神马文学网盆盆的博客 : Windows Vista UAC经典误解之二：菜鸟反正都点允许，不如关了好
来源：百度文库 编辑：神马文学网 时间：2024/10/04 02:42:22
Windows Vista UAC经典误解之二：菜鸟反正都点允许，不如关了好
在讨论UAC的工作机制时，诟病最多的情况就是，只要标识为需要管理员权限，就会弹出十分“扰民”的对话框，而很多菜鸟朋友要么都点允许，要么去骚扰网管。
盆盆评注：在企业范围里，最好用标准用户来部署桌面，并且关闭标准用户的提升提示，如附图所示。
这样很多朋友自然而然都会产生这样的想法：如果大多数用户都点击允许，那么UAC还有什么意义，不如关闭的好。什么都要让用户去决定，大家都知道安全防御体系的木桶结构中，end-user就是最短的那块木板，现在让end-user自己去决定，无疑非常荒唐可笑。
这个观点看上去有理有据，很有道理，说老实话，盆盆自己也曾产生过这样的想法。
那么就来看看以下的五大事实吧：
1. 合法软件的潜在破坏威力
UAC绝非仅仅用来抵御恶意软件的破坏。大家知道，很多表面上合法的软件（免费软件），也会有意无意地破坏系统的完整性，例如有些应用程序会试图替换别人的Dll文件、或者篡改系统注册表键值，这会导致软件冲突、或者系统不稳定，甚至崩溃。
另外，很多合法的应用程序也会存在多个漏洞，拿不少人立捧的Firefox来说，就发现不少漏洞，一旦这些应用程序被恶意代码攻破，就会成为攻击者的桥头堡。
而启用UAC，就可以让这些应用程序工作在更低的特权级别，所有的潜在破坏会局限在隔离的区域里。
2. 代替杀毒软件？
错！
再次澄清一下，UAC并非用来代替杀毒软件和反间谍软件。它更加类似于一个Local的NAP（网络访问保护），把默认的应用程序丢在隔离区域（低特权），而让特殊的应用程序运行在可信区域（高特权）。
UAC和杀毒软件是互为犄角的，杀毒软件显然不能对付所有的恶意代码，那么遗留的恶意代码就可以被UAC所限制；同样由于用户的原因，UAC也不一定可以防御所有的恶意代码，但是还有杀毒软件在那候着。
盆盆评注：MarkRussinovich也说过，UAC并非安全边界，针对它的恶意代码迟早也会来。UAC会导致病毒界里的一场革命，病毒会千方百计争取在低特权环境里提升权限，而不是像有些初学者天真地以为，只需要在代码里修改manifest，弹出对话框即可（参考前一篇）。
尽管UAC并非一帖即灵的万能圣药，但是至少减低了系统的受攻击面。
记住以下的这个公式，从左到右，系统安全性不断提升：
内置Administrator<<普通管理员禁用UAC<普通管理员禁用UAC＋杀毒软件<普通管理员启用UAC<普通管理员启用UAC＋杀毒软件<标准用户＋杀毒软件
3. 56%>92%？？
如果禁用UAC，有什么负面影响？
首先，那会禁止虚拟重定向的兼容模式。对于企业桌面的标准用户部署来说，这种负面影响会比较大。
盆盆评注：微软做过统计，如果启用UAC，在标准用户桌面环境，有92%的旧版应用程序可以正常运行，而禁用UAC，则只有56%的旧版应用程序可以兼容！
禁用UAC，难道您认为56%>92%？？
4. IE保护模式＋MIC＋UIPI，Bye Bye！
如果以上三点都不能阻止您禁用UAC，那么再考虑一下禁用UAC的其他恶果吧。IE保护模式、MIC还有UIPI等安全特性，都会（或者等于）和您说再见了。
缺少了那么多保护作用，整个Windows Vista安全性就会降低到和Windows XP SP2差不多的层次（略高一些），那样的话，盆盆会觉得您花了那么多钱，买进了Windows Vista，结果却只有一个Aero，得不偿失啊！
5. 6岁的孩童也可能欺负您
嘻嘻，刚从cnBeta上看到的一个新闻，不知道是真是假。说是英国的一个6岁孩童，入侵了议会的网络，并热心地为议员安妮.米尔顿安装了键盘记录木马。
看看，没有UAC，连6岁儿童也可能欺负您！大多数恶意代码是不会把自己标识为需要提升权限的，在WindowsVista，UAC会把这些恶意代码，还有常用的进程，都赶到低特权的隔离区域中。如果英国的议会提前使用WindowsVista的话，那么可怜的安妮就不会被6岁的孩童欺负了。
当然选择权在您，这完全是个人意志，然而技术本身不能是个人意志，同时技术还得要以人为本，和Windows的其他特性相比，UAC还不能算“很”以人为本，但是和获得的安全性相比，和其他解决方案相比，还算是“以人为本”的。
已发表2007年3月28日 10:21作者ahpeng
在讨论UAC的工作机制时，诟病最多的情况就是，只要标识为需要管理员权限，就会弹出十分“扰民”的对话框，而很多菜鸟朋友要么都点允许，要么去骚扰网管。
盆盆评注：在企业范围里，最好用标准用户来部署桌面，并且关闭标准用户的提升提示，如附图所示。
这样很多朋友自然而然都会产生这样的想法：如果大多数用户都点击允许，那么UAC还有什么意义，不如关闭的好。什么都要让用户去决定，大家都知道安全防御体系的木桶结构中，end-user就是最短的那块木板，现在让end-user自己去决定，无疑非常荒唐可笑。
这个观点看上去有理有据，很有道理，说老实话，盆盆自己也曾产生过这样的想法。
那么就来看看以下的五大事实吧：
1. 合法软件的潜在破坏威力
UAC绝非仅仅用来抵御恶意软件的破坏。大家知道，很多表面上合法的软件（免费软件），也会有意无意地破坏系统的完整性，例如有些应用程序会试图替换别人的Dll文件、或者篡改系统注册表键值，这会导致软件冲突、或者系统不稳定，甚至崩溃。
另外，很多合法的应用程序也会存在多个漏洞，拿不少人立捧的Firefox来说，就发现不少漏洞，一旦这些应用程序被恶意代码攻破，就会成为攻击者的桥头堡。
而启用UAC，就可以让这些应用程序工作在更低的特权级别，所有的潜在破坏会局限在隔离的区域里。
2. 代替杀毒软件？
错！
再次澄清一下，UAC并非用来代替杀毒软件和反间谍软件。它更加类似于一个Local的NAP（网络访问保护），把默认的应用程序丢在隔离区域（低特权），而让特殊的应用程序运行在可信区域（高特权）。
UAC和杀毒软件是互为犄角的，杀毒软件显然不能对付所有的恶意代码，那么遗留的恶意代码就可以被UAC所限制；同样由于用户的原因，UAC也不一定可以防御所有的恶意代码，但是还有杀毒软件在那候着。
盆盆评注：MarkRussinovich也说过，UAC并非安全边界，针对它的恶意代码迟早也会来。UAC会导致病毒界里的一场革命，病毒会千方百计争取在低特权环境里提升权限，而不是像有些初学者天真地以为，只需要在代码里修改manifest，弹出对话框即可（参考前一篇）。
尽管UAC并非一帖即灵的万能圣药，但是至少减低了系统的受攻击面。
记住以下的这个公式，从左到右，系统安全性不断提升：
内置Administrator<<普通管理员禁用UAC<普通管理员禁用UAC＋杀毒软件<普通管理员启用UAC<普通管理员启用UAC＋杀毒软件<标准用户＋杀毒软件
3. 56%>92%？？
如果禁用UAC，有什么负面影响？
首先，那会禁止虚拟重定向的兼容模式。对于企业桌面的标准用户部署来说，这种负面影响会比较大。
盆盆评注：微软做过统计，如果启用UAC，在标准用户桌面环境，有92%的旧版应用程序可以正常运行，而禁用UAC，则只有56%的旧版应用程序可以兼容！
禁用UAC，难道您认为56%>92%？？
4. IE保护模式＋MIC＋UIPI，Bye Bye！
如果以上三点都不能阻止您禁用UAC，那么再考虑一下禁用UAC的其他恶果吧。IE保护模式、MIC还有UIPI等安全特性，都会（或者等于）和您说再见了。
缺少了那么多保护作用，整个Windows Vista安全性就会降低到和Windows XP SP2差不多的层次（略高一些），那样的话，盆盆会觉得您花了那么多钱，买进了Windows Vista，结果却只有一个Aero，得不偿失啊！
5. 6岁的孩童也可能欺负您
嘻嘻，刚从cnBeta上看到的一个新闻，不知道是真是假。说是英国的一个6岁孩童，入侵了议会的网络，并热心地为议员安妮.米尔顿安装了键盘记录木马。
看看，没有UAC，连6岁儿童也可能欺负您！大多数恶意代码是不会把自己标识为需要提升权限的，在WindowsVista，UAC会把这些恶意代码，还有常用的进程，都赶到低特权的隔离区域中。如果英国的议会提前使用WindowsVista的话，那么可怜的安妮就不会被6岁的孩童欺负了。
当然选择权在您，这完全是个人意志，然而技术本身不能是个人意志，同时技术还得要以人为本，和Windows的其他特性相比，UAC还不能算“很”以人为本，但是和获得的安全性相比，和其他解决方案相比，还算是“以人为本”的。
已发表2007年3月28日 10:21作者ahpeng
盆盆的博客 : Windows Vista UAC经典误解之二：菜鸟反正都点允许，不如关了好
盆盆的博客 : Windows Vista UAC经典误解之一：不过就是靠弹出提示来阻止病毒而已
盆盆的博客 : Windows Vista的UAC也可以很方便：一个脚本轻松搞定
盆盆的博客 : Windows Vista的UAC对话框果真是在会话0吗？
盆盆的博客 : Windows Vista的UAC也可以很方便：还有更加方便的方法！！
Windows Vista博客 : Windows Vista的UAC也可以很方便
Vista不完全攻略之菜鸟必备手册:Vista的安装 - Windows Vista专区 ...
Windows 7 安全之根本：UAC 详解
Windows Vista使用教程-第三章 UAC(用户帐户控制) | Vista天地
Windows Vista 下如何安装IIS 7 - 我的.net成长之路 - 博客园
快速禁用Vista烦人的用户账户控制(UAC)
Windows 7安全利器：UAC，你用了吗？
Windows Vista博客 : 话说 Windows 包装盒
Windows Vista博客 : Windows Vista用户帐户控制深度剖析
Windows Vista博客 : Windows Vista IE保护模式深度剖析
34首歌曲...反正经典的不得了
34首歌曲...反正经典的不得了555
二十．好之者不如乐之者
快速禁用Vista烦人的用户账户控制(UAC)-太平洋电脑网Pconline-[学电脑基础...
谷歌事件的几点误解之辨
调整Vista安全策略 让UAC更友善
当今的男女为何都变得不可爱了 - 相逢不如偶遇的日志 - 网易博客
我们都误解了“刑不上大夫”的本意
被误解的孔子之二 孔子鼓吹忠君吗？