Blogger: Windows 7 UAC Feature Still Vulnerable

Ang blogger na Microsoft na unang tumawag ng pansin sa isang kahinaan sa seguridad sa tampok na User Account Control (UAC) ng Windows 7 ay nag-aangkin na mayroon pa rin ito at hindi ito maaayos ng Microsoft, kahit na ang kumpanya

Long Zheng, na nagsusulat ng sikat na blog na "Nagsimula Ako ng Isang", ay nag-post ng isang online na video na nagpapakita kung paano UAC, isang security feature na unang ipinakilala sa Windows Vista na nagtatakda ng mga pribilehiyo ng gumagamit sa isang PC sa Tinutukoy din ni Zheng ang isang instructional document ng Microsoft Technical Fellow na si Mark Russinovich na nagtatangkang ipaliwanag ang UAC, na nagsasabi na malinaw na ito ay nagpapahayag na ang Microsoft ay walang intensyon ng pag-aayos ng pagbabago na ginawa sa UAC sa Windows 7 na nag-iiwan ng bagong OS na mas secure dahil pinapayagan nito ang isang tao na malayo i-off ang tampok nang hindi alam ng gumagamit.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Unang tinukoy ni Zheng ang pagbabagong ito at kahinaan pabalik sa Pebrero. Sa panahong sinabi niya na ang default na setting ng "standard user" ng UAC, na hindi nagpapaalam sa isang gumagamit kapag ang mga pagbabago ay ginawa sa mga setting ng Windows, ay kung saan ang panganib sa seguridad ay namamalagi. Ang isang pagbabago sa UAC ay nakikita bilang isang pagbabago sa isang setting ng Windows, kaya ang isang user ay hindi maabisuhan kung UAC ay hindi pinagana, na kung saan sinabi Zheng siya ay maaaring gawin malayo sa ilang mga keyboard shortcut at code.

UAC ay isang kontrobersyal tampok na ito dahil ipinakilala ito ng Microsoft sa Windows Vista upang mapabuti ang seguridad nito at bigyan ang mga taong pangunahing gumagamit ng PC na mas kontrol sa mga application at setting nito.

Sa dokumento ni Russinovich, kinikilala niya na ang mga obserbasyon ni Zheng at iba pa tungkol sa kung paano maaaring gamitin ng software ng third-party ang tampok upang makakuha ng mga karapatan sa pangangasiwa sa isang PC ay tumpak. Gayunpaman, ayon sa post ng blog ni Zheng, ang Russinovich ay tila bale-walain ang posibilidad na ito para sa remote code na pagpapatupad at hindi nag-aalok ng hindi fix para sa mga ito, dahil sinabi niya na may iba pang mga paraan para sa malware upang makapasok sa system sa pamamagitan ng UAC prompt. > "Ang follow-up na pagmamasid ay ang malware na maaaring makakuha ng mga karapatan sa pangangasiwa gamit ang parehong mga diskarte," sumulat si Russinovich. "Muli, ito ay totoo, ngunit tulad ng itinuturo ko nang mas maaga, ang malware ay makakompromiso sa sistema sa pamamagitan ng mga naka-prompt na taas din. Mula sa pananaw ng malware, ang default na mode ng Windows 7 ay hindi mas mababa o mas ligtas kaysa sa mode na Always Notify (" Vista mode "), at ang malware na umaasa sa mga karapatan sa pangangasiwa ay masira pa rin kapag tumakbo sa default mode ng Windows 7."

Ang Microsoft ay hindi opisyal na tumugon sa isang kahilingan para sa komento sa pag-claim at video post ni Zheng. Gayunpaman, ang isang tagapagsalita ng kumpanya ay nangungusap nang pribado na maaaring maunawaan ni Zheng ang dokumento ni Russinovich.

"Ang punto ay tila sa akin upang mas mahirap para sa malware na makuha ang sistema sa unang lugar, sa pagtulong sa end user na gumawa ng mas mahusay na mga desisyon sa pamamagitan ng ang mga prompt na makuha nila, at ang pagkakaroon ng higit pa at higit pang mga user na tumakbo sa karaniwang mode ng gumagamit kumpara sa admin mode (dahil ang admin mode ay kung ano ang naglalantad ng iyong makina sa mga panganib), "sinabi ng tagapagsalita, na nagtanong na hindi pinangalanan, sa pamamagitan ng e-mail.

Ang Microsoft ay nakatayo sa pamamagitan ng pagbabago sa default na setting ng UAC nang ginawa ni Zheng ang kanyang kahilingan sa kahinaan, na nagsasabi na ang tampok ay hindi maaaring mapagsamantala maliban kung may malisyosong code na tumatakbo sa makina at "may iba pa na nilabag."

Sinabi ng Microsoft na ang Windows 7, na kasalukuyang nasa isang release ng preview, ay magagamit sa parehong mga negosyo at mga mamimili sa Oktubre 22. Ang paglabas sa pagmamanupaktura ng OS, kung saan ang lahat ng code ay pangwakas, ay inaasahang huli sa susunod na buwan.