Windows 7 "UAC-lek" nog steeds niet gepatcht
Eind januari waarschuwde beveiligingsonderzoeker Long Zhen dat er een lek zat in de manier waarop User Account Control (UAC) in Windows 7 werkt, maar volgens Microsoft ging het om een bewuste ontwerpkeuze en zou men het probleem niet oplossen. Volgens Zhen is het mogelijk voor aanvallers om de UAC-functie uit te schakelen en vervolgens malware te installeren. Aangezien Microsoft hier niets aan gaat doen, heeft Zhen besloten een video van het probleem te maken. "Aangezien Microsoft al een half jaar hiervan op de hoogte is en heeft aangegeven dit lek te negeren, heb ik Leo Davidson gevraagd om de proof-of-concept broncode te publiceren en de test applicatie online te zetten zodat het publiek dit zelf kan controleren."
Tevens noemt hij de UAC waarschuwingen tijdsverspilling. "Als sommige applicaties met of zonder goedkeuring van de gebruiker hun rechten kunnen verhogen, dan hebben de waarschuwingen geen enkel effect. In dat licht is de standaard Windows 7 UAC policy net zo goed als het helemaal uitschakelen van de UAC waarschuwingen."
Zhen verwacht niet dat Microsoft de werking van UAC zal aanpassen en terugzet zoals die in Vista werkt. Hij hoopt dat de softwaregigant de gebruikers laat weten dat er een verhoogd risico is bij het gebruik van de Windows 7 UAC policy. "Ik zeg niet dat dit het einde van Windows 7 is, het is een verbazend besturingssysteem. Dat Microsoft dit negeert is volgens mij onverantwoord."
voor normale users.
gelukkig kan het uitschakelen.
anders doen de virussen het wel voor je.
en @spatieman, ja, inderdaad... het het starten van legitieme programma's irritant maakt, maar "virussen" kunnen het gewoon uitschakelen, heeft het volgens mij geen enkel voordeel -.-
en @Van Hoorne, ze zeggen toch dat het een ontwerp keuze is? dus het heeft niks met beta te maken, ze zijn blijkbaar ook niet van plan het te fixen
Alles van Microsoft moet gewoon maar direct goed werken, of het nou een beta versie is of niet.
Als je kritiek hebt of Windows 7 stuur die dan Microsoft.
Best practice in W7 : beheerder account met sterk paswoord, UAC op Vista niveau plaatsen - want met de standaard W7 UAC stellingen zijn er 70 systeem bestanden die auto-eleveren - en daarna de user accounts aamaken die default standaard users zijn. Just for the record : in tegenstelling met Linux zijn er in OSX ook al een 50 systeem bestanden die auto-eleveren.
Het grote probleem met die aanpak zijn pc's met meerdere gebruikers : beheerder dus en bv jan, piet ,pol als standaard gebruiker. Die laatste 3 hebben het beheerder paswoord nodig om iets te kunnen installeren maar guess what: ze kunnen nadien gewoon als beheerder inloggen als ze denken dat ze te weinig rechten hebben. Dit bewijst nogmaals dat het usermodel : root - beperkte rechten gebruiker zoals we kennen in bedrijven in de huiskamer bij Jan Modaal niet werkt en nooit kan werken omdat iedere gebruiker root of admin rechten nodig heeft.
Maar goed : de negatieve verhalen rond de "eindeloze" uac-schermen heeft MS nu er toe geleidt dat W7 opgezadeld is met een minder veilige UAC-versie.
MS weet echter dat dit minder veilige UAC verhaal alleen op gespecialiseerde sites zoals security.nl uit te doeken wordt gedaan en niet zoals met Vista in de "normale gevulgariseerde" pers. Ze gaan het niet veranderen
De situatie met UAC in W7 kan dus leiden tot transparante besmettingen wat met Vista heel moeilijk was.
En voor degenen die UAC uitschakelen : doe maar. Het gevolg daarvan is dat IE en Chrome niet meer in sandboxed mode draaien.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
