Kan je nagaan dat je al 53% haalt bij een slechte implementatie van adminrechten. Stel dat ze het eens goed zouden regelen.... WOW.

Toch haalt Tweakers.net een heel ander percentage aan:
http://tweakers.net/nieuws/58256/schrappen-adminrechten-vermindert-windows-risicos-met-92-procent.html

UAC vindt ik zelf anders heerlijk werken hoor, zeker na SP1 van vista.
Maar ach dit is het scriptje wat de meeste MS haters draaien
FIND /c "Microsoft" >>c:\temp.dat
set /p found=<c:\temp.dat
if not %found% == 0 goto BASH-MICROSOFT

Ja en nee. Opvallend is dat [url=http://www.beyondtrust.com/documentation/whitePapers/wp_VulnerabilityReport.pdf]onderzoek van BeyondTrust[/url] begint met:Interessant is dat ik die 92% niet terugvindt in het bovenstaande artikel.

Bovendien wil ik het artikel hierboven (van security.nl) en het rapport van BeyondTrust nuanceren.

Het uitschakelen van adminrechten verhelpt in principe geen lekken. De praktijk is echter dat de exploits niet werken omdat die ervan uitgaan dat de gebruiker adminrechten heeft, wat bij thuisgebruikers bijna standaard is, maar ook binnen het MKB geen uitzondering vormt. Echter, naarmate Vista meer in gebruik genomen wordt zal dit veranderen (in hoeverre Windows 7 UAC zal [url=http://www.security.nl/artikel/26822/1/Microsoft_noemt_Windows_7-lek_ontwerpkeuze.html]terugdraaien[/url] moet nog blijken).

BeyondTrust verkoopt een product genaamd [url=http://www.beyondtrust.com/products/PrivilegeManager.aspx]Privilege Manager[/url] waarmee gebruikersrechten zijn in te perken (dat kan natuurlijk ook door iemand uitsluitend lid te maken van de "Users" groep en niet van "Administrators"). Hoe dan ook heeft BeyondTrust er kennelijk belang bij om te vertellen hoe belangrijk het is om met beperkte rechten te werken. Op zich ben ik dat met ze eens, alleen overdrijven ze - eigenlijk liegen ze als je de hun term "Mitigated" vertaalt met "verhelpt" in de zin van "wordt voor de volle 100% voorkomen".

Om een voorbeeld te noemen: van [url=http://www.microsoft.com/netherlands/technet/security/Bulletin/MS08-009.mspx]MS08-009[/url], een critical vulnerability in MS Word, claimt BeyondTrust in haar [url=http://www.beyondtrust.com/documentation/whitePapers/wp_VulnerabilityReport.pdf]rapport[/url] dat het "Mitigated by Removing Admin Rights" is.

Dat lijkt me onzin, wat ook bevestigd wordt door Microsoft in [url=http://www.microsoft.com/netherlands/technet/security/Bulletin/MS08-009.mspx]MS08-009[/url], onder
"Informatie over het beveiligingslek" open je
"Beveiligingslek met betrekking tot beschadigd geheugen in Word CVE-2008-0109" en daaronder open je
"Beperkende factoren het voor beveiligingslek met betrekking tot een beschadigd geheugen in Word - CVE-2008-0109"
(is dat Nederlands? Engels: Mitigating Factors for Word Memory Corruption Vulnerability CVE-2008-0109" dan kun je daar lezen: Inderdaad is het absoluut zo dat een gebruiker met beperkte rechten minder rechten "over het systeem" heeft dan een admin, maar dit wil niet zeggen dat deze geen kwaad kan: immers, de code van de aanvaller kan precies hetzelfde doen als dat de gebruiker kan. Ongetwijfeld geldt voor de meeste vulnerabilities dat deze net zo goed voor non-admins als admins gelden.

Inderdaad is er sprake van enige mitigation: als de gebruiker geen bestanden onder C:\Windows kan overschrijven, wissen of toevoegen is dit een voordeel. Maar als de gebruiker email kan versturen of de virusscanner op zijn/haar PC zelf kan uitzetten dan kan de malware spammen en ook die virusscanner uitzetten.

Persoonlijk pleit ik ook voor [url=http://nonadmin.editme.com/]nonadmin[/url] gebruik van Windows (en hou mezelf daar ook aan), maar de argumentatie van BeyondTrust is onjuist. BeyondTrust - what's in a name?

Uit het eigen persbericht http://www.beyondtrust.com/company/pressreleases/03Feb2009.aspx halen ze aan:
* 94 percent of Microsoft Office vulnerabilities reported in 2008
* 89 percent of Internet Explorer vulnerabilities reported in 2008
* 53 percent of Microsoft Windows vulnerabilities reported in 2008.

Zeker terechte kritiek. maar het mag duidelijk uit het bovenstaande artikel blijken dat ondanks het nut van Least privileges de marketing machine hier op volle toeren draait...

Joh, ik probeer dat scriptje te draaien maar het werkt helemaal niet :(
Nu heb ik geen "c:\" drive maar een hda1, hda2, hdb1, etc. Zou het daar aan liggen ?

Wanneer je koos voor de Administrator account kan je deze niet omzetten naar normaal account zonder die Administrator rechten! Wanneer je nieuw account maakt verliest alleen instellingen en wijzigening die gemaakt hebt onder account Administrator! Zo simpel is het niet om in Windows XP een account te converteren naar een normaal account!

@Eerde: maak je toch gewoon ergens een directory genaamd "c:" aan? Makkelijk.

Verder had ik dat percentage ook wel hoger ingeschat. De meeste malware zijn toch trojans die door de gebruiker (Admin!) worden geinstalleerd.

Goede kritiek!

Bovendien zullen malware makers zich er meer op gaan richten de mogelijkheden binnen least privilige te misbruiken zodra ze merken dat hun "admin malware" minder effect heeft.

Ik noem maar even een heel simpel voorbeeldje:
-Gebruiker start malware (via browser exploit, e-mail, IM, whatever) onder gebruikers rechten
-Malware gaat opzoek naar interessante gegevens in mail en persoonlijke bestanden (of bekijkt toets aanslagen)
-Malware start een internet explorer window op en gaat naar: www.badsite.com/index.php?interessante_gegevens_gebruiker
-Hoppa, je "interessante" gegevens liggen op straat...

Zie ook:
http://www.security.nl/artikel/17828/1/%22Vista_UAC_biedt_geen_bescherming_tegen_malware%22.html

Als dat waar is zou elke computer systeem veiliger zijn wanneer men niet voortdurend als Administrator werkt. Handig om te weten want als OSX of lunix worden daadwerkelijk steeds meer populair en dan gaan de gebruikers ook als Administrator werken. Omdat die systemen anders nauwelijks te gebruiken zijn zonder universiteids graat. Dus dan moeten die leveranciers hun systemen wel zo instellen dat het niet nodig is voor de doorsnee gebruiker. Heeft microsofd daar niet een patent op aangevraagt?

Klepelwork

Dat doet Vista ook met UAC. Voordeel is je niet (weer) je wachtwoord hoeft te typen maar je kan gewoon op doorgaan klikken. Probleem is dat, ondanks dit gemak, UAC de meest verguisde Vista feature is en dat veel gebruikers het uitzetten. En dan krijg je dus dit soort problemen. Ook onder XP is het natuurlijk heel goed mogelijk met verminderde rechten te draaien maar de thuisgebruikert doet het niet want het is "lastig". Microsoft kan er zo weinig aan doen.
Laten we het er op houden dat Windows en Linux BSD gebruikers heel verschillend zijn en dat dat verschil behoorlijk groter is dan het verschil in beveiliging van het gebruikte OS.

Microsoft heeft zelf al die illegal Windows XP Professional versie verspreid door de corporation key: , Nu klagen ze dat werken onder Administrator. Tevens is niet mogelijk om stapje terug zetten zonder je heel account aftestaan in Windows XP. Dat is wel biezonder stom van Microsoft, ik moet dus nieuw account aanmaken en daarna ben ik verplicht mijn instellingen opnieuw intestellen zoals , favoriete website, registerinstelling. In Windows 2003 Server werk je ook onder Administrator account. Windows XP Professional is niet het product voor thuisgebruikers.

klink altijd leuk zoiets...voor de zakelijke markt..
maar als thuisgebruikers..dacht het niet...

Je liedje was al vals, maar nou is het helemaal kattengejammer.

Het is wel duidelijk dat je er geen bal van snapt ! Onder Linux, OSX, Unix e.v.a. kun je juist prima werken zonder administrator te hoeven zijn. Per gebruiker is het prima in te stellen wat er wel en niet gedaan mag/kan worden. Een 'gewone' gebruiker is helemaal niet geInteresseerd voor het OS, ze willen gewoon mailen, internetten, ed.

Even voor de goede orde; ook onder Windows kun je prima als niet-administrator werken (kijk maar eens naar een Terminal server).
m8%3xe