UAC Fix i Windows 7 Opretter Security Hole, Blogger siger

En ændring, som Microsoft lavede i Windows 7 for at forbedre sin kontroversielle sikkerhedsfunktion for brugerkontokontrol, har efterladt det nye OS mindre sikkert, ifølge en blogger, der følger Microsoft nøje.

Microsoft har foretaget ændringen til UAC, en funktion, der blev introduceret med Windows Vista, for at gøre den mere brugervenlig i Windows 7. Men ændringen har muliggjort "en simpel men genial overstyring", der deaktiverer UAC uden handling fra brugerens side i henhold til Jeg startede noget blog skrevet af den langvarige Microsoft-watcher Long Zheng.

Microsoft tilføjede UAC til Vista i et forsøg på at forbedre dets sikkerhed og give folk, der er de primære brugere af en pc mere kontrol over dets applikationer og indstillinger. UAC forhindrer brugere uden administrative privilegier at gøre uautoriserede ændringer til et system. Men på grund af, hvordan det blev oprettet i Vista, forhindrer UAC undertiden endda autoriserede brugere at få adgang til applikationer og funktioner, som de normalt skal have adgang til.

Det gør dette via en række skærme, der beder brugeren om at verificere privilegier, og det kan kræve, at de indtaster et kodeord for at udføre en opgave. Dette kan forstyrre folks arbejdsproces, selv under nogle jordiske opgaver, medmindre de er angivet som lokaladministrator. UAC-opfordringerne blev så problematiske, at Apple endog forfalskede dem i en tv-reklame, og Microsoft lovede at forbedre funktionen i Windows 7.

Windows 7 er stadig i beta og forventes ikke at sende til sent i år eller tidligt næste. Microsoft udgav betaen tidligere i denne måned og skitserede ændringerne til UAC på Engineering Windows 7 bloggen.

Ændringerne ændrer UACs standardindstilling, og det er her, hvor sikkerhedsrisikoen ligger, ifølge Zheng.

Som han forklarede I sit indlæg er UACs standardindstilling i Windows 7 at "Underrette mig kun, når programmer forsøger at foretage ændringer på min computer" og "Ikke underret mig, når jeg ændrer Windows-indstillinger."

UAC skelner mellem en tredjedel -party-program og en Windows-indstilling med en sikkerhedscertificering, og kontrolpanelets elementer er underskrevet med dette certifikat, så de ikke udsteder beskeder, hvis en bruger ændrer systemindstillinger, skrev han.

I Windows 7 ændres UAC betragtes som en "ændring til Windows-indstillinger", ifølge Zheng. Dette kombineret med det nye standard UAC-sikkerhedsniveau betyder, at en bruger ikke vil blive bedt om, hvis der foretages ændringer til UAC, også hvis den blev deaktiveret.

Med nogle få tastaturgenveje og nogle kode, sagde Zheng, at han kan deaktivere UAC eksternt uden at brugeren ved det.

"Med hjælp fra min udvikler side-kick Rafael Rivera kom vi op med et fuldt funktionelt proof of concept i VBScript (ville være lige så let i C ++ EXE) for at gøre det - emulere nogle tastaturindgange - uden at spørge UAC, "skrev han. "Du kan downloade og prøve det selv, men husk at det rent faktisk deaktiverer UAC."

Zheng skrev også, hvad han sagde, er en løsning på problemet på sin blog.

Microsoft sagde fredag ​​igennem dets PR-firma, at det kigger på problemet og ikke havde en umiddelbar kommentar.