To, že neprivilegovaný účet je jediný správný a hlavně bezpečný způsob jak používat počítač nevědí jen čtenáři Poradny.NET ale uvědomili si to i v Microsoftu a co víc, rozhodli se s tím něco udělat.

UAC

Pokud řešíte, jak uspokojit zákazníky po celém světě a to pro velmi odlišné zákazníky používající jeden a tentýž produkt, není to jednoduché. Microsoft se rozhodl pro řešení typu "chytrá horákyně" a tak tu máme UAC a Windows Vista. Ani oblečená, ani neoblečená.

Jak tedy pracuje bezpečnostní model Vist a co je vlastně UAC? Windows Vista je vlastně Windows NT 6.0 a používá stejný model, jako všechny ostatní Windows NT. Nad tím je ale ve Vistě "nalepená" další vrstva: pokud jste přihlášen jako uživatel s právy Administrator a funkce UAC (User Account Control, Kontrola uživatelských účtů) je aktivní, všechny vaše programy se automaticky spouští s nižším oprávněním, které odpovídá nastavením pro skupinu Users (běžných uživatelů). Vy sám jste tedy nyní nadále administrátorem, vámi spuštěné programy ale administrátorem počítače nejsou. To je samozřejmě velký bezpečnostní krok vpřed, ale koncepčně je to dost nešikovná záležitost, což je znásobené tím, že výchozí uživatel v systému je ve skupině Administrators.

Funkčnost, co toto zajišťuje slouží současně k dvěma věcem. Jednak zajišťuje, aby měly programy spuštěné pod účtem Administrator vždy jen práva, jež jsou nezbytně nutná. Identifikuje spouštěné programy, které buď hodlají uplatnit systémová privilegia vyhrazená jen správci (např. Správa disků), programy které by tak potenciálně mohly činit (např. aplet "vlastnosti systému" nebo programy které hodlají zapisovat /vytvářet soubory v adresářích, na něž nemá skupina Users práva (adresář Windows, Program Files...).

Pokud jste přihlášeni s právy Administrator, zobrazí se vám výzva k potvrzení, že akci kterou jste vyvolali, chcete opravdu provést:

Pokud kliknete na tlačítko Details (Podrobnosti), dozvíte se úplnou cestu k souboru.

S největší pravděpodobností je toto podoba UAC, s jakou jste se již setkali. Ano, je to ona proslulá "otravná hláška". Pokud dialog potvrdíme, program se spustí pod naším účtem, stejně jako všechny programy doposud, ale dostane navíc bezpečnostní práva administrátora, čemuž UAC u normálních programů brání.

Měníme UAC z otravného dialogu na pomocníka

Že je to nesmysl? Vždyť tenhle UAC stejně jen dělá, že odklikáváme, co si chceme pustit, raději ho vypneme, ne? Nevypínejme ho ještě a pojďme se podívat na situaci, kdy začíná UAC dávat logiku. Možná již tušíte, je to situace, kdy náš účet nemá práva skupiny Administrators.

V takové situaci nejen že nevyskakuje jako otravná hláška, ale identifikuje nám program, který bude potřebovat administrátorská práva, a nabídne nám uživatele pro zadání uživatelského jména hesla, podobně jako grafická verze programu sudo v linuxových distribucích. Je to užitečné zejména proto, že runas nic takového neumí. RunAs nám sice pod administrátorskými právy spustí skoro cokoliv co si usmyslíme, ale nepozná, jestli program ta práva opravdu potřebuje.

Program spuštěný přes UAC se chová stejně, jako kdyby byl spuštěn přes RunAs a navíc již obrdržel admin token od UAC.

(Abby je uživatel s právy správce kterého jsme zadali do UAC dialogu, Toby s právy uživatel, který je přihlášen.)

Co když je UAC vypnuté

Když je UAC vypnuté, vrací se bezpečnostní model Visty do stavu, v jakém byl ve Windows XP, se všemi důsledky. Pokud jste přihlášeni jako správce, všechny vaše programy jsou tak spouštěny se všemi riziky, co z toho plynou. Naopak, pokud jste přihlášeni jako uživatel, systém vám nenabízí alternativní přihlášení pro potenciálně "administrátorské" programy. Tak například aplet "vlastnosti systému", který jsme spouštěli v předchozím příkladu, nám beze všech cavyků spustí, ale administrátorské funkce jsou zablokovány (tj. stane se totéž, co ve Windows XP):

RunAs při vypnutém UAC funguje opět shodně s Windows XP.

Run As Administrator

Na každém zástupci nám Vista přidává možnost z pravého tlačítka rovnou zvolit, že chceme program spustit jako administrátor za každou cenu, a tedy i tehdy, když Vista program nerozpozná jako program, co práva potřebuje. Jakmile tuto volbu použijeme, Vista předá řízení UAC, a tedy následuje buď potvrzovací dialog, nebo dialog s heslem, podle toho, zda náš účet má práva správce, nebo nemá.

Speciální případ je přikazový řádek, NT konzole "cmd.exe". Z nějakého záhadného důvodu berou Visty aplikaci jako speciální,nejspíše protože může být přímo z něho zadán příkaz který například formátuje disk nebo dělá jinou administrátorskou akci, a tak mu jen při přímém spuštění nepřidělují administrátorská práva. Je potřeba ho vždy spustit jako správce touto volbou, pokud chceme aby měly řádkové příkazy práva správce také. (V takovém případě proženou Visty příkazový řádek UACem). Na screenshotu níže jsou dva příkazové řádky pod stejným uživatelem, jen jeden prošel UAC elevací, druhý nikoliv.

Závěr

U Visty neexistuje jediný správný model. Neprivilegovaný účet je stejně bezpečný jak s UAC, tak bez. I přes to, že vám UAC zajišťuje, že pod administrátorským účtem vaše programy nemají bez povolení maximální práva, nedoporučuji výchozí kombinaci admin + UAC používat. Je to nekoncepční, náchylné na ukliknutí a UAC se mění opravdu jen v ty otravné hlášky.

Předchozí díly:

http://pc.poradna.net/a/view/308473-bezpecnost-na- internetu-pracujeme-s-neprivilegovanym-uctem-i
http://pc.poradna.net/a/view/308587-bezpecnost-na- internetu-pracujeme-s-neprivilegovanym-uctem-ii
http://pc.poradna.net/a/view/308709-bezpecnost-na- internetu-pracujeme-s-neprivilegovanym-uctem-iii
http://pc.poradna.net/a/view/323428-bezpecnost-na- internetu-pracujeme-s-neprivilegovanym-uctem-iv