Разоблачение контроля учетных записей пользователей Microsoft Windows 7 (UAC)

Введение

Если вы еще не слышали о контроле учетных записей (UAC), то вам нужно провести немного времени в архивах и блогах, связанных с Windows Vista и 7. UAC впервые появился в Windows Vista и с тех пор является одним из самых обсуждаемых вопросов., о которых говорили, и спорные технологии, связанные с рабочими столами после Windows XP. Для администраторов контроль учетных записей — одна из основных причин, по которой Windows Vista не работает в качестве настольной операционной системы. Для конечных пользователей UAC никогда не соответствовал маркетингу и потенциалу, которые Microsoft впервые создала вокруг этой технологии. Теперь, когда мы почти увидели полный цикл Windows Vista (да, он был недолгим и не таким гламурным), следующее поколение, Windows 7, тестируется, оценивается и критикуется за реализацию UAC, которая в нем содержится. Здесь мы рассмотрим старую и новую технологию UAC, чтобы определить, стоит ли вам рассматривать Windows 7 и UAC.

UAC, для чего он был разработан

Первоначально предполагалось, что UAC решит проблему, связанную с приложениями, требующими прав администратора, заставляя конечных пользователей быть настроенными как локальные администраторы. Вначале UAC на самом деле назывался LUA (Least Privilege User Access), но вскоре был изменен из-за того, что не приблизился к решению проблемы.

В конечном продукте UAC представляет собой технологию, связанную с безопасностью, предназначенную для защиты файлов операционной системы и реестра от вредоносных программ, вирусов и кода, пытающегося обновить защищенные области компьютера. Это вредоносное программное обеспечение пытается добавлять, изменять и удалять ключевые части операционной системы, пытаясь контролировать компьютер и оставаться незамеченным.

Как работает контроль учетных записей

UAC (как для Windows Vista, так и для 7) работает аналогичным образом. В Windows 7 есть некоторые изменения, которых нет в Windows Vista, но мы рассмотрим их через минуту. Что делает UAC, так это лишает любые «административные» полномочия приложений, задач, функций или действий, которые пользователь выполняет во время рутинной работы. На самом деле существует два разных режима, к которым может применяться UAC: для пользователя, который является членом локальной группы администраторов, и для пользователя, не являющегося членом этой группы.

Если мы посмотрим, как работает UAC в Windows Vista, мы сможем сравнить его с тем, чем отличается UAC в Windows 7. Нам нужно рассмотреть оба режима работы, чтобы понять, как работает каждый из них. Во-первых, давайте посмотрим, когда в систему входит не администратор. В этом случае у пользователя нет прав администратора при входе в систему, поэтому любое приложение, задача или функция не запустится, если для этого требуются административные привилегии. Когда UAC включен (по умолчанию для запроса согласия), появится диалоговое окно, в котором пользователь может ввести имя пользователя и пароль учетной записи с правами администратора. Если введены учетные данные, то только приложение, задача или функция, отмеченные и запрошенные UAC, получат права администратора. На рис. 1 показан запрос согласия UAC.

Рис. 1. Диалоговое окно запроса согласия UAC для обычного пользователя

Затем нам нужно исследовать UAC в Windows Vista, когда «Администратор» входит в систему. В ситуации, когда пользователь входит в систему с административными привилегиями, UAC, по сути, лишает всех административных привилегий до тех пор, пока задача не потребует этого. Это сделано для того, чтобы фоновые приложения, вирусы, вредоносные программы, черви и т. д. не могли изменять файлы операционной системы и реестр, используя учетные данные для входа в систему. Если мы посмотрим на токен аутентификации учетной записи пользователя, который вошел в систему с членством в группе «Администраторы домена», вы можете ясно увидеть, что «административные привилегии» были удалены. На рис. 2 четко показано, как SID группы администраторов домена был установлен на «DENY» для токена.

Рис. 2. UAC устанавливает для SID группы администраторов домена значение «Запретить доступ к токену».

Это самый важный аспект UAC, когда администратор входит в систему. Поскольку почти все вредоносные приложения написаны так, чтобы в полной мере использовать текущие учетные данные, приложения не будут работать! Конечно, минус в том, что при запуске ЛЮБОГО приложения, даже хорошо известного и часто запускаемого, будет запрашиваться согласие на запуск приложения. Это приглашение можно увидеть на рисунке 3.

Рисунок 3. UAC может запрашивать согласие пользователей, если у них есть административные привилегии

Это может раздражать после десятого запуска приложения, которое, как вы знаете, безопасно. Тем не менее, безопасность никогда не была легкой или не без хлопот. Преимущество заключается в том, что когда это вредоносное приложение попытается прикоснуться к защищенному файлу или записи реестра, появится подсказка, указывающая вам, что в фоновом режиме происходит что-то, что вы не инициировали.

Это поведение как для неадминистраторов, так и для администраторов происходит, когда UAC находится в наиболее безопасном режиме, который должен запрашивать любую задачу, требующую административных привилегий. Все, что ниже этого уровня запроса, не защищает компьютер от вредоносных программ или вирусов, поскольку фоновая активность не будет замечена и будет разрешено изменить систему.

Параметры UAC в Windows 7

То, как UAC работает с Windows Vista, заставило многих администраторов и компаний (для тех, кто не является администратором) держаться подальше от Vista. При всей этой нехватке доходов Microsoft была вынуждена вернуться к чертежной доске, чтобы исправить предполагаемые «раздражающие» всплывающие окна, связанные с UAC. Решение, которое Microsoft придумала в Windows 7, называется ползунком UAC.

Ползунок позволяет администратору компьютера контролировать, какой уровень запросов UAC и безопасности будет реализован. Ползунок определяет, какие «типы» приложений будут вызывать запрос, а какие будут разрешены для повышения без запроса. Всего имеется четыре различных настройки ползунка, которые можно увидеть на рисунке 4.

Рисунок 4: Ползунок UAC в Windows 7

Различные уровни определяются следующим образом:

1. Всегда уведомлять о каждом изменении системы. Это поведение Vista — запрос UAC появляется при внесении любых изменений на системном уровне (настройки Windows, установка программного обеспечения и т. д.).
   
2. Уведомлять меня только тогда, когда программы пытаются внести изменения в мой компьютер. Этот параметр не выдает запрос при изменении параметров Windows, таких как панель управления и административные задачи.
   
3. Уведомлять меня только тогда, когда программы пытаются внести изменения в мой компьютер, не используя Secure Desktop. Это то же самое, что и № 2, но приглашение UAC появляется на обычном рабочем столе, а не на безопасном рабочем столе. Хотя это полезно для некоторых видеодрайверов, которые замедляют переключение рабочего стола, обратите внимание, что безопасный рабочий стол является барьером для программного обеспечения, которое может попытаться подделать ваш ответ.
   
4. Никогда не уведомлять. Это полностью отключает UAC.

Большинство из тех, с кем я говорил об этом, считают, что ползунок и все, кроме самого безопасного уровня 1, являются хорошей альтернативой. Однако все, кроме самого безопасного уровня 1, были взломаны! Я не хочу вдаваться в подробности о взломе и позиции Microsoft, но вы можете прочитать все об этом, нажав на эту ссылку.

Таким образом, в Windows 7 у вас будет ползунок для управления тем, есть ли у вас среда подсказок UAC типа Windows Vista или среда без подсказок. Самая безопасная настройка раздражает, но очень безопасна. Среда без подсказок фактически превращает ваш компьютер с Windows 7 в компьютер с Windows XP, что вызывает вопрос… зачем вообще обновляться, если вы не заботитесь о безопасности!?

Резюме

Windows Vista более безопасна, чем Windows XP, благодаря преимуществам контроля учетных записей. Если вы не запрашиваете и не отключаете UAC, компьютер работает не намного лучше, чем Windows XP. Если вы запускаете Windows 7 в любом режиме, кроме наиболее безопасного режима контроля учетных записей, вы работаете с той же безопасностью, что и в Windows XP. Безопасность никогда не была простой и удобной. Если вы решите отключить замечательную функцию безопасности UAC или уменьшить ее с помощью ползунка, вы упустите лучшую защиту, которую сегодня предлагают настольные компьютеры Windows. Если безопасность не проблема, зачем вообще обновляться?? Сохраните свои деньги, когда следующая версия ConFlicker атакует ваш компьютер, она вам понадобится!