View Full Version : UAC: come sfruttarlo al meglio?
Chessmate
09-06-2008, 12:43
Premessa. Questo thread non vuole essere a fini statistici, quindi, per favore, non postate le vostre impostazioni ma solo argomentazioni tecniche in merito alla mia domanda. Grazie.
Volevo sciogliere un dubbio che ho relativamente al miglior modo di sfruttare lo UAC.
Attualmente io sono l'unico user del mio PC e uso la seguente configurazione
Utente standard per le operazioni di routine (esecuzione di programmi, apertura di documenti)
Utente admin protetto da password per la sola manutenzione (backup completi, ecc...)
Logando come standard, mi capita di lanciare normali programmi che, per non dare problemi, devono essere eseguiti come admin. In tal caso occorre inserire la password.
La cosa si eviterebbe logando come admin, in quanto in tal caso lo UAC non chiederebbe la password, ma basterebbe un clic
La domanda è allora questa: password a parte, a un utente admin lo UAC offre un livello di protezione analogo a quello che offre a un utente standard? In tal caso l'utente standard diventerebbe una precauzione inutile.
marcowheelie
09-06-2008, 17:07
Non so se ho ben capito la tua domanda.. cmq..
In caso di programmi che possono modificare il sistema l'uac ti avverte di cosa accade (assieme defender che da utili informazioni sulle modifiche apportate al sistema) e se l'azione è partita da te autorizzi. Nel momento che devi inserire la password ovviamente l'esecuzione è consentita in quanto ti qualifichi come admin:D per cui è la stessa identica cosa in questo caso utilizzare l'uno o l'altro account.
Diversi account con vista si devono usare nel caso altre persone utilizzino il pc.
Se altri utilizzassero il tuo pc (magari persone con poca dimestichezza) allora la password sarebbe stata sacrosanta, visto che potevano modificarti il sistema e i programmi installati a tua insaputa (la password ti salvava), ma visto che sei l'unico utilizzatore del pc penso puoi farne a meno tranquillamente.
khelidan1980
09-06-2008, 17:22
Logando come standard, mi capita di lanciare normali programmi che, per non dare problemi, devono essere eseguiti come admin. In tal caso occorre inserire la password.
La cosa si eviterebbe logando come admin, in quanto in tal caso lo UAC non chiederebbe la password, ma basterebbe un clic
La domanda è allora questa: password a parte, a un utente admin lo UAC offre un livello di protezione analogo a quello che offre a un utente standard? In tal caso l'utente standard diventerebbe una precauzione inutile.
Se un normale programma utente ti chiede la pass vuol dire che è scritto da gente poco competente,il danno più grande di Microsoft è stato convincere la gente che operare da admin sia normale
Vista lo conosco poco,ma l'utente admin per definizione non ti puo garantire la stessa protezione di un utente standard,solo per il fatto che tu può installare sw senza che ti venga richiesto alcunche,perchè è normale che sia cosi,UAC non ti può chiedere una pass di admin dato che già sei admin
Chessmate
09-06-2008, 17:41
@khelidan1980
Su Vista ogni utente, anche admin, è trattato come standard. UAC consente di innalzare i privilegi, richiedendo, se sei admin, una semplice conferma o, se sei standard, la password di admin.
La configurazione che ho descritto nel primo post è un retaggio di quando usavo XP, mi chiedevo appunto se su Vista è inutile tenere un account standard, oltre quello admin, a livello sicurezza
@marcowheelie
Anche se sono l'unico utente del PC, se l'account non è protetto da password potrei avere problemi nella condivisione file della rete locale.
stambeccuccio
09-06-2008, 18:49
Vista lo conosco poco,ma l'utente admin per definizione non ti puo garantire la stessa protezione di un utente standard,solo per il fatto che tu può installare sw senza che ti venga richiesto alcunche,perchè è normale che sia cosi,UAC non ti può chiedere una pass di admin dato che già sei admin
si, ma da admin ti chiede comunque conferma l'unica differenza dall'utente standard è che lì ti chiede anche la password che nel caso dell'admin è superflua.. quindi sono d'accordo con la considerazione fatta da @marcowheelie nel post sopra.
marcowheelie
09-06-2008, 21:58
si, ma da admin ti chiede comunque conferma l'unica differenza dall'utente standard è che lì ti chiede anche la password che nel caso dell'admin è superflua.. quindi sono d'accordo con la considerazione fatta da @marcowheelie nel post sopra.
le considerazioni di khelidan infatti sono valide per win xp, mentre come ha detto chessmate per vista non v'è molta differenza.. (d'altronde khelidan stesso dice di non conoscere bene vista)
in ogni caso abbiamo tutti capito male la domanda, in quanto a chessmate non interessa sapere se è opportuno utilizzare la pass (mi pare di capire che ne abbia bisogno per esigenze di condivisione file) ma se l'uac applica gli stessi criteri di protezione ad un utente admin e ad uno standard, questo personalmente non lo so, ma suppongo di si per le considerazioni fatte sopra. In ogni caso rimango iscritto al thread per seguire eventuali sviluppi...
stambeccuccio
09-06-2008, 22:06
La domanda è allora questa: password a parte, a un utente admin lo UAC offre un livello di protezione analogo a quello che offre a un utente standard? In tal caso l'utente standard diventerebbe una precauzione inutile.
..sempre se ho capito bene: secondo me si.
Se sei l'unico utilizzatore del computer si, diventerebbe una precauzione (sempre secondo me) inutile.
Semplicemente.... http://it.wikipedia.org/wiki/User_Account_Control
e leggere anche i 2 link esterni in fondo.
Importante il concetto:
When UAC is active (which is a default setting) even when user logs in as an administrator, most of her programs run as restricted processes, i.e. they have only some very limited subset of privileges in their process token. Also, they run at, so called, Medium integrity level, which, among other things, should prevent those applications from interacting with higher integrity level processes via Window messages. This mechanism also got a nice marketing acronym, UIPI, which stands for User Interface Privilege Isolation.
Lo volete capire o no che UAC non va mai disabilitato (se non dai niubbi)? ;)
mah... certo che però è una seccatura... pure per cancellare qualcosa dal cestino ti chiede conferma.... anche io sono unico utilizzatore di unpc muletto per p2p e l'ho disabilitiato (sarò un nuoob allora)... fosse meno invasivo lo tenevo pure... ma mi sono ben precauzionato con un buon firewall e antivirus connesso... Questa non è assolutamente una critica a nessuno.. magari con il vostro aiuto riesco a capirne l'utilità e a riattivarlo :D
mah... certo che però è una seccatura... pure per cancellare qualcosa dal cestino ti chiede conferma.... anche io sono unico utilizzatore di unpc muletto per p2p e l'ho disabilitiato (sarò un nuoob allora)... fosse meno invasivo lo tenevo pure... ma mi sono ben precauzionato con un buon firewall e antivirus connesso... Questa non è assolutamente una critica a nessuno.. magari con il vostro aiuto riesco a capirne l'utilità e a riattivarlo :D
si spera che lo uac sia un primo passo verso una gestione "di default" degli utenti più razionale, come avviene su linux.
utente admin da utilizzare esclusivamente per gestione programmi e configurazioni,
utente normale da usare nell'uso giornaliero
:mc:
quindi vogliono fare come con linux e SUDO? capisco... però non capisco l'utilità del doppio utente.. per evitare i virus principalmente?
Nicodemo Timoteo Taddeo
10-06-2008, 08:33
mah... certo che però è una seccatura... pure per cancellare qualcosa dal cestino ti chiede conferma....
Per cancellare il contenuto del cestino dell'utente interviene l'UAC? Mi suona decisamente molto strano, troppo... Che ci metti dentro? File di proprietà di altri utenti?
Secondo me o c'è qualcosa che non funziona nel tuo sistema operativo, o sbagli tu ad usarlo.
Saluti.
Per cancellare il contenuto del cestino dell'utente interviene l'UAC? Mi suona decisamente molto strano, troppo... Che ci metti dentro? File di proprietà di altri utenti?
Secondo me o c'è qualcosa che non funziona nel tuo sistema operativo, o sbagli tu ad usarlo.
Saluti.
errore mio... non lo chiede... però continua comq a essere una seccatura...
Leggendo i link postati da hexaae, se non ho capito male, mi sembra che un utente admin anche se con lo UAC attivo ha comunque qualche privilegio in piu rispetto a uno standard user:
When UAC is active (which is a default setting) even when user logs in as an administrator, most (quindi non tutti....) of her programs run as restricted processes, i.e. they have only some very limited subset of privileges in their process token. Also, they run at, so called, Medium integrity level, which, among other things, should prevent those applications from interacting with higher integrity level processes via Window messages. This mechanism also got a nice marketing acronym, UIPI, which stands for User Interface Privilege Isolation.
Per l'uso quotidiano mi sono creato lo stesso un utente normale, ormai sono abituato cosi.
Comunque la separazione tra admin e utente normale è si importante, ma fino a un certo punto. I worm possono caricarsi all'avvio del computer, leggere, scrivere o cancellare i file personali dell'utente, aprire connessioni e altro senza bisogno di avere i privilegi di admin.
I virus classici che cercano di riprodursi infettando gli eseguibili di sistema sono diventati rari ormai, quello che fanno gli spyware e i malware moderni in generale non è scalare i previlegi ma abusare di operazioni legittime.
Sono i dati che devono essere protetti, visto che i programmi o l'OS se vengono compromessi posso reinstallarli, i dati no.
Da questo punto di vista unix o windows, root o non root, non fa differenza.
Non basta essere un utente non privilegiato per essere in una botte di ferro.
Nicodemo Timoteo Taddeo
10-06-2008, 13:37
I virus classici che cercano di riprodursi infettando gli eseguibili di sistema sono diventati rari ormai, quello che fanno gli spyware e i malware moderni in generale non è scalare i previlegi ma abusare di operazioni legittime.
Sono i dati che devono essere protetti, visto che i programmi o l'OS se vengono compromessi posso reinstallarli, i dati no.
Da questo punto di vista unix o windows, root o non root, non fa differenza.
Non basta essere un utente non privilegiato per essere in una botte di ferro.
Sono pienamente d'accordo con tutto il tuo post, tanto che avrei potuto dire di averlo scritto io ;)
Ho già scritto su un altro thread che "complice " Vista mi aspetto di vedere quanto prima i viruswriter prendere atto della nuova realtà e cominciare a scrivere malware "Vista compatibile" :)
Cioè malware che piuttosto che provare a scrivere o patchare file nella cartella di sistema, scrivere nelle zone del registro proibite agli users, e provare ad eseguire operazioni con privilegi elevati, si limitino a sfruttare le risorse disponibili. Qualcosa tipo i bei vecchi virus che sovrascrivevano o cancellavano file stavolta limitandosi alla \home dell'utente ed alle altre partizioni, spyware che possono comunicare tutto quello che fa l'utente che abbia la sventura di caricarlo in memoria, malware che modifichi le impostazioni del client email per fargli postare roba autonomamente, insomma lo spazio di manovra c'è e pure tanto. L'unico vantaggio per l'utente è che sarà roba mediamente più facile da trovare e debellare, essendo limitata la possibilità di nascondersi nei meandri del sistema.
Però i danni si possono fare lo stesso altroché :doh:
Saluti.
tempesta6
10-06-2008, 15:22
piccolo ot oggi l uac mi ha salvato il sederino!
Ho scaricato un piccolo file da UTORRENT partita l installazione mi ha fermato l uac dicendomi che il programma si voleva "insediare" nel registro del sistema...Grande uac!
Con Vista l'utilizzo di un account User in luogo di un account Administrator non ha senso se si è l'unico utilizzatore del sistema perché tutti gli Administrator protetti da UAC dispongono di 2 token all'avvio del sistema. Un token è quello standard con i privilegi di Administrator il cui utilizzo è protetto dalla conferma (oppure dall'inserimento di una password previa modifica delle policy di sistema), il secondo token dispone dei privilegi di User ed è quello utilizzato normalmente.
Il vantaggio di utilizzare un unico utente è evidente, nel caso in cui si renda necessario utilizzare i privilegi di Administrator si rimane nel contesto del proprio utente come succede utilizzando sudo sui sistemi *NIX e non è una cosa da poco. ;)
errore mio... non lo chiede... però continua comq a essere una seccatura...
Forse ti riferisci ai frequenti requester UAC quando manipoli file e dir in C:\Windows o C:\Program Files... Beh, devi sapere che su Vista con UAC attivo sono protette. Ciò ha lo scopo di evitare che per es. virus o malware generico possa scrivervi selvaggiamente come avveniva su XP.
Il punto è che non dovresti manipolare quelle directory "a mano" tutti i giorni...
Per far andare i programmi/giochi vecchi che danno problemi prova a leggere qui: http://www.hwupgrade.it/forum/showthread.php?t=1746889
Per l'uso quotidiano mi sono creato lo stesso un utente normale, ormai sono abituato cosi.
E' la cosa migliore ma su Vista non serve più, come ti ha detto anche Sirus, proprio grazie a UAC e al fatto che anche come utente singolo di default in realtà sei admin in piccola parte, quindi non c'è rischio...
MS dopo tanti anni ha giustamente imposto una più netta separazione fra user e admin, e ciò garantisce un'enrme garanzia in più di sicurezza rispetto al passato dove per es. su XP avevi controllo completo, ti beccavi un virus (che scriveva di nascosto dove voleva) che agiva con gli stessi diritti tuoi (admin) e quindi distruggeva tutto...
Comunque la separazione tra admin e utente normale è si importante, ma fino a un certo punto. I worm possono caricarsi all'avvio del computer, leggere, scrivere o cancellare i file personali dell'utente, aprire connessioni e altro senza bisogno di avere i privilegi di admin.
E come ci arrivano, di grazia, con UAC attivo, a mettersi in auto-run all'avvio o semplicemente a copiarsi nelle dir di sistema senza che l'utente se ne accorga? Non possono più.
Il problema della protezione dei dati rimane comunque, ha ragione arara. Un modo per limitare il problema, almeno dal mio punto di vista, è applicare una sandbox ad ogni programma che viene eseguito cosa che già succede con Internet Explorer su Vista (grazie ad IL). Il passo successivo è la virtualizzazione probabilmente.
E come ci arrivano, di grazia, con UAC attivo, a mettersi in auto-run all'avvio o semplicemente a copiarsi nelle dir di sistema senza che l'utente se ne accorga? Non possono più.
Ad esempio per autoavviarsi su Linux puo aggiungere una riga su ~/.bashrc dell'utente che esegue il codice malevolo, su Windows invece ogni utente ha una cartella Esecuzione Automatica personale se non sbaglio. In entrambi i casi è accessibile dall'utente.
Oppure una volta che il codice malevolo viene eseguito puo copiarsi nella \home in una cartella nascosta e modificare un link gia presente sul desktop in modo che avvii prima il malware e dopo il link preesistente. Cosi ogni volta che l'utente clicca sul link sul desktop avvia il malware inconsapevolmente.
Inoltre molti utenti tengono eseguibili nella propria home che si possono infettare in modo classico.
In ogni caso il codice malevolo puo decidere di fare danni subito la prima volta che viene eseguito, per cui anche se non puo autoavviarsi è comunque un pericolo.
Tutto questo si può comunque evitare con le sandbox. ;)
Si, le sandbox sono la soluzione migliore. Altrimenti come alternativa casalinga si puo creare un ulteriore utente limitato ed eseguire le applicazioni pericolose con i suoi privilegi tramite runas/su al posto di usare il proprio utente. Cosi la propria \home è al sicuro. :)
Ad esempio per autoavviarsi su Linux puo aggiungere una riga su ~/.bashrc dell'utente che esegue il codice malevolo, su Windows invece ogni utente ha una cartella Esecuzione Automatica personale se non sbaglio. In entrambi i casi è accessibile dall'utente.
Oppure una volta che il codice malevolo viene eseguito puo copiarsi nella \home in una cartella nascosta e modificare un link gia presente sul desktop in modo che avvii prima il malware e dopo il link preesistente. Cosi ogni volta che l'utente clicca sul link sul desktop avvia il malware inconsapevolmente.
Inoltre molti utenti tengono eseguibili nella propria home che si possono infettare in modo classico.
In ogni caso il codice malevolo puo decidere di fare danni subito la prima volta che viene eseguito, per cui anche se non puo autoavviarsi è comunque un pericolo.
Guarda che un exe non può fare quello che dici con UAC attivo senza che tu te ne accorga.
L'idea del link potrebbe funzionare... e non c'è soluzione per nessun OS, se uno non ha anche un AV e scarica ed esegue programmi dubbi. A questo serve un AV per il controllo in locale. Non puoi biasimare l'OS se esegui una "normale" applicazione che fa cose lecite come crearsi una dir (non in aree protette di Vista) etc. Per fare ciò basterebbe anche un semplice scriptino...
Da remoto e da internet invece è ben più impossibile che solo possa copiarsi sul tuo HD grazie alla modalità protetta di IE7 per es. che gira ad un livello di privilegi più basso dell'utente collegato e per ogni cosa (es- creare un link sul desktop) chiederebbe conferma...
Guarda che un exe non può fare quello che dici con UAC attivo senza che tu te ne accorga.
Ogni utente nella propria home ha la directory C:\Users\MyUser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup in cui puo creare un eseguibile, uno script o un link da avviare in automatico quando si logga, ed è accessibile senza bisogno di autenticarsi da qualsiasi processo con i previlegi di User lanciato dall'utente (com'è giusto che sia, va bene cosi).
Allo stesso modo su Linux ogni utente ha un file .bashrc nella propria home in cui specicare i comandi che vuole far eseguire quando si logga.
Per cui un malware puo avviarsi ogni volta che l'utente si logga senza aver bisogno dei privilegi di admin. In compenso è molto piu facile da sgamare. ;)
L'idea del link potrebbe funzionare... e non c'è soluzione per nessun OS, se uno non ha anche un AV e scarica ed esegue programmi dubbi. A questo serve un AV per il controllo in locale. Non puoi biasimare l'OS se esegui una "normale" applicazione che fa cose lecite come crearsi una dir (non in aree protette di Vista) etc. Per fare ciò basterebbe anche un semplice scriptino...
Da remoto e da internet invece è ben più impossibile che solo possa copiarsi sul tuo HD grazie alla modalità protetta di IE7 per es. che gira ad un livello di privilegi più basso dell'utente collegato e per ogni cosa (es- creare un link sul desktop) chiederebbe conferma...
Infatti sono d'accordo, non ho detto che è colpa dell'OS, che su questo non puo farci niente.
Una soluzione sarebbe quella di implementare una sorta di RBAC da configurare per ogni programma, oppure usare delle sandbox.
Ogni utente nella propria home ha la directory C:\Users\MyUser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup in cui puo creare un eseguibile, uno script o un link da avviare in automatico quando si logga, ed è accessibile senza bisogno di autenticarsi da qualsiasi processo con i previlegi di User lanciato dall'utente (com'è giusto che sia, va bene cosi).
Allo stesso modo su Linux ogni utente ha un file .bashrc nella propria home in cui specicare i comandi che vuole far eseguire quando si logga.
Per cui un malware puo avviarsi ogni volta che l'utente si logga senza aver bisogno dei privilegi di admin. In compenso è molto piu facile da sgamare. ;)
Mmmh, sì.. in effetti...
Una soluzione sarebbe quella di implementare una sorta di RBAC da configurare per ogni programma, oppure usare delle sandbox.
AAARGH! Leggi questa falla di IE7! Fixata giusto martedì questo tramite l'ultimo Windows Update (ogni secondo martedì del mese escono i security fix).
http://aovestdipaperino.com/posts/melaggini.aspx
AAARGH! Leggi questa falla di IE7! Fixata giusto martedì questo tramite l'ultimo Windows Update (ogni secondo martedì del mese escono i security fix).
http://aovestdipaperino.com/posts/melaggini.aspx
Step 1. Browse this web page with Safari for Windows, and download is copied to Desktop. It's a legitimate feature.
Step 2. Now launch Internet Explorer from Desktop or Start Menu, and code from the DLL file is executed. This is the issue. :doh:
che coincidenza...:asd:
BaZ....!!!!
12-06-2008, 00:45
io UAC lo adoro, ditemi scemo ma posso usare il PC tranquillamente con UAC + cervello :asd: SENZA antivirus (lo so suona strano per win ma è cosi).
ho fatto giusto ieri delle scansioni online e usato dei tools non install e ho il pc pulito :) meglio di così ;)
idem la mia ragazza, ha su norton IS purtroppo (installato dal papi) usa vista, UAC attivo, ho dato un occhio rapido nel poco tempo che avevo e non ho notato niente di strano in avvio, nessun rallentamento, problema o roba simile.... :D fortuna che ha un quadcore cosi non ha rallentamenti con norton...cmq è brava e coscienziosa nell'uso del pc ;)
in definitiva, quoto hexxaae, non servono utenti standard in vista, basta tenere "l'admin" che vista assegna all'utente normale :)
se si è coscenti di cio che si fa col pc non si hanno problemi :D
in definitiva, quoto hexxaae, non servono utenti standard in vista, basta tenere "l'admin" che vista assegna all'utente normale :)
se si è coscenti di cio che si fa col pc non si hanno problemi :D
Non è una questione di coscienza, è che tecnicamente un Administrator protetto da UAC ed uno User protetto da UAC sono la stessa cosa a meno del sistema di elevamento dei permessi che comunque può essere unificato (password per entrambi). :p
Lettura interessante: La magia dietro UAC (http://aovestdipaperino.com/posts/la-magia-dietro-uac.aspx), molto semplice ma esaustiva.
BaZ....!!!!
12-06-2008, 13:41
Non è una questione di coscienza, è che tecnicamente un Administrator protetto da UAC ed uno User protetto da UAC sono la stessa cosa a meno del sistema di elevamento dei permessi che comunque può essere unificato (password per entrambi). :p
Lettura interessante: La magia dietro UAC (http://aovestdipaperino.com/posts/la-magia-dietro-uac.aspx), molto semplice ma esaustiva.
molto interessante, grazie ;)
vBulletin® v3.6.4, Copyright ©2000-2025, Jelsoft Enterprises Ltd.