Řízení uživatelských účtů je pravděpodobně nejvíce podceňovanou a možná i nejne nenáviděnější funkcí, která debutovala ve Vista a stala se součástí všech budoucích verzí Windows. Z velké části tok nenávisti, kterou uživatelé přelijí na Řízení uživatelských účtů, je podle mého názoru nezasloužený, protože tato funkce je skutečně užitečná. Plně souhlasím s tím, že někdy může být ovládání uživatelských účtů (dále jen UAC) velmi nepříjemné, ale bylo zavedeno v systému Windows za konkrétním účelem. Ne, nezasahovat do uživatelů, ale usnadňovat hladký přechod ze standardního (omezeného) účtu na účet správce.
V tomto článku vám řeknu, co UAC je, jak to funguje, proč je potřeba a jak jej konfigurovat. Nemám v úmyslu vás poučit, proč byste měli používat UAC, ale vypnutím této funkce vás budu informovat pouze o tom, co ztratíte..
Trochu informací o pozadí a účtu
Jak byste měli vědět, Windows pracuje s tzv. Účty. Jsou dva typy: administrátor a standardní (omezený).
Účet správce poskytuje uživateli plný přístup ke všem funkcím operačního systému, tj. uživatel může dělat, co chce. Uživatel standardního účtu má omezená práva, a proto mu jsou povoleny pouze určité věci. To je zpravidla vše, co ovlivňuje pouze aktuálního uživatele. Například: změna tapety na ploše, nastavení myši, změna zvukového schématu atd. Obecně je vše, co se týká konkrétního uživatele a nevztahuje se na celý systém, dostupné na standardním účtu. Pro vše, co může ovlivnit systém jako celek, potřebujete přístup správce.
Jedním z úkolů přiřazených k těmto účtům je ochrana před škodlivým kódem. Obecnou myšlenkou je, že uživatel vykonává normální práci pod omezeným účtem a přepne na účet správce pouze v případě, že to vyžaduje akce. Jak se může zdát paradoxní, malware získá stejnou úroveň práv, s jakou se uživatel přihlásil.
Ve Windows 2000 a Windows XP není provádění operací jménem administrátora dostatečně flexibilní, a proto práce s omezeným účtem nebyla příliš pohodlná. Jedním ze způsobů, jak provést administrativní akci v těchto verzích systému, je následující: ukončit omezený účet (nebo přepnout rychle, pokud byl použit systém Windows XP) -> zadat účet správce -> provést akci -> ukončit účet správce (nebo rychle přepnout, pokud použitý Windows XP) -> návrat na omezený účet.
Další možností je použít místní nabídku a možnost „Spustit jako jiný uživatel“, která otevře okno, ve kterém musíte zadat příslušný účet správce a heslo, abyste mohli soubor spustit jako správce. Jedná se o poměrně rychlý způsob, jak přepnout z jednoho účtu na druhý, ale nelze jej použít na žádnou situaci vyžadující administrativní oprávnění. Dalším problémem s touto metodou je, že účet správce musí mít heslo, jinak spuštění selže.
Proto byl ve Windows Vista zaveden Řízení uživatelských účtů a ve Windows 7 téměř zdokonalen..
Co je to UAC?
UAC je funkce v systémech Windows Vista, 7, 8, 8.1 a 10, jejímž cílem je zajistit, aby byl přechod z omezeného prostředí na administrátora bezproblémový a bezproblémový, což vylučuje nutnost ručního spouštění souborů s právy správce nebo přepínání mezi účty. UAC je navíc další vrstvou ochrany, která nevyžaduje téměř žádné úsilí uživatele, ale může zabránit vážnému poškození..
Jak UAC funguje
Když se uživatel přihlásí ke svému účtu, vytvoří Windows tzv. Token přístupu uživatele, který obsahuje určité informace o tomto účtu a hlavně různé identifikátory zabezpečení, které operační systém používá k řízení přístupových schopností tohoto účtu. Jinými slovy, tento token je druhem osobního dokumentu (například pas). To platí pro všechny verze Windows založené na NT jádru: NT, 2000, XP, Vista, 7, 8 a 10.
Když se uživatel přihlásí ke standardnímu účtu (omezeně), vytvoří se standardní token uživatele s omezenými právy. Když se uživatel přihlásí do účtu správce, tzv token správce s plným přístupem. Je to logické.
Pokud je však v systému Windows Vista, 7, 8 a 10 povoleno UAC a uživatel je přihlášen k účtu správce, vytvoří systém Windows dva tokeny. Správce zůstává na pozadí, zatímco standardní se používá ke spuštění Explorer.exe. To znamená, že Explorer.exe začíná s omezenými právy. V tomto případě se všechny procesy spuštěné poté stávají dílčími procesy Explorer.exe s zděděnými omezenými oprávněními hlavního procesu. Pokud proces vyžaduje administrátorská práva, vyžádá si administrátorský token a Windows zase požádá o oprávnění uživatele k poskytnutí tohoto tokenu procesu ve formě zvláštního dialogového okna..
Toto dialogové okno obsahuje tzv. Zabezpečenou plochu, ke které má přístup pouze operační systém. Vypadá to jako ztmavený snímek skutečné plochy a obsahuje pouze okno pro potvrzení administrátorských práv a případně i lištu jazyků (pokud je aktivováno více jazyků).
Pokud uživatel nesouhlasí a klepne na „Ne“, Windows odmítne proces v tokenu správce. A pokud souhlasí a vybere „Ano“, operační systém poskytne procesu oprávnění, která potřebuje, konkrétně token správce.
Pokud proces již běží se sníženými právy, bude restartován se zvýšenými oprávněními (správce). Proces nelze přímo downgradovat nebo upgradovat. Po spuštění procesu jedním tokenem nebude možné získat další práva, dokud nebude znovu spuštěna s novými právy. Příkladem je Správce úloh, který vždy začíná omezenými právy. Pokud kliknete na tlačítko „Zobrazit procesy všech uživatelů“, Správce úloh bude uzavřen a restartován, avšak s právy správce.
Při použití standardního účtu požádá UAC o konkrétní účet správce a zadejte heslo:
Jak UAC chrání uživatele
Samotný UAC neposkytuje velkou ochranu. Usnadňuje pouze přechod z omezeného prostředí do prostředí správce. Správnější prohlášení o této otázce je tedy následující: jak omezený účet uživatele odradí. V rámci omezeného uživatelského profilu nemohou procesy přistupovat k určitým systémovým zónám:
- hlavní diskový oddíl;
- uživatelské složky ostatních uživatelů ve složce \ Users \;
- Složka Program Files;
- Složka Windows a všechny její podsložky;
- části dalších účtů v systémovém registru
- HKEY_LOCAL_MACHINE v systémovém registru.
Jakýkoli proces (nebo škodlivý kód) bez administrátorských práv nemůže proniknout hluboko do systému bez přístupu k potřebným složkám a klíčům registru, a proto nemůže vážně poškodit systém.
Může UAC rušit starší programy, které nejsou oficiálně kompatibilní s Vista / 7/8/10
Neměl. Pokud je povoleno UAC, je povolena také virtualizace. Některé staré a / nebo jednoduše neopatrně napsané programy nepoužívají správné složky k ukládání svých souborů (nastavení, protokoly atd.). Správné složky jsou složky v adresáři AppData, které má každý účet a kde každý program může vytvořit složku pro uložení všeho, co chce.
Některé programy se snaží uložit své soubory do programových souborů a / nebo Windows. Pokud se program spustí s právy správce, nebude to problém. Pokud je však program spuštěn s omezenými oprávněními, nebude moci provádět změny souborů / složek v programových souborech a / nebo Windows. Operační systém jí to prostě nedovolí..
Aby se předešlo problémům s těmito programy, Windows nabízí virtualizaci složek a klíčů registru, ke kterým nemají programy s omezenými právy v zásadě přístup. Když se takový program pokusí vytvořit soubor v chráněné složce, operační systém jej přesměruje do speciální složky VirtualStore, která je umístěna v X: \ Users \\ AppData \ Local \ (kde X: je systémový oddíl, obvykle C :). I.e. Očima samotného programu je vše v pořádku. Nepotká se s překážkami a je přesvědčena, že vytváří soubory / složky přesně tam, kam chce. VirtualStore obvykle obsahuje podsložky Program Files a Windows. Zde je snímek obrazovky Program Files ve složce VirtualStore:
A tady je to, co je ve složce SopCast, například:
I.e. Pokud by byl UAC zastaven nebo by program byl vždy spuštěn s oprávněními správce, vytvořily by se tyto soubory / složky v C: \ Program Files \ SopCast. V systému Windows XP by tyto soubory a složky byly vytvořeny bez problémů, protože v něm všechny programy mají ve výchozím nastavení práva správce.
Vývojáři by to samozřejmě neměli považovat za trvalé řešení. Odpovědností každého autora je vytvořit software, který je plně kompatibilní s aktuálními operačními systémy.
Dialogy UAC
Možná jste si všimli, že existují pouze tři různá dialogová okna UAC. Tady se podíváme na ty ve Windows 7, 8.xa 10. Ve Vista jsou dialogy poněkud odlišné, ale nebudeme se nad nimi zabývat..
První typ okna má v horní části tmavě modrý pruh a v levém horním rohu je ikona ve tvaru štítu, která je rozdělena na 2 modré a 2 žluté sekce. Toto okno se objeví, když je vyžadováno potvrzení pro proces s digitálním podpisem, který patří k operačnímu systému - tzv Windows binární soubory. Budeme o nich mluvit níže..
Druhý typ okna je také s tmavě modrou stuhou, ale ikona štítu je zcela modrá a s otazníkem. Toto okno se objeví, když je vyžadováno potvrzení pro digitálně podepsaný proces, ale proces / soubor nepatří do operačního systému..
Třetí okno je zdobeno oranžovým pruhem, štít je také oranžový, ale s vykřičníkem. Toto dialogové okno se objeví, když je vyžadováno potvrzení pro proces bez digitálního podpisu..
Nastavení UAC
Nastavení ovládání účtu (provozní režimy) jsou umístěna v Ovládací panel -> Systém a zabezpečení -> Změnit nastavení řízení účtu. Jsou 4 z nich:
Vždy upozornit na nejvyšší úroveň. Tento režim odpovídá způsobu, jakým UAC pracuje v systému Windows Vista. V tomto režimu systém vždy vyžaduje potvrzení administrátorských práv, bez ohledu na proces a to, co vyžaduje.
Druhá úroveň je standardně používána ve Windows 7, 8.xa 10. V tomto režimu Windows nezobrazuje okno UAC, pokud jde o tzv. Binární soubory Windows. I.e. Pokud soubor / proces, který vyžaduje práva správce, splňuje následující 3 podmínky, operační systém jim je poskytne automaticky, bez potvrzení uživatele:
- soubor má manifest (vestavěný nebo jako samostatný soubor), který označuje automatické zvýšení práv;
- soubor je umístěn ve složce Windows (nebo v kterékoli z jeho podsložek);
- soubor podepsaný platným digitálním podpisem Windows.
Třetí režim je stejný jako druhý (předchozí), ale s tím rozdílem, že nepoužívá zabezpečenou plochu. To znamená, že obrazovka neztmavne a dialogové okno UAC se zobrazí jako jakékoli jiné. Společnost Microsoft nedoporučuje použití této možnosti, ale proč - vysvětlím to později.
Neoznámte mi je čtvrtá a poslední úroveň. Ve skutečnosti to znamená úplně zakázat UAC.
Je vhodné zde uvést dvě poznámky:
- Digitální podpis systému Windows je specifický pro operační systém. Říkám to proto, že existují soubory, které byly digitálně podepsány společností Microsoft. Jedná se o dva samostatné podpisy, přičemž UAC rozpoznává pouze digitální podpis Windows, protože slouží jako důkaz, že soubor není pouze od společnosti Microsoft, ale je také součástí operačního systému..
- Ne všechny soubory Windows mají manifest pro automatické zvýšení oprávnění. Existují soubory, které to záměrně postrádají. Například regedit.exe a cmd.exe. Je zřejmé, že druhý není automaticky upgradován, protože se často používá ke spuštění dalších procesů, a jak již bylo uvedeno, každý nový proces zdědí práva procesu, který jej spustil. To znamená, že každý mohl pomocí příkazového řádku bez problémů spustit jakýkoli proces s oprávněními správce. Naštěstí Microsoft není hloupý.
Proč je důležité používat zabezpečenou plochu
Zabezpečená plocha zabraňuje možnému rušení a rušení jinými procesy. Jak bylo uvedeno výše, přístup k němu má pouze operační systém a s ním přijímá pouze základní příkazy od uživatele, tj. Stisknutím tlačítka „Ano“ nebo „Ne“.
Pokud nepoužíváte zabezpečenou plochu, může útočník simulovat okno UAC, aby vás uvedl v omyl a spustil váš škodlivý soubor jako správce.
Kdy potřebujete administrátorská práva? Když se objeví okno UAC?
Obecně existují tři případy, kdy UAC přistupuje k uživateli:
- při změně nastavení systému (neuživatelského), ačkoli to ve skutečnosti platí pouze pro maximální úroveň UAC;
- při instalaci nebo odebrání programu / ovladače;
- když aplikace / proces vyžaduje oprávnění správce k provádění změn systémových souborů / složek nebo klíčů registru.
Proč je důležité nezakazovat UAC
Řízení uživatelských účtů poskytuje vysokou úroveň ochrany a na oplátku nevyžaduje prakticky nic. To znamená, že účinnost UAC je velmi vysoká. Nechápu, proč je to pro lidi tak nepříjemné. V každodenní práci vidí průměrný uživatel okno UAC 1-2krát denně. Možná dokonce 0. To je tolik?
Průměrný uživatel málokdy změní nastavení systému, a když to udělá, UAC se neobtěžuje svými otázkami, pokud pracuje s výchozím nastavením.
Průměrný uživatel nenainstaluje ovladače a programy každý den. Všechny ovladače a většina potřebných programů jsou nainstalovány jednou - po instalaci systému Windows. To znamená, že jde o hlavní procento požadavků UAC. Poté UAC zasahuje pouze během upgradu, nové verze programů však nejsou vydávány každý den, nemluvě o ovladačích. Navíc mnoho neaktualizuje programy ani ovladače vůbec, což dále snižuje problémy UAC..
Jen velmi málo programů potřebuje administrátorská práva k výkonu své práce. Jsou to hlavně defragmentace, čisticí a optimalizační nástroje, některé diagnostické programy (AIDA64, HWMonitor, SpeedFan atd.) A nastavení systému (například Process Explorer a Autoruns, ale pouze pokud potřebujete provést něco konkrétního - řekněme, deaktivujte ovladač / služba nebo program začínající na Windows). A to vše jsou programy, které nelze použít vůbec, nebo ve vzácných případech. Všechny často používané aplikace pracují s UAC naprosto normální a neptají se:
- multimediální přehrávače (audio a / nebo video);
- video / audio převodníky;
- Software pro zpracování obrazu / video / audio;
- programy pro snímání screenshotů z počítače nebo videozáznamů na něm;
- programy pro prohlížení obrázků;
- Webové prohlížeče
- stahovače souborů (download manager a klienti P2P sítí);
- FTP klienti
- instant messenger nebo programy pro hlasovou / video komunikaci;
- programy pro vypalování disků;
- archivátory;
- textové editory;
- Čtečky PDF
- virtuální stroje;
- a další.
Dokonce ani instalace aktualizací systému Windows neaktivuje okno UAC.
Existují lidé, kteří jsou připraveni věnovat 1–2 nebo více minut denně na „optimalizaci“ systému pomocí některých křivě napsaných programů, které nedělají nic užitečného, ale nejsou připraveny strávit několik sekund denně odpovědí na požadavky UAC..
Různá tvrzení jako „Jsem zkušený uživatel a vím, jak se chránit“ nestačí, protože nikdo není pojištěn a výsledek určitých situací není vždy na uživateli závislý. Navíc mají lidé tendenci dělat chyby, stává se to všem.
Dovolte mi uvést jeden příklad: Předpokládejme, že používáte program, který má zranitelnosti, a jednoho dne budete na webu, který tyto zranitelnosti používá. Pokud je povoleno ovládání uživatele a program pracuje s omezenými právy, útočník nebude schopen dělat velké potíže. Jinak může být poškození systému kolosální..
A to je jen jeden z mnoha příkladů..
Spouštění aplikací v systému Windows jako správce
Předpokládám, že mohou existovat uživatelé, kteří vypnou UAC, jen aby mohli spouštět programy se systémem Windows as právy správce. To není možné obvyklým způsobem, protože UAC nemůže uživateli odeslat požadavek, dokud není načtena plocha. Existuje však způsob, jak nechat UAC povoleno. Zde je:
- otevřené Plánovač úloh;
- klikněte Vytvořit úkol;
- v poli Křestní jméno zadejte něco, co chcete, a ve spodní části okna tuto možnost povolte Vystupujte s nejvyššími právy;
- přejděte na kartu Spouštěče a klikněte Vytvořit;
- v rozbalovací nabídce nahoře vyberte Při přihlášení; chcete-li vytvořit úkol pro konkrétního uživatele, vyberte možnost Uživatel, a potom klikněte na Změnit uživatele; zadejte uživatelské jméno a potvrďte stisknutím Dobře;
- přejděte na kartu Akce a klikněte Vytvořit;
- klikněte Recenze, uveďte příslušnou aplikaci a potvrďte svůj výběr;
- přejděte na kartu Podmínky a zakázat možnost Běh pouze při napájení ze sítě;
- na kartě Parametry zakažte možnost Zastavit delší běh úlohy;
- potvrďte Dobře.
Hotovo. Úloha byla přidána, takže se aplikace nyní načte automaticky s oprávněními správce. Zde je však jeden malý zádrhel: všechny takové úkoly jsou prováděny s prioritou nižší než normální - pod normální. Pokud vám to vyhovuje, pak je vše v pořádku. Pokud ne, pak budete muset trochu víc pracovat:
- běžet Plánovač úloh, pokud jste ji již uzavřeli;
- vyberte Knihovna plánovače úloh;
- označte svůj úkol, klikněte Exportovat a uložte jej ve formátu .xml;
- otevřete soubor .xml v textovém editoru;
- najít sekci 7, který by měl být na konci souboru a změnit sedm (7) mezi počáteční a závěrečnou značkou na pět (5);
- uložte soubor;
- V Plánovači úloh znovu zvýrazněte svůj úkol a klikněte na Odstranit a potvrzení vymazání;
- nyní klikněte Import úkolu, zadejte soubor, který jste právě uložili, a klikněte na Dobře.
To je vše. Je na vás, abyste se rozhodli, zda použít UAC, nebo ne, ale je velmi důležité vědět, co ztratíte, když tuto funkci vypnete, a být si vědom rizik. Děkuji za pozornost.!
Přeji vám krásný den!
