Clamorosa falla nello UAC di Win7!!! Avete voluto meno prompt? Ben vi sta! - Pagina 8

WarDuck · 30-01-2009, 22:01

Quote:

Originariamente inviato da Ghost Of Christmas Past

Rotfl, ma ci voleva pure la news per mettere sotto gli occhi di tutti la pessima scelta di abbassare le credenziali dell'uac?

Non è una pessima scelta, ma una logica scelta.

La debolezza del sistema sta nel fatto che non vengono chieste credenziali al pannello di UAC stesso.

E se vogliamo aggiungere ancora, la debolezza generale di Windows è data da funzioni di libreria come dimostrato dallo script che possono emulare mouse e tastiera ed essere invocate anche con privilegi limitati.

Ghost Of Christmas Past · 31-01-2009, 00:09

Appunto per questo. Le basi di windows sono fatte in un certo modo, hanno vntaggi e svantaggi. In questo caso il svantaggio è che chiunque alla fine è in grado di creare un falso certificato, basta una ricerca in google e scaricare qualche tools della stessa microosft e seguire le istruzioni. Per chi sa produrre un malware scrivere un falso certificato è un gioco da ragazzi. Così come è inutile usare per lo stesso motivo driver certificati per forza sulle edizioni a 64-bit. L'importante che wsca fuori un messaggio che avverta l'utente, poi se sa quello che fa o meno sono cazzi suoi, io trovo terribilmente idiota il dover cracckare il bootloader per potere usare sempre driver certificati senza noie. E l'idiota lo sto dadno a microsoft e non a chi lo fa chiaramente. Io tengo l'uac su vista e il firewall integrato, che va più che bene, niente antimalware compreso quellamerda di defender, niente cali prestazionali dovuti ad antimalware (che ne diciate, ogni antimalware, comrpesi nod32 e avira, comportano sensibili cali prestazionali in idle e in full), scarico, navigo (compresi siti non affidabili e pieni di schifezze) e faccio quel che mi pare e l'os rimane pulito e snello. Non è questione di noie è questione di decenni di cattive abitudini imposte dalla stessa microsoft, forse in buona fede, forse per superbia, forse per mazzette della symantech e mcafee, fatto sta che ora ha rimediato da oltre 2 anni e sta solo all'utenza accendere il cervello e capire che un sistem aoperativo non è un giocattolo e va usato con criterio e che prima di modificare qualche file e directory di sistema, tantopiù il registro, si deve pensare non una ma 10 volte.

hexaae · 31-01-2009, 00:21

Quote:

Originariamente inviato da stambeccuccio

..per curiosità

..l'ho provato (su Se7en):

..mi è scattato l'UAC.. al quale ovviamente ho risposto NO

Quote:

Originariamente inviato da WarDuck

Cmq avendo provato lo script è una cosa impressionante, aggiungo che cmq l'Active Center segnala la cosa... chiaramente in quei millisecondi un programma maligno potrebbe fare di tutto.

Io cmq non ci trovo nulla di speciale. Non serviva un mago del VBS per fare una cosa del genere ma bastava AutoHotKey (freeware), in circolazione da molti anni: http://www.autohotkey.com/ dove non servono doti di programmatore ma è molto facile genereare un exe in cui sono automatizzati degli input-event.
Semplicemente, per stare sicuri è meglio impostare l'UAC anche per i cambi di preferenze, come dico da tempo... ecco perché ho storto subito il naso alla notizia dell'UAC configurabile e, peggio, di default ad un livello più basso che in Vista.

hexaae · 31-01-2009, 00:29

Quote:

Originariamente inviato da xsim

Infatti bisognava partire da Vic-20 -> C64 / Spectrum -> Amiga..e poi passare al PC e rimanere delusi.

eh eh eh

hexaae · 31-01-2009, 00:37

Quote:

Originariamente inviato da WarDuck

E se vogliamo aggiungere ancora, la debolezza generale di Windows è data da funzioni di libreria come dimostrato dallo script che possono emulare mouse e tastiera ed essere invocate anche con privilegi limitati.

Non c'è niente di anormale o di poco sicuro in questo... Il problema è semplicemente by design: se non fai controlli sulle impostazioni di sistema, limitandole agli Amministratori (e su Vista di default si è amministratori con la a minuscola e ridotti privilegi come sappiamo) sarà sempre possibile. Non esistono metodi per aggirare la cosa se non eliminare completamente la gestione degli input-event o blindarli (ma in tal caso vogliamo far comparire l'UAC anche solo per emulare la pressione di un tasto? E un programma che volesse cambiare temporaneamente la funzione del tasto destro del mouse ad esempio?).

Credo che sia tranquillamente realizzabile un banale trucco del genere anche su Linux e MacOSX, che non dovrebbero neanche loro avere protezione dagli input-event, ma come Vista offrono protezione solo nel contesto in cui vengono eseguiti (da sessione utente, root etc. ereditando perciò tali diritti), non ho al momento un Linux sottomano per provare ma ne sono quasi certo... anzi dovrebbero esistere dei tool freeware per automatizzare delle macro per gli input-event, a dimostrazione...
http://www.google.it/search?num=50&h...recorder&meta=

dvbman · 31-01-2009, 02:00

sarò paranoico ma per deformazione professionale (e dato che una cosa del genere me l'aspettavo), oltre ad averlo sempre tenuto al max livello lo uac su w7, gli account di vista da administrator (oltre che quelli utente) li configuro sempre tramite policy affinchè chiedano la password alla richiesta dell'uac anzichè la pressione del tasto consenti (modalità di default che considero inutile per non dire insensata)

hexaae · 31-01-2009, 07:00

Quote:

Originariamente inviato da dvbman

sarò paranoico ma per deformazione professionale (e dato che una cosa del genere me l'aspettavo), oltre ad averlo sempre tenuto al max livello lo uac su w7, gli account di vista da administrator (oltre che quelli utente) li configuro sempre tramite policy affinchè chiedano la password alla richiesta dell'uac anzichè la pressione del tasto consenti (modalità di default che considero inutile per non dire insensata)

...che se non ricordo male dovrebbe essere attivabile tramite questa chiave di registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
ConsentPromptBehaviorAdmin REG_DWORD 0x2

(2= requester Continua, Annulla; 1= chiedi login/pass)

Non ne sono sicuro al 100% ma mi pare che esista addirittura un'opzione per fare in modo che all'UAC sia necessario premere ctrl+alt+canc (come sui vecchi NT. Solo la pressione fisica dei tasti può generare questo interrupt HW non mascherabile!) e poi digitare la password (!!). Più di così...

xsim · 31-01-2009, 07:30

Sono andato su:
Control Panel -> Administrative Tools -> Local Security Policy -> Local Policies -> Security Options e alla fine della lista ci sono queste chiavi:

Come andrebbero settate secondo voi per avere la massima sicurezza ?

hexaae · 31-01-2009, 07:56

Quote:

Originariamente inviato da xsim

Sono andato su:
Control Panel -> Administrative Tools -> Local Security Policy -> Local Policies -> Security Options e alla fine della lista ci sono queste chiavi:

Come andrebbero settate secondo voi per avere la massima sicurezza ?

Lascia tutto di default, e se vuoi puoi attivare appunto la richiesta password nel requester UAC (Prompt for credentials)...

alex783 · 31-01-2009, 08:21

Quote:

Originariamente inviato da dvbman

sarò paranoico ma per deformazione professionale (e dato che una cosa del genere me l'aspettavo), oltre ad averlo sempre tenuto al max livello lo uac su w7, gli account di vista da administrator (oltre che quelli utente) li configuro sempre tramite policy affinchè chiedano la password alla richiesta dell'uac anzichè la pressione del tasto consenti (modalità di default che considero inutile per non dire insensata)

Perché inutile ed insensata?

wisher · 31-01-2009, 09:02

Ecco la risposta di Microsoft
http://www.istartedsomething.com/200...sts-by-design/
sinceramente speravo in una risposta diversa

hexaae · 31-01-2009, 09:13

Quote:

Originariamente inviato da wisher

Ecco la risposta di Microsoft
http://www.istartedsomething.com/200...sts-by-design/
sinceramente speravo in una risposta diversa

Hanno ragione invece. Non è una vulnerabilità e non ci si può fare niente.
La gente impari che se vuole la sicurezza anche contro questo trucchetto triviale della macro VBS in cui si fa uso degli input-events deve alzare il livello dell'UAC.
Il cambio di preferenze per essere sicuri DEVE sempre passare attraverso il controllo dell'admin. Immagina se ti cambiano il DNS o altro e tu non ti accorgi di nulla. Mi meraviglio che si siano svegliati adesso con tutto questo falso problema gli utenti. Evidentemente pochi conoscevano già automatizzatori di input-event per creare delle macro (es. per le presentazioni...) come AutoHotKey e hanno fatto l'amara scoperta solo qualche giorno fa.

wisher · 31-01-2009, 09:23

Quote:

Originariamente inviato da hexaae

Hanno ragione invece. Non è una vulnerabilità e non ci si può fare niente.
La gente impari che se vuole la sicurezza anche contro questo trucchetto triviale della macro VBS in cui si fa uso degli input-events deve alzare il livello dell'UAC.
Il cambio di preferenze per essere sicuri DEVE sempre passare attraverso il controllo dell'admin. Immagina se ti cambiano il DNS o altro e tu non ti accorgi di nulla. Mi meraviglio che si siano svegliati adesso con tutto questo falso problema gli utenti.

Io avrei messo almeno un prompt di UAC per modificare le impostazioni relative a UAC...
lasciando così le cose, @default il sistema ha UAC attivato ma disattivarlo con tutti i problemi di sicurezza che comporta è un gioco da ragazzi.

WarDuck · 31-01-2009, 09:32

Quote:

Originariamente inviato da hexaae

Non c'è niente di anormale o di poco sicuro in questo... Il problema è semplicemente by design: se non fai controlli sulle impostazioni di sistema, limitandole agli Amministratori (e su Vista di default si è amministratori con la a minuscola e ridotti privilegi come sappiamo) sarà sempre possibile. Non esistono metodi per aggirare la cosa se non eliminare completamente la gestione degli input-event o blindarli (ma in tal caso vogliamo far comparire l'UAC anche solo per emulare la pressione di un tasto? E un programma che volesse cambiare temporaneamente la funzione del tasto destro del mouse ad esempio?).

Si ma non si vede l'utilità di una libreria che emuli gli input da tastiera o da mouse. Specialmente per un programma user mode che gira con privilegi limitati, questo non deve essere possibile.

Quote:

Originariamente inviato da hexaae

Credo che sia tranquillamente realizzabile un banale trucco del genere anche su Linux e MacOSX, che non dovrebbero neanche loro avere protezione dagli input-event, ma come Vista offrono protezione solo nel contesto in cui vengono eseguiti (da sessione utente, root etc. ereditando perciò tali diritti), non ho al momento un Linux sottomano per provare ma ne sono quasi certo... anzi dovrebbero esistere dei tool freeware per automatizzare delle macro per gli input-event, a dimostrazione...
http://www.google.it/search?num=50&h...recorder&meta=

Si ma quasi sicuramente servono i privilegi root per accedere al device file del mouse. Sono certo che puoi leggere le informazioni da root, non so se li puoi scrivere.

Una cosa che invidio di linux sono proprio i device file.

Anche se in Linux con la password di root puoi fare TUTTO, persino accedere alle strutture dati del kernel tramite /dev/mem...

Cmq al di là di questi meccanismi di protezione, che proteggono più il sistema che i dati dell'utente, qualsiasi script può cancellare il contenuto della cartella documenti dell'utente, e senza alcun bisogno di consenso, basta fare doppio click e via...

hexaae · 31-01-2009, 09:42

Quote:

Originariamente inviato da wisher

Io avrei messo almeno un prompt di UAC per modificare le impostazioni relative a UAC...
lasciando così le cose, @default il sistema ha UAC attivato ma disattivarlo con tutti i problemi di sicurezza che comporta è un gioco da ragazzi.

Sono d'accordo. Almeno per certe impostazioni critiche, anche se gli utonti hanno voluto meno UAC requester

e MS li ha accontentati, dovrebbe restare obbligatorio la comparsa dell'UAC.

Quote:

Originariamente inviato da WarDuck

Si ma non si vede l'utilità di una libreria che emuli gli input da tastiera o da mouse. Specialmente per un programma user mode che gira con privilegi limitati, questo non deve essere possibile.

Beh, è presente in tutti gli OS che io conosca... anche su AmigaOS si poteva fare 20 anni fa... l'utilità è automatizzare/customizzare gli input per esempio per programmi, o per mostrare un demo automatico "senza mani"

o anche solo per fare in modo che a determinati input events venga associata nel sistema un'azione predefinita. Deve essere presente un API per fare ciò... Senza non sarebbe nemmeno possibile usare i QuickLaunch buttons di HP, per esempio...

Quote:

Si ma quasi sicuramente servono i privilegi root per accedere al device file del mouse. Sono certo che puoi leggere le informazioni da root, non so se li puoi scrivere.

Non penso proprio: dai uno sguardo alle varie utility per registrare ed eseguire macro di input events anche per Linux ed eseguite da utente: http://www.google.it/search?num=50&h...recorder&meta=

Quote:

Cmq al di là di questi meccanismi di protezione, che proteggono più il sistema che i dati dell'utente, qualsiasi script può cancellare il contenuto della cartella documenti dell'utente, e senza alcun bisogno di consenso, basta fare doppio click e via...

Infatti... svicolando leggermente il discorso faccio notare che IE7 in modalità protetta sfruttando gli IL dovrebbe se non erro impedire anche il "read-up" (quindi non consentire nemmeno la lettura, non solo la scrittura, per oggetti con diritti superiori) ma non ne sono certo al 100%.

Ghost Of Christmas Past · 31-01-2009, 09:52

Quote:

Originariamente inviato da alex783

Perché inutile ed insensata?

Per lo stesso motio per cui le impostazioni di default su nt 6.1 dell'uac sono inutili e fallate perché sono così e basta.

WarDuck · 31-01-2009, 09:57

Quote:

Originariamente inviato da hexaae

Beh, è presente in tutti gli OS che io conosca... anche su AmigaOS si poteva fare 20 anni fa... l'utilità è automatizzare/customizzare gli input per esempio per programmi, o per mostrare un demo automatico "senza mani"

Non so se è presente su tutti gli OS e con quali modalità, cmq sarebbe meglio poter disabilitare queste HOOKS, perchè ripeto, sono pericolose.

Quote:

Originariamente inviato da hexaae

Non penso proprio: dai uno sguardo alle varie utility per registrare ed eseguire macro di input events anche per Linux ed eseguite da utente: http://www.google.it/search?num=50&h...recorder&meta=

Dovrei provare e vedere... il fatto è che appunto avendo Linux i device file puoi gestire i permessi come se fosse un file generico, questa è una gran cosa.

Quote:

Originariamente inviato da hexaae

Infatti... svicolando leggermente il discorso faccio notare che IE7 in modalità protetta sfruttando gli IL dovrebbe se non erro impedire anche il "read-up" (quindi non consentire nemmeno la lettura, non solo la scrittura, per oggetti con diritti superiori) ma non ne sono certo al 100%.

No, IE7 a quanto avevo letto sul blog di Joanna Rutowska usa la policy No-Write-Up... d'altronde basta notare come sia possibile leggere i documenti nella propria cartella.

Se fai un file html nella tua cartella e provi ad aprirlo con IE è visibile.

WarDuck · 31-01-2009, 09:59

Quote:

Originariamente inviato da Ghost Of Christmas Past

Per lo stesso motio per cui le impostazioni di default su nt 6.1 dell'uac sono inutili e fallate perché sono così e basta.

Non esageriamo, non c'è solo o bianco o nero, ci sono anche le vie di mezzo, sinceramente non voglio credere che non ci sia una soluzione...

xsim · 31-01-2009, 10:00

Ci vorrebbe un UAC hardware..ossia una chiavetta usb opportunamente "formattata" e "settata" dal sistema operativo per il nostro account in base ad un livello di protezione scelto.
In assenza di questa non sarà possibile fare alcuna modifica al sistema, eseguire applicazioni o script non sicuri e nemmeno cancellare files e cartelle.
In questo modo, rimuovendo tale pendrive, non ci sarà bisogno nemmeno di antivirus & company..il sistema senza fare alcuna richiesta bloccherà qualsiasi cosa tranne operazioni di semplice lettura.

hexaae · 31-01-2009, 10:07

Quote:

Originariamente inviato da WarDuck

Non so se è presente su tutti gli OS e con quali modalità, cmq sarebbe meglio poter disabilitare queste HOOKS, perchè ripeto, sono pericolose.

Beh... come principio di sicurezza un professionista semplicemente impedirebbe che possa anche solo entrare quel VBS, quindi le sicurezze vanno poste a monte. Che ci sia la possibilità di usare questi hooks a me sembra normale...

Quote:

Dovrei provare e vedere... il fatto è che appunto avendo Linux i device file puoi gestire i permessi come se fosse un file generico, questa è una gran cosa.

Beh, non credo non si possa fare anche su sistemi Win con le ACL, anzi... è più complicato certo.

Quote:

No, IE7 a quanto avevo letto sul blog di Joanna Rutowska usa la policy No-Write-Up... d'altronde basta notare come sia possibile leggere i documenti nella propria cartella.

Se fai un file html nella tua cartella e provi ad aprirlo con IE è visibile.

Sì, infatti, ma mi sono sempre chiesto se in quelle situazioni IE7 temporaneamente non cambi certe sue impostazioni di sicurezza e/o non abbia definito dei permessi speciali per quelle singole azioni... boh...

31-01-2009, 00:09	#142
Ghost Of Christmas Past Bannato Iscritto dal: Sep 2008 Messaggi: 220	Appunto per questo. Le basi di windows sono fatte in un certo modo, hanno vntaggi e svantaggi. In questo caso il svantaggio è che chiunque alla fine è in grado di creare un falso certificato, basta una ricerca in google e scaricare qualche tools della stessa microosft e seguire le istruzioni. Per chi sa produrre un malware scrivere un falso certificato è un gioco da ragazzi. Così come è inutile usare per lo stesso motivo driver certificati per forza sulle edizioni a 64-bit. L'importante che wsca fuori un messaggio che avverta l'utente, poi se sa quello che fa o meno sono cazzi suoi, io trovo terribilmente idiota il dover cracckare il bootloader per potere usare sempre driver certificati senza noie. E l'idiota lo sto dadno a microsoft e non a chi lo fa chiaramente. Io tengo l'uac su vista e il firewall integrato, che va più che bene, niente antimalware compreso quellamerda di defender, niente cali prestazionali dovuti ad antimalware (che ne diciate, ogni antimalware, comrpesi nod32 e avira, comportano sensibili cali prestazionali in idle e in full), scarico, navigo (compresi siti non affidabili e pieni di schifezze) e faccio quel che mi pare e l'os rimane pulito e snello. Non è questione di noie è questione di decenni di cattive abitudini imposte dalla stessa microsoft, forse in buona fede, forse per superbia, forse per mazzette della symantech e mcafee, fatto sta che ora ha rimediato da oltre 2 anni e sta solo all'utenza accendere il cervello e capire che un sistem aoperativo non è un giocattolo e va usato con criterio e che prima di modificare qualche file e directory di sistema, tantopiù il registro, si deve pensare non una ma 10 volte. Ultima modifica di Ghost Of Christmas Past : 31-01-2009 alle 00:12.

31-01-2009, 09:02	#151
wisher Senior Member Iscritto dal: Aug 2005 Messaggi: 2755	Ecco la risposta di Microsoft http://www.istartedsomething.com/200...sts-by-design/ sinceramente speravo in una risposta diversa __________________ Follow me on twitter and read my blog

31-01-2009, 02:00	#146
dvbman Senior Member Iscritto dal: Jul 2005 Città: 127.0.0.1 Messaggi: 1631	sarò paranoico ma per deformazione professionale (e dato che una cosa del genere me l'aspettavo), oltre ad averlo sempre tenuto al max livello lo uac su w7, gli account di vista da administrator (oltre che quelli utente) li configuro sempre tramite policy affinchè chiedano la password alla richiesta dell'uac anzichè la pressione del tasto consenti (modalità di default che considero inutile per non dire insensata)

31-01-2009, 07:30	#148
xsim Senior Member Iscritto dal: Nov 2001 Città: Cagliari Messaggi: 1134	Sono andato su: Control Panel -> Administrative Tools -> Local Security Policy -> Local Policies -> Security Options e alla fine della lista ci sono queste chiavi: Come andrebbero settate secondo voi per avere la massima sicurezza ?

31-01-2009, 10:00	#159
xsim Senior Member Iscritto dal: Nov 2001 Città: Cagliari Messaggi: 1134	Ci vorrebbe un UAC hardware..ossia una chiavetta usb opportunamente "formattata" e "settata" dal sistema operativo per il nostro account in base ad un livello di protezione scelto. In assenza di questa non sarà possibile fare alcuna modifica al sistema, eseguire applicazioni o script non sicuri e nemmeno cancellare files e cartelle. In questo modo, rimuovendo tale pendrive, non ci sarà bisogno nemmeno di antivirus & company..il sistema senza fare alcuna richiesta bloccherà qualsiasi cosa tranne operazioni di semplice lettura.

Strumenti
Mostra una versione stampabile Invia questa pagina per email