Τα Windows® 7 παρέχουν έναν απλό μηχανισμό για τη λειτουργία λογαριασμών τελικού χρήστη με τυπικά δικαιώματα χρήστη, ενώ καταργούν την απαίτηση για δικαιώματα διαχειριστή κατά την εκτέλεση κοινών εργασιών, όπως η εγκατάσταση ενός προγράμματος οδήγησης εκτυπωτή ή η σύνδεση σε ένα ασύρματο δίκτυο. Αυτή η θεμελιώδης μετάβαση παρέχει ασφάλεια στο επίπεδο του λειτουργικού συστήματος, αποτρέποντας ζημιές σε εταιρικά αρχεία και ρυθμίσεις από κακόβουλο λογισμικό και rootkit.

Ο Έλεγχος λογαριασμού χρήστη (UAC) βασίζεται στη θεωρία ασφάλειας περί ελάχιστων δικαιωμάτων, την έννοια ότι οι χρήστες πρέπει να έχουν τα ελάχιστα απόλυτα δικαιώματα που απαιτούνται για την εκτέλεση εργασιών που έχουν εκχωρηθεί. Οι αλλαγές στο υποσύστημα για εφαρμογές που βασίζονται στο UNIX, οι οποίες είναι συμβατές με UAC, περιλαμβάνουν χρήση του Λογαριασμού χρήστη ελάχιστων δικαιωμάτων (LUA).

Έλεγχος λογαριασμού χρήστη

Ο Έλεγχος λογαριασμού χρήστη είναι μια δυνατότητα ασφαλείας των Windows 7, που παρουσιάστηκε στα Windows Vista.

Ο κύριος στόχος του Ελέγχου λογαριασμού χρήστη είναι να μειωθεί η έκθεση και η εκτεθειμένη επιφάνεια του λειτουργικού συστήματος των Windows 7, απαιτώντας από όλους τους χρήστες να εργάζονται σε κατάσταση λειτουργίας τυπικού χρήστη και καταργώντας την πρόσβαση επιπέδου διαχειριστή σε εξουσιοδοτημένες διεργασίες. Αυτός ο περιορισμός ελαχιστοποιεί την ικανότητα των χρηστών να πραγματοποιούν αλλαγές που μπορούν να αποσταθεροποιήσουν τους υπολογιστές τους ή να προκαλέσουν δυσμενή έκθεση του δικτύου σε ιούς μέσω κακόβουλου λογισμικού που δεν έχει ανιχνευθεί, το οποίο έχει μολύνει τον υπολογιστή τους.

Από προεπιλογή, τα Windows 7 εκτελούν κάθε εφαρμογή ως τυπικός χρήστης, ακόμη κι αν ο τρέχων χρήστης έχει συνδεθεί ως μέλος της ομάδας Administrators. Αντιθέτως, όταν οι χρήστες προσπαθούν να εκκινήσουν μια εφαρμογή για την οποία έχει σημειωθεί ότι απαιτούνται δικαιώματα διαχειριστή, τα Windows 7 ζητούν επιβεβαίωση. Μόνο οι εφαρμογές που εκτελούνται με δικαιώματα διαχειριστή μπορούν να τροποποιήσουν ρυθμίσεις συστήματος και καθολικές ρυθμίσεις και συμπεριφορά.

Για περισσότερες πληροφορίες σχετικά με τον Έλεγχο λογαριασμού χρήστη, ανατρέξτε στην τοποθεσία της Microsoft στο Web, στο θέμα "Κατανόηση και ρύθμιση των παραμέτρων του ελέγχου λογαριασμού χρήστη στα Windows Vista" (https://go.microsoft.com/fwlink/?LinkId=70242 (η σελίδα ενδέχεται να υπάρχει στα Αγγλικά)).

Έλεγχος λογαριασμού χρήστη και ελάχιστα δικαιώματα στο υποσύστημα για εφαρμογές που βασίζονται στο UNIX

Όταν ένας χρήστης υποσυστήματος για εφαρμογές που βασίζονται στο UNIX, ο οποίος είναι μέλος της ομάδας Administrators, εκκινεί μια εφαρμογή, ένα κέλυφος ή άλλη εργασία, οι εφαρμογές εκτελούνται στο περιβάλλον ασφαλείας του τυπικού χρήστη.

Το παράδειγμα που ακολουθεί παρουσιάζει πώς ο Έλεγχος λογαριασμού χρήστη μπορεί να αποτρέψει την εκτέλεση εργασιών διαχειριστή χωρίς αυξημένα δικαιώματα από χρήστες που είναι μέλη της ομάδας Administrators.

Ο χρήστης A είναι μέλος της ομάδας Administrators και θέλει να δημιουργήσει έναν νέο κατάλογο που ονομάζεται test στον κατάλογο / (ριζικός). Η δημιουργία νέων καταλόγων στον ριζικό κατάλογο επιτρέπεται μόνο σε μέλη της ομάδας Administrators. Ωστόσο, αν και ο χρήστης A είναι μέλος της ομάδας Administrators, ο χρήστης A δεν μπορεί να δημιουργήσει τον νέο κατάλογο λόγω περιορισμών LUA. Ο χρήστης A ανοίγει ένα κέλυφος Korn με αυξημένα δικαιώματα και μπορεί να δημιουργήσει τον κατάλογο test στη ρίζα.

Για να εκτελέσετε μια εφαρμογή ή εργασίες με αυξημένα δικαιώματα, ανατρέξτε στις ακόλουθες διαδικασίες.

Εκτέλεση μιας εφαρμογής ως διαχειριστής

Με το υποσύστημα για εφαρμογές που βασίζονται στο UNIX και το εγκατεστημένο πακέτο εργαλείων και βοηθητικών προγραμμάτων με δυνατότητα λήψης, υπάρχουν δύο τρόποι εκτέλεσης μιας εφαρμογής ως διαχειριστής.

Χρησιμοποιώντας το περιβάλλον εργασίας των Windows

Χρησιμοποιώντας μια γραμμή εντολών που βασίζεται στο UNIX

Χρήση του περιβάλλοντος των Windows

Για να εκτελέσετε μια εφαρμογή στο περιβάλλον εργασίας των Windows που απαιτεί δικαιώματα διαχειριστή, ακολουθήστε τα παρακάτω βήματα.

Για να εκτελέσετε μια εφαρμογή ως διαχειριστής στο περιβάλλον εργασίας των Windows
  1. Κάντε δεξιό κλικ στο εκτελέσιμο αρχείο της εφαρμογής.

  2. Από το μενού συντόμευσης, κάντε κλικ στην εντολή Εκτέλεση ως διαχειριστής.

Χρήση μιας γραμμής εντολών που βασίζεται στο UNIX

Για να εκτελέσετε μια εφαρμογή στο περιβάλλον κελύφους Korn που βασίζεται στο UNIX που απαιτεί δικαιώματα διαχειριστή, ακολουθήστε τα παρακάτω βήματα.

Για να εκτελέσετε μια εφαρμογή ως διαχειριστής σε κέλυφος Korn
  1. Κάντε κλικ στο κουμπί Έναρξη, έπειτα στην εντολή Όλα τα προγράμματα, κάντε κλικ στην επιλογή Υποσύστημα για εφαρμογές που βασίζεται στο UNIX και στη συνέχεια τοποθετήστε τον δείκτη του ποντικιού στην επιλογή Κέλυφος Korn.

  2. Κάντε δεξιό κλικ στο Κέλυφος Korn και στη συνέχεια κάντε κλικ στην εντολή Εκτέλεση ως διαχειριστής.

  3. Όταν σάς ζητηθεί να επιτρέψετε στο κέλυφος εκτέλεση ως διαχειριστής, κάντε κλικ στο κουμπί Ναι.

  4. Εκτελέστε το πρόγραμμα που απαιτεί δικαιώματα διαχειριστή.

  5. Μόλις ολοκληρώσετε την εκτέλεση της εφαρμογής που απαιτεί αυξημένα δικαιώματα, κλείστε την περίοδο λειτουργίας του κελύφους.

    Για να εκτελέσετε άλλες εργασίες στο περιβάλλον κελύφους που βασίζεται στο UNIX, οι οποίες δεν απαιτούν δικαιώματα διαχειριστή, ανοίξτε μια νέα περίοδο λειτουργίας κελύφους χωρίς να χρησιμοποιήσετε την εντολή Εκτέλεση ως διαχειριστής.

Κλειδί μητρώου EnableSuToRoot

Ο Έλεγχος λογαριασμού χρήστη είναι ενεργοποιημένος από προεπιλογή. Όταν είναι ενεργοποιημένος ο Έλεγχος λογαριασμού χρήστη, οποιαδήποτε εφαρμογή ή εργασία που μιμείται άλλον χρήστη, ο οποίος είναι μέλος της ομάδας Administrators (χρησιμοποιώντας, για παράδειγμα, τα βοηθητικά προγράμματα su, cron ή login, την εντολή setuid, οποιαδήποτε από την οικογένεια κλήσεων setuid ή exec_asuser), πάντα εκτελείται στο περιβάλλον ασφαλείας του τυπικού λογαριασμού χρήστη.

Σημείωση

Όταν μια εφαρμογή μιμείται έναν τυπικό χρήστη, διαθέτει το πλήρες περιβάλλον ασφαλείας ενός τυπικού χρήστη. Για περισσότερες πληροφορίες σχετικά με τους τυπικούς χρήστες, ανατρέξτε στην τοποθεσία της Microsoft στο Web, στο θέμα "Καλύτερες πρακτικές και οδηγίες προγραμματιστή για εφαρμογές σε περιβάλλον ελάχιστων δικαιωμάτων", ενότητα "Εισαγωγή" (https://go.microsoft.com/fwlink/?LinkId=70243).

Με προεπιλεγμένες ρυθμίσεις, μια εφαρμογή δεν μπορεί να μιμηθεί τον ριζικό χρήστη. Μπορείτε να ελέγξετε αυτή τη συμπεριφορά τροποποιώντας το κλειδί μητρώου HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA\EnableSuToRoot.

Τροποποίηση του κλειδιού μητρώου EnableSuToRoot

Σημαντικό

Ο λογαριασμός Administrator είναι απενεργοποιημένος από προεπιλογή στα Windows 7 και Windows Server 2008 R2 με σκοπό την καλύτερη προστασία των υπολογιστών και των δεδομένων από τον κίνδυνο πρόσβασης μη εξουσιοδοτημένων ή κακόβουλων χρηστών και πρέπει να ενεργοποιηθεί για να μπορούν οι χρήστες να μιμηθούν τον ριζικό χρήστη ή τον ρόλο Administrator. Επειδή ο λογαριασμός Administrator πρέπει να έχει ήδη ενεργοποιηθεί για να είναι εφικτή η αλλαγή του κλειδιού μητρώου EnableSuToRoot, ακολουθεί η διαδικασία για την άμεση ολοκλήρωση αυτής της εργασίας. Πρέπει να είστε μέλος της ομάδας Administrators στον τοπικό υπολογιστή για να ολοκληρώσετε την παρακάτω διαδικασία.

Για να ενεργοποιήσετε τον λογαριασμό Administrator:
  1. Κάντε κλικ στο μενού Έναρξη, δεξιό κλικ στην επιλογή Υπολογιστής και, έπειτα, κλικ στην επιλογή Διαχείριση.

  2. Στο παράθυρο ιεραρχίας του συμπληρωματικού προγράμματος Διαχείριση Υπολογιστή, ανοίξτε την κατηγορία Τοπικοί χρήστες και ομάδες.

  3. Κάντε κλικ στην επιλογή Χρήστες.

  4. Στο παράθυρο αποτελεσμάτων, κάντε δεξιό κλικ στην επιλογή Διαχειριστής και, στη συνέχεια, κάντε κλικ στην επιλογή Ιδιότητες.

  5. Απενεργοποιήστε το πλαίσιο ελέγχου της επιλογής Ο λογαριασμός είναι απενεργοποιημένος.

  6. Κάντε κλικ στο κουμπί ΟΚ.

  7. Κλείστε το παράθυρο Ιδιότητες και, έπειτα, κλείστε το συμπληρωματικό πρόγραμμα Διαχείριση Υπολογιστή.

Ακολουθήστε τα παρακάτω βήματα για να αλλάξετε τη ρύθμιση του κλειδιού μητρώου, αφού εγκαταστήσετε το υποσύστημα για εφαρμογές που βασίζονται στο UNIX.

Για να αλλάξετε τη ρύθμιση του κλειδιού μητρώου EnableSuToRoot
  1. Κάντε κλικ στο κουμπί Έναρξη, κλικ στο πλαίσιο κειμένου Έναρξη αναζήτησης και πληκτρολογήστε regedit για να ανοίξετε τον Επεξεργαστή μητρώου.

  2. Στο παράθυρο ιεραρχίας, ανοίξτε τη διαδρομή HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SUA.

  3. Στο παράθυρο αποτελεσμάτων, κάντε διπλό κλικ στο στοιχείο EnableSuToRoot.

  4. Στο πλαίσιο Δεδομένα τιμής, πληκτρολογήστε 0 για να μην επιτρέπεται η μίμηση του ριζικού χρήστη ή 1 για να επιτρέπεται.

    Η προεπιλεγμένη τιμή είναι 0.

  5. Κάντε κλικ στο κουμπί ΟΚ.

  6. Κλείστε τον Επεξεργαστή μητρώου. Αν σάς ζητηθεί, αποθηκεύστε τις αλλαγές σας.

Όταν η τιμή αυτού του κλειδιού ορίζεται σε 0 (προεπιλεγμένη ρύθμιση), η μίμηση του ριζικού χρήστη δεν επιτρέπεται. Όταν η τιμή ορίζεται σε 1, η μίμηση του ριζικού χρήστη επιτρέπεται. Όταν μια εφαρμογή μιμείται τον λογαριασμό του ριζικού χρήστη ή του διαχειριστή, η εφαρμογή διαθέτει το πλαίσιο ασφαλείας διαχείρισης του ριζικού χρήστη (διαχειριστή).

Δικαίωμα ορισμού UID και δικαιώματα διαχειριστή

Εάν οι χρήστες που είναι μέλη της ομάδας Administrators προσπαθήσουν να επισημάνουν εφαρμογές με το χαρακτηριστικό setuid, θα επιτύχουν μόνο εάν τους επιτρέπεται να εκτελούν εφαρμογές και εργασίες σε περιβάλλον ασφαλείας διαχείρισης.

Ακολουθεί ένα παράδειγμα επισήμανσης του δυαδικού αρχείου /bin/regpwd, το οποίο συνήθως επισημαίνεται με το χαρακτηριστικό setuid:

  1. Ανοίξτε ένα κέλυφος Korn (ksh) με αυξημένα δικαιώματα, όπως περιγράφεται σ' αυτό το θέμα.

  2. Πληκτρολογήστε chmod +s /bin/regpwd και στη συνέχεια πιέστε ENTER.

  3. Πληκτρολογήστε exit για να κλείσετε την περίοδο λειτουργίας ksh.

Βλ. επίσης