Как работает контроль учетных записей
Контроль учетных записей пользователей (UAC) является ключевой частью безопасности Windows. Контроль учетных записей снижает риск вредоносных программ, ограничивая возможность выполнения вредоносного кода с правами администратора. В этой статье описывается, как работает контроль учетных записей и как он взаимодействует с конечными пользователями.
Процесс UAC и принципы взаимодействия
При использовании UAC каждое приложение, которому требуется маркер доступа администратора , должно запрашивать у пользователя согласие. Единственным исключением является связь, которая существует между родительскими и дочерними процессами. Дочерние процессы наследуют маркер доступа пользователя от родительского процесса. Однако родительский и дочерний процессы должны иметь одинаковый уровень целостности.
Windows защищает процессы, указывая их уровни целостности. Уровни целостности — это измерения доверия:
- Приложение с высоким уровнем целостности — это приложение, которое выполняет задачи, которые изменяют системные данные, например приложение секционирования дисков.
- Приложение с низкой целостностью — это приложение, которое выполняет задачи, которые потенциально могут скомпрометировать операционную систему, например в качестве веб-браузера.
Приложения с более низким уровнем целостности не могут изменять данные в приложениях с более высоким уровнем целостности. Когда обычный пользователь пытается запустить приложение, которому требуется маркер доступа администратора, контроль учетных записей требует, чтобы пользователь предоставлял допустимые учетные данные администратора.
Чтобы лучше понять, как работает этот процесс, давайте подробнее рассмотрим процесс входа в Windows.
Процесс входа
На следующей схеме показано, чем процесс входа для администратора отличается от процесса входа для обычного пользователя.
По умолчанию пользователи категории «Стандартный» и «Администратор» получают доступ к ресурсам и выполняют приложения в контексте безопасности стандартного пользователя.
Когда пользователь входит в систему, система создает маркер доступа для этого пользователя. Маркер доступа содержит сведения об уровне доступа, предоставленного пользователю, включая специальные идентификаторы безопасности (SID) и привилегии в Windows.
Когда администратор входит в систему, для пользователя создаются два отдельных маркера доступа: стандартный маркер доступа пользователя и маркер доступа администратора. Стандартный маркер доступа пользователя:
- Содержит те же сведения, относящиеся к пользователю, что и маркер доступа администратора, но права администратора Windows и идентификаторы безопасности удаляются.
- Он используется для запуска приложений, которые не выполняют административные задачи (стандартные пользовательские приложения).
- Он используется для отображения рабочего стола путем выполнения процесса explorer.exe. Explorer.exe является родительским процессом, от которого все другие запускаемые пользователем процессы наследуют свой маркер доступа. В результате все приложения запускаются от имени обычного пользователя, если пользователь не предоставит согласие или учетные данные для утверждения приложения на использование полного маркера административного доступа.
Пользователь, который входит в группу администраторов, может выполнять вход, просматривать веб-страницы и читать электронную почту с помощью стандартного маркера доступа пользователя. Когда администратору необходимо выполнить задачу, требующую маркера доступа администратора, Windows автоматически запрашивает у пользователя утверждение. Этот запрос называется запросом на повышение прав, и его поведение можно настроить с помощью политики или реестра.
Взаимодействие с пользователем UAC
Если контроль учетных записей включен, пользовательский интерфейс для обычных пользователей отличается от взаимодействия с администраторами. Рекомендуемый и более безопасный способ работы с Windows — убедиться, что основная учетная запись пользователя является стандартным пользователем. Запуск от лица обычного пользователя позволяет максимально повысить уровень безопасности управляемой среды. Используя встроенный компонент повышения прав UAC, обычный пользователь может без труда выполнять задачи администрирования путем ввода действительных учетных данных учетной записи локального администратора.
По умолчанию встроенным компонентом повышения прав UAC для стандартных пользователей является запрос учетных данных.
Альтернативой работе от имени обычного пользователя является запуск от имени администратора в режиме утверждения Администратор. Благодаря встроенному компоненту повышения прав UAC члены локальной группы «Администраторы» могут без труда выполнять задачи администрирования, предоставив соответствующее подтверждение.
Встроенный компонент повышения прав пользователей по умолчанию для учетной записи администратора в режиме утверждения Администратор называется запросом на согласие.
Запрос на ввод учетных данных
Запрос на ввод учетных данных выводится при попытке обычного пользователя выполнить задачу, для которой требуется маркер доступа на уровне администратора. Ввод учетных данных администратора также может потребоваться в случае, если для параметра политики Контроль учетных записей: поведение запроса на повышение прав для администраторов в режиме одобрения администратором задано значение Запрос на ввод учетных данных.
Запрос на продолжение
Запрос на продолжение выводится при попытке пользователя выполнить задачу, для которой требуется маркер доступа на уровне администратора.
Запросы на повышение прав UAC
Запросы на повышение прав учетных записей определяются цветом для конкретного приложения, что упрощает идентификацию потенциального риска безопасности приложения. Когда приложение пытается запуститься с маркером полного доступа администратора, Windows сначала анализирует исполняемый файл, чтобы определить его издателя. Приложения сначала разделяются на три категории в зависимости от издателя файла:
- Windows
- Проверка издателя (подпись)
- Издатель не проверен (без знака)
Запросы на повышение прав обозначаются цветом следующим образом:
- Серый фон. Приложение является административным приложением Windows, например элементом панель управления или приложением, подписанным проверенным издателем
- Желтый фон: приложение без знака или подписи, но не является
Значок щита
Некоторые элементы панель управления, такие как дата и время, содержат сочетание операций администратора и обычного пользователя. Обычные пользователи могут просматривать время и изменять часовой пояс, но для изменения локального системного времени требуется маркер полного доступа на уровне администратора. Ниже приведен снимок экрана элемента даты и времени панель управления.
Значок щита на кнопке Изменить дату и время. указывает, что для процесса требуется полный маркер доступа администратора.
Защита запроса на повышение прав
Процесс повышения прав дополнительно защищается путем направления запроса на защищенный рабочий стол. Запросы на согласие и учетные данные по умолчанию отображаются на защищенном рабочем столе. Получить доступ к безопасному рабочему столу могут только процессы Windows. Для повышения уровня безопасности рекомендуется включить параметр политики Контроль учетных записей: переход на безопасный рабочий стол при выполнении запроса на повышение прав.
Когда исполняемый файл запрашивает повышение прав, интерактивный рабочий стол, также называемый рабочим столом пользователя, переключается на защищенный рабочий стол. При переходе на безопасный рабочий стол уменьшается яркость рабочего стола пользователя и выводится запрос на повышение прав. Дальнейшая работа может быть продолжена только после ответа на запрос. Когда пользователь выбирает Да или Нет, рабочий стол снова переключается на рабочий стол пользователя.
Начиная с Windows Server 2019, невозможно вставить содержимое буфера обмена на безопасный рабочий стол. Это то же поведение, что и для поддерживаемых в настоящее время версий клиентских ОС Windows.
Вредоносная программа может представлять собой имитацию безопасного рабочего стола, но если для параметра политики Контроль учетных записей пользователей: поведение запроса на повышение прав для администраторов в режиме утверждения Администратор задано значение Запрашивать согласие, вредоносная программа не получает повышения прав, если пользователь выберет да на имитации. Если для параметра политики задано значение Запрос на ввод учетных данных, то вредоносные программы, имитирующие такой запрос, могут получить учетные данные от пользователя. Однако вредоносная программа не получает повышенных привилегий, и система имеет другие меры защиты, которые устраняют вредоносную программу от получения контроля над пользовательским интерфейсом даже с собранным паролем.
Хотя вредоносная программа может представлять собой имитацию безопасного рабочего стола, эта проблема не может возникнуть, если пользователь ранее не установил вредоносную программу на компьютере. Так как процессы, для которых требуется маркер доступа администратора, не могут автоматически устанавливаться при включении контроля учетных записей, пользователь должен явно предоставить согласие, выбрав Да или предоставив учетные данные администратора. Конкретное поведение запроса на повышение прав контроля учетных записей зависит от политик безопасности.
Архитектура UAC
На приведенной ниже схеме показана архитектура UAC.
Чтобы лучше понять каждый компонент, ознакомьтесь со следующими таблицами:
Пользователь
Система
- Всегда уведомлять:
- Уведомляет, когда программы пытаются установить программное обеспечение или внести изменения на компьютере.
- Уведомляет, когда вы вносите изменения в параметры Windows.
- Замораживает выполнение других задач, пока вы не ответите.
- Уведомляет, когда программы пытаются установить программное обеспечение или внести изменения на компьютере.
- Не уведомляет, когда вы вносите изменения в параметры Windows.
- Замораживает выполнение других задач, пока вы не ответите.
- Уведомляет, когда программы пытаются установить программное обеспечение или внести изменения на компьютере.
- Не уведомляет, когда вы вносите изменения в параметры Windows.
- Не замораживает выполнение других задач, пока вы не ответите.
- Не уведомляет, когда программы пытаются установить программное обеспечение или внести изменения на компьютере.
- Не уведомляет, когда вы вносите изменения в параметры Windows.
- Не замораживает выполнение других задач, пока вы не ответите.
Ядро
Компонент Описание Виртуализация Технология виртуализации гарантирует, что несоответствующие приложения не выполняются автоматически или завершаются сбоем таким образом, что причина не может быть определена. UAC также обеспечивает виртуализацию файлов и реестра и ведение журнала приложений, выполняющих запись в защищенные области. Файловая система и реестр При виртуализации файлов и реестра для каждого пользователя происходит перенаправление запросов на запись в файлы и реестр для каждого компьютера в эквивалентные расположения пользователей. Запросы на чтение перенаправляются сначала в виртуализированное расположение пользователя, а затем в расположение для компьютера. - Сохранение службы контроля учетных записей
- Привести к автоматическому утверждению всех запросов на повышение прав, инициированных администраторами, без отображения запроса контроля учетных записей
- Автоматическое отклонить все запросы на повышение прав для обычных пользователей
Чтобы полностью отключить UAC, необходимо отключить политику Контроль учетных записей: все администраторы работают в режиме одобрения администратором.
Некоторые приложения универсальной платформы Windows могут не работать при отключении UAC.
Виртуализация
Системные администраторы в среде предприятия стараются защитить системы, поэтому многие бизнес-приложения разработаны в расчете на использование только маркера доступа обычного пользователя. В результате вам не нужно заменять большинство приложений, когда контроль учетных записей включен.
Windows включает технологию виртуализации файлов и реестра для приложений, которые не соответствуют UAC и для которых требуется маркер доступа администратора для правильной работы. Когда административное приложение, которое не соответствует UAC, пытается выполнить запись в защищенную папку, например Program Files, контроль учетных записей предоставляет приложению собственное виртуализированное представление ресурса, который оно пытается изменить. Эта виртуализованная копия сохраняется в профиле пользователя. Эта стратегия создает отдельную копию виртуализированного файла для каждого пользователя, который запускает несоответствующее приложение.
Большинство задач приложения выполняются надлежащим образом благодаря применению функций виртуализации. Хотя виртуализация позволяет запускать большинство приложений, это краткосрочное исправление, а не долгосрочное решение. Разработчики приложений должны как можно скорее изменить свои приложения, обеспечив их совместимость, а не полагаться на виртуализацию файлов, папок и реестра.
Виртуализация не является вариантом в следующих сценариях:
- Виртуализация не применяется к приложениям с повышенными привилегиями и запускаемых с полным маркером административного доступа.
- Виртуализация поддерживает только 32-разрядные приложения. 64-разрядные приложения без повышенных привилегий получают сообщение об отказе в доступе при попытке получить дескриптор (уникальный идентификатор) к объекту Windows. Собственные 64-разрядные приложения Windows должны быть совместимы с UAC и записывать данные в правильные расположения.
- Виртуализация отключена, если приложение содержит манифест приложения с запрошенным атрибутом уровня выполнения.
Уровни выполнения запросов
Манифест приложения представляет собой XML-файл, описывающий и определяющий общие и закрытые параллельные сборки, к которым приложение должно осуществить привязку во время выполнения. Манифест приложения включает записи для целей совместимости приложений UAC. Административные приложения, содержащие запись в манифесте приложения, запрашивают разрешение пользователя на доступ к маркеру доступа пользователя. Если запись в манифесте приложения отсутствует, большинство административных приложений могут работать без изменений с помощью исправлений совместимости приложений. Исправления совместимости приложений — это записи базы данных, которые позволяют приложениям, которые не соответствуют UAC, работать должным образом.
Для всех совместимых с UAC приложений следует добавить запрошенный уровень выполнения в манифест приложения. Если приложению требуется административный доступ к системе, пометка приложения с запрошенным уровнем выполнения обязательного администратора гарантирует, что система идентифицирует эту программу как административное приложение и выполняет необходимые шаги повышения прав. Запрошенные уровни выполнения определяют привилегии, необходимые для приложения.
Технология обнаружения установщика
Программы установки представляют собой приложения, разработанные для развертывания программного обеспечения. Большинство программ установки выполняют запись в системные папки и разделы реестра. Эти защищенные системные расположения обычно записываются только администратором в технологии обнаружения установщика, что означает, что стандартные пользователи не имеют достаточного доступа для установки программ. Windows эвристически обнаруживает программы установки и запрашивает учетные данные администратора или утверждения у пользователя администратора для запуска с правами доступа. Windows также эвристически обнаруживает обновления и программы, которые удаляют приложения. Одной из целей разработки UAC является предотвращение запуска установки незаметно для пользователя и без его согласия, так как программы установки выполняют запись в защищенные области файловой системы и реестра.
Технология обнаружения установщика применяется только к:
- 32-разрядные исполняемые файлы
- Приложения без атрибута запрошенного уровня выполнения
- Интерактивные процессы, выполняемые от имени обычного пользователя с включенным UAC
Перед созданием 32-разрядного процесса проверяются следующие атрибуты, чтобы определить, является ли он установщиком:
- Имя файла содержит такие ключевые слова, как «install», «setup» или «update».
- Поля ресурса управления версиями содержат следующие ключевые слова: «Поставщик», «Название компании», «Название продукта», «Описание файла», «Исходное имя файла», «Внутреннее имя» и «Имя экспорта»
- Ключевые слова в параллельном манифесте внедряются в исполняемый файл
- Ключевые слова в определенных записях StringTable связаны в исполняемом файле.
- Ключевые атрибуты в данных скрипта ресурса связаны в исполняемом файле
- В исполняемом файле имеются целевые последовательности байтов.
Ключевые слова и последовательности байтов получены на основании изучения общих характеристик различных установщиков.
Для обнаружения программ установки установщика должна быть включена политика контроля учетных записей пользователей: обнаружение установок приложений и запрос на повышение прав . Дополнительные сведения см. в списке параметров контроля учетных записей пользователей.
Интерактивная помощь: Настройка контроля учетных записей в Windows 7 и Windows 8
Windows 8, Windows 7 и Windows Server 2008 R2 используют дополнительные параметры контроля учетных записей (UAC). Аналогичные параметры используются при настройке безопасности зон в браузере Internet Explorer. Войдя в систему с учетной записью локального администратора, можно включить или отключить уведомления контроля учетных записей или указать время, когда сообщения об изменениях должны приходить на ваш компьютер.
ВВЕДЕНИЕ
Windows Vista использует только два типа параметров UAC: включено и выключено. Windows 7 и Windows 8 используют больше параметров.
1.Настройка параметров UAC
. Откройте раздел Параметры контроля учетных записей. Для этого введите UAC в поле поиска и в окне панели управления выберите пункт Изменение параметров контроля учетных записей.
Настройка параметров контроля учетных записей в Windows 8:
.Наведите указатель мыши на кнопку Aero Peek, которая также используется в качестве кнопки «Свернуть все окна» и находится в правой части новой панели задач.
.Щелкните значок Поиск, введите в поисковом поле UAC и щелкните пункт Параметры под ним.
.На левой панели выберите пункт Изменение параметров контроля учетных записей.2. Переместите ползунок на нужную отметку и нажмите кнопку ОК.
Можно указать один из четырех параметров UAC:
- всегда получать уведомления о попытках программ установить программное обеспечение или внести изменения в компьютер;
- всегда получать уведомления при изменении параметров Windows пользователем.
- получать уведомления только при попытках программ внести изменения в компьютер;
- не получать уведомления при изменении параметров Windows пользователем.
- получать уведомления только при попытках программ внести изменения в компьютер без затемнения рабочего стола;
- не получать уведомления при изменении параметров Windows пользователем.
- никогда не получать уведомления при попытках программ установить программное обеспечение или внести изменения в компьютер;
- никогда не получать уведомления при изменении параметров Windows пользователем.
Настройка UAC в Windows 7
Начиная с Windows Vista, Microsoft включила в состав операционной системы механизм управления учетными записями пользователей (сокращенно UAC). Механизм работы UAC большинство пользователей восприняли негативно, так как бесконечные дополнительные валидации в виде затенения экрана и прощелкивания кнопочки Yes могли вывести из себя даже самого терпеливого. Зачастую UAC функционировал не вполне корректно, что приводило к не возможности работы с рядом программ, которые были написаны под ранние версии Windows. C выходом SP1 для Vista UAC был доработан, но пользователи уже успели отключить UAC и забыть что это такое.
В Windows 7 UAC приобрел дополнительные настройки. И я бы хотел рассказать, как именно сделать UAC действительно полезным инструментом для защиты ОС.
Уязвимости Windows
- Файловая система (как правило: заражение исполняемых файлов)
- Службы Windows
- Реестр
При включенном UAC’е любая попытка доступа к системным файлам, службам или реестру будет блокирована и появится окно, которое потребует подтверждение пользователя на дальнейшие действия.
Настройка UAC
В Windows 7 появилась возможность настройки уровня предупреждений для UAC. Экран настройки UAC выглядит следующим образом:
Рис. 1. Настройка UAC в Windows 7.
Всего доступно четыре уровня предупреждений UAC:
- Самый высокий уровень – предупреждения при любых попытках модифицировать системные настройки и файлы, а так же при установке программного обеспечения
- Второй уровень – предупреждения только при попытках внести изменения в системную конфигурацию и настройки пользователя
- Третий уровень – предупреждения только при попытках внести изменения в системную конфигурацию
- Четвертый уровень – полное отключение UAC.
Но куда более важными, на мой взгляд, являются дополнительные настройки UAC в политиках безопасности (рис. 2):
Рис. 2. Настройки UAC в политиках безопасности.
Рассмотрим более подробно некоторые из политик UAC:
- Behavior of the elevation prompt for administrators – позволяет задать режим поведения окна валидации при повышении администраторских прав. К примеру, можно включить подтверждение прав с помощью пароля (prompt for credentials) или оставить подтверждение прав только с помощью нажатия OK (prompt for consent).
- Behavior of the elevation prompt for users – аналогично первому пункту, но для учетных записей в режиме пользователя.
- Switch to the secure desktop when prompting for elevation – переключению рабочего стола в безопасный режим при прохождении валидации. Для пользователя включение данной политики отражается в виде затенения рабочего стола при прохождении проверки. В дествительности роль данной политики в изоляции процедуры валидации от других работающих программ с целью предотвратить перехват окна UAC программными способами.
- Virtualizes file and registry write failures to per-user locations – виртуализация файлов и реестра. Позволяет работать с программами в режиме виртуализации с целью исключить повреждения файловой системы и реестра (режим песочницы).
Лично я использую самые высокие настройки безопасности UAC, включая необходимость ввода пароля при валидации. Это дает мне полную защиту системных файлов, реестра и служб Windows. Как правило, программное обеспечение использует системные файлы и реестр только для чтения. Исключения здесь могут представлять только системные утилиты, где подтверждения прав доступа к системе вполне оправдано. Использования пароля обусловлено тем, что под моей учетной записью иногда работаю не только я, поэтому, только нажатия кнопки Yes не является достаточным условием безопасности.
Проблемы со старыми программами
Как правило, проблемы в работе старых программ при включенном UAC’е связаны в некорректном взаимодействии с системой и полном нежелании разработчиков придерживаться каких-либо стандартов безопасности и разграничения доступа пользователей к системным ресурсам. Обычно проблему можно решить путем запуска программы от имени администратора, но это особенно опасно в случае сетевых приложений, так это открывает полный доступ к системе в случае использования уязвимостей данной программы.
В качестве примера можно взять старый программы, которые хранят профили пользователя не в папках пользовательского режима, а в Program Files, в итоге корректная работа возможно только от администратора, так как все создаваемые файлы и директории в Program Files наследуют уровень доступа на запись и изменение только для администратора. Простейший способ решения проблемы – добавить права на изменения данных профиля для обычных пользователей.
Вообще, можно посоветовать не ставить старые программы в ProgramFiles, чтобы избежать проблем с правами доступа.
Дополнительная защита
Хотя цель работы UAC сводится к защите системных данных, но можно воспользоваться UAC’ом и для защиты пользовательских файлов. Делается это простым урезанием прав доступа к файлам для учетной записи пользователя: достаточно удалить права на модификацию и запись, оставив их лишь для администратора.
Права доступа к файлам можно настроить и в более ранних версиях Windows, но работая под учетной записью администратора любая программа может изменть уровень доступа, не спрашивая при этом пользователя. В случае с включенным UAC расширение прав возможно лишь при прохождении валидации.
Проверка функционирования защиты UAC
Как уже говорилось, назначение UAC – ограждения пользователя от изменения системных файлов и настроек. Поэтому лучшим способом проверки защищенности системы здесь является исследования работы вирусов при включенном UAC’е.
Приведу пример функционирования вируса при включенном UAC’е.
В качестве примера я возьму троянскую программу Win32.Injector. Данный троян действует весьма просто просто: записывает себя в директорию C:\Windows\System32 и прописывает свою загрузку в реестр. В итоге после перезагрузки компьютера запускается большое количество cmd.exe и services.exe. Самый простой способ распространения – запуск из autorun’а на флеш-накопителях.
Попытаемся запустить данный троян с включенным UAC’ом. У меня это исполняемый файл nsshell.exe, который по-умолчанию так же является скрытым.
Рис. 4. Троянская программа nsshell.exe.
Чтобы убедиться, что это действительно вирус, проверим nsshell.exe c помощью антивируса:
Рис. 5. Антивирус показывает, что nsshell.exe – троян.
Попытка запуска данного исполняемого файла приведет к срабатыванию механизма UAC, так как троян пытается прописать себя в системные директории и реестр:
Рис. 6. Срабатывание UAC при запуске nsshell.exe
Как видно, шапка в окне UAC в данном случае приобрела желтый цвет. При более детальном рассмотрении можно заметить, что у программы так же отсутствует доверенный издатель и сертификат подлинности. Таким образом, мало кто осмелится подтвердить запуск, особенно если это произошло при монтировании флеш-накопителя.
Заключение
Таким образом, использования UAC действительно оправдано с позиции безопасности операционной системы. Если прикладная программа потребовала при запуске повышения прав до уровня администратора, то это уже несколько напрягает, особенно если отсутствует какая-либо информация о издателе и цифровая подпись. Рекомендую более детально ознакомится с механизмом работы UAC и все же оставлять его включенным.
P.S.: Большинство описанных настроек и действий верны и для Windows Vista.
UAC немного деталей
Здравствуйте уважаемые! Хотелось бы рассказать немного про один из механизмов защиты ОС.
Наверняка многие не по наслышке знаю что это такое, но надеюсь так же многие подчеркнут для себя что то новое из этого топика, и так приступим!UAC (User Account Control) — это средство контроля пользовательских учетных записей, впервые появившийся в Windows Vista.
Главная задача UAC была — заставить всех работать как обычный стандартный системный пользователь, т.к. работа с правами администратора очень не безопасна. Все мы прекрасно знаем, что многие приложения с которыми мы работаем могут содержать «уязвимости» и их же часто используют злоумышленники. Соответственно работая это приложение с правами администратора (хотя за частую приложениям не требуются права такого уровня), может писать в системные папки абсолютно прозрачно для пользователя, чего нам собственно и не нужно. Для воизбежания подобных ситуаций собственно и был призван на помощь UAC.
Он не только защищает вас от злонамеренного кода, а так же в какой то мере оказывает совместимость со «старыми» приложениями. Он позволяет писать «старым» приложения в системные папки, а если быть точнее эти приложения просто так думают что пишут в системные папки, но на самом деле пишут в виртуализированные папки, в следствии чего приложения работают вполне корректно.Как работает UAC ?
Собственно когда вы заходите в систему, создаются 2а маркера доступа: административный и обычный.
Административный лежит в загашнике, а вы работаете под обычным аккаунтом. Далее если вам потребуется повышение привилегий, возникает защищенный рабочий стол и внутри этой сессии вы делаете выбор «Да, я согласен» или «Отмена». Это сделано для предотвращения спуфинг атак. Если в систему заходит обычный пользователь, то для него административный маркер не создается, а только обычный. Затем если ему нужно повысить свои привилегии, снова появляется защищенный рабочий стол в котором запрашивается пароль административной учетной записи. После чего для приложения формируется административный маркер доступа. По завершению приложения, административный маркер доступа удаляется.Виртуализация UAC
Хочу напомнить, что отключая user account control вы подвергаете всю систему опасности и превращаете вашу ОС в windows XP, а не просто отключаете надоедливые окошки.
При этом отключая UAC вы выключаете windows resource protection, который собирает все необходимые для «жизни» файлы в хранилище, что бы после критического сбоя восстановить поврежденные файлы.
Виртуализация осуществятся в режиме ядра.
* Файловая система: драйвером luafv.sys.
* Реестр: встроенными средствами.
Перенаправляемые каталоги системы:
\Program Files, \Windows, \Windows\System32.
Исключения: Системные *.exe и *.dll.
Перенаправляемые разделы реестра:
HKLM\Software
Исключения: Некоторые ключе подраздела Microsoft.
Приложение работающее с обычными правами, перенаправляет в:
* Запись:
\Users\\AppData\Local\Virtual Store
HKCU\Software\Classes\VirtualStore
Что совершенно прозрачно происходит для самого приложения, т.е. приложение продолжает думать что оно пишет к примеру в \Program Files.
* Чтение:
Сначала используется зона пользователя, затем глобальное расположение.Повышение привилегий для определенного приложения:
* В свойствах ярлыка поставить галочку «Запускать от имени администратора».
* Эвристическим инсталлятором.
* Явным запросом пользователя.
* В манифесте.Ну и в довершение неполный список действий, вызывающих сообщение User Account Control:
* Изменения в каталогах %SystemRoot% и %ProgramFiles% — в частности, инсталляция/деинсталляция ПО, драйверов и компонентов ActiveX; изменение меню «Пуск» для всех пользователей.
* Установка обновлений Windows, конфигурирование Windows Update.
* Перенастройка брандмауэра Windows.
* Перенастройка UAC.
* Добавление/удаление учётных записей.
* Перенастройка родительских запретов.
* Настройка планировщика задач.
* Восстановление системных файлов Windows из резервной копии.
* Любые действия в каталогах других пользователей.
* Изменение текущего времени (впрочем, изменение часового пояса UAC не вызывает).