http://www.izone.ru/data/security/article746.htm

Несмотря на это, Марк Русинович (Mark Russinovich), технический представитель Microsoft из отдела платформы и сервисов, уже отвечал на все подобные заявления критики в феврале, объясняя, что UAC не следует рассматривать в качестве механизма безопасности. Скорее это способ указать разработчикам на написание более безопасных приложений, сказал он. “Vista делает компромисс между безопасностью и удобством использования, и оба механизма, UAC и Protected Mode (Защищенный Режим) IE имеют проектные возможности выбора, требующие открытия ветвей программы в границах IL для совместимости с приложением и простоты использования”, - пишет он. "Так как границы, определяемые UAC и Protected Mode (Защищенный Режим) IE, разработаны с возможностью проницаемости, эти механизмы не могут рассматриваться в качестве барьеров безопасности", - сказал он.

“Ни повышение прав UAC, ни Protected Mode (Защищенный Режим) IE не определяют новых границ безопасности Windows”, - пишет Русинович. – “Так как повышение прав и уровни защиты целостности (IL, integrity level) не определяют границ безопасности, потенциальный подход атак вне зависимости от простоты и масштаба не есть сбой безопасности”.

http://technet.microsoft.com/ru-ru/library/cc772207.aspx

Доступно о UAC.

Управление учетными записями пользователей.

• Когда на компьютере с Windows Vista регистрируется пользователь с административными полномочиями, создаются два маркера доступа: фильтрованный маркер доступа обычного пользователя и полный маркер доступа администратора. При запуске рабочего стола (Explorer.exe) вместо маркера доступа администратора используется маркер доступа стандартного пользователя. Все процессы-потомки наследуют полномочия от этого запущенного сервиса рабочего стола (процесс explorer.exe), что помогает уменьшить зону уязвимости Windows Vista. По умолчанию все пользователи, включая администраторов, регистрируются на компьютере с Windows Vista как обычные пользователи.
  
  
• Основополагающий шаг в сторону повышения безопасности Windows — это работа конечного пользователя от имени своей стандартной учетной записи, которая предоставляет ему лишь ограниченные разрешения и права доступа. По умолчанию Windows Vista запускает любое приложение от имени стандартного пользователя, даже если вы входите в систему, как администратор. И наоборот, если пользователь пытается запустить приложение, которое было помечено как требующее разрешений администратора, система попросит его подтвердить это действие. Только приложения, которые выполняются с правами доступа администратора, могут изменять системные и глобальные параметры и правила поведения. Эта функция Windows Vista называется управлением учетной записью пользователя (UAC).
  

http://www.microsoft.com/rus/msdn/publish/articles/wvduac.mspx

Microsoft Developer Network > Переводы статей MSDN

Статья для разработчиков под Windows Vista: требования к разработке приложений с точки зрения механизма управления учетными записями пользователей (UAC)

Для чего нужно управление учетными записями пользователей?

Разработчики часто создают приложения для Microsoft Windows, которые требуют излишних пользовательских прав и привилегий. В результате обычный пользователь должен обладать полномочиями администратора, и очень немногие пользователи работают с минимально необходимым в операционной системе набором прав и привилегий. Предприятия пытаются найти баланс между безопасностью и удобством развертывания и использования, но из-за возникающих проблем с совместимостью обычных пользовательских приложений вынуждены устанавливать их с административными правами.

Есть и другие причины, почему на компьютерах с операционными системами-предшественницами Microsoft Windows Vista трудно работать с привилегиями стандартного пользователя:

1. Многие Windows-приложения требуют, чтобы зарегистрировавшийся пользователь был администратором, но на самом деле им не нужен доступ на уровне администратора. Эти приложения перед своим запуском выполняют различные проверки административного доступа, включая следующее:
   
   a. проверка маркера доступа администратора;
   b. запросы на доступ к защищенным папкам системы с уровнем «Полный доступ»;
   c. запись данных в защищенные папки %ProgramFiles%, %WinDir%, и в реестр HKLM\Software.
   
   
2. При проектировании многих Windows-приложений не учитывалась концепция минимальных привилегий, и функциональность для пользователя и для администратора не разделены на два разных процесса.
   
   
3. В Windows 2000 и XP каждая новая учетная запись для нового пользователя по умолчанию создается с административными полномочиями. Поэтому такие ключевые компоненты Windows – панель управления датой и временем или управление питанием – не работают должным образом для стандартного пользователя.
   
   
4. В Windows 2000 и Windows XP администраторы должны создавать две отдельные пользовательские учетные записи — одну для выполнения административных задач, а другую для повседневных. Поэтому пользователи вынуждены для выполнения любой административной задачи выходить из системы, если они работали как обычный пользователь, и регистрироваться заново как администратор, либо использовать возможность запуска команд с правами другого пользователя.

Механизм управления учетными записями пользователей (User Account Control, UAC) упрощает развертывание стандартных пользовательских настольных систем с обычными полномочиями, как в масштабах предприятия, так и дома.

Переделывая архитектуру системы безопасности Windows, которая изначально проектировалась для операционной системы Microsoft Windows NT 3.1, команда разработчиков UAC хотела реализовать более гибкую и безопасную стандартную модель пользователей. В предыдущих версиях Windows во время процесса регистрации для администратора создавался один маркер доступа. В него входит большинство привилегий Windows и административных идентификаторов безопасности (SID - security identifier). Этот маркер доступа обеспечивает администратору возможность установки приложений, настройки операционной системы и доступа ко всем ресурсам.

Команда разработчиков UAC подошла к процессу создания маркеров доступа в Windows Vista совершенно по-другому. Когда на компьютере с Windows Vista регистрируется пользователь с административными полномочиями, создаются два маркера доступа: фильтрованный маркер доступа обычного пользователя и полный маркер доступа администратора. При запуске рабочего стола (Explorer.exe) вместо маркера доступа администратора используется маркер доступа стандартного пользователя. Все процессы-потомки наследуют полномочия от этого запущенного сервиса рабочего стола (процесс explorer.exe), что помогает уменьшить зону уязвимости Windows Vista. По умолчанию все пользователи, включая администраторов, регистрируются на компьютере с Windows Vista как обычные пользователи.

http://www.microsoft.com/rus/msdn/publish/articles/wvduac.mspx

Вадос
сообщений 19

Все это конечно интерсно! А модератор- это еще не значит что компьютерный гуру!
Вобщем я проконсультировался с опытным человеком... он объянил как "завоевать"админские права. Я думал быстрее мне тут подскажут! Все сдеать гораздо проще...через настройки папки-безопасность-дополнительно...заменить ту учетную запись,которая главствует! Нажать ОК и дело в шляпе! Вы становитесь обладателем любых действий в этой папке и во всем компе! Я знал что это должно решать именно таким способом...но вот только каким я не догонял! Всем спасибо!


Alexander Trofimov
ModeratorMVP
сообщений 2,517

О да... А потом начинаются проблемы, о которых Ваш друг, в силу недостаточности знаний или желания над Вами подшутить не сказал. Удачи Вам, Вадос. Впрочем, есть некая вероятность, что у Вас этих проблем не будет, но скорее всего мы Вас тут снова скоро увидим с очередным криком: "у меня не работает мерзкая кривая Vista" =)

Именно поэтому ЭТОТ способ здесь не прозвучал.


Вадос
сообщений 19

Я не говорю что этот форум бесполезный!

С таким криками я не буду создавать сабж... т.к. я всегда осознаю что от рук звисит! Я думаю и вы не против поделиться знаниями своими! И еще заметь я сказал всем спасибо...а не наоборот! А почему этот способ навредит винде? Можешь ответить?


Alexander Trofimov
ModeratorMVP
сообщений 2,517

Могу. Потому что есть папки, в которые лучше не лезть. Потому что их содержимое и структура безопасности спланирована коллективом не в один десяток человек. Последствия такого вмешательства предсказать практически невозможно.

http://forums.microsoft.com/technet-ru/showpost.as...0&d=1&at=7&ft=11&tf=0&pageid=1

Назначение UAC

Функция UAC призвана обеспечить пользователям возможность работать с правами обычного пользователя, не прибегая к административным. Обладая административными правами, пользователь может просматривать и изменять любую часть операционной системы, включая код и данные других пользователей и даже самой Windows®. Без административных прав пользователи не могут случайно (или преднамеренно) изменить системные параметры, вредоносная программа не может изменить параметры системной безопасности или отключить антивирусное программное обеспечение, а пользователи не могут нарушить безопасность важных данных других пользователей на общедоступных компьютерах. Работа с правами обычного пользователя, таким образом, помогает уменьшить количество срочных вызовов службы поддержки в корпоративных средах, смягчить ущерб от вредоносной программы, способствует более четкой работе домашних компьютеров и защищает уязвимые данные на общедоступных.

С помощью UAC предполагалось решить несколько проблем с тем, чтобы работа под учетной записью обычного пользователя стала общепринятой практикой.

• Во-первых, до Windows Vista™ общепринятой моделью использования Windows была работа с привилегиями администратора. Разработчики программного обеспечения почему-то считали, что их программы должны иметь получать доступ и изменять любой файл, параметр реестра или настройку операционной системы. Даже когда в Windows NT® были введены функции безопасности и разные уровни доступа для административных учетных записей и обычных пользователей, в процессах настройки продолжала широко использоваться встроенная учетная запись “Администратор” или учетная запись, входящая в группу “Администраторы”.
  
  
• Второй проблемой, которую должна была решить функция UAC, было то, что пользователи иногда нуждаются в административных правах для выполнения таких операций, как установка программного обеспечения, изменение системного времени и открытие портов в брандмауэре.

Решение этих проблем с помощью UAC состоит в том, чтобы большинство приложений запускать с правами обычного пользователя, исключить потребность в частом использовании прав администратора и поощрять разработчиков программного обеспечения создавать приложения, работающие с правами обычного пользователя. UAC достигает этого, реже требуя административных прав, обеспечивая работу более ранних версий приложений с правами обычного пользователя, позволяя обычным пользователями легко получать административные права (когда они в них действительно нуждаются), а администраторам — работать так, как если бы они были обычными пользователями

....

Заключение

Работа в качестве обычного пользователя обеспечивает многочисленные преимущества, включая защиту системы от случайного или преднамеренного повреждения и защиту от несанкционированного доступа данных и целостности пользователей, совместно использующих систему. Результатом различных изменений и применения технологий UAC будут радикальные перемены в модели использования Windows. С приходом Windows Vista пользователи Windows впервые могут выполнять большинство ежедневных задач и запускать большинство программ, используя права обычного пользователя, а многие корпорации теперь смогут шире развертывать учетные записи обычных пользователей.

TechNet Home > TechNet Magazine > June 2007
Безопасность. Марк Руссинович. Управление учетными записями пользователей Windows Vista: взгляд изнутри.
http://www.microsoft.com/technet/technetmag/issues/2007/06/UAC/default.aspx?loc=ru

UAC – это превосходный шаг к возложению на пользователей ответственности за безопасность своих систем. UAC никоим образом не является полным решением безопасности, но являясь первой попыткой помочь пользователям в работе с минимальными правами, эта функция определенно является значительным шагом в верном направлении.

...

Как было сказано выше, высказывается множество рекомендаций отключить функцию UAC. Весьма вероятно, что ряд пользователей поступит именно так, даже не испытав работу UAC, а множество других получит свои компьютеры из крупных магазинов с установленной сборкой Windows Vista и уже отключенной функцией UAC. Я думаю, то, что розничные продавцы в своих стандартных образах развертывания отключают важные функции безопасности операционной системы, является постыдным.

К несчастью, множество советов отключить функцию UAC основаны на первоначальном опыте. При установке программного обеспечения и внесения необходимых изменений, выполняемых при настройке компьютера, появится довольно много запросов. Следует ожидать, что ваша работа по администрированию компьютера при настройке будет совсем не такой, как работа на компьютере в установившемся состоянии. Первые несколько недель будут значительно отличаться от последующих нескольких недель. Если вы попробуете поработать с функцией UAC на компьютере с относительно установившемся состоянием, я думаю, вы обнаружите, что эта функция совсем не является навязчивой.

http://www.microsoft.com/technet/technetmag/issues...urityWatch/default.aspx?loc=ru