.: Daniel Melanchthon :.

Banging your head against a wall uses 150 Calories an hour.

User Account Control in Windows 7

User Account Control in Windows 7

  • Comments 19
  • Likes

User Account Control ist eine der meistpolarisierenden Funktionen in Windows Vista. Während die einen es abgrundtief hassen, finden die anderen diese Funktion nicht nur sinnvoll, sondern eine der wichtigsten Neuerungen, weil sie das Arbeiten als Benutzer auch mit nicht sauber programmierter Software komfortabel erlaubt. Neben dem Wunsch Ewiggestriger, immer als voller Administrator arbeiten zu wollen (das diskutiere ich jetzt aber nicht) richtet sich die  Hauptkritik auf die Anzahl der Dialoge, die UAC verursachen kann. Wer zum Beispiel versucht, sein Startmenü unter \ ProgramData \ Microsoft \ Windows \ Start Menu \ Programs zu editieren, weiß, wovon ich spreche.

Tatsache ist, dass viele Anwender die Tuningmöglichkeiten bei UAC schon in Vista nicht kennen. In secpol.msc kann man sich unter Sicherheitseinstellungen > Lokale Richtlinien > Sicherheitsoptionen selbst ein Bild von den Möglichkeiten machen:

image

  • Benutzerkontensteuerung: Administratorbestätigungsmodus für das integrierte Administratorkonto
  • Benutzerkontensteuerung: Verhalten der Eingabeaufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus
  • Benutzerkontensteuerung: Verhalten der Anhebungsaufforderung für Standardbenutzer
  • Benutzerkontensteuerung: Anwendungsinstallationen erkennen und erhöhte Rechte anfordern
  • Benutzerkontensteuerung: Nur erhöhte Rechte für UIAccess-Anwendungen, die an sicheren Orten installiert sind
  • Benutzerkontensteuerung: UIAccess-Anwendungen können erhöhte Rechte ohne sicheren Desktop anfordern
  • Benutzerkontensteuerung: Alle Administratoren im Administratorbestätigungsmodus ausführen
  • Benutzerkontensteuerung: Bei Eingabeaufforderung nach erhöhten Rechten zum sicheren Desktop wechseln
  • Benutzerkontensteuerung: Datei- und Registrierungsschreibfehler an Einzelbenutzerstandorte virtualisieren

In Windows 7 geht Microsoft Microsoft einen Schritt weiter. UAC wurde konsequent weiterentwickelt und viel von dem polarisierenden Feedback ist in diese Entwicklung eingeflossen. Ziel ist die bessere Unterscheidung von Aktionen, die der Anwender als Administrator selbst ausführen möchte und den Aktionen, die durch Programme ausgelöst werden. In dem Windows Vista Pre-Betabuild, der den PDC-Teilnehmern ausgehändigt wurde, kann man über einen Schieberegler die Anzahl der Rückfragen von UAC granularer steuern:

 UAC_2UAC_1 UAC_3 UAC_4

Nach der Installation wird Windows 7 die zweite Einstellung Only notify me when programs try to make changes to my computer aktiv.

Comments
  • PingBack from http://www.winsupportforum.de/forum/news/2020-uac-nervt-windows-7-nicht-mehr-so.html#post16757

  • pingback from: http://www.winsupportforum.de/forum/news/2020-uac-nervt-windows-7-nicht-mehr-so.html

  • Was mir hier fehlt ist der klare Hinweis was es bedeutet wenn ich sage "Benachrichtige mich nicht"...

    Ich würde mir wünschen in einem Kasten dann zu sehen "...dadurch ist es erlaubt, dass..."

    So stellt sich mir jetzt die Frage bei Bild 2 (http://techfiles.de/dmelanchthon/images/UserAccountControlnWindows7_C455/UAC_2.png): Sind Installationen jetzt nur noch möglich, wenn ich das Setupprogramm explizit als Administrator starte oder ist das ein Freiticket alles als Admin auszuführen - ohne Nachfrage?

    Das sollte klar hervor gehoben werden.

  • Die Erklärungen stehen unter "Tell me more about User Account Control settings". Bei Bild 2 ist UAC auf "Keine Eingabeaufforderung" gestellt. Die Erhöhung findet automatisch im Hintergrund statt. Das entspricht unter Vista der Funktion "Benutzerkontensteuerung: Verhalten der Eingabeaufforderung mit erhöhten Rechten für Administratoren im Administratorbestätigungsmodus". Die Erhöhung findet automatisch im Hintergrund statt. Ein Administrator bekommt die Rechteerhöhung für einen Vorgang, für den erhöhte Rechte erforderlich sind, ohne Zustimmung oder Anmeldeinformationen eingeben zu müssen automatisch erteilt.

    Dieses Szenario sollte nur in sehr stark eingeschränkten Umgebungen verwendet werden und wird NICHT empfohlen.

    VG, Daniel

  • Nachdem die n�chste Windows-Version auf der PDC vorgestellt und auch zum Testen verteilt wurde, sind die Blogs nat�rlich voll mit Infos und Screenshots zu dem neuen System. Dieser Eintrag soll eine kurze �bersicht bieten und auf weitere interessante Blog

  • Also ich finde es schlecht, dass MS die UAC wieder aufweicht, nur weil die meisten Nutzer von NT Sicherheit keine Ahnung haben, das ist traurig :(

    Und noch schlechter ist, dass ihr immer noch nur 1 Konto einrichtet. Warum nicht 2 Konten wie früher (Admin und das Konto bei der OOBE)? Nur sollte das 2. Konto Mitglied der Gruppe Benutzer sein.

  • @André

    Aufweicht? Bessere Einstellungsmöglichkeiten haben damit doch nichts zu tun.

    So wie die UAC derzeit ist, ist sie unzureichend. Manche der Bestätigungsdialoge sind einfach nur lächerlich und tragen zur Sicherheit kaum etwas bei. Mit mehr Einstellungsmöglichkeiten kann jeder selbst entscheiden ob und wie stark er die UAC "aufweichen" möchte.

    Beim zweiten Punkt stimme ich dir allerdings zu.

  • Hallo André und mmmm,

    das mit den zwei Konten ist so eine Sache. Stellt Euch en durchschnittlichen Anwender vor. Der bekommt zwei Konten. Eins als Benutzer und eins als Administrator. Im Benutzerkonto kann er z.B. keine Software installieren. Er lernt also, dass er dafür in das Administratorkonto wechseln muss. Das ist aufwändiger und für ihn unkomfortabler. Jetzt hat er ein paar Mal sich ummelden müssen, weil er Software installiert und das System rekonfiguriert hat. Was er gelernt hat, ist, dass im Administrator-Konto alles viel einfacher geht. Dann fragt er sich: Warum dann nicht da gleich Admin bleiben? Ist doch viel einfacher und bequemer.

    Genau deswegen sind zwei getrennte Konten nicht die Lösung aller Probleme. Wir müssen auch das Adminkonto absichern. Wen UAC stört, der wird doch erst recht genervt vom Ummelden sein. Was ist denn störender? Ein Bestätigungsdialog zur Erhöhung der Rechte oder jeweils Ab- oder Ummelden?

    VG, Daniel

  • Hallo Daniel,

    ich will ja nicht wie bei XP mich ummelden, sondern nur, dass neben meinem richtigen Adminkonto ein normales Nutzerkonto eingerichte wird. Wenn nun eine Anwendung Adminrechte will (Installation, Systemeinstellungen ändern, Treiber laden etc) dann muss man die halt durch die UAC bestätigen. Das geht ja schon bei Vista, nur hat das einen riesigen Bug. Da ihr intern RunAs nutzt habt ihr den selben Effekt wie unter NT/2000/XP. Alles was man dann konfiguriert (Einstellungen, Werte in CURRENT_USER) wird ins Adminkonto eingetragen. Das solltest ihr dringend ändern! Schaut euch mal das Prinzip von dem Tool an:

    http://kay-bruns.de/wp/software/surun/funktionsweise-von-surun/

    Das ist klasse und umgeht das RunAs Problem.

    Wegen den 2 Konten, das hat seinen Sinn. Ich sehe jedes Mal die Fragen im Forum und im Netz. Warum soll ich was bestätigen, ich bin doch in der Gruppe Admin. Das verwirrt die Leute und deshalb stellen sie die UAC ab. Unter jedem *NIX System meldet man sich auch nicht per default als root an, sondern als normaler Nutzer und bestätigt Anfragen nach erhöhten Rechten.

    Die UAC muss fest im Kern verankert sein und sollte sich auf keinen Fall abschalten lassen und so aufweichen lassen wie unter der M3 von Win7!

    @mmrm

    Naja, die Dialog haben ihren Sinn. Wenn du im System rum wursteln willst (Dateien die alle Nutzer betreffen ändern, Einstellungen verändern etc), dann braucht man Adminrechte. Da man die in Vista nunmal nicht hat muss man sie wie unter *NIX bestätigen. Das ist so vollkommen richtig! Lies dir mal die Dokumentation zu den NT Sicherheitskonzepten durch. Als eingschränkter Nutzer kann man in Win2000/XP nicht wirklich arbeiten, dank Vista und der UAC ist das schickt, bis auf die Designschwäche (Aufsatz von RunAs).

    André

  • Was ist der Vorteil, ein Benutzerkonto beim UAC-Bestätigungsdialog anzugeben gegenüber der Erhöhung mittels Mausklicks? Wenn Benutzername und Kennwort abgefragt werden, kann Malware den Dialog auch faken und damit diese Daten abgreifen. Ich halte das deshalb nicht nur für unkomfortabler, sondern auch für unsicherer. Oder was ist zum Beispiel, wenn der Benutzer das Passwort oder den Kontonamen vergißt?

    BTW: Programme sollten während der Installation in HKLM und nicht in HKCU schreiben. In HKCU können zum Beispiel beim ersten Aufruf die benötigten Daten eingetragen werden. Was ist zum Beispiel, wenn ich nach der Installation ein neues Konto anlege und mit dem dann das Programm starte? Dann ist auch nichts in HKCU drin. Oder wenn ich schon vorher ein zweites Konto hatte.

    Surun habe ich mal kurz überflogen. Auch hier wird Username und Kennwort abgefragt. Der Dialog ist genauso fakebar - damit ist diese Rechteerhöhung genauso angreifbar.

    VG, Daniel

  • Wieso Ab- und Ummelden? Wenn ich normaler Benutzer bin und die UAC aufgeht, kann ich doch einfach die Daten des Admin-Kontos eingeben, das geht doch jetzt schon super leicht. Wenn der administrative Account an der Stelle einfach auswählbar wäre ist das erst recht kein Problem mehr mit Softwareinstallationen. Das jetzt schon sehr praktikabel.

  • "Wenn Benutzername und Kennwort abgefragt werden, kann Malware den Dialog auch faken und damit diese Daten abgreifen."

    Moment, extra deshalb habt ihr den Secure Desktop eingeführt. Als weiteren Mehrwert ist so sichergestellt, dass keine Anwendung den Fokus des aktiven Fensters klaut, was oftmals sehr ätzend ist.

    Für verlorene Passwörter gibt es jetzt schon die Passwortfrage. Wer sich Passwörter nicht merken kann sollte dieses Hilfsmittel nutzen oder diese irgendwo aufschreiben und an einem sicheren Ort verwahren. Warum haben die Leute eigentlich kein Problem damit, sich ihre PIN der Bank-/Kreditkarte zu merken?

    Der große Nachteil an dem Bestätigungsprompt ist zudem der, dass es sehr schwierig ist, Programme mit einem anderen administrativen Account zu starten, um bspw. Tätigkeiten in der Domain durchzuführen. Das ist jedesmal ein Krampf, weshalb genügend Leute die UAC hassen.

    Gruß

    Turtle

  • Hallo Turtle,

    es geht nicht um den UAC-Dialog selbst, dass der angreifbar wäre. Der ist auf dem sicheren Desktop geschützt. Es geht um das Prinzip der Eingabe von Benutzernamen und Kennwort. Man kann diesen Dialog einfach grafisch nachmachen. Als Anwender kann man nicht dann den falschen vom echten Dialog nicht unterscheiden. Man gibt möglicherweise dann die Daten in den gefälschten Dialog ein und schon hat Malware die Daten. Danach läßt die Malware den echten Dialog hochkommen. Der Anwender wundert sich vielleicht, wird aber glauben, er hätte sich vertippt und wird die Daten ein zweites Mal eingeben. Es ist an der Stelle auch völlig egal, weil die Malware dann schon die administrativen Rechre hat. Beim Bestätigungsdialog existiert das Problem nicht. Der kann zwar auch gefaked werden, aber das ist völlig sinnfrei. Das einzige, was man bekommt, ist ein Mausklick. Mit dem kann man nichts anfangen.

    Und zu den Passworten: Ja, Menschen vergessen Passworte. Menschen vergessen auch die PIN. Manche schreiben die PIN auch auf die Karte. Oder auf einen Zettel daneben. Menschen erzeugen auch keine Passwortrücksetzungsdiskette. Oder die Antworten auf die Passwortfrage sind leicht errat- oder ermittelbar (siehe Frau Palin). Mit "sollte" kommt man da nicht wirklich weiter.

    VG, Daniel

  • Wie so oft ist alles eine Frage der eigenen Einstellung und  Haltung. Ich denke, dass es hier keine abschließende Lösung geben wird, weil es immer ein Kompromiss zwischen genervt und sicherer sein ist. Deshalb ist auch der im Untertitel dieses Blogs genannte Wert von 150 Calorien pro Stunde nur als Durchschnittswert zu betrachten. Ich persönlich habe bei Vista eine so hohe Schlag-Frequenz (und nicht zu letzt wegen dem dauernd flackernden Bildschirm, wenn man nur mal in die Systemsteuerung will), dass ich sicher deutlich über die 150 komme. Und spätestens, wenn ich einzelnen Anwendungen in ihren Eigenschaften ein "ausführen als" standardmäßig zuweisen muss, damit sie überhaupt funktionieren, bin ich persönlich als dummer User, der diesen Dialog sowieso nie gefunden hat, bei einem Brennwert von mindestens 2.000 Calorien pro Stunde. Wenn das bei Windows 7 immer noch so ist (hab leider keine Beta, um es zu testen), wird sich Windows 7 genauso "gut" verkaufen wie VISTA, Security hin oder her.

    Lieben Gruß,

    Rufin

  • Nur mal als Anmerkung: Beim Öffnen der Systemsteuerung gibt es keinen UAC-Dialog. Und wenn Dich das Umschalten auf den sicheren Desktop stört - oben steht, wie man das konfigurieren kann.

    VG, Daniel

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment