Контроль учетных записей пользователей

Предупреждения контроля учетных записей пользователей «Безопасность Windows» в Windows 11 в облегченном режиме. Сверху вниз: заблокированное приложение , приложение неизвестного издателя, приложение известного/надежного издателя.

Контроль учетных записей пользователей ( UAC ) — это обязательная функция контроля доступа, представленная в Microsoft . от Windows Vista и Windows Server 2008 операционные системы с более расслабленной Версия также присутствует в Windows 7 , Windows Server 2008 R2 , Windows 8 , Windows Server 2012 , Windows 8.1 , Windows Server 2012 R2 , Windows 10 и Windows 11 . Он направлен на повышение безопасности Microsoft Windows путем ограничения прикладного программного обеспечения стандартными пользовательскими привилегиями до тех пор, пока администратор не разрешит их увеличение или повышение. Таким образом, только приложения, которым доверяет пользователь, могут получить административные привилегии, а вредоносное ПО не сможет поставить под угрозу операционную систему. Другими словами, учетной записи пользователя могут быть назначены привилегии администратора, но приложения, которые запускает пользователь, не наследуют эти привилегии, если они не одобрены заранее или пользователь явно не авторизует их.

UAC использует обязательный контроль целостности для изоляции запущенных процессов с различными привилегиями. Чтобы уменьшить вероятность взаимодействия приложений с более низкими привилегиями с приложениями с более высокими привилегиями, еще одна новая технология — изоляция привилегий пользовательского интерфейса , чтобы изолировать эти процессы друг от друга. в сочетании с контролем учетных записей пользователей используется Одним из ярких применений этого является Internet Explorer 7 . «Защищенный режим»

Операционные системы на мэйнфреймах и серверах на протяжении десятилетий различали суперпользователей и пользовательскую среду . В нем был очевидный компонент безопасности, но также и административный компонент, который предотвращал случайное изменение пользователями настроек системы.

Microsoft Ранние домашние операционные системы (такие как MS-DOS и Windows 9x ) не имели концепции разных учетных записей пользователей на одном компьютере. Последующие версии приложений Windows и Microsoft поощряли использование учетных записей пользователей без прав администратора, однако некоторым приложениям по-прежнему требовались права администратора. Microsoft не сертифицирует приложения как совместимые с Windows, если им требуются права администратора; такие приложения не могут использовать логотип, совместимый с Windows, на упаковке.

Поведение в версиях Windows

• Windows 1.0–3.11 все приложения имели и Windows 9x : привилегии, эквивалентные операционной системе;
• Все версии Windows NT вплоть до Windows XP и Windows Server 2003 включительно : вводили несколько учетных записей пользователей, но на практике большинство пользователей продолжали выполнять функции администратора для своих обычных операций. Кроме того, для работы некоторых приложений некоторые или все их функции требуют, чтобы пользователь был администратором.
• Windows Vista и Windows Server 2008 : Microsoft разработала безопасность Vista сначала на основе ограниченной учетной записи пользователя (LUA), затем переименовала эту концепцию в защиту учетной записи пользователя (UAP), а затем, наконец, выпустила контроль учетных записей пользователей (UAC). Контроль учетных записей пользователей (UAC), представленный в Windows Vista , предлагает подход, поощряющий «суперпользователя, когда это необходимо». Ключ к UAC заключается в его способности повышать привилегии без изменения пользовательского контекста (пользователь «Боб» по-прежнему остается пользователем «Боб»). Как всегда, сложно внедрять новые функции безопасности, не нарушая совместимости с существующими приложениями.
  • Когда кто-то входит в Vista как обычный пользователь, система устанавливает сеанс входа в систему и назначает токен , содержащий только самые основные привилегии. Таким образом, новый сеанс входа в систему не может внести изменения, которые могли бы повлиять на всю систему.
  • Когда человек входит в систему как пользователь с членством в группе «Администраторы», система назначает два отдельных токена: первый токен содержит все привилегии, обычно предоставляемые администратору, а второй представляет собой ограниченный токен, аналогичный тому, который получает обычный пользователь.
    • Пользовательские приложения, включая оболочку Windows , затем запускаются с ограниченным токеном, что приводит к созданию среды с ограниченными правами — даже при запуске под учетной записью администратора.
    • Когда приложение запрашивает более высокие привилегии или когда пользователь выбирает опцию «Запуск от имени администратора», UAC предложит обычным пользователям ввести учетные данные учетной записи администратора и запросит у администраторов подтверждение и, если дано согласие, продолжит или запустит процесс, используя неограниченный токен.
• Windows 7 и Windows Server 2008 R2 : Microsoft включила пользовательский интерфейс для изменения настроек контроля учетных записей пользователей и представила один новый режим уведомлений: настройку по умолчанию . По умолчанию UAC не запрашивает согласие, когда пользователи вносят изменения в настройки Windows, требующие повышенных разрешений, с помощью программ, хранящихся в %SystemRoot% и имеющих цифровую подпись Microsoft. Программы, которым требуется разрешение на запуск, по-прежнему вызывают запрос. Доступ к другим настройкам контроля учетных записей пользователей, которые можно изменить через новый пользовательский интерфейс, можно было получить через реестр в Windows Vista.
• Windows 8 / 8.1 и Windows Server 2012 / R2 : добавьте изменение дизайна. При срабатывании UAC все приложения и панель задач скрываются, а рабочий стол затемнен.
• Windows 10 и Windows Server 2016–2022 Windows : ранние версии имеют тот же макет, что и 8 и 8.1 . Юбилейное обновление (включая Windows Server 2016, основанное на указанном обновлении) придает более современный вид, а также поддерживает темный режим. Кроме того, в Windows 10 добавлена ​​поддержка Windows Hello в диалоговом окне «Контроль учетных записей».
• Windows 11 и Windows Server 2025 : имеют в основном тот же макет, что и в более поздних версиях Windows 10 , но с визуальными изменениями, которые соответствуют новому внешнему виду остальной части операционной системы.

Задачи, которые вызывают приглашение UAC

Задачи, требующие прав администратора, вызовут запрос UAC (если UAC включен); они обычно отмечаются значком щита безопасности с четырьмя цветами логотипа Windows (в Vista и Windows Server 2008) или двумя панелями желтого и двух синих (Windows 7, Windows Server 2008 R2 и более поздних версий). В случае исполняемых файлов значок будет иметь наложение защитного щита. Следующие задачи требуют прав администратора:

• Запуск приложения от имени администратора
• Изменения в общесистемных настройках
• Изменения файлов в папках, для которых у обычных пользователей нет разрешений (например, %SystemRoot% или %ProgramFiles% в большинстве случаев).
• Изменения в списке управления доступом (ACL) , обычно называемом разрешениями для файлов или папок.
• Установка и удаление приложений за пределами:
  • Папка %USERPROFILE% (например, C:\Users\{вошедший в систему пользователь}) и ее подпапки.
    • Большую часть времени это %APPDATA%. (например, C:\Users\{вошедший в систему пользователь}\AppData), по умолчанию это скрытая папка.
      • Установщик Chrome и Firefox запрашивает права администратора во время установки. Если они предоставлены, Chrome будет установлен в папку Program Files и будет доступен для использования всеми пользователями. В случае отказа Chrome вместо этого будет установлен в папку %APPDATA% и будет доступен только для использования. текущим пользователем.
  • Магазин Microsoft .
  • Папка установщика и ее подпапки.
    • Steam устанавливает свои игры в подпапку /steamapps/, поэтому не запрашивает UAC. Некоторые игры требуют установки предварительных условий, что может привести к появлению UAC.
• Установка драйверов устройств
• Установка ActiveX элементов управления
• Изменение настроек брандмауэра Windows
• Изменение настроек UAC
• Настройка Центра обновления Windows
• Добавление или удаление учетных записей пользователей
• Изменение имени или типа учетной записи пользователя
• Включение гостевой учетной записи (от Windows 7 до 8.1)
• Включение сетевого обнаружения, общий доступ к файлам и принтерам, общий доступ к общим папкам, отключение общего доступа, защищенного паролем, или включение потоковой передачи мультимедиа.
• Настройка родительского контроля (в Windows 7) или семейной безопасности (Windows 8.1)
• Запуск планировщика задач
• Резервное копирование и восстановление папок и файлов
• Объединение и удаление сетевых расположений
• Включение или очистка журнала в настройках удаленного доступа
• Выполнение калибровки цвета
• Изменение удаленных настроек, защиты системы или расширенных настроек системы
• Восстановление системных файлов из резервной копии
• Просмотр или изменение папок и файлов другого пользователя
• Запуск дефрагментации диска , восстановления системы или средства переноса данных Windows (Windows 7–8.1)
• Запуск редактора реестра
• Запуск индекса производительности Windows оценки
• Устранение неполадок записи и воспроизведения звука, оборудования/устройств и энергопотребления.
• Изменение настроек электропитания, отключение функций Windows, удаление, изменение или восстановление программы
• Изменение даты и времени и синхронизация с сервером времени в Интернете.
• Установка и удаление языков отображения
• Изменение специальных возможностей административных настроек

Обычные задачи, такие как изменение часового пояса, не требуют прав администратора. (хотя изменение системного времени само по себе имеет значение, поскольку системное время обычно используется в протоколах безопасности, таких как Kerberos ). Ряд задач, для которых требовались права администратора в более ранних версиях Windows, например, установка критических обновлений Windows, больше не требуют прав администратора в Vista. Любую программу можно запустить от имени администратора, щелкнув ее значок правой кнопкой мыши и выбрав «Запуск от имени администратора», за исключением пакетов MSI или MSU, поскольку в силу их характера, если потребуются права администратора, обычно отображается приглашение. Если это не удастся, единственный обходной путь — запустить командную строку от имени администратора и запустить оттуда пакет MSI или MSP.

Функции

Контроль учетных записей пользователей запрашивает учетные данные в режиме безопасного рабочего стола , где весь экран временно затемнен, Windows Aero отключен и только окно авторизации имеет полную яркость, чтобы отображать только пользовательский интерфейс (UI) с повышенными правами. Обычные приложения не могут взаимодействовать с Secure Desktop. Это помогает предотвратить подделку, например наложение другого текста или графики поверх запроса на повышение прав или настройку указателя мыши для нажатия кнопки подтверждения, когда это не то, что намеревался пользователь. Если административная активность исходит из свернутого приложения, запрос на безопасный рабочий стол также будет минимизирован, чтобы предотвратить фокуса потерю . Можно отключить Secure Desktop , хотя это нецелесообразно с точки зрения безопасности.

В более ранних версиях Windows приложения, написанные с предположением, что пользователь будет работать с правами администратора, сталкивались с проблемами при запуске с ограниченными учетными записями пользователей, часто из-за попыток записи в общемашинные или системные каталоги (например, Program Files ) или реестр. ключи (особенно HKLM ). UAC пытается облегчить эту проблему с помощью виртуализации файлов и реестра , которая перенаправляет запись (и последующее чтение) в местоположение каждого пользователя в профиле пользователя. Например, если приложение попытается выполнить запись в такой каталог, как «C:\Program Files\appname\settings.ini», в который у пользователя нет разрешения на запись, запись будет перенаправлена ​​в «C:\Users\username». \AppData\Local\VirtualStore\Program Files\имя_приложения\settings.ini". Функция перенаправления предоставляется только для 32-разрядных приложений без повышенных прав и только в том случае, если они не включают манифест, запрашивающий определенные привилегии.

Существует ряд настраиваемых параметров UAC. Возможно:

• Требовать от администраторов повторного ввода пароля для повышения безопасности.
• Требовать от пользователя нажатия Ctrl+Alt+Del в рамках процесса аутентификации для повышения безопасности;
• Отключить только виртуализацию файлов и реестра
• Полностью отключить режим одобрения администратора (запросы UAC для администраторов); обратите внимание, что, хотя это отключает диалоговые окна подтверждения UAC, оно не отключает встроенную функцию LUA Windows , а это означает, что пользователи, даже те, которые отмечены как администраторы, по-прежнему остаются ограниченными пользователями без настоящего административного доступа.

Окна командной строки , работающие с повышенными привилегиями, будут добавлять к заголовку окна слово «Администратор», чтобы пользователь мог определить, какие экземпляры работают с повышенными привилегиями.

Различают запросы на повышение прав от подписанного исполняемого файла и неподписанного исполняемого файла; и если первое, является ли издателем «Windows Vista». Цвет, значок и текст подсказок в каждом случае различны; например, пытаясь передать большее предупреждение, если исполняемый файл не подписан, чем если бы он не был подписан.

Функция «Защищенный режим» Internet Explorer 7 использует UAC для работы с «низким» уровнем целостности (токен стандартного пользователя имеет уровень целостности «средний», токен с повышенными правами (администратора) имеет уровень целостности «высокий»). . Таким образом, он эффективно работает в «песочнице», не имея возможности осуществлять запись в большую часть системы (кроме папки «Временные файлы Интернета») без повышения прав через UAC. Поскольку панели инструментов и элементы управления ActiveX запускаются в процессе Internet Explorer, они также будут работать с низкими привилегиями и будут строго ограничены в том, какой ущерб они могут нанести системе.

Запрос повышения

Программа может запросить повышение прав разными способами. Одним из способов для разработчиков программ является добавление раздела RequestPrivileges в XML-документ, известный как манифест , который затем внедряется в приложение. Манифест может указывать зависимости, визуальные стили, а теперь и соответствующий контекст безопасности:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0">
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v2">
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel level="highestAvailable" />
      </requestedPrivileges>
    </security>
  </trustInfo>
</assembly>

Установка атрибута уровня для RequestExecutionLevel в значение «asInvoker» заставит приложение запускаться с токеном, который его запустил, «highestAvailable» представит запрос UAC для администраторов и запустится с обычными пониженными привилегиями для обычных пользователей, а «requireAdministrator» потребует повышения прав . Как в режиме highAvailable, так и в режиме requireAdministrator отсутствие подтверждения приводит к тому, что программа не запускается.

Исполняемый файл, помеченный как « requireAdministrator" в его манифесте нельзя запустить из процесса без повышенных прав, используя CreateProcess(). Вместо, ERROR_ELEVATION_REQUIRED будет возвращен. ShellExecute() или ShellExecuteEx() вместо этого необходимо использовать. Если HWND не указан, то диалоговое окно будет отображаться как мигающий элемент на панели задач.

Не рекомендуется проверять манифест исполняемого файла, чтобы определить, требует ли он повышения прав, поскольку повышение прав может потребоваться по другим причинам (установка исполняемых файлов, совместимость приложений). Однако можно программно определить, потребует ли исполняемый файл повышения прав, используя CreateProcess() и установка dwCreationFlags параметр для CREATE_SUSPENDED. Если требуется повышение, то ERROR_ELEVATION_REQUIRED будет возвращен. Если повышение прав не требуется, будет возвращен код возврата успеха, после чего можно будет использовать TerminateProcess() на вновь созданном приостановленном процессе. Однако это не позволит обнаружить, что исполняемый файл требует повышения прав, если он уже выполняется в процессе с повышенными правами.

Новый процесс с повышенными привилегиями можно запустить из приложения .NET, используя команду « runas" глагол. Пример использования C# :

System.Diagnostics.Process proc = new System.Diagnostics.Process();
proc.StartInfo.FileName = "C:\\Windows\\system32\\notepad.exe";
proc.StartInfo.Verb = "runas"; // Elevate the application
proc.StartInfo.UseShellExecute = true;
proc.Start();

В родном Win32 приложении то же самое" runas«Глагол можно добавить к ShellExecute() или ShellExecuteEx() вызов:

ShellExecute(hwnd, "runas", "C:\\Windows\\Notepad.exe", 0, 0, SW_SHOWNORMAL);

При отсутствии конкретной директивы, указывающей, какие привилегии запрашивает приложение, UAC будет применять эвристику , чтобы определить, нужны ли приложению права администратора. Например, если UAC обнаруживает, что приложение является программой установки, по таким признакам, как имя файла, поля управления версиями или наличие определенных последовательностей байтов в исполняемом файле, при отсутствии манифеста он будет предполагать, что приложению требуется администратор. привилегии.

Безопасность

UAC — это удобная функция; он не устанавливает границ безопасности и не предотвращает выполнение вредоносных программ .

Лео Дэвидсон обнаружил, что Microsoft ослабила контроль учетных записей в Windows 7 , освободив около 70 программ Windows от отображения запроса UAC, и представил доказательство концепции привилегий повышения .

Стефан Кантак представил доказательство концепции повышения привилегий с помощью обнаружения установщиков UAC и установщиков IExpress .

Стефан Кантак представил еще одно доказательство концепции выполнения произвольного кода , а также повышения привилегий посредством автоматического повышения прав и установки двоичных файлов UAC.

Критика

Были жалобы на то, что уведомления UAC замедляют выполнение различных задач на компьютере, таких как первоначальная установка программного обеспечения в Windows Vista . Можно отключить UAC во время установки программного обеспечения и включить его позже. Однако это не рекомендуется, поскольку виртуализация файлов и реестра активна только при включенном UAC, файлы пользовательских настроек и конфигурации могут быть установлены в другое место (системный каталог, а не каталог, специфичный для пользователя), если UAC включен. чем они были бы в противном случае. Кроме того, «Защищенный режим» Internet Explorer 7 , в котором браузер работает в «песочнице» с более низкими привилегиями, чем у обычного пользователя, опирается на UAC; и не будет работать, если UAC отключен.

Аналитик Yankee Group Эндрю Джекит за шесть месяцев до выпуска Vista сказал, что «хотя новая система безопасности и многообещающая, она слишком болтлива и раздражает». К моменту выпуска Windows Vista в ноябре 2006 года Microsoft радикально сократила количество задач операционной системы , вызывающих запросы UAC, и добавила виртуализацию файлов и реестра, чтобы уменьшить количество устаревших приложений, вызывающих запросы UAC. Однако Дэвид Кросс, менеджер подразделения продуктов Microsoft, заявил во время конференции RSA 2008, что UAC на самом деле был разработан, чтобы «раздражать пользователей» и заставлять независимых поставщиков программного обеспечения делать свои программы более безопасными, чтобы запросы UAC не срабатывали. Программное обеспечение, написанное для Windows XP , и многие периферийные устройства больше не будут работать в Windows Vista или 7 из-за значительных изменений, внесенных при внедрении UAC. Возможности совместимости также были недостаточными. В ответ на эту критику Microsoft изменила деятельность UAC в Windows 7 . Например, по умолчанию пользователям не предлагается подтвердить многие действия, инициированные только с помощью мыши и клавиатуры, например работу с апплетами панели управления.

В скандальной статье автор New York Times Gadgetwise Пол Бутин сказал: «Отключите чрезмерно защитный контроль учетных записей пользователей Vista. Эти всплывающие окна подобны тому, как ваша мать висит у вас за плечом, пока вы работаете». Журналист Computerworld Престон Гралла охарактеризовал статью NYT как «...один из худших технических советов, когда-либо выпущенных».

См. также

• Сравнение функций авторизации привилегий
• Новые возможности Windows Vista
• Polkit
• речи
• Ключ безопасного внимания (SAK)
• Новые функции безопасности и защиты в Windows Vista
• sudo — аналогичная функция в UNIX-подобных операционных системах.

Внешние ссылки

• Включение или выключение UAC в Windows 7
• Документация по UAC для Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows Vista
• Понимание и настройка UAC Дополнительная информация в Microsoft Technet
• Требования к разработке для совместимости управления учетными записями пользователей. Дополнительную информацию можно найти в Microsoft Developer Network.
• Блог команды ОАК