c.m.g
03-02-2009, 09:05
martedì 03 febbraio 2009
Roma - A sollevare la questione ci ha pensato Long Zheng, sulle pagine (http://www.istartedsomething.com/20090130/uac-security-flaw-windows-7-beta-proof/) del suo blog Start Something. Che Microsoft abbia deciso di dare ascolto ai molti utenti che hanno giudicato lo User Account Control (UAC) di Vista un po' troppo invadente è ormai cosa (http://punto-informatico.it/2454820/PI/News/pdc2008-ed-ecco-voi-windows.aspx) nota: ma che nel farlo abbia potuto commettere un errore tale da compromettere del tutto la sicurezza del sistema operativo è la tesi sostenuta da Zheng assieme (http://www.withinwindows.com/2009/01/30/malware-can-turn-off-uac-in-windows-7-by-design-says-microsoft) a Rafael Rivera. Per dimostrarlo ha anche pubblicato un attacco proof-of-concept: programmandolo in VBScript.
La tesi di Zheng è la seguente. Il nuovo UAC non è più configurato per avvisare di qualunque modifica apportata al sistema, e attribuisce al software installato da Microsoft stessa dei certificati che dovrebbero garantire l'attivazione e disattivazione di certe caratteristiche dell'OS basandosi sul riconoscimento dei certificati. Il problema, spiega il blogger, è che anche l'UAC fa parte di questo meccanismo: se disabilitato l'utente non viene avvisato. E basta una combinazione di tasti digitata via script per farlo.
In pratica, tramite una serie di input, UAC si spegne da solo senza neppure mostrare una singola finestra di conferma. Per funzionare, l'utente attivo sulla macchina deve appartenere al gruppo degli Administrator: una circostanza neppure troppo rara, ma che pone appunto un limite a questa falla, visto anche che Microsoft ha già chiarito (http://www.istartedsomething.com/20090131/microsoft-dismisses-windows-7-uac-security-flaw-insists-by-design/) che non intende modificare alcunché di questo aspetto del suo sistema operativo di prossima uscita (http://blogs.msdn.com/e7/archive/2009/01/30/our-next-engineering-milestone.aspx) (e potrebbe essere più prossima (http://arstechnica.com/microsoft/news/2009/01/more-proof-that-microsoft-wants-windows-7-out-in-2009.ars) di quanto si sia fin qui prospettato).
È vero che un sistema di sicurezza che può essere messo fuori uso da un trucchetto come una combinazione di tasti di una tastiera virtuale è davvero (http://www.betanews.com/article/The_oldest_trick_in_the_book_literally_defeats_UAC_in_Windows_7/1233331396) una circostanza insolita, ma è altrettanto vero - come ricorda (http://www.informationweek.com/blog/main/archives/2009/02/windows_7_secur.html?cid=RSSfeed_IWK_ALL) InformationWeek - che un attacco del genere dovrebbe venire veicolato da un file arrivato da Internet, e che il sistema operativo dovrebbe comunque avvisare che si sta per eseguire del codice scaricato dalla rete e che dunque potrebbe non essere sicuro. Un livello di sicurezza in più, quindi, esiste già: e ci sono (http://www.dailytech.com/Windows+7+UAC+Leaves+Door+Open+for+Attacks/article14127.htm) anche altri espedienti che possono mettere al sicuro dalla vulnerabilità descritta da Zheng.
Innanzi tutto l'utente può, a suo piacimento, variare le impostazioni UAC per ripristinare una modalità simile a quella di Vista. Noiosa, probabilmente, con i suoi continui alert di sicurezza che interrompono il lavoro, ma efficace. In secondo luogo, ma questo è un obiettivo che dovrebbe essere quasi dato per scontato, si potrebbe evitare di lavorare (o usare il proprio PC per diletto) utilizzando un account Administrator: che è la modalità di default al termine dell'installazione, ma che buona norma vorrebbe disattivata non appena si terminano le normali procedure di manutenzione della macchina.
Luca Annunziata
Fonte: Punto Informatico (http://punto-informatico.it/2540287/PI/News/windows-meno-sicuro-scelta.aspx)
Roma - A sollevare la questione ci ha pensato Long Zheng, sulle pagine (http://www.istartedsomething.com/20090130/uac-security-flaw-windows-7-beta-proof/) del suo blog Start Something. Che Microsoft abbia deciso di dare ascolto ai molti utenti che hanno giudicato lo User Account Control (UAC) di Vista un po' troppo invadente è ormai cosa (http://punto-informatico.it/2454820/PI/News/pdc2008-ed-ecco-voi-windows.aspx) nota: ma che nel farlo abbia potuto commettere un errore tale da compromettere del tutto la sicurezza del sistema operativo è la tesi sostenuta da Zheng assieme (http://www.withinwindows.com/2009/01/30/malware-can-turn-off-uac-in-windows-7-by-design-says-microsoft) a Rafael Rivera. Per dimostrarlo ha anche pubblicato un attacco proof-of-concept: programmandolo in VBScript.
La tesi di Zheng è la seguente. Il nuovo UAC non è più configurato per avvisare di qualunque modifica apportata al sistema, e attribuisce al software installato da Microsoft stessa dei certificati che dovrebbero garantire l'attivazione e disattivazione di certe caratteristiche dell'OS basandosi sul riconoscimento dei certificati. Il problema, spiega il blogger, è che anche l'UAC fa parte di questo meccanismo: se disabilitato l'utente non viene avvisato. E basta una combinazione di tasti digitata via script per farlo.
In pratica, tramite una serie di input, UAC si spegne da solo senza neppure mostrare una singola finestra di conferma. Per funzionare, l'utente attivo sulla macchina deve appartenere al gruppo degli Administrator: una circostanza neppure troppo rara, ma che pone appunto un limite a questa falla, visto anche che Microsoft ha già chiarito (http://www.istartedsomething.com/20090131/microsoft-dismisses-windows-7-uac-security-flaw-insists-by-design/) che non intende modificare alcunché di questo aspetto del suo sistema operativo di prossima uscita (http://blogs.msdn.com/e7/archive/2009/01/30/our-next-engineering-milestone.aspx) (e potrebbe essere più prossima (http://arstechnica.com/microsoft/news/2009/01/more-proof-that-microsoft-wants-windows-7-out-in-2009.ars) di quanto si sia fin qui prospettato).
È vero che un sistema di sicurezza che può essere messo fuori uso da un trucchetto come una combinazione di tasti di una tastiera virtuale è davvero (http://www.betanews.com/article/The_oldest_trick_in_the_book_literally_defeats_UAC_in_Windows_7/1233331396) una circostanza insolita, ma è altrettanto vero - come ricorda (http://www.informationweek.com/blog/main/archives/2009/02/windows_7_secur.html?cid=RSSfeed_IWK_ALL) InformationWeek - che un attacco del genere dovrebbe venire veicolato da un file arrivato da Internet, e che il sistema operativo dovrebbe comunque avvisare che si sta per eseguire del codice scaricato dalla rete e che dunque potrebbe non essere sicuro. Un livello di sicurezza in più, quindi, esiste già: e ci sono (http://www.dailytech.com/Windows+7+UAC+Leaves+Door+Open+for+Attacks/article14127.htm) anche altri espedienti che possono mettere al sicuro dalla vulnerabilità descritta da Zheng.
Innanzi tutto l'utente può, a suo piacimento, variare le impostazioni UAC per ripristinare una modalità simile a quella di Vista. Noiosa, probabilmente, con i suoi continui alert di sicurezza che interrompono il lavoro, ma efficace. In secondo luogo, ma questo è un obiettivo che dovrebbe essere quasi dato per scontato, si potrebbe evitare di lavorare (o usare il proprio PC per diletto) utilizzando un account Administrator: che è la modalità di default al termine dell'installazione, ma che buona norma vorrebbe disattivata non appena si terminano le normali procedure di manutenzione della macchina.
Luca Annunziata
Fonte: Punto Informatico (http://punto-informatico.it/2540287/PI/News/windows-meno-sicuro-scelta.aspx)