Windows 8.1 e i maledetti Scudi sulle icone.

[Nui_Mg]

Originariamente inviato da vaio-man

no scusami, con app non intendevo le app dello store era solo per abbreviare la parola applicazioni Le app dello store non le considero in quanto sono verificate da Microsoft e girano nella loro sandbox, parlavo di app win32

Ah bon, allora tu non hai veramente disattivato lo UAC (per intenderci la modifica di EnableLUA).

[vaio-man]

Originariamente inviato da Nui_Mg

Ah bon, allora tu non hai veramente disattivato lo UAC (per intenderci la modifica di EnableLUA).

Macchè modifica, io parlavo dello slide inserito nel sistema operativo. Mi basta solo che non mi rompa con le notifiche, il sistema UAC in sè è utile

[montabbano_sono]

Originariamente inviato da vaio-man

L'unica abitudine veramente pericolosa è non fare il backup "eh tanto tra antivirus, firewall, uac... che vuoi che succeda" e fidati che a lavoro ne vedo molta di gente così. Comunque tra Antivirus, firewall e backup periodici l'UAC lo ritengo realmente inutile, anche perchè la maggior parte dei virus ormai lo sa aggirare, mentre non sa aggirare un buon antivirus

Le abitudini pericolose sono tante, non ho mai detto che abilitando la UAC si sia sicuri al 100%, e che la si debba usare da sola come unico strumento di difesa: se è passato questo messaggio, non è quello che volevo trasmettere.
La UAC non può fungere certo da antivirus o antimalware, non è quello il suo scopo. Può essere uno strumento che ti da avvisaglie di situazioni particolari (fondamentalmente accessi a porzioni di sistema non autorizzate come normal user o porzioni non tue, di altri utenti ), a meno di bug nel sistema per aggirarla (e bug da sfruttare ce ne possono essere anche in un antivirus) o di installazioni in locale di codici malevoli (che possono fare danni anche agli antivurus).

Questo per dire che il primo antivirus deve essere l'utente, che non deve installare software non attendibile e deve scansionarlo prima di avviarlo, se non sprovvisto di un antivirus real-time; se non si fa così, è molto facile compromettere un sistema, non c'é sicurezza che tenga.

Il messaggio che vorrei far passare è che la sicurezza di un sistema consta di un sistema configurato con appositi applicativi di protezione, e di determinate abitudini di utilizzo, che se non seguite possono rendere inefficaci gli strumenti di protezione stessi.

Gli strumenti stessi poi a loro volta sono soggetti a difetti di programmazione, quindi dobbiamo tenerli continuamente aggiornati e, in casi estremi, cambiare con strumenti più affidabili, e questo può valere anche per il sistema operativo

[Nui_Mg]

Originariamente inviato da vaio-man

Macchè modifica, io parlavo dello slide inserito nel sistema operativo.

Non sembrava proprio che tu intendessi quanto sopra, visto che quando Blue_screen_of_death ti ha fatto la domanda
"Hai idea dei rischi che corri disabilitando UAC?",

tu hai risposto con
"Hai idea dei rischi che corri a fare il moralizzatore in giro?"

quindi senza negare e specificare niente e in un modo che facesse proprio pensare ad una vera disattivazione.

[vaio-man]

Originariamente inviato da Nui_Mg

Non sembrava proprio che tu intendessi quanto sopra, visto che quando Blue_screen_of_death ti ha fatto la domanda
"Hai idea dei rischi che corri disabilitando UAC?",

tu hai risposto con
"Hai idea dei rischi che corri a fare il moralizzatore in giro?"

quindi senza negare e specificare niente e in un modo che facesse proprio pensare ad una vera disattivazione.

Quella era solo una battuta, se non si era capita mi scuso

Si mi riferivo allo slide di sistema per le notifiche dell'UAC, per quello dicevo che comunque le applicazioni girano senza diritti amministrativi.

[Blue_screen_of_death]

Originariamente inviato da Nui_Mg

Ma va là, roba vecchia e facilmente risolvibile, ne ho parlato proprio io su questo forum anni fa quando parlavo del fatto di come certi sudo per windows (su xp) fossero meglio pensati dello UAC di default da Vista in poi. Proprio in quella sede, e in quasi tutti gli interventi che faccio su tale tema, il consiglio che dò è sempre lo stesso, peraltro nato nella letteratura unix, cioè di un sistema multiutente (windows lo è diventato a partire dal kernel NT), ovvero account amministratore solo per compiti di gestione/manutenzione sistema e account standard per tutto il resto.

Nel caso di Windows: appena conclusa ogni installazione di tale sistema va fatto quanto sopra (le due diverse tipologie di account) ma attivando sempre lo UAC su entrambi i tipi di account E AL MASSIMO LIVELLO (quindi NON lasciare il livello di default): mettendo al max livello i novizi potrebbero spaventarsi dell'aumento degli alert dello uac, ma sono facilmente risolvibili/eliminabili quando si comprende che sono dovuti solo al fatto di non aver permessi di scrittura in quella zona del file system (si risolve posizionando in zone diverse, non le classiche proposte dal sistema).

Quindi la vecchia questione dell'injection (che sì, MS ha balordamente definito "feature") si risolve perfino lato utente mettendo al max lo uac (su account admin, su account standard non ce ne sarebbe nemmeno bisogno).

L'usare anti-virus/malware invece che UAC e soci (strumenti integrati di windows, tipo uac/permessi ntfs/group policy/ecc., che proprio per questo sono anche BEN MENO onerosi in termini di cicli cpu e ram) solitamente è la scorciatoia che prendono i novizi ma è ben lungi dall'essere la più efficiente.

E' ben più raro vedere bucato un account standard con uac rispetto al bypassamento di questo o quell'altro anti-malware/virus residente.

Comunque da Windows Vista in poi, gli utenti consapevoli di quello che fanno possono benissimo usare soltanto Account Amministratore con UAC attivato, perché comunque normalmente si esegue con privilegi standard e, quando necessario, per acquisire privilegi di admin compare la richiesta da parte di UAC.

[Nui_Mg]

Originariamente inviato da Blue_screen_of_death

Comunque da Windows Vista in poi, gli utenti consapevoli di quello che fanno possono benissimo usare soltanto Account Amministratore con UAC attivato

No, Account Administrator con UAC è decisamente diverso da account standard con uac, group policy e user space diversi: non sono pochi i casi (anche nella famosa "gara" remunerata per bucare i vari browser, exploit che spesso hanno sfruttato proprio buchi di Admin account+uac) di exploit su AdminAccount+Uac che non facevano un baffo ad account standard+uac (e io te lo dico da sistemi su cui non è attivo alcun anti-virus/malware residente, inclusa l'esclusione di windows defender, la sua disattivazione è la prima cosa che faccio a win appena installato).

[Blue_screen_of_death]

Il punto è che per varie operazioni è in obbligatorio l'uso di account admin.

[Nui_Mg]

Originariamente inviato da Blue_screen_of_death

Il punto è che per varie operazioni è in obbligatorio l'uso di account admin.

Ma io non avevo già detto "ovvero account amministratore solo per compiti di gestione/manutenzione sistema e account standard per tutto il resto"?

L'account admin ti serve solo per quelle robe (o per installare alcuni programmi che richiedono privilegi admin per esempio per via di utilizzo di componenti che girano in kernel mode), per tutto il resto inerente la produzione quotidiana usi l'account standard+uac, punto.

[Blue_screen_of_death]

Originariamente inviato da Nui_Mg

Ma io non avevo già detto "ovvero account amministratore solo per compiti di gestione/manutenzione sistema e account standard per tutto il resto"?

L'account admin ti serve solo per quelle robe (o per installare alcuni programmi che richiedono privilegi admin per esempio per via di utilizzo di componenti che girano in kernel mode), per tutto il resto inerente la produzione quotidiana usi l'account standard+uac, punto.

Mi riferivo a programmi da eseguire con privilegi di Amministratore all'avvio. Non c'è verso di farli andare.
Per questo ho abbandonato l'account standard.

[Nui_Mg]

Originariamente inviato da Blue_screen_of_death

Mi riferivo a programmi da eseguire con privilegi di Amministratore all'avvio. Non c'è verso di farli andare.

Come già detto, i programmi che richiedono di girare (e non solo da installare) forzatamente sono solo quei programmi che per funzionare/abilitare tutte le loro funzioni necessitano di componenti che girano in kernel mode.
Esempi di tali programmi sono quelli per il monitoraggio della componentistica hardware (analisi, test, benchmark, parametri basso livello, ecc.), crittografia "trasparente" e pochissimo altro e ovviamente anche in questi casi tali programmi si possono usare quando si è loggati in un account standard senza dover forzatamente fare il logout da tale account e loggarsi successivamente in un account admin.

Si può fare tutto.

[Blue_screen_of_death]

Tutto trAnnee farli partire automaticamente all' avvio in modalità admin, che è proprio wuello che mi serve.

[montabbano_sono]

Non dovrebbe esserci l'esecuzione con i privilegi più elevati nell'utilità di pianificazione, non funziona?

[Blue_screen_of_death]

Purtroppo funziona solo per account amministratore.

[montabbano_sono]

A me risulta che si debba essere un utente admin per creare pianificazioni, ma nei trigger di attivazione gli si può può dire in fase di accesso (non boot) a quali utenti associare l'azione (anche tutti). Almeno così era in w8, nel 10 l'hanno cambiato? Sarebbe disastroso!

[Blue_screen_of_death]

Anche in W10 è così, ma il programma parte sempre in modalità user

[montabbano_sono]

Non necessariamente e sempre: mettendo "esegui indipendente dalla connessione degli utenti", il processo viene eseguito con qualunque tipologia di utente, con privilegi elevati, ma in Session 0, dove non c'é interactive mode e quindi le interfacce grafiche non vanno (controllando process explorer, il processo risulta presente in session 0 con privilegi elevati anche con un utente standard).

Possono quindi essere eseguiti in admin mode, ma in una sessione non interactive (i programmi quindi devono essere sviluppati per supportare la non interactive mode).
Dipende qujidi dal tipo di programma che serve avviare, alcuni pensati apposta sono avviabili.

[Blue_screen_of_death]

E' un monitor delle temperature. Ovviamente l'interfaccia è indispensabile.

[montabbano_sono]

Ma infatti immaginavo che fossero quelli i programmi in questione.

Ho aggiunto quell'informazione per chi in futuro leggerà questa discussione, perché aveva preso un orientamento generico, nulla di più

Per il tuo problema specifico, tempo fa avevo visto il programma ElevatedStartup (https://stefansundin.github.io/elevatedstartup/) che permette anche ad un utente normale di avviare in fase di startup programmi con privilegi elevati. Lo avevo provato e funzionava, chiedeva ovviamente la password admin.
Per chi non vuole scudi e popup c'é ElevatedShortcut (http://winaero.com/comment.php?comment.news.152).

[montabbano_sono]

Aggiungo che le scansioni con virus total non hanno rilevato nulla per i 2 file:
https://www.virustotal.com/it/file/e...e9c8/analysis/
https://www.virustotal.com/it/file/5...9653/analysis/