Blogger: Windows 7 UAC-funksjonen er fortsatt sårbar

Microsoft-bloggeren som først krevde oppmerksomhet til et sikkerhetsproblem i Windows 7s brukerkontokontroll (UAC) -funksjon, hevder at det fortsatt eksisterer, og at Microsoft ikke vil fikse det, selv som selskapet nærmer seg endelig kodeavslutning på operativsystemet.

Long Zheng, som skriver den populære bloggen "Jeg startet noe", har lagt ut en video på nettet som viser hvordan UAC, en sikkerhetsfunksjon som først ble introdusert i Windows Vista, som setter brukerrettigheter på en PC i Windows 7, kan utnyttes.

Zheng pekte også på et instruksjonsdokument av Microsoft Technical Fellow Mark Russinovich som forsøker å forklare UAC, og sier at det klart står at Microsoft ikke har til hensikt å fastsette en endring den har gjort i UAC i Windows 7 som gir det nye operativsystemet mindre sikkerhet fordi det tillater at noen eksternt slår av funksjonen uten at brukeren vet.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

Zheng først påpekte denne endringen og dens sårbarhet tilbake i februar. På det tidspunktet sa han at den nye standardinnstillingen for UAC-standardbrukeren, som ikke varsler brukeren når endringer er gjort i Windows-innstillinger, er hvor sikkerhetsrisikoen ligger. En endring i UAC er sett på som en endring i en Windows-innstilling, slik at en bruker ikke vil bli varslet om UAC er deaktivert, noe som Zheng sa at han kunne gjøre eksternt med noen hurtigtaster og kode.

UAC har vært en kontroversiell funksjon siden Microsoft introduserte det i Windows Vista for å forbedre sikkerheten og gi folk som er de primære brukerne av en PC, mer kontroll over applikasjoner og innstillinger. Funksjonene forhindrer brukere uten administrative privilegier å gjøre uautoriserte endringer i et system.

I Russinovichs dokument anerkjenner han at Zheng og andres observasjoner om hvordan tredjeparts programvare kan bruke funksjonen til å få administrative rettigheter til en PC, er nøyaktig

Men ifølge Zhengs blogginnlegg syntes Russinovich å avvise denne muligheten for ekstern kjøring av kode og gir ingen løsning for det, fordi han sa at det finnes andre måter for malware å komme inn på systemet via UAC-meldinger.

"Oppfølgingsobservasjonen er at skadelig programvare kan få administrative rettigheter med samme teknikker," skrev Russinovich. "Dette er sant, men som tidligere nevnt, kan skadelig programvare kompromittere systemet via hevde forhøyninger. Fra malware er Windows 7 standardmodus ikke mer eller mindre sikker enn Alltid varsling-modusen (" Vista-modus "), og skadelig programvare som påtar seg administrative rettigheter, vil fortsatt bryte når den kjører i standardmodus for Windows 7."

Microsoft reagerte ikke offisielt på en forespørsel om kommentar til Zhengs krav og videoinnlegg. Men en talsmann for selskapet sa privat at Zheng kan ha feilfortolket Russinovichs dokument.

"Poenget synes å gjøre det vanskeligere for malware å komme på systemet i utgangspunktet ved å hjelpe sluttbrukeren til å ta bedre beslutninger gjennom spør om de får, og at flere og flere brukere kjører i standard brukermodus vs. i adminmodus (fordi adminmodus er det som utsetter maskinen for å risikere), "sa talspersonen, som ba om ikke å bli navngitt, via e-post.

Microsoft hadde stått ved endringen til UACs standardinnstilling da Zheng gjorde sitt første sårbarhetskrav, og sa at funksjonen ikke kan utnyttes, med mindre det allerede er ondsinnet kode som kjører på maskinen, og "noe annet er allerede blitt brutt."

Microsoft har sagt at Windows 7, for øyeblikket i en forhåndsvisningsslipp, vil være tilgjengelig for både bedrifter og forbrukere 22. oktober. Utgivelsen til produksjon av operativsystemet, der all kode er endelig, forventes sent i neste måned.