Und immer, immer wieder .... UAC

von Georg Binder 23. April 2007 22:20

Offenbar ist es schwer die Benutzerkontensteuerung (User Account Control kurz UAC) zu verstehen, besonders in Bezug auf die Arbeitsweise. So hat Channel Register einen Bericht ins Web gestellt, wonach UAC Dateinamen prüft, und abhängig davon das UAC Fenster erscheint oder nicht. Fleißig ist der Artikel übernommen worden (u.a. bei Winfuture.de oder auch bei Microsoft Fan Martin) und dabei wird der Eindruck erweckt, dass es ausreicht den Dateinamen zu ändern um Adminrechte zu bekommen (Hämisch aber falsch "Sicherheit auf Microsoft Art"). 

Hier ein paar Facts:

  • UAC muss von Applikationen selbst aufgerufen werden, das heißt "automatisch" würde es nicht kommen. Erhöhte Rechte ermöglichen das Installieren von Software, schreiben in die Systemordner und Registry usw...
  • Wenn das Programm UAC nicht aufruft, der Benutzer keine solchen Rechte vergibt, dann läuft das Program... unter Benutzerrechten. Und darf damit recht wenig. Versucht z.B. so ein Benutzer-Programm in Systemordner zu schreiben, wird es keinen Erfolg haben, die landen im Äquivalent von /dev/null
  • Weil aber, speziell ältere, Software von UAC keine Ahnung hat (so wie mancher Artikelschreiber), versucht Vista von sich aus zu erkennen, ob es empfehlenswert ist, eine Anwendung mit erhöhten Rechten zu starten. Erfahrungsgemäß brauchen vor allem Installationsprogramme erhöhte Rechte.

Selbsttest gefällig? Einfach eine "Neue Textdatei.txt" machen, ein paar sinnlose Zeichen rein und umbennen in Setup.exe. Siehe da, im Icon ist ein Admin-Schild.

Die Dateinamenerkennung ist (neben anderen Techniken) eine Kompatibilitätssache. Hat mit Sicherheit ziemlich wenig zu tun.

Ein "Tipp" der Art "Bennent man die gleiche Anwendung auf beispielsweise „Popocatepetl” um, hat der UAC-Spuk ein Ende" führt also nur dazu, dass die Anwendung nicht mit erhöhten Rechten läuft. Was zumindest daran wirklich praktisch ist: braucht man gar keine erhöhten Rechte, dann sollte man seine Anwenung nicht setup.exe oder install.exe nennen :)

Tags:

Produktinfo

Comments

>

4/23/2007 10:20:22 PM #

Genau, oder umgekehrt, Manifest, damit auch HänschenKlein.exe Admin Rechte anfordert. Aber das würde heißen, dass ein Manifest vorliegt, was bei älteren Programmmen kaum der Fall sein dürfte.

Georg Binder | Reply

>

4/23/2007 10:20:22 PM #

Wenn meine Anwendung keine Admin-Rechte braucht, dann versehe ich sie mit einem passenden Manifest. Damit kann Vista ohne irgendwelche Heuristik feststellen, was Sache ist. Der Dateiname ist dabei egal.

Martin | Reply

Add comment




  Country flag

biuquote
Loading



Menü

Home
Über WindowsBlog.at
Archiv
Abonnieren Feed
Kontakt
Twitter

Follow Me

Dieser Blog wird von Microsoft Österreich betrieben.

Offizielle Facebook Fan Page:
facebook.com/windowsdeutsch

Poll

Braucht WindowsBlog ein neues Hintergrundbild?



Show Results

Kommentare

Kommentare RSS

http://www.microsoft.com/austria | © 2009 Microsoft Corporation. Alle Rechte vorbehalten.
BlogEngine.NET 1.5.0.7 powered by atwork