Clamorosa falla nello UAC di Win7!!! Avete voluto meno prompt? Ben vi sta!

[WarDuck]

Originariamente inviato da II ARROWS

L'unica è addestrare l'utente ad usare un account standard... apparirà comunque UAC se non sbaglio.

Il punto sarebbe creare un utente amministratore che apparirà però nella schermata iniziale... Dovrebbero fare un modo per impostare alcuni utenti non visualizzabili.

C'è il modo, sempre tramite registro, prova così:
http://triponic.com/guidestutorials/...ount-in-vista/

[floola]

Ma non c'è un account administrator nascosto di default? Io mi ricordavo di sì

Il problema è che durante l'installazione non viene chiesta una password per questo account administrator, e l'installer prosegue creando un altro account con i privilegi di amministratore (sebbene mi pare siano leggermente più limitati rispetto all'administrator nascosto, che di fatto è all'incirca l'equivalente di root per i sistemi Unix).

Penso che imporre in fase di setup una password per l'administrator e creare di default un utente limitato potrebbe essere una soluzione.

In questo modo l'UAC chiederebbe, come già fa oggi con gli utenti limitati, la password dell'administrator nei prompt. Così penso sarebbe davvero una sorta (ripeto, una sorta, ovvio che siano diversi) di sudo by Windows

Certo, se uno se la canta e se la suona da solo sul computer, eventualmente si eleva poi il suo username direttamente ad amministratore, e se si sente bravo ed esperto col PC, potrà anche disfarsi dell'UAC e fare ciò che gli aggrada senza prompt e password.

Ma in un ambiente multiutente, che può essere anche una famiglia, la soluzione di default penso dovrebbe essere quella che ho descritto

[WarDuck]

Bisogna distinguere dall'Administrator che crea l'installer di Windows (limitato) e il SuperAdministrator nascosto di default (e disattivato).

Essendo il SuperAdministrator disattivato di default, non ti viene chiesta la password durante l'installazione.

Cmq associando un programma del genere (modificando la voce "HKEY_CLASSES\cmdfile" del registro) a tutti i tipi di script si può fare in modo di chiedere all'utente il consenso anche per gli script in modalità utente, un po' come fa linux che ti chiede se vuoi eseguire lo script o aprirlo nell'editor per vedere cosa fa:

#include <conio.h>
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

#define EDITOR "C:\\Windows\\Notepad.exe"

int main(int argc, char* argv[])
{
    printf("ScriptBlock Chooser v0.1\n2009\n\n");

    if (argc < 1) {
        printf("Argument not provided.\n");
        return -1;
    }

    printf("%s %s \n%s\n", "Trying to open", argv[1], "Select an action or press any key to cancel:");

    printf("1. Open the script in NOTEPAD\n");
    printf("2. Execute the script\n");

    int c = getch();

    switch(c) {
        case '1': argv[0]=EDITOR; execve(EDITOR, argv, NULL); break;
        case '2': system(argv[1]); break;
    }

    return 0;
}

(il programma in questione funziona via console, ma si può facilmente portare in C# con una GUI apposita)

PS: il programma in questione non funziona se c'è un altro eseguibile che chiama appunto il file cmd, per cui rimane più efficacie bloccare gli script tramite AppLocker.

Il punto è che un'exe maligno sfruttando le stesse librerie può in ogni caso emulare l'input da tastiera, capite perché è un problema?

[floola]

Cioé, aspetta, non ho capito bene...

L'installer mi crea l'utente floola, ad esempio, con i privilegi di amministratore, poi c'è l'account administrator che, di fatto, è un SuperAdministrator quanto a privilegi, dunque una sorta di root per Windows, ed è disabilitato di default. Ho capito bene?

Se ho capito bene, allora potrebbe andare bene come avevo detto, riformulandolo meglio: rendere il SuperAdministrator attivo, ma non visibile di default alla schermata di login e protetto con password creata durante l'installazione, e creare di default un utente limitato...

[WarDuck]

Originariamente inviato da floola

Cioé, aspetta, non ho capito bene...

L'installer mi crea l'utente floola, ad esempio, con i privilegi di amministratore, poi c'è l'account administrator che, di fatto, è un SuperAdministrator quanto a privilegi, dunque una sorta di root per Windows, ed è disabilitato di default. Ho capito bene?

Esattamente. Lo puoi vedere cliccando col destro su Computer -> Manage, poi vai su Local Users and Groups -> Users, c'è l'elenco degli utenti del pc, e vedi che Administrator è disattivato di default.

[floola]

Originariamente inviato da WarDuck

Esattamente. Lo puoi vedere cliccando col destro su Computer -> Manage, poi vai su Local Users and Groups -> Users, c'è l'elenco degli utenti del pc, e vedi che Administrator è disattivato di default.

Ok, io pensavo fosse solo reso nascosto agli altri utenti, non che fosse proprio disattivato, non si finisce mai di scoprire cose nuove

[II ARROWS]

Non è esatto...

Administrator è un account che normalmente puoi usare solo in modalità provvisoria. Poi mi sembra si possa attivarlo anche normalmente... o forse no, forse la soluzione era creare un amministratore che si chiama Adiministrator...


Resta il fatto che con quel modo, posso sì creare un amministratore... Ma UAC continua a dare il mio nome, nonostante sia diventato utente standard, come opzione da cliccare... La cosa è strana.

Stavo pensando di farlo al portatile di mia sorella.

[II ARROWS]

Oh, perfetto! Riavviando non posso scegliere alcun utente in UAC e quindi neppure modificare la chiave di registro, UAC o ripristinare lo stato di amministratore...

[dvbman]

Originariamente inviato da II ARROWS

Oh, perfetto! Riavviando non posso scegliere alcun utente in UAC e quindi neppure modificare la chiave di registro, UAC o ripristinare lo stato di amministratore...

non garantisco che tu possa risolvere con questa prova..però non costa nulla tentare : scarica PCLoginNow (è un'iso bootabile da masterizzare) : lo scopo principale di questa mini-distro è quello di impostare o azzerare le password di xp/vista (sia su fat32 che ntfs) tuttavia non ricordo se permette anche di creare utenti da zero ed assegnarli a gruppi. puoi provare a vedere se puoi creare un'utente da aggiungere al gruppo administrators

[II ARROWS]

MANCO IL RIPRISTINO!!!!!

[SERIE DI PAROLE NON RIPRODUCIBILI]

[Aggiornamento: ripristinato il sistema a questa mattina avviando con F8 e selezionando la prima opzione(strumenti di recupero... qualcosa del genere ma in inglese).
Ti fa scegliere l'utente con cui connetterti, e tra questi c'era il mio amministratore e $AlphaUser (esattamente così). Il ripristino ha cancellato automaticamente l'account nuovo e ripristinato il mio....]

[valles]

Originariamente inviato da hexaae

In realtà non è una "falla", ma l'ovvia conseguenza del design di default dell'UAC in Win7.
Ovvio, e l'ho sempre detto e scritto anche in questo forum che su Win7 va impostato come era su Vista l'UAC per stare sicuri: al massimo livello. Non quello di default anti-rottura® per far contenti gli ignoranti abituati a 7 anni di XP e che "non vogliono essere disturbati" poverini....
Io sono felice che il sistema mi chieda, quando voglio cambiare impostazioni, il permesso di amministratore.

quoto in toto: UAC al massimo se usi il pc come strumento di lavoro e non come macchina da gioco soltanto, poi di Seven comunque ti rimane la leggerezza che ti permette di usarlo anche su macchinette tipo EEpc ecc.

[floola]

Originariamente inviato da II ARROWS

Non è esatto...

Administrator è un account che normalmente puoi usare solo in modalità provvisoria. Poi mi sembra si possa attivarlo anche normalmente... o forse no, forse la soluzione era creare un amministratore che si chiama Adiministrator...

Vabbé, ma la parte che mi interessava era quella Lo so che compare in modalità provvisoria. E sì, c'è il modo per attivarlo normalmente (ai tempi di XP, una volta, mi pare di averlo pure fatto...)

[coges]

Originariamente inviato da II ARROWS

Non è una falla nella beta, è un errore di progettazione. A meno che non si cambi prima dell'uscita non la puoi correggere.
E comunque basta far agire la modifica dell'UAC come un programma "non Microsoft" e quindi apparire il desktop.

ma vi rendete conto di quello che scrivete???

ERRORE DI PROGETTAZIONE!!!!

è come dire finita una casa.... ci siamo dimenticati di fare il WC


la microsoft sborsa miliardi di dollari per la progettazione di un SO e mi dite che è un errore di progettazione.....

ma scherzate voi o gli ingegneri che stanno alla redmond???

[Pr|ckly]

Originariamente inviato da xsim

I permessi NTFS sono così tanti e variegati che praticamente alla fine ci vogliono i permessi dei permessi dei permessi per fare un qualcosa dove in realtà sarebbe bastato un click senza rischi di autorizzare ciò che si era pensato di negare..una struttura tanto inutilmente complesa..

ROTFL, tu si che ne sai a pacchi.
Grazie al cazzo che diventano complessi se devi condividere due canzoni (che poi denoti ingnoranza dicendo questo perchè esistono scorciatoie che semplificano molto anche la condivisione casalinga), il punto è quanto diventano utili e dalle infinite possibilità in altri scenari.
Mai provato ad usare le ACL di Windows con una struttura complessa come AD vero?
No, altrimenti ti accorgeresti della vaccata cosmica che hai detto.

I sistemi Unix solo nel non permettere l'assegnazione di diritti ai singoli utenti (ma solo al proprietario) mangiano polvere dalla gestione ACL di Windows. E il tutto senza bisogno di stare a scomodare la differenziazione tra sharing e NTFS permissions.

Questo è il limite di Microsoft, avere un parco di software e di utenti talmente vasto che quello che si conosce è davvero limitato, e quando la gente giugne a conclusioni di cose che non conosce nemmeno ecco i risultati.

[Mister24]

Originariamente inviato da coges

ma vi rendete conto di quello che scrivete???

ERRORE DI PROGETTAZIONE!!!!

è come dire finita una casa.... ci siamo dimenticati di fare il WC


la microsoft sborsa miliardi di dollari per la progettazione di un SO e mi dite che è un errore di progettazione.....

ma scherzate voi o gli ingegneri che stanno alla redmond???

A quanto ho capito non è proprio un errore di progettazione, ma una cosa voluta in quanto la MS sa di questo problema, ma dice che l'ha fatto per garantire la giusta esperienza agli utenti.

In pratica con Vista tutti dicono che UAC è troppo invasivo, con Seven ha abbassato il livello di protezione e ora tutti si lamentano che è troppo basso.

[Pr|ckly]

Originariamente inviato da hexaae

...che se non ricordo male dovrebbe essere attivabile tramite questa chiave di registro:

Mah, basta spostare l'utente dal gruppo Administrators a quello Users, quindi abilitare l'utente Administrator (disabilitato di default) e impostargli una password.
Cosi, alla richiesta di elevazione privilegi verrà richiesto l'inserimento della password.

Originariamente inviato da hexaae

Hanno ragione invece. Non è una vulnerabilità e non ci si può fare niente.

Hanno ragione loro si, perchè non è un bug.
Hanno ragione loro a non volerlo fixare no, non mi pare sia cosi difficile levare il certificato che esclude la richiesta di elevazione privilegi per il pannello di settaggio dell'UAC.

Originariamente inviato da floola

Se ho capito bene, allora potrebbe andare bene come avevo detto, riformulandolo meglio: rendere il SuperAdministrator attivo, ma non visibile di default alla schermata di login e protetto con password creata durante l'installazione, e creare di default un utente limitato...

Eh, lo dico dai tempi di Vista, Microsoft dovrebbe creare questa serie di eventi post installazione (in fase di creazione utenti) e non rendere possibile la creazione di un utente senza assegnargli una password, con i seguenti passi:

Utente Administrator -> obbligo di inserire una password
Creazione utente che andrà a finire nel gruppo Users -> obbligo di inserire una password.

In questo modo l'utente lavora come User e per le operazioni amministrative visualizza l'UAC con la richiesta di inserimento password dell'utenza Administrator.

Originariamente inviato da coges

ma vi rendete conto di quello che scrivete???

ERRORE DI PROGETTAZIONE!!!!

è come dire finita una casa.... ci siamo dimenticati di fare il WC


la microsoft sborsa miliardi di dollari per la progettazione di un SO e mi dite che è un errore di progettazione.....

ma scherzate voi o gli ingegneri che stanno alla redmond???

ahaha mi ricordo il primo film di arale e dr. slump in cui costruiscono l'astronave e poi si fermano a pensare... in quel momento esclamo: <<vuoi vedere che nella loro perfetta astronave si sono dimenticati il cesso?!?>>... era proprio così

cmq qui non è la stessa cosa, non fate altro che criticare e sparare a casaccio, pure io installando 7 mi sono accorto che il uac era meno invadente del solito, pensando alla beta, poi ho guardato le opzioni e ho capito.. non ci vuole proprio il genio se ci sono arrivato io..

[acitre]

Originariamente inviato da NLDoMy

non fate altro che criticare e sparare a casaccio

Davvero eh... Qui non ci si deve guardare più dagli utenti poco smaliziati ma dai presunti smanettoni! Un pressappochismo ed una superficialità disarmante in ogni discussione ma con commenti definitivi e netti senza conoscere minimamente ciò ce si critica.

[II ARROWS]

Originariamente inviato da coges

la microsoft sborsa miliardi di dollari per la progettazione di un SO e mi dite che è un errore di progettazione...

Progetti di rendere meno sicuro un prodotto>Errore di progettazione.

Errore facilmente risolvibile, facendo in modo che per modificare UAC, UAC appaia indipendentemente dal livello di privilegi.


Non chiudere un buco perchè non te ne sei accorto > Non hai la sfera di cristallo.
APRIRE un buco perchè il muro è solidissimo > Se non posso dire che hai sbagliato, allora devo dire che sei un coglione.

[hexaae]

Originariamente inviato da Pr|ckly

Hanno ragione loro a non volerlo fixare no, non mi pare sia cosi difficile levare il certificato che esclude la richiesta di elevazione privilegi per il pannello di settaggio dell'UAC.

Infatti credo che tutti siano d'accordo affinché impostazioni critiche come UAC on/off necessitino SEMPRE di UAC, qualsiasi livello di protezione si scelga... Vedremo se MS ascolterà questa critica.
Domani cmq i lamer si lamenteranno perché scopriranno che le impostazioni di rete sono modificabili senza che compaia l'UAC quando si mantiene il livello di protezioni più basso di come era in Vista