Заметки о Windows, Exchange, и о всем остальном : Безопасность

Virtual PC или о том как поддерживать компьютер в чистоте

vitalipro — Wed, 14 Feb 2007 09:32:00 GMT

Очень советую инсталлировать бесплатный Microsoft Virtual PC: http://www.microsoft.com/windows/virtualpc/default.mspx

Экономит кучу времени и нервов. Самая большая проблема, которую он решает для меня, - это всяческие продукты, которые я редко использую, не мусорят в моей основной ОС.

Обычно раз в полгода или год мне приходилось переинсталлировать систему на моем домашнем компьютере, поскольку на нем накапливалось слишком много мусора от различных продуктов, которыми я пользовался короткое время, или пробных версий продуктов. К сожалению, многие даже большие компании не заботятся о том, чтобы писать хорошие деинсталляторы.

Когда мне нужно попробовать какой-то продукт, я запускаю Virtual PC инсталлирую его и пользуюсь. Если продукт мне не нужен, то просто закрываю Virtual PC. Если в Virtual PC слишком много мусора накапливается, то я просто удаляю vpc файлы (3 файла) и копирую файлы из базовой копии. Это занимает все пару минут.

Также пользуюсь VPC для лазанья по интернету. И не страшны мне вирусы, spyware, и т.д., поскольку они могут только заразить ОС, работающую внутри VPC. Основная же система недоступна из VPC. Ну, а внутри VPC у меня естественно никаких важных данных нет.

Хотите работать в Майкрософте?

vitalipro — Wed, 20 Dec 2006 20:14:00 GMT

Отдел кадров Майкрософта организует поездку для интервьюирования кандидатов с Украины и России. Если вы хотите работать в Майкрософте и вы окончили ВУЗ до июня 2006 года, то высылайте ваши резюме на адрес RussiaCV@microsoft.com (для кандидатов из России) или UkrCV@microsoft.com (для кандидатов с Украины). Более детальное описание позиций и условий следует ниже.

Options are Good.

In life. And in your career.

What fuels your passion?

Whether you are just about to receive your diploma from University or have been in the industry for years, we know deciding where to start your career or how to move to the next opportunity can be as nerve-wracking as it is exciting. Maybe you don’t know exactly what you want to do. The good thing is, at Microsoft, you have lots of options. Nowhere else will you have such a variety of products and technologies to get behind—or so many career paths to choose from. You’ll learn from people who have been in the industry for over 30 years. And most of all, you’ll have the resources to reach people all over the world with your work. It’s about taking your career as far as you want it to go—in any direction you choose.

“The variety of products that Microsoft develops greatly influenced my decision to work here. As my career develops I can follow my passion to apply myself to different technologies without having to leave the company.”

- David, Software Design Engineer in Test, Live Meeting

Core Technical

Take the Leap, It’s Cool Inside
As a Microsoft employee in a full-time technical position, you’ll dive head first into meaningful work. The kind that inspires you. This is the kind of place where your goals are limited only by your imagination and motivation. What’s more, you’ll be backed by a multi-billion dollar company at the top of its game. It’s in your blood to innovate, so join others who share your passion, your talent, and your limitless energy.

"You will find no other company with the sheer breadth of technologies, from Windows kernel, to Office applications, to servers, to Live Web services, to Xbox, to games, to business solutions, to hardware. The things you get to see and learn from other people are amazing."

- John, Software Development Lead, Windows Server Performance

Start Here
Not sure what full-time position at Microsoft fits you best? Have a look at the Product Development Process to get an idea where your contributions could make the most difference.

Software Design Engineer (SDE)

Work at the Core of Every Product We Build
This is where the fun begins for code gurus like you. As a hands-on Software Design Engineer, you’ll make decisions about design and feature implementation, using your mastery of technical tools to make a product vision a reality. If you like to write code and design efficient data structures and algorithms to develop next-generation applications or operating systems, this is the position for you. As an SDE, you’ll bring products to life by working with Program Managers to ensure strong design and Software Design Engineers in Test to ensure quality through testing. Ultimately for the SDE, it’s your code that turns concepts into new technologies and services.

Qualifications:

•	Be available to relocate to our corporate headquarters in Redmond, Washington, U.S.A. (Microsoft Corporation pays all costs associated with relocation)
•	Fluency in C/C++/C# and a passion for writing quality code using computer science fundamentals
•	Ability to speak fluent English
•	Ability to derive creative and innovative solutions by thinking "outside the box"
•	Ability to solve complex problems, sometimes by testing and debugging code
•	Experience in feature definition, design, and feasibility
•	Demonstrated skill in estimating development time

Software Design Engineer in Test (SDET)

Discover Life on the Last Line of Defense
As a Software Design Engineer in Test (SDET), you’ll own it, break it, fix it, and own it again. You’ll ensure a product’s quality by making sure it performs as users expect it to. Part of the fun is how creative you can be devising ways to manipulate, crush, and sabotage software into submission—while creating innovative testing technologies along the way.

Ultimately, as an SDET it’s your input that can make the difference between joy and frustration for the customers. Since you’re keen on how things work, and making them work better, you’ll work hand in hand with the Program Managers and Software Design Engineers to design, develop, and maintain automation systems for use in development and testing cycles. Using the tools you create, you’ll pour over source code for trouble spots, debugging and isolating problems, and executing creative tests to find new bugs while regression testing recent fixes.

Qualifications:

•	Be available to relocate to our corporate headquarters in Redmond, Washington, U.S.A. (Microsoft Corporation pays all costs associated with relocation)
•	Fluency in C/C++/C#
•	Ability to speak fluent English
•	Ability to solve complex problems and write automation systems and device drivers
•	Ability to learn to author test plans and cases, conduct security and stress tests, and debug at source level after identifying, investigating, and prioritizing bugs
•	Demonstrated skills in negotiation and conflict management

Whatever position you choose, you’ll make a real impact in the dynamic world of product development at Microsoft. Microsoft has an ongoing need for exceptional university students and recent graduates from around the world to help us build the next generation of software products. All positions are in the United States at our corporate headquarters in Redmond, Washington.

Send Us Your CV
Our recruiting team travels to your region regularly to meet bright and enthusiastic people like you, and we look forward to receiving your CV. And, by the way, we have many positions available, so if there is someone else you think we should know about, please share this information with them.

All positions are at our corporate headquarters in Redmond, Washington, in the United States. We do require functional level English language skills, written and spoken. If we invite you to an interview somewhere in your region, we will cover any travel expenses you may have.

C.V. Instructions

Submitting a C.V. is the only way to get to the next stage of consideration, the interview. Here are a few things to keep in mind when you are updating your C.V. to send to us:

•	Include your military status if your country mandates it. This will help us know if you are allowed to leave your country to work in the United States
•	Clearly state your graduation date, degree/major and the university you attended or are attending
•	Specify your technical skills (including programming languages and other development tools you know well), project details (both within university and at any jobs or internships you have held), and technologies you have used on those projects
•	Describe your role in the projects that you worked on, and what you personally achieved
•	Provide an active e-mail address, physical address, and current phone number where we can reach you

Send it off to: RussiaCV@microsoft.com (Russia) UkrCV@microsoft.com (Ukraine)

A recruiter will review it, and if interested will set up a phone interview as a first step!

NOTE: All non-U.S. residents will require a U.S. work visa (H1B). If you receive an offer from Microsoft, we will cover all costs for visa processing and approval.

Microsoft is an equal opportunity employer and supports workforce diversity.

GOOD LUCK!

Как тестеры перехитрили UAC в ранних версиях Windows Vista

vitalipro — Tue, 12 Dec 2006 18:44:00 GMT

Этот случай мне с одной стороны показался забывным, а с другой - демонстрирующим насколько серьезно Microsoft подходит к вопросу тестирования и безопасности системы.

Для тех кто еще не знает, что такое UAC, советую почитать мой пост на эту тему http://blogs.technet.com/vitalipro/archive/2006/06/23/438573.aspx. В то время когда я его писал, этот компонент назывался UAP.

Вкратце суть в том, что пользовательский интерфейс по умолчанию работает без администраторских привелегий, даже если пользователь является администратором. Если программа хочет запуститься с административными привелегиями, система спросить разрешения у пользователя. При этом появляется окошко с кнопками "Да"/"Нет".

Так вот что придумали тестеры.

Как известно в Windows можно переопределить как отображается курсор мышки. Два интересных параметра курсора это его картинка для отображения курсора и координаты точки внутри этой картинки, которая является "активной" точкой. Координаты этой точки на экране используются как место в котором мышка находится.

Так вот тестеры сделали курсор мышки, в котором слева достаточно много пустого пространства "прозрачного цвета", а потом нарисован стандартный курсор мышки. При этом активная точка по прежнему находилась в левом верхнем углу курсора.

В результате пользователь подводил видимую мышку к кнопке "Нет" и как ему казалось нажимал "Нет", но на самом деле нажимал кнопку "Да". Важным моментом конечно являлось еще и то, что программа с ограниченными привелегиями тоже могла подменить курсор.

Конечно с тех пор это уже починили. Более того, это окно работает теперь в своем собственно "невидимом" рабочем столе. Тем самым все остальные программы, работающие с ограниченными привелегиями никак не могут повлиять на то, что происходит в этом диалоговом окне.

Новое в Термнинальном Сервисе (Terminal Server) в Windows Vista

vitalipro — Wed, 20 Sep 2006 04:39:00 GMT

Если вы никогда не слышали о терминальном сервисе, то может слышали об Удаленном Рабочем Столе (Remote Desktop). В какой-то мере это два термина для одного и того же. Хотя термин «удаленный рабочий стол» чаще используют для клиента.

Так вот, что же нового в Remote Desktop в Windows Vista (не претендую на полноту, перечисляю только то, о чем знаю):

Убрано ограничение в клиенте на максимально допустимое разрешение (ранее 1600х1200).

У всех сессий есть идентификатор (целое число). Система работает в сессии с идентификатором 0. Каждый процесс привязан к определенной сессии и идентификатор этой сессии можно увидеть в Task Manager. Сессии полностью изолированы. А значит система (из сессии 0) не может больше показывать UI в какой-либо другой сессии (раньше это чаще всего делалось с помощью команды at.exe). Тем самым предотвращаются атаки на очереди оконных сообщений (window messaging attacks). [смотрите уточнение в комментариях]

Добавлена поддержка RPC over HTTP. Тем самым можно использовать удаленный рабочий стол для доступа к внутрикорпоративным компьютерам без использования VPN. Естественно это возможно только при наличии серверов доступа во внутрикорпоративной сети и прав доступа.

UAP

vitalipro — Sat, 24 Jun 2006 06:51:00 GMT

User Account Protection (UAP) - это одно из самых важных дополнений в системе безопастности Windows Vista. Более старое название этой возможности: LUA (Least-privileged User Account).

Задача UAP очень проста: предотвратить исполнение неизвестного кода в контексте администратора без явного согласия пользователя, даже если учетная запись пользователя, работающего в данный момент на компьютере, имеет права администратора.

Достигается это путем запуска процесса explorer.exe, который обслуживает рабочий стол, с ограниченными правами. Все что запускается из этого процесса тоже будет унаследовать ограниченный права.

Полный и разделенный маркеры идентификации пользователя

В Windows Vista в коде есть список системных групп которые имеют какие-либо повышенный привелегии, например: Administrators, Backup Operators. Этот список нельзя расширить или сузить.

Для пользователей, которые состоят в одной или нескольких из этих групп, создается два маркера идентификации пользователя (tokens): полный (full token) и разделенный (split token). Полный маркер содержит все группы в который состоит пользователь, он ничем не отличается от маркера, который создается в предшествующих версиях Windows. Разделенный маркер создается из полного путем установления флага "только для запрета доступа" для всех групп в маркере пользователя, которые находятся в списке групп с повышенными привелегиями.

Таким образом процесс работающий с разделенным маркером не будет иметь доступа к ресурсам, для которых контрольный список доступа (access control list) включает только группы с повышенными привелегиями. В то же время, если ресурс в своем контрольном списке доступа содежрит запись запрещающая доступ, например, администраторам, то разделенный маркер также как и полный не будут иметь доступа к такому ресурсу.

Как запустить программу с повышенными привелегиями

В контекстном меню для всех программ теперь есть новый пункт "Run Elevated". Не знаю как это переведут на русский, но что-то вроде "запустить с повышенными привелегиями".

Какие-то программы в принципе не могут работать с разделенным маркером, например, дефрагментация диска или архивация диска. Поэтому в Windows Vista добавлен новый сервис: Application Information Service (сервис информации о приложениях). В нем накоплены "знания" (зачастую полученные экспериментальным путем) о требования различных приложений. Приложения разбиты в 3 категории:

- приложения, которым требуется полный маркер для полноценного функционирования;

- приложения, которые могут работать и с полным, и с разделенным маркером, при этом будут представлять различный набор функциональности;

- приложения, которым не нужен полный маркер, они могут полноценно фунционировать и с разделенным.

Как происходит запуск программ с повышенными привелегиями

Если процесс уже работает с полным маркером, то тут все просто: все, что запускается из этого процесса, тоже будет работать с полным маркером.

Если процесс, у которого есть только разделенный маркер, пытается запустить программу, требующую повышенных, то происходит следующее. CreateProcess пытается запустить процесс, при этом система запрашивает сервис информации о приложениях может ли данное приложение работать с разделенным маркером. Если нет, то CreateProcess вернет новый код об ошибке, специально добавленный для этого случая.

После этого вы можете вызвать CreateProcess снова при этом уже потребовав выполнения программы с полным маркером. Система получив такой запрос показывает окно пользователю с вопросом "согласны ли вы запустить данное приложение с повышенными привелегиями". Если пользователь отказывается, то CreateProcess возвращает ошибку. Если соглашается, то запускается система запускает процесс с полным маркером пользователя (который у нее имеется поскольку она - система).

Замечу, что окно для подтверждения и запуск процесса с повышенными привелегиями производится системой. Поэтому приложения с разделенным маркером никак не могут повлиять на процесс принятия решения и никогда не получают полный маркер идентификации пользователя.

Еще одна особенность запуска процесса с полным маркером из процесса с разделенным маркером - это то, что многие параметры CreateProcess при этом игнорируются, например: потоки ввода/вывода, приоритет. Это сделано, чтобы избежать какого-либо контроля со стороны процесса работающего с разделенным маркером.

Если вы используете ShellExecute, то вам не придется заботится обо всем этом. В Windows Vista вызов ShellExecute модифицирован и уже содержит всю логику, описанную выше.

Очереди оконных сообщений (Window message queues)

Важным элементом User Account Protection является то, что очереди оконных сообщений для процессов с полным и разделенным маркером изолированы. Процессы с разделенным маркером могут посылать оконные сообщения другим процессам с разделенными маркерами, но не могут посылать сообщения процессам с полным маркером. Процессы с полным маркером могут посылать оконный сообщения и процессам с полным маркером и процессам с разделенным маркером.

Таким образом предостващена возможность контроля со стороны процессов с разделенным маркером над процессами с полным маркером через очереди сообщений. В частности одним из следствий этого является то, что процесс с разделенным маркером не может послать сообщение OK в окно, спрашивающее подтверждения запуска процесса с полным маркером.