Protezione del Computer: consigli e valutazioni

[nV 25]

Originariamente inviato da arnyreny

ho provato con una serie di malware e ti ripeto che quello che non passa in automatico con account standard,non passa con uac al massimo negandogli la richiesta di privilegi.

sarà sicuramente come dici ma non hai capito quello che ho scritto pochi post fà a proposito degli "spazi" condivisi, dell'user profile...e di conseguenza perchè NON E' ASSOLUTAMENTE UGUALE utilizzare uno standard user + UAC al massimo o l'admin ridotto + l'UAC al massimo.


Se ti intestardisci qui vuol dire quello che ho detto, e cioè che sei fuori strada.

[arnyreny]

Originariamente inviato da nV 25

scattare il popup dell'UAC [= OTS elevation], nel qual caso la sessione attiva è si quella standard che hai in uso in quel momento ma l'operazione elevata si svolge nell'account elevato producendo un impatto anche su quest'ultimo spazio[/size])

l'uac in vista e poi in seven e' stato creato proprio per questo per rendere piu' sicuro l'ambiente admin senza ricorrere all'utente standard,infatti parecchie cose nell' ambiente standard vengono castrate creando quel fastidio che ha khoai ,e a volte e' peggio di un virus.

forse sei rimasto ancora a xp

[arnyreny]

Originariamente inviato da nV 25

sarà sicuramente come dici ma non hai capito quello che ho scritto pochi post fà a proposito degli "spazi" condivisi, dell'user profile...e di conseguenza perchè NON E' ASSOLUTAMENTE UGUALE utilizzare uno standard user + UAC al massimo o l'admin ridotto + l'UAC al massimo.


Se ti intestardisci qui vuol dire quello che ho detto, e cioè che sei fuori strada.

nella questione degli ambienti hai pienamente ragione,ma a che prezzo creare quel casino...

lo farei solo se ci fosse in casa un altro utente che acconsente a tutto

[nV 25]

è il caso proprio del tizio che apri' la discussione su Wilders ma gli è stato dimostrato che le 2 figure, che apparentemente sembrano equivalenti, di fatto non lo sono.

Ciò non toglie che uno a casa sua possa utilizzare la configurazione che più gli aggrada però è sicuramente bene tener presente che è sbagliato dire che "è uguale", che una corrente (di pensiero) vuole che...



Vuole nulla, è sbagliato e basta.

[cloutz]

Originariamente inviato da Kohai

No, win 7 64 bit home premium.
Ho spiegato tutto qui -> http://www.hwupgrade.it/forum/showpo...postcount=4895

Spero sxia abbastanza chiaro.

Su xp gia' sapevo che c'era questo "casinotto"

Gli account sono totalmente separati e distinti, hanno vita propria.
Al massimo occhio nelle installazioni se dici di voler installare solo per l'utente corrente o per tutti gli utenti (è ovvio che se lo installi solo per l'utente x, poi entri come admin y e lo avvii -lo trovi perchè magari è indicizzato, te lo vai a pescare te nelle directory di installazione,o perchè per caso si trova nel classpath-, stai eseguendo un programma dell'utente x.. quindi non avrai mai le tue cartelle locali).

Per come la vedo io non dovrebbero esserci problemi di cartelle, perchè non credo che l'admin da cui erediti i privilegi esegua il processo al posto tuo, altrimenti sarebbe un RunAs.

In windows 7 invece è un'elevazione di privilegi, un'ereditarietà di privilegi.
Cioè il tuo account standard eredita privilegi dell'utente "admin".
O meglio, il processo-che-ha-lanciato-l'evento-che-ha-scatenato-la-richiesta-UAC, viene eseguito con i privilegi di admin (ma non è admin ad eseguirlo per te, sei sempre tu ad eseguirlo: sei un account standard con un processo che gira temporaneamente con privilegi da amministratore - come admin).
Quando il processo termina, tu torni ad essere al 100% un account standard.

Credo che sia tu a scrivere sempre sulle tue cartelle, non sulle cartelle dell'utente da cui erediti.
Così credevo..
Ma con la precisazione di nV, possiamo dire che il processo elevato viene di fatto isolato dal contesto, fatto salvo pochi messaggi, per far sì che non subisca accessi strani da altri processi standard user con un IntegrityLevel inferiore.

Però gira sempre nell'ambiente dell'utente elevato, corretto?
O meglio, gira in un nuovo ambiente (passatemi il termine orribile) indirizzato per lo più a processi già legittimati da un IL alto, dialogando con:
- processi IL inferiore (poca roba per sicurezza)
- processi con IL superiore (processi di sistema ecc)

[arnyreny]

Originariamente inviato da nV 25

è il caso proprio del tizio che apri' la discussione su Wilders ma gli è stato dimostrato che le 2 figure, che apparentemente sembrano equivalenti, di fatto non lo sono.

Ciò non toglie che uno a casa sua possa utilizzare la configurazione che più gli aggrada però è sicuramente bene tener presente che è sbagliato dire che "è uguale", che una corrente (di pensiero) vuole che...



Vuole nulla, è sbagliato e basta.

infatti e' una domanda che ci siamo posti in tanti ,io per darmi una risposta ho fatto tanti esperimenti e sono arrivato a questa conclusione

i pro dell'account standard sono la sicurezza di far girare i programmi in un ambiente senza privilegi ,e differente dall'ambiente admin
i contro che tante operazioni sei costretto a fare lo switch con l'ambiente admin

mentre se si adotta la filosofia di lasciare l'account standard a favore dell admin e settare l'uac al massimo, rimane la sicurezza di essere avvisati al momento di una richiesta di privilegi elevati,il contro e che si lavora nello stesso ambiente admin.

alla fine se si ha un po di sale nella zucca e si e' l'unico utente del pc io credo che si conviene con la seconda soluzione,quella che ho adottato io.

[Kohai]

Originariamente inviato da nV 25

...se ad esempio scarico qualcosa nel percorso dell'utente standard, non me la trovo nell'admin e di riflesso se faccio qualcosa nell'admin, non ce l'ho nello standard.
Ad esempio: per comodita', tutti i download me li faccio scaricare sul desktop; ebbene, con firefox non me li trovavo mai ed ho scoperto invece che anche non avendocelo installato nell'admin ma solo come utente standard, i download me li portava nel desk di quest'ultimo...(tratto da qui).

?

Ma guarda che è normale!!

Sono come 2 spazi separati e indipendenti l'uno dall'altro...

Se l'utente attivo è quello standard, tutto quello che fai nel corso della sessione coinvolge esclusivamente quest'account, non l'altro! (a patto ovviamente che tu non faccia operazioni "straordinarie" che ti fanno scattare il popup dell'UAC [= OTS elevation], nel qual caso la sessione attiva è si quella standard che hai in uso in quel momento ma l'operazione elevata si svolge nell'account elevato producendo un impatto anche su quest'ultimo spazio)

Praticamente (seven sto ancora imparando ad usarlo bene) ho scoperto, anzi per meglio dire ho capito, che in fase di installazione di un programma e/o di un aggiornamento, bisogna stare attenti al percorso dato oppure preso in automatico.

Con thunderbird ad esempio, pur non avendocelo installato nell'account admin ma solo nell'utente standard (ovvero account limitato), accadeva che gli aggiornamenti del programma me li portava nell'admin (il percorso se lo prendeva in automatico anche se sbagliato, ma non per colpa sua); ho dovuto modificare il percorso dell'aggiornamento manualmente per portarmelo nell'account standard.
Idem con papate per firefox: quando scarico qualcosa, me lo faccio portare sul desktop, ma accadeva che il percorso preso era il desk admin e non il mio
Quindi mi ritrovavo un sacco di download nell'admin e non nel mio account che pensavo d'aver perso per un non so quale motivo. Naturalmente firefox lo avevo scaricato come browser nell'account standard e non admin.
Mea culpa. . .
Vorra' dire che d'ora innanzi staro' piu' attento al percorso ecomunque, ho imparato una cosa nuova su seven

P.s.
In verita', avendo preso un HP nuovo con dentro preinstallato un sacco di robaccia che non so nemmeno se posso disinstallare, pena probabilmente un qualche malfunzionamento, il mio sogno e' un'installazione PULITA di win 7 del solo sistema operativo; al resto penserei io

Ciaoooo

[arnyreny]

Originariamente inviato da cloutz

In windows 7 invece è un'elevazione di privilegi, un'ereditarietà di privilegi.
Cioè il tuo account standard eredita privilegi dell'utente "admin".
O meglio, il processo-che-ha-lanciato-l'evento-che-ha-scatenato-la-richiesta-UAC, viene eseguito con i privilegi di admin (ma non è admin ad eseguirlo per te, sei sempre tu ad eseguirlo: sei un account standard con un processo che gira temporaneamente con privilegi da amministratore - come admin).

[/color]

e' la filosofia che usano anche molti programmi di sicurezza ,se ci si fida di un programma ,trusted,tutto cio' che fara' sara trusted,almeno che non lo si segua passo passo,ma cio comporta molte richieste...l'importante e rispondere bene alle richieste

[nV 25]

io credo che sia necessario ritornare su un passo che ho provato a spiegare non benissimo, questo:
un malware che gira in un account amministrativo non elevato, pur continuando a non avere privilegi di amministratore pieno, può scrivere ad es nel profilo utente (le famose zone condivise...) parti di codice che gli sono necessarie in un 2° momento e aspettare tranquillamente l'elevazione per acquisire i privilegi mancanti.

Ipotesi:
mi loggo come amministratore
l'OS mi assegna di fabbrica privilegi minimi
l'amministratore, di fatto, è dunque un amministratore castrato (o ridotto) e gode praticamente degli stessi privilegi dell'utente standard
l'UAC è al massimo.

Dall'altra parte ho un malware che richiede privilegi elevati per compiere completamente la propria azione.

Ipotizziamo che questi privilegi se li conquisti "con calma", senza fretta.

L'esecuzione del malware, dunque, avviene con privilegi che sono quelli dell'utente amministratore castrato.
Questo, a regola, gli è sufficiente per scrivere alcuni dati in una particolare zona dell'HD, il profilo dell'utente stesso.

Fino a qui, il malware fa pochi danni.

Ora:
poichè molte applicazioni sfruttano elementi che si trovano proprio in quel particolare spazio ("Many applications read settings and load extensions registered in a user’s profile..."), se per qualche motivo un processo chiede legittimamente "più privilegi" e, cosi' facendo, "chiama in causa" un altro processo che pesca i dati che gli sono necessari da questa zona "condivisa e precedentemente alterata" dal malware, il processo (che a questo punto è elevato) "si infetta" e il malware "si riattiva stavolta anch'esso elevato" portando finalmente a termine la propria missione.

+ o - dovrebbe essere cosi'...

[Kohai]

Alla fin della fiera, avrei capito questo:
- se si usa l'account standard, dovrebbero esserci due avvisi di richiesta permesso: quello dell'amministratore e quello dell'UAC in caso di risposta positiva del primo;
- se si usa invece l'account admin, c'e' solo l'UAC a difendere la torre (tralasciando antivirus, firewall etc. etc.).

Giusto?

[cloutz]

Originariamente inviato da arnyreny

e' la filosofia che usano anche molti programmi di sicurezza ,se ci si fida di un programma ,trusted,tutto cio' che fara' sara trusted,almeno che non lo si segua passo passo,ma cio comporta molte richieste...l'importante e rispondere bene alle richieste

si anche se stavo parlando di un'altra cosa: delle differenze che, secondo me, ci sono tra un'elevazione di privilegi stile UAC e un RunAs.

Però onestamente non so, mi stanno venendo dei dubbi su quello che ho scritto.

[cloutz]

Originariamente inviato da Kohai

Alla fin della fiera, avrei capito questo:
- se si usa l'account standard, dovrebbero esserci due avvisi di richiesta permesso: quello dell'amministratore e quello dell'UAC in caso di risposta positiva del primo;
- se si usa invece l'account admin, c'e' solo l'UAC a difendere la torre (tralasciando antivirus, firewall etc. etc.).

Giusto?

No è sempre e solo uno l'avviso.
Nel caso di:
- utente standard l'avviso presenta anche la richiesta di password perchè devi elevare quel processo ad admin;
- utente admin devi solo cliccare si o no

[arnyreny]

Originariamente inviato da nV 25

se per qualche motivo un processo chiede legittimamente "più privilegi" e, cosi' facendo, "chiama in causa" un altro processo che pesca i dati che gli sono necessari da questa zona "condivisa e precedentemente alterata" dal malware, il processo (che a questo punto è elevato) "si infetta" e il malware "si riattiva stavolta anch'esso elevato" portando finalmente a termine la propria missione.

+ o - dovrebbe essere cosi'...

certo ma questo se... che dici tu : ha bisogno che l'utente dietro al pc ,alla domanda vuoi che il programma tizio....deve dire si,altrimenti quel malware resterà sempre li...e non oltre.

[nV 25]

facciamo 1 cosa:

si chiede il conforto di eraser


Lo privatizzo, e sempre che mi caghi...

[nV 25]

Originariamente inviato da Kohai

Alla fin della fiera, avrei capito questo:
- se si usa l'account standard, dovrebbero esserci due avvisi di richiesta permesso: quello dell'amministratore e quello dell'UAC in caso di risposta positiva del primo;
- se si usa invece l'account admin, c'e' solo l'UAC a difendere la torre (tralasciando antivirus, firewall etc. etc.).

Giusto?

???

account standard, 2 avvisi??
Ne avrai solo 1, cosi' come solo 1 è il popup nell'ipotesi in cui tu sia utente amministratore ridotto..

[arnyreny]

Originariamente inviato da nV 25

facciamo 1 cosa:

si chiede il conforto di eraser


Lo privatizzo, e sempre che mi caghi...

hai la memoria corta...adesso vado a cercare nel tuo thread,già ne abbiamo parlato tempo fa'...e ricordo che disse che il pericolo principale erano una serie infinta di richieste a raffica a cui l'utente poteva cedere

[Kohai]

Originariamente inviato da cloutz

No è sempre e solo uno l'avviso.
Nel caso di:
- utente standard l'avviso presenta anche la richiesta di password perchè devi elevare quel processo ad admin;
- utente admin devi solo cliccare si o no

Ma scusa Cloutz, utilizzando solo l'utente standard, l'intervento dell'UAC quando si avrebbe?

[Kohai]

Originariamente inviato da nV 25

???

account standard, 2 avvisi??
Ne avrai solo 1, cosi' come solo 1 è il popup nell'ipotesi in cui tu sia utente amministratore ridotto..

Ho letto prima il post di Cloutz, ho chiesto gia' a lui, il post sopra questo

[arnyreny]

ecco

Originariamente inviato da eraser

Quando si parla di bypassare lo UAC si parla di falle di design ben conosciute e che possono essere utilizzate per evitare di incappare nelle maglie della sicurezza di Windows Vista/7. Nell'articolo è ben specificato che il problema è lo UAC a livello di default, ed è anche spiegato il perché esista il problema.

Lo UAC configurato al livello più alto non verrà automaticamente bypassato, sempre che l'utente stesso non sia ingannato e dia volontariamente il consenso alla finestra di avviso (opzione tutt'altro che remota).

?

[cloutz]

Originariamente inviato da Kohai

Ma scusa Cloutz, utilizzando solo l'utente standard, l'intervento dell'UAC quando si avrebbe?

Sostanzialmente in un unico avviso hai sia la richiesta di privilegi che di uac.
D'altronde è anche corretto!

Per evitare che chiunque da un utente standard possa far girare programmi pericolosi semplicemente dicendo "SI, lo voglio" , nello stesso avviso (se la richiesta è partita da un account standard) è richiesto anche l'inserimento della password di un utente amministratore.


----------------------------------------
Esempio idiota:
account limitato = adolescente non maggiorenne
account admin = persona maggiorenne responsabile

1)
UAC: "Ciao Ragazzo, vuoi avviare questo processo? E' una cosa pericolosa per cui non basta che tu lo voglia, mi serve il permesso di un maggiorenne."
Ragazzo: inserisce la password da admin (si presuppone che solo l'admin ce l'abbia), identificandosi quindi come maggiorenne.
UAC: Accetta

2)
UAC: "Ciao Adulto, vuoi avviare questo processo? E' una cosa pericolosa, ma essendo tu un adulto maggiorenne responsabile, mi basta che tu dica di si."
Adulto: "Si"
UAC: Accetta


Ti immagini cosa succederebbe altrimenti?
Inserire due avvisi, oltretutto, sarebbe ridondante e cadresti nel caso "dico si all'uac ma non so la password di admin", una sorta di "voglio avviarlo ma non posso".
A questo punto ti blocco appena posso, evitando casi strani e pericoli su una gestione così