News Vista: Sicherheitssystem mit einem Klick aus

[Michael]

Mit einem Klick lässt sich das Windows-Vista-Sicherheitssystem UAC (User Account Control bzw. User Access Control) komplett deaktivieren, ohne dass der Nutzer etwas davon mitbekommt. Dies publizierte James Bannan auf den Seiten vom APC-Magazine.

Zur News: Vista: Sicherheitssystem mit einem Klick aus

 

[Julexander]

Solange man ein Feature nicht ausmachen kann, ist es ein Bug.

Schoen das man hier selber auch sozusagen die Macht hat ^^

 

[Magnus R]

Das ein neuer Skin nicht mehr Sicherheit bringt, war mir von Anfang an klar.

 

[Benj]

„zudem sei UAC auch nur ein weiterer Sicherheitsmechanismus neben Defender, Firewall, IE7, MIC, SID und CI”

Ich hab den Aprilscherz gefunden!

 

[basti2k]

Das mit dem User ohne Rechte, haben die doch nur von Linux abgeschaut, denn da braucht man auch das root-Passwort zum konfigurieren, was bei windoof das Adminpasswort wäre

 

[Pierre]

Was soll man denn jetzt dazu sagen? Natürlich kann UAP vom Programm deaktiviert werden, wenn das Programm Admin-Rechte hat. Die muss der Anwender erstmal geben. Wenn das natürlich so nett getarnt ist, wie schon im Beispiel, ist es für den Nutzer leicht, eine eigentlich nicht gewollte Zustimmung zu geben, was natürlich die üble Konsequenz hat...

Andererseits ist UAP imo auch nicht wirklich sinnvoll, wer wirklich intensiv mit dem Rechner arbeitet, wird zu oft von eigentlich zwar sinnvollen, aber umso mehr nervigen Dialogen genervt.. Dateien auf Netzwerklaufwerken löschen, Desktopverknüpfungen, Treiberinstallationen und und und... es nervt, weshalb es bei mir eigentlich quasi sofort aus war - da ist mir das bisserl Schutz weniger dann auch Wurscht...

 

[HappyMutant]

Die Aussage ist ja nicht falsch, denn sicherer als der IE6 ist er allemal. Ein Sicherheitsfeature was selbst bei eingeschränktem Account quasi im Hintergrund ausgeschalten werden kann, ist allerdings ein Witz und den Namen nicht wert.

Und weder braucht man für die temporären oder dauerhaften vollen Admin-Rechte Passwort noch sonst was, wenn man den Default-Account nutzt. Zwar darf man fast alles irgendwie mit Klick bestätigen, aber irgendwo sinnlos weil der Klick so häufig nötig ist, daß dann fast jeder User ganz automatisch die Rechte einräumt, bei jeder Abfrage. Und er wird kaum bemerken wenn er es dauerhaft machen soll.

Äh und Nutzerrechte von Linux abgeschaut? Naja wenn man jetzt auch noch das Rad neu erfinden wollte, dann gute Nacht. Leider ist die sinnvolle Idee bisher eher suboptimal umgesetzt. Oder man schraubt eben selber wieder, das kann man dann aber auch bei XP.

Edit: Oder eben wie mein Vorredner sagt.

 

[onlyJR]

Sobald man einen User dazu bringen kann einem Programm Admin Rechte zu geben ist eh alles verloren. Aber da kann Windows nix für, das liegt in der Natur dieser Sache. Unter jedem anderen Betriebssystem ist das genauso.
Das Problem ist, das viele Leute (mich eingeschlossen) gern viel am PC rumbasteln. Da kann man nicht alles einrichten und dann das System verriegeln und nur noch als eingeschränkter Nutzer arbeiten, wie es z.B. mit einem Firmen-PC sehr wohl gehen würde. Deswegen halt ich dieses Feature von Windows zwar sehr hübsch, aber wenn man 10 mal am Tag das Sicherheitsfester wegklicken muß, dann ließt man es sich beim 11. mal eh nicht mehr durch. Gleiches gilt natürlich auch für die Abfrage des root-Passwortes z.B. unter Linux.

Von daher sehe ich das Problem eben vor der Tastatur sitzen. Allerdings vor der Tastatur an der Viren und Würmer geschrieben werden.

 

[Meriana]

hm, es wäre nciht unweise, die deaktivierung des uac's in allen Fällen nur mit Passwort zu erlauben.

 

[CapFuture]

Was ich nicht aus der News rauslesen kann und anscheinend von einigen einfach angenommen wird: Dieses UAC fragt nicht nach dem Admin Passwort. Hier ist einfach nur die Rede von "einem Klick". D.h. der DAU muss nicht vorher den Denkprozess "Wozu braucht das Programm die Rechte" anwerfen.

 

[onlyJR]

@CapFuture,

So gesehen ist es egal, ob 10 mal am Tag nach dem Admin/root Passwort gefragt wird oder ob man nur einen Knopf drücken muß. Hat den selben "Gewöhnungseffekt". Vista möchte selbst wenn man mit einem Admin-Account angemeldet ist trotzdem nochmal ein "OK" haben bevor einige Sachen ausgeführt werden. Wenn man als normaler eingeschränkter User angemeldet ist funktioniert das mit sicherheit nicht, das man mit nur einem Klick einem Programm Admin-Rechte gibt.

Wirklich helfen würde nur das verwenden von zertifizierter Software um als Anwender wissen zu können ob man einem Prg. vertrauen kann oder nicht. Zur Zeit ist es ja so, das man einfach vertrauen muß. Selbst bei Open-Source Software werde ich mich nicht hinsetzen und Tausende Codezeilen durchlesen.

 

[Pierre]

@ CapFuture

Das kommt auf die Einstellung des Admins an. Man kann wählen, ob der Anwender Adminname und Kennwort eintippen muss oder ob er nur seine Zustimmung in Form eines angeklickten OKs geben muss. In der Endkonsequenz ist das natürlich ziemlich egal, nicht oder?

 

[MacroWelle]

Also ab jetzt kriegt jeder, der sich über den verzögerten Start von Vista beschwert einen Lolli von mir.

Wenn ich das richtig verstanden habe, darf jedes (als Admin) installierte Programm (also quasi jedes) selbst Admin spielen, wenn es will und dafür programmiert ist.
Heißt das dann das ein schadhaftes Programm theoretisch auch Firewalls ausschalten kann ohne dass der User es merkt, um z. B. Schadcode aus dem I-net zu laden??

 

[hoschieee]

Was fuer ein Bloedsinn ist das den? Ein Programm das nicht schuetz, wenn man draufklickt? Also, entweder weiss der Scheisskerl das Root-Passwort, oder er hat auf dem System nichts zu melden, was ist an dem Konzept so schwer zu kapieren?

Das beste ist ja der Kommentar von Microsoft:
>>Schalten sie einfach den ganzen ueberfluessigen Sicherheitsschnick ein der den DAUs truegerische Sicherheit vermittelt und sie etwas nervt beim klicken. Es ist egal dass das nur Performance frisst, und das ganze wohl noch gefaehrlicher macht durch neue Luecken in der Sicherheitssoftware. Und schalten sie die Windows-Firewall ein, die schuetzt sie. Klar, auch gegen Luecken im Netzwerkstack und RPC.<<

Ganz sauber sind die ja nicht mehr...

 

[HappyMutant]

Stimmt, das hab ich oben falsch gesagt. Als eingeschränkter User muß man schon das Passwort angeben, wenn es der Admin einstellt, aber dann kann man es scheinbar auch ausschalten. Der Standard Account ist eh aber mal wieder Admin nur halt mit Bestätigungsorgie, also ist das Szenario ja nicht so unwahrscheinlich.

 

[riod]

wär es nicht abschaltbar, würden alle rumheulen das andauernd dieses fenster aufgeht und man bestätigen muss, jetzt hat microsoft (was vorallem für admins) sehr gut erscheint die möglichkeit gegeben das zu deaktivieren... da man davon ausgeht das der administrator in der regel nicht komplett dähmlich ist und weis wie er sein system zu behandeln hat ist es eher eine erleichterung als eine kritik

 

[Gelbsucht]

Wirklich helfen würde nur das verwenden von zertifizierter Software um als Anwender wissen zu können ob man einem Prg. vertrauen kann oder nicht. Zur Zeit ist es ja so, das man einfach vertrauen muß. Selbst bei Open-Source Software werde ich mich nicht hinsetzen und Tausende Codezeilen durchlesen.

Wen alles mit einem Zertifikat ausgestattet würde, dann gäbe es immer weniger Freeware. Denn die zertifizierende Stelle müßte das zertifizieren hauptamtlich erledigen und würde dann also Geld verlangen müssen.

Ein immerhin ein guter Ansatz sind Dinge wie Softpedia, die Software untersucht laut deren Beschreibung, ob sie bösen Code enthält. Nur wenn alles sauber ist, bekommt das Programm die Auszeichnung. Ob das alles korrekt funktioniert und das Softpedia-Siegel wirklich hält was es verspricht, hab ich selbst noch nicht getestet.

Ach und die Codezeilen liest dein Virenscanner schon beim Download mit, die Arbeit muß sich niemand machen.

 

[onlyJR]

Ja das ist natürlich die andere Seite der Medallie. Außerdem muß man dann auch wieder der Zertifizierenden Stelle vertrauen. Und da es nicht nur eine geben würde, hat man das ganze Problem dann auch wieder. Also wirklich praktisch funktionieren tut es nicht.
Nach meiner Sicht führt kein Weg um einen Arbeits-PC mit genau ausgesuchter Software, an der nichts weiter geändert wird, und einen Bastel-PC, wo man nichts wichtiges drauf hat und nichts verlorgen geht, wenn man doch mal zu viel Vertrauen beim Installieren von irgendwas gezeigt hat. ^^

 

[Siberian..Husky]

wär es nicht abschaltbar, würden alle rumheulen das andauernd dieses fenster aufgeht und man bestätigen muss, jetzt hat microsoft (was vorallem für admins) sehr gut erscheint die möglichkeit gegeben das zu deaktivieren... da man davon ausgeht das der administrator in der regel nicht komplett dähmlich ist und weis wie er sein system zu behandeln hat ist es eher eine erleichterung als eine kritik

der punkt ist doch das das so wieder mal totaler blödsinn ist. wozu sollte es nötig sein den admin zu fragen ob eine bestimmte aktion wirklich mit admin rechten laufen soll!? dafür ist das admin konto schließlich da, um ausgewählte software mit adminrechten laufen zu lassen.

der richtige weg wäre also das der user standardmäßig keine admin rechte hat, und das man sich normalerweise auch nicht als admin einloggt(das adminstrator konto sollte also nicht auf dem standard login bildschirm zu finden sein).
sondern das man stattdessen programme die adminrechte benötigen per runas eben mit diesen rechten laufen lässt.


ich hatte ja große hoffnungen das das bei vista endlich so sein wird. vielleicht ändern die das ja noch bis zur final...

 

[iNsuRRecTiON]

der punkt ist doch das das so wieder mal totaler blödsinn ist. wozu sollte es nötig sein den admin zu fragen ob eine bestimmte aktion wirklich mit admin rechten laufen soll!? dafür ist das admin konto schließlich da, um ausgewählte software mit adminrechten laufen zu lassen.

der richtige weg wäre also das der user standardmäßig keine admin rechte hat, und das man sich normalerweise auch nicht als admin einloggt(das adminstrator konto sollte also nicht auf dem standard login bildschirm zu finden sein).
sondern das man stattdessen programme die adminrechte benötigen per runas eben mit diesen rechten laufen lässt.


ich hatte ja große hoffnungen das das bei vista endlich so sein wird. vielleicht ändern die das ja noch bis zur final...

Hey,

siehe auch hier: http://blogs.msdn.com/windowsvistasecurity/archive/2006/08/27/windowsvistasecurity_.aspx

Und dort auch in den Comments..

MfG
CYA

iNsuRRecTiON