User:Kkulla

Mis on kasutajakonto haldus (User Account Control, UAC)

UAC ehk kasutajakontode haldus on Windows Vista poolt turule toodud lahendus, mis lubab ajutiselt kasutajale suuremad õigused arvuti kasutamiseks.

Selleks, et kontrollida rakendustele juurdepääsu, on kasutajal vaja juurdepääsu õigusi, mis võimaldavad realiseerida oma vajalike ülesannete täitmist. Paljud ülesanded ei nõua administraatori õigusi. Enne Windows Vista versiooni, loodi kasutajakontod vaikimisi administraatori kontodena, ehk kasutajad logisid oma arvutitesse sisse administraatori konto alt. Ilma UAC-ta, kui kasutaja logib oma arvutisse administraatorina, antakse sellele kasutajale automaatselt täielik juurdepääs kogu süsteemile.

Samas ei vaja paljud kasutajad sellist juurdepääsu taset arvutile. Kasutajad ei tea sageli, et nad on sisse loginud administraatori õigustes, kui nad veebis lehitsevad, E-kirju loevad või töötavad tarkvaraga. Ajal, mil ollakse sisse logitud administraatorina, mis võimaldab kasutajal installida legaalset tarkvara, võib kasutaja tahtmatult või tahtlikult installida samuti pahavara programme. Pahavara programm, mis on administraatori poolt installeeritud, võib tekitada arvutile täieliku turvarikke ja mõjutada kõiki kasutajaid. Kuna UAC nõuab, et administraator kinnitaks installimise pealepanemise, ei saa autoriseerimata rakendusi installida automaatselt või ilma administraatori konkreetse nõusolekuta.

UAC võimaldab probleemideta kasutajal töötada tavakasutajana:

• IT osakonnad saavad olla kindlamad keskkonna tervikluse säilimise osas, k.a süsteemi failide, auditi logide ja süsteemi-üleste seadete osas.
• Administraatorid ei pea enam pühendama üksikutele arvutitele palju aega, et neile autoriseeritud rakendusi seada. See võimaldab administraatoritel kulutada rohkem aega üleüldisele süsteemi hooldusele.
• IT administraatoritel on parem kontroll tarkvara litsentside üle, sest nad saavad kindlustada, et ainult autoriseeritud rakendused on installitud. Selle tulemusena ei pea nad enam muretsema mittelitsentseeritud või pahavara tarkvara olemasolu pärast, mis võib ohustada nende arvutivõrku, põhjustades süsteemi seisuaegasid ja andmete kadu või luues litsentside võlgnevust.

Definitsioonid

Juurdepääsuluba (access token) – kui kasutaja logib arvutisse, siis süsteem loob juurdepääsuloa sellele kasutajale. Juurdepääsuluba sisaldab informatsiooni juurdepääsu taseme kohta, mis on sellele kasutajale omistatud, k.a spetsiaalseid turva identifikaatoreid (security identifiers – SID) ja Windowsi õigusi.

Administraatori kinnitusrežiim (Admin Approval Mode) – kui kasutaja käivitab rakenduse, mis vajab administraatori õigusi (administraatori rakendusprogrammid), siis kasutajat ajendatakse muutma või „ülendatakse“ turva kontekstis tavakasutajast administraatoriks ning selllisel juhul töötab kasutaja administraatori kinnitusrežiimis. Selles režiimis peab administraator hoolitsema rakendusprogrammi kinnitamise eest (heaks kiitma), et see rakendus käivituks turvaliselt arvuti töölaual administraatori õigustes.

Nõusoleku andmine (Consent prompt) – nõusolekut küsitakse, kui kasutaja proovib käivitada rakendust, mis nõuab kasutajalt selleks juurdepääsuluba. Kasutaja annab nõusoleku klikkides Jah (Yes) nupule või keeldudes nõusolekust klikkides Ei (No) nupule.

Volituse andmine (Credential prompt) – volitust küsitakse, kui tavakasutaja proovib käivitada rakendust, mis nõuab kasutajalt administraatori juurdepääsuluba. Kasutaja, kes on ka administraator, varustatakse kasutaja nime ja parooliga selle konto jaoks.

Kuidas UAC töötab?

UAC aitab ära hoida arvuti kahjustamise pahavara programmide poolt ja aitab juurutada arvuti töölaua parimat haldamist.

UAC-ga töötavad rakendused alati mitte-administraatori konto ohutus keskkonnas, v.a kui administraator siseneb (autoriseerib end) administraatori-taseme juurdepääsuloaga süsteemile. UAC võib blokeerida automaatse autoriseerimata rakenduse installimise ja takistada tahtmatuid süsteemi sätete muutmisi.

UAC protsessid ja interaktsioonid

Windows 7 sisselogimise protsess

Järgnev pilt illustreerib, kuidas administraatori sisselogimise protsess erineb tavakasutaja sisselogimise protsessist.

Tavakasutaja ja administraator kasutavad vaikimisi vahendeid ja rakendusi, mis töötavad tavakasutaja turva keskkonnas. Kui kasutaja logib arvutisse, loob süsteem sellele kasutajale juurdepääsuloa. Juurdepääsuluba sisaldab informatsiooni juurdepääsu taseme kohta, mis on sellele kasutajale omistatud, k.a spetsiaalsed turva identifikaatorid (security identifiers – SID) ja Windowsi õigused.

Kui administraator logib sisse, siis luuakse kasutaja jaoks kaks eraldi juurdepääsuluba: tavakasutaja juurdepääsuluba ja administraatori juurdepääsuluba. Tavakasutaja juurdepääsuluba sisaldab sama kasutajaspetsiifilist informatsiooni, mis administraatori juurdepääsulubagi, aga administratiivsed Windowsi õigused ja SID eemaldatakse. Tavakasutaja juurdepääsuluba kasutatakse rakenduse käivitamisel, mis ei täida administratiivseid ülesandeid (tavakasutaja rakendused). Tavakasutaja juurdepääsuluba kasutatakse sellisel juhul töölaua kuvamiseks (Explorer.exe). Explorer.exe on emaprotsess, millest kõik teised kasutaja poolt algatatud protsessid pärivad oma juurdepääsuloa. Selle tulemusena töötavad kõik rakendused tavakasutaja režiimis, v.a kui kasutaja annab nõusoleku või volituse, et lubada rakendusel käivituda täielikult administraatori juurdepääsuloa režiimis.

Kasutaja, kes on administraatorite grupi liige, võib sisse logida, veebis lehitseda ja lugeda E-kirju, kasutades sel ajal tavakasutaja juurdepääsuluba. Kui administraatoril on vaja täita ülesannet, mis vajab administraatori juurdepääsuluba, siis Windows 7 kuvab automaatselt nõusoleku andmiseks hoiatusakna, mille abil saab kasutaja rakenduse käivitamise heaks kiita või mitte.

Iga rakendus, mis nõuab administraatori juurdepääsuluba, peab küsima administraatorilt nõusolekut. Selles osas on üks erand, mis puudutab vanema ja lapse vahelist protsessi. Lapse protsess pärib juurdepääsuloa vanema protsessist. Siiski, nii vanema kui ka lapse protsessid peavad omama sama terviklikkuse taset.

Windows 7 kaitseb protsesse, tähistades nende terviklikkuse tasemeid. Tervikluse tasemed on usalduse mõõted. „Kõrge“ tervikluse tase on selline, mis teostab ülesannet, mis muudab süsteemi andmeid, nagu nt kõvaketta jaotamise rakendus, samas „madal“ tervikluse rakendus on see, mis teostab ülesannet, mis võiks potentsiaalselt rikkuda operatsioonisüsteemi, nagu nt veebi lehitseja. Madalama tervikluse tasemega rakendused ei saa muuta andmeid kõrgema tervikluse taseme rakendustes.

Kui tavakasutaja proovib käivitada rakendust, mis nõuab administraatori juurdepääsuluba, nõuab UAC, et kasutaja esitaks kehtiva administraatori volitust (parooli).

UAC kasutaja praktika.

Kui UAC on lubatud, siis tavakasutaja režiimis on kasutaja praktika erinev sellest, mis on administraatoritel administraatori kinnitusrežiimis (Admin Approval Mode). Windows 7–ga töötamise korral on soovitatav ja turvalisem teha endale tavakasutaja konto. Kui töötada arvutiga tavakasutajana, siis see aitab kasutajal maksimeerida turvalisust hallatavas keskkonnas. Sisseehitatud UAC ülendamise komponendiga saab tavakasutaja lihtsalt teostada administraatori ülesandeid, sisestades administraatori kontole vastava kehtiva volituse (parooli).

Alternatiiv töötamiseks tavakasutajana on töötada administraatorina administraatori kinnitusrežiimis. Sisseehitatud UAC ülendamise komponendiga saab administraator sooritada lihtsalt administratiivseid ülesandeid andes hoiatusaknas nõusoleku Jah nupule vajutamisega. Sellist sisse ehitatud UAC ülendamise komponenti administraatori konto jaoks administraatori heakskiidu režiimis töötamiseks kutsutakse nõustumise loaks. UAC käitumist ülendamiseks saab konfigureerida, kasutades kohalikku turvapoliitikat (Local Security Policy) lisamoodulit (Secpol.msc) või grupi poliitikat

Nõusoleku ja volituse andmine

Windows 7 UAC kasutamise korral kuvatakse enne programmi või ülesande käivitamist, mis nõuab täielikku administraatori juurdepääsuluba, nõusoleku või volituse andmiseks hoiatusaken. See hoiatusaken kindlustab selle, et ühtki pahavara tarkvara ei saa hiljukesi installida.

Hoiatusaken nõusoleku andmiseks

Hoiatusaken nõusoleku andmiseks kuvatakse, kui kasutaja proovib sooritada tegevust, mis nõuab kasutajalt administraatori juurdepääsuluba. Järgmine on pilt UAC nõusoleku andmise hoiatusaknast.

Hoiatusaken volituse andmiseks

Volitust küsitakse, kui tavakasutaja proovib sooritada tegevust, milleks on vaja administraatori juurdepääsuluba.

Järgnev pilt on näide UAC volituse andmise hoiatusaknast.

UAC ülendamise hoiatusaken

UAC ülendamise hoiatusaknad on värvikoodidega rakenduse-spetsiifilised, võimaldades rakenduse potentsiaalse turvariski otsekoheseks identifitseerimiseks. Kui rakendus proovib töötada administraatori täieliku juurdepääsuloaga, analüüsib Windows 7 esmalt käivitusfaili, et määrata selle väljaandja. Rakendused on esmalt jaotatud kolme kategooriasse väljaandaja käivitusfaili põhjal: Windows 7, usaldusväärne väljaandja ja mitte usaldusväärne väljaandja. Järgmine diagramm illustreerib, kuidas Windows 7 määrab, millist värvi ülendamise hoiatusaken kasutajale esitatakse.

Määrangu värvkoodid on järgmised: