http://www.tietoviikko.fi/kehittaja/article237152.ece
Windows 7:n User Account Control -suojauksesta on löytynyt porsaanreikä, jonka kautta haittasovellukset voivat kiertää turvavaroitukset. Kyseessä on eri vika kuin joitakin viikkoja sitten löydetty UAC:n vaivihkainen sammuttaminen. Vian löysi ensimmäisenä kehittäjä Leo Davidson.
Windows Vistassa esitelty UAC-suojaus näyttää käyttäjälle varoituksen, kun sovellus tekee jotain mihin tarvitaan ylläpitäjän oikeuksia. Järjestelmän perimmäisenä tavoitteena on Microsoftin mukaan ajaa kehittäjät muuttamaan sovelluksiaan, jotta ne vaatisivat vähemmän oikeuksia.
Toistuvat UAC-varoitukset on koettu ärsyttäviksi, ja Microsoft pyrkii vähentämään niitä Windows 7:ssa. Tätä varten Windows 7 sisältää listan Microsoftin sovelluksista, jotka saavat oletuksena täydet käyttäjän oikeudet ilman varoituksia.
Haittaohjelma sujahtaa vip-listalle
Täysivaltaisten sovellusten listalle kuuluvat kaikki Windows 7:n mukana toimitettavat sovellukset. Näihin kuuluvat Resurssienhallinta ja Tehtävänhallinta, mutta myös esimerkiksi Muistio ja Laskin.
Haittaohjelma voi kirjoittaa esimerkiksi Laskimen käyttämälle muistialueelle omaa koodiaan. Koska UAC ei tarkkaile koodin alkuperää vaan prosesseja, myös lisätty koodi saa täydet käyttäjän oikeudet. Haittaohjelma voi tämän jälkeen ajaa mielivaltaisia käskyjä ilman varoituksia.
Koodin ujuttamiseen muistialueelle ei tarvita erityistä hakkerointia, vaan Windowsin tavalliset rajapinnat kuten WriteProcessMemory riittävät. Näiden rajapintojen käyttämiseen ei tarvita korotettuja oikeuksia.
Turvattomuutta oletuksena
Ongelman voi välttää laittamalla Windows 7:n UAC-asetuksen maksimisuojaukselle, jolloin varoitukset näytetään joka kerta. On myös mahdollista käyttää käyttäjätiliä, jolla ei ole ylläpitäjän oikeuksia.
Davidson hämmästelee, että sääntöjä seuraavat hyötyohjelmat joutuvat näyttämään merkityksettömiä varoituksia samalla kun haittaohjelmat voivat kiertää ne. Nykyinen oletusasetus on hänen mukaansa hyödytön kompromissi, joka ei tarjoa turvaa mutta häiritsee silti käyttäjiä.
Windows 7:n User Account Control -suojauksesta on löytynyt porsaanreikä, jonka kautta haittasovellukset voivat kiertää turvavaroitukset. Kyseessä on eri vika kuin joitakin viikkoja sitten löydetty UAC:n vaivihkainen sammuttaminen. Vian löysi ensimmäisenä kehittäjä Leo Davidson.
Windows Vistassa esitelty UAC-suojaus näyttää käyttäjälle varoituksen, kun sovellus tekee jotain mihin tarvitaan ylläpitäjän oikeuksia. Järjestelmän perimmäisenä tavoitteena on Microsoftin mukaan ajaa kehittäjät muuttamaan sovelluksiaan, jotta ne vaatisivat vähemmän oikeuksia.
Toistuvat UAC-varoitukset on koettu ärsyttäviksi, ja Microsoft pyrkii vähentämään niitä Windows 7:ssa. Tätä varten Windows 7 sisältää listan Microsoftin sovelluksista, jotka saavat oletuksena täydet käyttäjän oikeudet ilman varoituksia.
Haittaohjelma sujahtaa vip-listalle
Täysivaltaisten sovellusten listalle kuuluvat kaikki Windows 7:n mukana toimitettavat sovellukset. Näihin kuuluvat Resurssienhallinta ja Tehtävänhallinta, mutta myös esimerkiksi Muistio ja Laskin.
Haittaohjelma voi kirjoittaa esimerkiksi Laskimen käyttämälle muistialueelle omaa koodiaan. Koska UAC ei tarkkaile koodin alkuperää vaan prosesseja, myös lisätty koodi saa täydet käyttäjän oikeudet. Haittaohjelma voi tämän jälkeen ajaa mielivaltaisia käskyjä ilman varoituksia.
Koodin ujuttamiseen muistialueelle ei tarvita erityistä hakkerointia, vaan Windowsin tavalliset rajapinnat kuten WriteProcessMemory riittävät. Näiden rajapintojen käyttämiseen ei tarvita korotettuja oikeuksia.
Turvattomuutta oletuksena
Ongelman voi välttää laittamalla Windows 7:n UAC-asetuksen maksimisuojaukselle, jolloin varoitukset näytetään joka kerta. On myös mahdollista käyttää käyttäjätiliä, jolla ei ole ylläpitäjän oikeuksia.
Davidson hämmästelee, että sääntöjä seuraavat hyötyohjelmat joutuvat näyttämään merkityksettömiä varoituksia samalla kun haittaohjelmat voivat kiertää ne. Nykyinen oletusasetus on hänen mukaansa hyödytön kompromissi, joka ei tarjoa turvaa mutta häiritsee silti käyttäjiä.
Vastaukset 4
Vanhimmat
"Tätä varten Windows 7 sisältää listan Microsoftin sovelluksista, jotka saavat oletuksena täydet käyttäjän oikeudet ilman varoituksia."
Miksi Windowsissa on joka asiassa jotain ihme virityksiä yksinkertaisten asioiden toteuttamiseksi?
Monimutkaisuus on hienoa ja älykästä, mutta yksinkertaisuutta pidetään tyhmyytenä.
Kumma kyllä, soikion ympärijuoksemista, tai pallon seinään pompottamista pidetään älykkäänä toimintona.
>"Miksi Windowsissa on joka asiassa jotain ihme virityksiä yksinkertaisten asioiden toteuttamiseksi?"
Windows-alustan saamiseksi turvalliseksi se pitäisi kirjoittaa puhtaalta pöydältä alusta asti uudestaan. Tästä on ollut asiantuntijoiden keskuudessa puhetta jo Windows NT4:n ilmestymisen ajoista alkaen.
Ihan kiva, mutta nyt vuosikymmenten spagettikoodin ja paikkausten jälkeen Windowsin tekeminen alusta alkaen uudestaan maksaisi kymmeniä miljardeja dollareita. :)
Tähän pätee se että asiakas on aina oikeassa vaikka olisi kuinka väärässä.
Tämä UAC juttu jakaa Windows käyttäjiä kahtia perusteellisesti, osa pitää mainiona parannuksena ja moni, liian moni haluaa ottaa sen pois päältä kokonaan, siksi tämä uusi liukusäädin W7:ssa jolla yritetään pelastaa se mikä pelastettavissa on.
Kotikäyttäjille jotka ovat tulleet W3.1-W95-W98-XP linjaa pitkin, eri oikeuksilla olevat käyttäjätilit ovat aivan uusi asia. Kaiken pitäisi toimia täysin ilman turhia suojausvaroituksia jotka vain haittaavat koneen käyttöä. Tämä on ongelma.
Omalla kohdalla homma ei mene näin koska olen tottunut käyttämään normaalia käyttäjätiliä jo NT4 versiosta alkaen. Kaikissa oppilaitoksissa joissa olen ollut kaikki oppilaskoneet ovat olleet normaalikäyttäjän oikeuksilla ajettavia ja kaikki tarpeellinen on aina toiminut joten tämä UAC kammo on kotikäyttäjien vääristä käyttötavoista johtuva juttu.
Kirjoitin apua aloittelijoille palstalle joskus jutun vaihtoehtoisesta tietoturvaratkaisusta W98:lle. Homma meni näin:
98 asennettiin ja ne pelit joita aktiivisesti pelattiin. Mitään palomuuria tai yhtäkään virustorjunta ohjelmaa ei asennettu.
IE:ssä oli jo silloin säätömahdollisuus kuinka paljon sivustoihin luotetaan, sellainen liukusäädin. Se vedettiin heti aivan alas mikä tarkoitti sitä että kaikki active-x:t asennettiin ja ajettiin häiritsemättä käyttäjää millään tavalla. Kun katselin kauhuissani niin minun annettiin ymmärtää että Tällä tavalla "kone toimii kaikkein parhaiten eikä turhia ruikutuksia esitetä".
Kone kesti toimintakuntoisena n. viikon kerrallaan jolloin vain asennettiin 98 uudelleen. Silloin ei ollut vielä niin paljon haittaohjelmia liikenteessä kun mm. nettipankit ja verkosta ostamiset olivat harvinaista puuhaa.
Microsoftin mukaan UAC ei ole varsinainen tietoturva ominaisuus lainkaan vaan tarkoituksena on saada ulkopuolisten tekemät ohjelmat siihen kuntoon että ne toimisivat rajatulta käyttäjätililtä mikä ON TODELLINEN tietoturvaa parantava juttu. Tuossa tietoviikonkin jutussa sanotaan että rajoitetulla käyttäjätilillä haavoittuvuutta ei (tietenkään) ole.
Myös MS:n sivuilla kehotetaan käyttämään normaalia käyttäjätiliä.
Tilanne on tällä hetkellä hyvä sen suhteen että rajoitettua käyttäjätiliä voi käyttää myös home Vistassa jossa ei ole secpol.msc:tä.
Kaikki selaimet toimivat
Messenger toimii (luultavasti kaikki muutkin vastaavat), OO ja kaikki teksturit toimivat, kaikki kuvankäsittelyohjelmat.....
Ne mitkä eivät toimi ovat rekisterinsiivousohjelmat, defragmentontiohjelmat, palomuurin säädöt, useimpien ohjelmien asennukset ja poistot...jne
Tämä on hyvä näitten ei tietenkään pidäkkään toimia.
Tulevaisuudessa huolestuttaa se että W7:ssa vedetään se liukusäädin aina alas ja ohjelmoijat luottavat siihen ja tekevät koodia joka kirjoittelee mitä sattuu minne sattuu ja ohjelmia on pakko ajaa turhan suurilla oikeuksilla. Toivottavasti näin ei käy.