User Account Control och Virtualization i Vista

Hej,

En av de viktigaste nyheterna i Windows Vista är det vi kallar "User Account Control (UAC)". Några synonymer är "Limited User Accounts (LUA)" och "User Account Protection (UAP).

Ett av de största säkerhetsproblemen idag är att för många användare kör sin dator med lokala administratörs behörigheter. Alltså de är medlemmar i den lokala administratörs gruppen på sin dator. Detta beror ofta på att man upplever problem när man skall installera applikationer och drivrutiner annars. Att köra sin dator med lokala administratörs behörigheter innebär en stor säkerhetsrisk och attackyta för elak kod. En av mina kollegor i USA har en bra blog som handlar om hur du kan köra Windows XP och applikationer som vanlig användare redan idag. Du hittar denna site här.

Så vad gör vi i Vista för att minimera denna risk med användare som har lokala administratörs behörigheter och samtidigt minskar problemen när man inte är det? Svaret är "User Account Control" och "Virtualization" som är påslaget i de senaste versionerna (build) av Vista. Med denna funktion så körs Vista som vanlig användare även om du är medlem i den lokala administratörsgruppen. När operativet upptäcker att det behövs admin behörigheter så får du en fråga om du vill tillåta en elevering av behörigheterna. (ser lite olika ut beroende på om du är med i lokala administratörsgruppen eller inte. Plus att en du kan styra beteendet via group policies) Eftersom det finns en del applikationer som inte är skrivna för att fungera som en standard användare så har vi i Vista lagt till en funktion som heter "File & Registry Virtualization". En site som beskriver denna funktion kan du hitta här. (Obs! Detta är inte en Microsoft site och all information är inte 100% korrekt men du får en grundläggande genomgång i hur virtualiseringen i Vista fungerar) Enkelt kan man beskriva "virtualization" som att vi byggt in "ACT - Application Compatibility Toolkit" funktioner direkt i operativsystemet och slagit på dessa generellt. (inte helt sant men ett bra sätt att förstå vad det handlar om). Om en dåligt skriven applikation försöker skriva till en del av filsystemet eller registret där du som vanlig användare inte har behörigheter så gör vi en "redirect" till area där du har skrivbehörigheter. Vilket betyder att många dåligt skrivna applikationer faktiskt fungerar "out of the box" i Vista med vanliga användarbehörigheter. Denna funktion är mycket bra då det minskar attackytan rejält samtidigt som applikationerna fungerar. Jag hoppas givetvis att du redan har minimerat antalet lokala administratörer... ;-) Om du som företag tex redan kör dina XP datorer med standardanvändare och du har en fungerande applikationspaktering och certifieringsprocess så är "virtualization" givetvis inte nödvändigt och du kan stänga av det. Jag skulle tom rekommendera att stänga av "virtualization" i dessa välmanagerade miljöer då det faktiskt kan öka attackytan "något" att ha det påslaget för den typen av kunder. OBS! Givetvis skall du alltid ha "User Account Control" påslaget i alla lägen. Det finns mycket att skriva om dessa teknologier och jag lär posta mer information vid tillfället.

Jag har sett att många som testar Vista klagar på alla "popup" dialoger som dyker upp med UAC. Vi får se hur det kommer att se ut i framtida versioner (builds). Vi jobbar givetvis på att få en optimal balans mellan säkerhet och användarvändlighet. Min personliga åsikt är att det är viktigare med säkerhet än för många "popup" dialoger. Givetvis kommer vi se att många applikationer kommer att uppdateras för att fungera optimalt med UAC vilket säkerligen kommer minimera detta problem. Jag rekommenderar starkt att Ni inte stänger av UAC utan istället testar Vista med denna funktion påslagen. Viktigt för feedback och säkerhet.

För att läsa på mer om "User Account Control" kan du titta här och här. En bra steg för steg guide hittar du här.

MVH/Mathias