасности:

• Если вы обнаружите уязвимость в системе безопасности Inno Setup, пожалуйста, свяжитесь с нами в частном порядке, прежде чем публиковать информацию о ней.
• Прежде чем сообщать о проблеме, убедитесь, что вы сами полностью в ней разобрались и можете объяснить её своими словами.
• Мы обладаем глубоким пониманием того, что именно представляет собой уязвимость системы безопасности в Windows, а что — нет. Если вы сомневаетесь, пожалуйста, сформулируйте свое сообщение как предложение по усилению эшелонированной защиты.
• Например, как отмечает Microsoft, повышение прав в рамках функции контроля учётных записей (UAC) — это средство обеспечения удобства, а не граница безопасности.
• Действия пользователя, наносящие вред ему самому, как правило, не считаются уязвимостью.