Problema di sicurezza per Microsoft Windows XP

[maldepanza]

Originariamente inviato da Sapo84

Sudowin?
Non capisco il paragone con le impostazioni di default, se uno vuole la massima sicurezza mette UAC con password + three finger salute, se uno si accontenta lascia l'icona da cliccare.

Sudowin per dirne uno. Non capisci il paragone con le impostazioni di default di Vista? Semplice, Sudowin e' oggettivamente piu' sicuro (leggiti tutta la sua documentazione, noterai una configurabilita' che permette i piu' esotici tipi di intervento, personalizzabili per una marea di gusti anche sull'usabilita' e testati su strada per quasi due anni sul muletto contro i piu' bastardi malware che invece fottono alla grande UAC) e nello stesso tempo piu' usabile. Vuoi aumentare la sicurezza dello uac rispetto al suo default in Vista? Ok, preparati ad una diminuzione di usabilita', che magari non sara' tale per tutti, ma cazzo lo sara' per una marea di utenza che ancora oggi inveisce perfino contro lo uac di default azzardandosi poi a disattivarlo.
Ma, come gia' detto, per avere un xp stra-sicuro e degnamente usabile a voler ben vedere non c'e' nemmeno bisogno di un sudo e probabilmente tutto 'sto discorso e' stato recepito dalle tante aziende/privati che hanno deciso che un upgrade a Vista da Xp non conveniva affatto in quel particolare momento.

Originariamente inviato da Sapo84

Ho tagliato la (lunga e interessante) parte sui "consigli" relativi all'utilizzo di XP.
Sicuramente funzionano, ma, almeno per quanto mi riguarda, sono scomodità che preferisco evitare, e che impattano comunque sulla facilità e sulla semplicità d'uso.

Il discorso non verteva su cosa preferisci o meno tu, il discorso era se su xp un utente che lo voglia possa ottenere una sicurezza >= Vista senza sacrificare troppo l'usabilita' e la risposta e' un assoluto "si'".
Basta conoscere bene gli strumenti che ti mette a disposizione il tuo sistema operativo e la relativa fatica la fai una volta sola, cioe' quella volta che tu, da amministratore, imposti le varie politiche di sicurezza per il/gli standard user account, i quali poi avranno la loro bella sicurezza e una piu' che dignitosa usabilita'.
Fare questo passo poi ha un valore aggiunto: istruisce correttamente cos'e' e come si dovrebbe usare un sistema multiutente (quello che fanno gli utenti Linux, per esempio, soprattutto delle distribuzioni non del tipo ubuntu), quindi sara' un know-how di certi concetti spendibili su altri sistemi.

M$ invece, per come la vedo io, sta ancora educando il neofita nella maniera non corretta (come sua tradizione). Ancora oggi tanti, troppi utenti lasciano lo uac di default (sarebbe da attivare almeno il "percorso fidato"), non sanno realmente quali siano le implicazioni nel disattivare lo uac, non conoscono la differenza tra uac su standard account e uac su admin account (e differenza tra questo e l'admin integrato), ecc., insomma sono in balìa di microsoft. Cioe' e' M$ che all'utente dice "non preoccuparti di niente caro, sono io che ho pensato tutto per te, che ho implementato questa soluzione, e relative impostazioni, tutte per te. Non importa che la mia implementazione sia rigida e poco configurabile, non ne hai bisogno, ho pensato io a tutto" e, a tal proposito e ritornando ad alcune osservazioni su Seven e ultime novita' su UAC, ecco come Russinovich (Technical Fellow at Microsoft in the Platform and Services Division) cerca di giustificare la non voglia di M$ di recepire utili feedback per evitare i buchi di Win (si e' "scoperto" che per M$ lo UAC e' piu' uno strumento/"feature" per educare nel medio-lungo periodo gli sviluppatori e non per dare un po' piu' di sicurezza dai malware nell'immediato):

----------------------------------------
Several people have observed that it's possible for third-party software running in a PA account (Protected Administrator account) with standard user rights to take advantage of auto-elevation to gain administrative rights. For example, the software can use the WriteProcessMemory API to inject code into Explorer and the CreateRemoteThread API to execute that code, a technique called DLL injection. Since the code is executing in Explorer, which is a Windows executable, it can leverage the COM objects that auto-elevate, like the Copy/Move/Rename/Delete/Link Object, to modify system registry keys or directories and give the software administrative rights. While true, these steps require deliberate intent, aren't trivial, and therefore are not something we believe legitimate developers would opt for versus fixing their software to run with standard user rights. In fact, we recommend against any application developer taking a dependency on the elevation behavior in the system and that application developers test their software running in standard user mode.

The follow-up observation is that malware could gain administrative rights using the same techniques. Again, this is true, but as I pointed out earlier, malware can compromise the system via prompted elevations as well. From the perspective of malware, Windows 7's default mode is no more or less secure than the Always Notify mode ("Vista mode"), and malware that assumes administrative rights will still break when run in Windows 7's default mode.
----------------------------------------

Sul blog di M$ ci sono stati ottimi suggerimenti (immediati/facilissimi da implementare senza stravolgere in alcun modo il "disegno" di M$) da parte di gente preparata per colmare certe assurde "visioni" di M$ : niente da fare, per M$ e' una feature, il fatto che si possa venire facilmente infettati (in rete ci sono i binari e pure i sorgenti per sfruttare la "feature") e' un effetto collaterale.

[LukeHack]

Originariamente inviato da Sapo84

sudowin per funzionare aggiunge temporaneamente l'account al gruppo degli admin, per poi toglierlo subito dopo.
Questo in teoria lascia un intervallo minimo di tempo in cui un programma malevolo può usufruire dei privilegi di amministratore, e ciò potrebbe essere pericoloso.

questa è una tesi da bar, permettimelo

Originariamente inviato da maldepanza

Vuoi aumentare la sicurezza dello uac rispetto al suo default in Vista? Ok, preparati ad una diminuzione di usabilita', che magari non sara' tale per tutti, ma cazzo lo sara' per una marea di utenza che ancora oggi inveisce perfino contro lo uac di default azzardandosi poi a disattivarlo.
Ma, come gia' detto, per avere un xp stra-sicuro e degnamente usabile a voler ben vedere non c'e' nemmeno bisogno di un sudo e probabilmente tutto 'sto discorso e' stato recepito dalle tante aziende/privati che hanno deciso che un upgrade a Vista da Xp non conveniva affatto in quel particolare momento.

perfettamente d'accordo

----------------------------------------
Several people have observed that it's possible for third-party software running in a PA account (Protected Administrator account) with standard user rights to take advantage of auto-elevation to gain administrative rights. For example, the software can use the WriteProcessMemory API to inject code into Explorer and the CreateRemoteThread API to execute that code, a technique called DLL injection.

quoto, questo per quanto riguarda il discorso che facevo prima: l'UAC dà una parvenza abbastanza blanda di sicurezza, poichè tecniche di social eng. o di dll injection (come ben spiegato in inglese) riescono cmq ad ottenere un'escalation dei privilegi...
tutto qui la sicurezza di vista? è questa la reale differenza con xp?
un pò poco direi

[LukeHack]

Originariamente inviato da xsim

Sempre se in quei 5-10 anni non si deciderà di aggiornare hardware e programmi..perchè altrimenti con tutta probabilità si andrà incontro a tutta una serie di comprensibili problemi.
Per usabilità cosa intendi ? In cosa Seven è meno "usabile" di XP ?

non posso parlare e non parlo di seven, poichè a me ancora sconosciuto...
ma per vista si:

guarda il window manager, tale explorer.exe, vorrei avere i tasti copia taglia incolla, elimina ecc... sulla barra... me sa che non posso

il menu start: non ho capito perchè mi scorre in verticale... io ho un lcd 16:9 di diagonale e gradirei lo scorrimento orizzontale, posso? non credo..

le shadow folder... un puttanaio...
le informazxioni a sinistra su explorer, chiare e appariscenti.... sparite

e poi... voglio essere cattivo:
IL PANNELLO DI CONTROLLO. mai vista na dispersione e un insulto al concetto di usabilità e semplicità tali su un OS... 65 sottomenu in cui ci si perde in un attimo e in cui spesso non si trova l'oggetto cercato (qualcuno ha detto parametri di connessione tcp? )

e ti giuro che posso continuare ancora per molto...

[mjordan]

Originariamente inviato da LukeHack

non posso parlare e non parlo di seven, poichè a me ancora sconosciuto...
ma per vista si:

guarda il window manager, tale explorer.exe, vorrei avere i tasti copia taglia incolla, elimina ecc... sulla barra... me sa che non posso

il menu start: non ho capito perchè mi scorre in verticale... io ho un lcd 16:9 di diagonale e gradirei lo scorrimento orizzontale, posso? non credo..

le shadow folder... un puttanaio...
le informazxioni a sinistra su explorer, chiare e appariscenti.... sparite

e poi... voglio essere cattivo:
IL PANNELLO DI CONTROLLO. mai vista na dispersione e un insulto al concetto di usabilità e semplicità tali su un OS... 65 sottomenu in cui ci si perde in un attimo e in cui spesso non si trova l'oggetto cercato (qualcuno ha detto parametri di connessione tcp? )

e ti giuro che posso continuare ancora per molto...

Perchè adesso non facciamo un'analisi inversa, invece. Da Vista a XP.

[LukeHack]

Originariamente inviato da mjordan

Perchè adesso non facciamo un'analisi inversa, invece. Da Vista a XP.

spiegati... volevi fare un confronto sull'usabilità dopo il passaggio vista-xp?

[mjordan]

Originariamente inviato da LukeHack

spiegati... volevi fare un confronto sull'usabilità dopo il passaggio vista-xp?

Ignora
Non avevo capito il senso del tuo post.

[LukeHack]

Originariamente inviato da mjordan

Ignora
Non avevo capito il senso del tuo post.

asd ok

[PUOj]

A prescindere da WinXP o Vista, io son dell'idea che se un utente usa l'OS con un account con pochi privilegi, certi problemi non ci sarebbero. Siete sempre là tutti ad installare software e drivers che avete sempre bisogno dell'Administrator?

[PUOj]

Per non parlare di un fatto: L'attacco è fattibile se viene colpito il FireFox? Qua si parla di exploit di IE.

[WarDuck]

Originariamente inviato da PUOj

Per non parlare di un fatto: L'attacco è fattibile se viene colpito il FireFox? Qua si parla di exploit di IE.

Anche Firefox ha certi exploit, che possono essere dovuti anche ai plugins come flash e java, cmq in IE gli activeX sono tranquillamente disattivabili (tutti o singolarmente), e disattivabile è l'installazione di nuovi activex.

Insomma con un po' di tweak si possono evitare gli activex anche su IE.

Cmq già è cosa ottima che da Seven si può disattivare il client.

[Sallino]

Ragazzi oggi windows mi ha avvisato della presenza di aggiornamenti tra cui degli aggiornamenti "della protezione"... Che la microsoft si sia decisa a fare qualcosa?? XD