Clamorosa falla nello UAC di Win7!!! Avete voluto meno prompt? Ben vi sta!

[Mister24]

Originariamente inviato da xsim

Ci vorrebbe un UAC hardware..ossia una chiavetta usb opportunamente "formattata" e "settata" dal sistema operativo per il nostro account in base ad un livello di protezione scelto.
In assenza di questa non sarà possibile fare alcuna modifica al sistema, eseguire applicazioni o script non sicuri e nemmeno cancellare files e cartelle.
In questo modo, rimuovendo tale pendrive, non ci sarà bisogno nemmeno di antivirus & company..il sistema senza fare alcuna richiesta bloccherà qualsiasi cosa tranne operazioni di semplice lettura.

Forse questo è un po' esagerato, alla gente gli da fastidio fare un click figuriamoci se gli si chiede di inserire una chiavetta usb per installare un programma. E se la perde?

[hexaae]

Originariamente inviato da xsim

Ci vorrebbe un UAC hardware..ossia una chiavetta usb opportunamente "formattata" e "settata" dal sistema operativo per il nostro account in base ad un livello di protezione scelto.
In assenza di questa non sarà possibile fare alcuna modifica al sistema, eseguire applicazioni o script non sicuri e nemmeno cancellare files e cartelle.
In questo modo, rimuovendo tale pendrive, non ci sarà bisogno nemmeno di antivirus & company..il sistema senza fare alcuna richiesta bloccherà qualsiasi cosa tranne operazioni di semplice lettura.

In realtà basta attivare quello che ho detto nelle 3 righe finali qui: http://www.hwupgrade.it/forum/showpo...&postcount=147
Non esiste possibilità via software di simulare la pressione dei tasti ctrl+alt+canc dal momento che generano un interrupt HW indipendentemente dall'OS e dal software in esecuzione (ed esclusivamente se fisicamente vengono premuti quei tasti).

[WarDuck]

Ricopio qui un mio post che ho fatto nel thread di Windows 7:

Ho trovato una recensione di AppLocker, integrato in Windows 7 che consente di formare policy per consentire o meno l'esecuzione di determinate applicazioni/dll:

http://4sysops.com/archives/review-w...rt-1-overview/

Dipende dal servizio AppID di default disabilitato per sicurezza (dell'utente di non fare casini ). Dicono che nella Beta1 non funzioni la DLL Enforcement Rule, ma il resto funziona infatti ho bloccato gli script, come questo che disattiva UAC .



Con la DLL Enforcement Rule prevista si potranno disabilitare alcune DLL, e questo è incredibilmente ottimo .

Se Microsoft fornisse un insieme di regole di default Consenti/Nega per le DLL staremmo a cavallo e non ci sarebbe neanche questo complesso di inferiorità nei confronti di SELinux.

[hexaae]

...è che finalmente c'è gente seria e competente a sviluppare Windows dal punto di vista qualitativo, non solo quantitativo come in passato... è solo questione di tempo e MinWin, Vista, Win 7 etc. sono tutti ottimi esempi di una nuova aria che tira nel settore sviluppo

[dvbman]

Originariamente inviato da hexaae

...che se non ricordo male dovrebbe essere attivabile tramite questa chiave di registro:

esatto, è quella chiave. puoi usare il .reg o il secpol.msc (quest'ultima opzione per tutte le versioni ad esclusione della home basic che se non ricordo male non ha il frontend per le policy)

Originariamente inviato da hexaae

Non esiste possibilità via software di simulare la pressione dei tasti ctrl+alt+canc dal momento che generano un interrupt HW indipendentemente dall'OS e dal software in esecuzione.

esatto, se non ricordo male c'è anche la policy per chiederne la pressione prima di ogni inserimento di ogni richeista uac (credo il massimo settaggio paranoico sia ctrl+alt+canc + secure desktop + uac con credenziali)

Originariamente inviato da alex783

Perché inutile ed insensata?

Perchè secondo me chiedere "vuoi consentire" mette meno in guardia l'utente che un prompt con richiesta di credenziali : o almeno spero..poi è vera anche l'obiezione contraria, ovvero che c'è anche chi non si fà troppe domande e manda i proprio dati quando lo avvisano via email di aver vinto 1mln di euro

[hexaae]

Originariamente inviato da dvbman

esatto, è quella chiave. si può usare anche secpol.msc per tutte le versioni ad esclusione della home basic (che se non ricordo male non ha il frontend per queste policy)

Sulla Home Premium non c'è secpol, per cui bisogna agire sul registro...

esatto, se non ricordo male c'è anche la policy per chiederne la pressione prima di ogni inserimento di ogni richeista uac (credo il massimo settaggio paranoico sia ctrl+alt+canc + secure desktop + uac con credenziali)

Più di così infatti non è umanamente concepibile, e non è sicuramente aggirabile senza un omino che pigia i tasti della tastiera

[dvbman]

Originariamente inviato da hexaae

Sulla Home Premium non c'è secpol, per cui bisogna agire sul registro...

hai ragione, manca in entrambe le versioni home. Sarà che per me esiste solo la versione business..ma questo è un altro discorso

[xsim]

Originariamente inviato da hexaae

In realtà basta attivare quello che ho detto nelle 3 righe finali qui: http://www.hwupgrade.it/forum/showpo...&postcount=147
Non esiste possibilità via software di simulare la pressione dei tasti ctrl+alt+canc dal momento che generano un interrupt HW indipendentemente dall'OS e dal software in esecuzione (ed esclusivamente se fisicamente vengono premuti quei tasti).

Ok..fatto!
Mi chiede user e password..ma non la pressione di ctrl-alt-canc.
Fatto anche il tweak dell'AppLocker.

[WarDuck]

CTRL+ALT+CANC dovrebbe essere valido solo per il login, non credo si abbini anche ad UAC.

D'altronde non ha senso se usate UAC con il Desktop Protetto... quella combinazione di tasti serviva proprio per evitare che script automatizzassero il login.

[xsim]

Originariamente inviato da WarDuck

CTRL+ALT+CANC dovrebbe essere valido solo per il login, non credo si abbini anche ad UAC.

D'altronde non ha senso se usate UAC con il Desktop Protetto... quella combinazione di tasti serviva proprio per evitare che script automatizzassero il login.

Ok..recepito.
user e password me l'ha chiesto la prima volta e adesso non me lo chiede più.
C'è la possibilità che lo chieda ogni volta e non una volta per sessione ?

[hexaae]

Per avere anche il 3-fingers-salute:
- scrivi netplwiz in Start
- alla pagina Avanzate attiva in basso la funzione apposita:



È vero però come dice WarDuck: è solo per l'accesso.

[dvbman]

Originariamente inviato da WarDuck

D'altronde non ha senso se usate UAC con il Desktop Protetto... quella combinazione di tasti serviva proprio per evitare che script automatizzassero il login.

Non fà una grinza..

[hexaae]

Originariamente inviato da xsim

user e password me l'ha chiesto la prima volta e adesso non me lo chiede più.
C'è la possibilità che lo chieda ogni volta e non una volta per sessione ?

Impossibile. Ti deve apparire sempre la richiesta password una volta che imposti:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
ConsentPromptBehaviorAdmin = 1

[xsim]

Originariamente inviato da hexaae

No, te la chiede sempre per azioni che chiamano l'UAC la password una volta impostata la chiave di registro che ho scritto.

L'ho impostata (la chiave)..ma mi ha chiesto user e password soltanto la prima volta..adesso non più (ho pure riavviato).
Ricontrollando il regedit ho notato che mi ha reimpostato la chiave a "2"..bisognerebbe capire chi l'ha modificata..quale opzione nel control panel.
Inoltre..ho impostato anche la rules per gli script (seguendo alla lettera il post poco sopra)..ma non blocca (a monte) il nostro famoso script che abbassa la protezione dell'UAC.

[dvbman]

Ne approfitto per chiedervi : sapete se c'è modo per espandere di default la voce dettagli nel prompt di uac? Perchè è fastidioso dover cliccare sulle doppie freccine per vedere qual'è l'eseguibile che richiede piu' privilegi.

E l'analogo per il dialog di copia (vedere sempre la velocità senza dover cliccare tutte le volte)?

[II ARROWS]

Originariamente inviato da WarDuck

Si ma non si vede l'utilità di una libreria che emuli gli input da tastiera o da mouse. Specialmente per un programma user mode che gira con privilegi limitati, questo non deve essere possibile.

Emulatori di "mouse e tastiera". Sono utilissimi per molti giochi.
Anche le tastiere con tasti programmabili necessitano di queste funzioni.

[II ARROWS]

Originariamente inviato da xsim

Ci vorrebbe un UAC hardware..ossia una chiavetta usb opportunamente "formattata" e "settata" dal sistema operativo per il nostro account in base ad un livello di protezione scelto.
In assenza di questa non sarà possibile fare alcuna modifica al sistema, eseguire applicazioni o script non sicuri e nemmeno cancellare files e cartelle.
In questo modo, rimuovendo tale pendrive, non ci sarà bisogno nemmeno di antivirus & company..il sistema senza fare alcuna richiesta bloccherà qualsiasi cosa tranne operazioni di semplice lettura.

Si chiama Trusted Computing, prevede un chip sulla scheda madre con una chiave e l'inserimento di una password. Con questo sistema puoi eseguire solo programmi in una lista permessa, leggere solo i supporti in una lista(criptati dalla chiave), e far funzionare solo l'hardware autorizzato.

Ogni dispositivo dell'esercito degli Stati Uniti deve avere questo supporto.

[xsim]

Originariamente inviato da II ARROWS

Si chiama Trusted Computing, prevede un chip sulla scheda madre con una chiave e l'inserimento di una password. Con questo sistema puoi eseguire solo programmi in una lista permessa, leggere solo i supporti in una lista(criptati dalla chiave), e far funzionare solo l'hardware autorizzato.

Ogni dispositivo dell'esercito degli Stati Uniti deve avere questo supporto.

Così..a rigor di logica mi sembrava il sistema più sicuro..o giù di lì.

[II ARROWS]

Originariamente inviato da hexaae

In realtà basta attivare quello che ho detto nelle 3 righe finali qui: http://www.hwupgrade.it/forum/showpo...&postcount=147
Non esiste possibilità via software di simulare la pressione dei tasti ctrl+alt+canc dal momento che generano un interrupt HW indipendentemente dall'OS e dal software in esecuzione (ed esclusivamente se fisicamente vengono premuti quei tasti).

Non che non ti creda, ma ho provato a simularli premento il tasto Y con Xpadder ed effettivamente non succede nulla!

[II ARROWS]

L'unica è addestrare l'utente ad usare un account standard... apparirà comunque UAC se non sbaglio.

Il punto sarebbe creare un utente amministratore che apparirà però nella schermata iniziale... Dovrebbero fare un modo per impostare alcuni utenti non visualizzabili.


Tralaltro, ho appena creato un altro utente(e già cancellato... sono l'unico utente e non voglio doverlo scegliere):
Un utente standard non può selezionare i due livelli inferiori di UAC, quindi lo script non funzionerà comunque...
Appare anche solo spostando il livello di sicurezza dal 3 al 4, una finestra di UAC ma senza oscurire lo schermo, con tutto ancora interagibile...
...però Xpadder non funziona comunque.
Passando dal livello 4 al 3 invece passa visibilmente al desktop sicuro.