Vlákno názorů k článku Bezpečnostní střípky: vyrobte si klon pasu vašeho souseda od Murděj Ukrutrný - To jak že tam opravili nějakou chybu nějakým...
-
Je to pár let zpátky co se jeden můj kolega, nechal zblbnout podobným článkem v nějakém tom slavném expertním časopise o počítačích, a přesně jak mu v něm radily, zrušil (a nebo změnil) úplně administrátorské účty na Windows. No a nestačil se divit. Najednou zjistil, že defakto nemůže vůbec nic. Pomalu nesměl ani přidat/odstranit soft, leckterá operace mu byla odepřena, nemohl to ani vrátit do původního stavu, atd... Nejlepší bylo, že nemohl ani reinstalovat systém. Zkoušely jsme se ptát na internetu, ale žádná rada jak znovu získat kontrolu nad systémem (včetně skrytého admistrátorského účtu) nezabrala. Skončilo nakonec tak, že jsme na tom notebooku spustily externí os, provedli zálohy, zformátovali disk a nainstalovali znovu Widle...
Kdyby byly (myšleno na XP, novější nevím) k dispozici pokročilejší možnosti nastavení uživatelských účtů i pro obyčejné uživatele počítačů (tím myslím domácí uživatele - ne profesionální administrátory), a nejdřív si nejprve vyzkoušel jenom změnit typ svého účtu než do toho experimentu šel, mohlo to celé dopadnout trochu jinak. Kdyby nějakou takovou větu napsaly do toho článku v časopisu, tak to vypadalo taky jinak. Zajmalo by mě kolik lidí to tehdy takhle vyzkoušelo a dopadlo podobně... -
jméno (neregistrovaný)He? Tak teď nechápu. Ano, když člověk pracuje s plnými právy administrátora, tak je jen otázka času než chytne nějakou virózu. Ale od toho jsou různé varianty účtů a přístupových práv k diskům, všechno to pracuje jakžtakž, pokud nějaký omezenec nenapíše kód s předpokladem, že stejnak všichni pracují s plnými právy. Samozřejmě, že SW může instalovat jenom administrátor, od toho různá práva různých uživatelů jsou.
-
Ano a o tom to celé totiž je (ještě jednou upozorňuji, že se to týká obyčejného uživatele).
Mnoho uživatelů WinXP (alespoň v mém okolí) nechce o změně typu svého uživ. účtu ani slyšet. Mnoho z nich IMHO téměř ani neví, že taková možnost vůbec existuje a ti co o tom vědí to považuji za natolik omezující, že radši risknou nějakou virozu. A ani se jim nedivým. Taky by se mi nelíbilo, kdybych si pro svůj účet na svým komplu nemohl nastavit co smím a nesmím, a jediné možnosti spočívaly v tom, že si změním ikonu účtu a heslo (pokud se míním rejpat v registrech, jde ještě poměrně jednoduše změnit pozice složek účtu na disku - ale kolik BFU bude takto editovat registry?). Mohu ještě zakázat přístup do nějaké složky již vlastním, nebo ji naopak sdílet. Možná ještě nějaký ten tweakovací program, ale bez administrátorských práv nemám šanci. Toť vše, a to je sakra málo. Vše ostatní co mohu a nesmím mi určil systém a není nic jednoduchého to změnit. To je hned první rovina celé té události.
Ta další spočívá v omezenosti lidí samotných. Někdo někde něco napsal a hned se spousta lidí zblázní, aniž by se poradily s hlavou. Někdo napsal, že nejlepší je na Windows zlikvidovat administrátorský přístup, ale už jaksi opomněl čtenářům vysvětlit co to pro ně bude znamenat. To že to možná ví on, ještě neznamená, že to ví každý. No a tento človíček to hned udělal, a samozřejmě tím ztratil nejen možnosti, které před tím měl, ale i možnosti s tím systémem vlastně dělat cokoliv dalšího podstatného. Nemohl nic - nebyl admin, systém byl v podstatě zakonzervovaný.
A to je celé špatně... -
FAW (neregistrovaný)Jako mnoho jiných "features" je to u MS problem dobre realizace spatneho navrhu. Bezne se mi stava, ze zakaznikum vracim PC maji ode mne sve ucty jako "useri" - heslo admina jim napisu. A za pul roku vidim, ze maji (krome viru a koni) vsechny jejich ucty prava admina. Proste si to sami nastavili, protoze potrebovali nejakou drobnost nainstalovat apod.. Pritom, kdyby ten system nemel skupinu administrators, nebylo mozne login jako admin a meli su, byli by ve vetsim bezpeci. Samozrejme, ze od Xp v urcite forme maji moznost spustit aplikaci jako jiny uzivatel, ale to snad pouzivaji jen admini. OS od MS uzivatele nevychovava k bezpecnym navykum - je to komercni i v tom smyslu, ze leta vychazi vstrict spatnym bezpecnostmim postupum uzivatelu a pak po mnoha letech na ne pusti UAC :-)
-
Z druhe strany, typicky user rekne, ze je to jeho pocitac a tak proc by se nemohl prihlasit jako admin. Prece mu pocitac nebude branit v nicem, co chce udelat. Aby se tohle obeslo, musel by se nejak omezit admin. V tomhle ohledu mi prijde zavedeni integrity levels do bezpecnostniho modelu a ekvivalent sudo (UAC) jako velky krok vpred.
BTW, integrity levels nepredstavuji samy o sobe bezpecnostni prvek, je to spis takova berlicka, kterou je celkem jednoduche obejit. ale proti sireni cervu tvori spolu s randomizaci adresniho prostoru hodne silnou barieru. -
MS podle mně celá léta na nějakou bezpečnost kašlal, a multiuživatelské prostředí mu taky dělalo potíže. Jen si vemte jak vypadaly win95-98. a co první verze NT? Tam byli k něčemu použitelné teprve až Win2K. Pak se najednou splašil, protože spoustu lidí a významných subjektů začalo řvát jaktože je v MS OS tolik nezabezpečených (/nezabezpečitelných) děr a není pořádná zpráva víceuživatelskécho prostředí? Hned na tom začaly pracovat. Nápady dobrý ovšem jak je u této firmy zvykem zase to sprasili... Ale to by bylo na dlouho.
První vlaštovky se začaly objevovat v 98 kde bylo možno vytvářet účty pro uživatele, ale nic neřešily, v NT verzi se objevila zpráva přístupových práv. XP mají sice uživatelské účty už od sebe oddělené, nicméně, existují pouze dvě varianty - každý kdo je "administrátor" smí absolutně vše a kdo není, nesmí vůbec nic. Visty to měly řešit a místo toho to dohnaly s bezpečnostní politikou ad absurdum - což je taky krok špatným směrem. Snad ve Win 7 se pro uživatele windows blízká na lepší časy. Uvidíme...
Zajímalo by mě kdy MS přijde na to, že ani on ani jeho systém není schopen vyřešit na místě každou situaci a požadavek, jemuž bude vystaven? Snad až mu to přestanou zákaznici slepě žrát i s navijákem... -
jo, ms na bezpecnost dlouho kaslal. ale z druhe strany, co clovek muze chtit od dosu (win98 i me byly de facto graficka nadstavba dosu). teprve kdyz se rozhodli, ze pujdou po NT linii, tak to zaclo byt k necemu pouzitelne.
ve vistach je to vyresene podle me docela hezky. tim ze se zavedly integrity levels, tak se treba vyresil problem velke casti malware, protoze msie bezi v low integrity level, takze nedosahne na skoro zadne uzivatelovy soubory (jmenuje se to protected mode IE). a to i kdyz je spusten pod adminem.
Tu bezpecnostni politiku ad absurdum nejak nechapu. pokud se uzivatel hlasi jako uzivatel (a ne jako admin), tak mu UAC dost pomaha. Pokud je treba instalovat soft, UAC si rekne o adminovske jmeno a heslo a tim instalaci umozni i pro uzivatele. Pokud je nekdo trvale prihlaseny jako admin, tak to holt po nem chce potvrzovat vsechny administratorske operace. Pokud je nekdo opravdu admin, tak si UAC prenastavi, aby se jeho jako admina neptal a je to vyresene.
ad win7: to jsou jen lehce upravene visty. jsou tam zmeny hlavne v uzivatelskem interfacu (vetsi ikonky, zmeny v control panelu apod). me se na nich nejvic libi to, ze eject flashky se dela jen dvema (misto soucasnych asi 4) klidnutimi. :-) -
No XP Jsou NT a ty pokud vím mají možnost nastavovat práva a přístupy v kontextu konkrétního uživatele (nevzpomenu si na zkratku tohoto modelu přístupových práv). Podle mě by bylo mnohem efektivnější umožnit jeden administrátorský (a povinný) účet a jeho majitel (uživatel) by dostal možnost nastavovat a řídit s konečnou platností práva každého uživatele jednotlivě, nebo skupiny uživatelů...
-
Tohle je zajimavy problem. Pokud jenom zakazal adminovsky ucet, nebo mu nastavil nesmyslne heslo, jde to opravit snadno. Pokud delal slozitejsi upravy, nejjednodussi zpusob jak to obejit je s patchnutym rizenim pristupu (treba povolit autentizaci vzdycky i bez hesla, nalogovat se s pravy admina nebo systemu apod.). Dalsi zpusob co me napada je vlezt do startupu windows, ale to vyzaduje zapis do registry (coz lze z live windows cd podle me udelat, resp. sw, ktery mountne prislusnou cast registry z disku je trivialni). To jen co me tak napada, mozna to pujde i jednoduseji.
-
Ne bohužel to nejde. Jakmile jste pouze obyčejný uživatel nemáte přímý přístup k žádným systémovým komponentám, funkcím a souborům. Systém vás nepustí. Navíc spustitelné systémové soubory si hlídá a v případě, že je nahradíte něčím jiným, ihned jak to zjistí tak je přepíše /další věc která mě těžce lezla ne nervy - a nemohl jsem přijít na to zda to vůbec a jak lze vypnout.
Onen kolega zrušil veškeré dostupné administrativní účty. V systému by prý měl být pro tyto případy ještě skrytý administrátor, který by se měl zpřístupnit, jakmile žádný jiný není. Bohužel ani k němu se nám nepodařilo dostat... -
JardaP (neregistrovaný)Ty soubory vam prepise odnekud z cache. Pokud mu je prepisete i tam, uz nic nezmuze. Najdete si homepage editoru Metapad. Nekde tam je popis toho, jak jim nahradit Notepad na XP. Musi se nahradit Notepad.exe nekde we Windoze\System32 nebo kde to je. A pak jeste na tusim dvou mistech. Navic se to musi udelat dostatecne rychle, nez si toho system vsimne a docpe tam puvodni soubor, tedy napr. pomoci batch souboru.
-
No, já zase nevím, co si myslet o tomto příspěvku, či zda má cenu na něj ještě vůbec reagovat.
Takže podle vaší logiky, každý kdo píše téměř v každém slovese "y" je ženská? A co třeba toto : http://cs.wikipedia.org/wiki/Dysortografie ?
