Windows 7 "UAC-lek" nog steeds niet gepatcht
Eind januari waarschuwde beveiligingsonderzoeker Long Zhen dat er een lek zat in de manier waarop User Account Control (UAC) in Windows 7 werkt, maar volgens Microsoft ging het om een bewuste ontwerpkeuze en zou men het probleem niet oplossen. Volgens Zhen is het mogelijk voor aanvallers om de UAC-functie uit te schakelen en vervolgens malware te installeren. Aangezien Microsoft hier niets aan gaat doen, heeft Zhen besloten een video van het probleem te maken. "Aangezien Microsoft al een half jaar hiervan op de hoogte is en heeft aangegeven dit lek te negeren, heb ik Leo Davidson gevraagd om de proof-of-concept broncode te publiceren en de test applicatie online te zetten zodat het publiek dit zelf kan controleren."
Tevens noemt hij de UAC waarschuwingen tijdsverspilling. "Als sommige applicaties met of zonder goedkeuring van de gebruiker hun rechten kunnen verhogen, dan hebben de waarschuwingen geen enkel effect. In dat licht is de standaard Windows 7 UAC policy net zo goed als het helemaal uitschakelen van de UAC waarschuwingen."
Zhen verwacht niet dat Microsoft de werking van UAC zal aanpassen en terugzet zoals die in Vista werkt. Hij hoopt dat de softwaregigant de gebruikers laat weten dat er een verhoogd risico is bij het gebruik van de Windows 7 UAC policy. "Ik zeg niet dat dit het einde van Windows 7 is, het is een verbazend besturingssysteem. Dat Microsoft dit negeert is volgens mij onverantwoord."
voor normale users.
gelukkig kan het uitschakelen.
anders doen de virussen het wel voor je.
en @spatieman, ja, inderdaad... het het starten van legitieme programma's irritant maakt, maar "virussen" kunnen het gewoon uitschakelen, heeft het volgens mij geen enkel voordeel -.-
en @Van Hoorne, ze zeggen toch dat het een ontwerp keuze is? dus het heeft niks met beta te maken, ze zijn blijkbaar ook niet van plan het te fixen
Alles van Microsoft moet gewoon maar direct goed werken, of het nou een beta versie is of niet.
Als je kritiek hebt of Windows 7 stuur die dan Microsoft.
Best practice in W7 : beheerder account met sterk paswoord, UAC op Vista niveau plaatsen - want met de standaard W7 UAC stellingen zijn er 70 systeem bestanden die auto-eleveren - en daarna de user accounts aamaken die default standaard users zijn. Just for the record : in tegenstelling met Linux zijn er in OSX ook al een 50 systeem bestanden die auto-eleveren.
Het grote probleem met die aanpak zijn pc's met meerdere gebruikers : beheerder dus en bv jan, piet ,pol als standaard gebruiker. Die laatste 3 hebben het beheerder paswoord nodig om iets te kunnen installeren maar guess what: ze kunnen nadien gewoon als beheerder inloggen als ze denken dat ze te weinig rechten hebben. Dit bewijst nogmaals dat het usermodel : root - beperkte rechten gebruiker zoals we kennen in bedrijven in de huiskamer bij Jan Modaal niet werkt en nooit kan werken omdat iedere gebruiker root of admin rechten nodig heeft.
Maar goed : de negatieve verhalen rond de "eindeloze" uac-schermen heeft MS nu er toe geleidt dat W7 opgezadeld is met een minder veilige UAC-versie.
MS weet echter dat dit minder veilige UAC verhaal alleen op gespecialiseerde sites zoals security.nl uit te doeken wordt gedaan en niet zoals met Vista in de "normale gevulgariseerde" pers. Ze gaan het niet veranderen
De situatie met UAC in W7 kan dus leiden tot transparante besmettingen wat met Vista heel moeilijk was.
En voor degenen die UAC uitschakelen : doe maar. Het gevolg daarvan is dat IE en Chrome niet meer in sandboxed mode draaien.
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.