如果 UAC 已开启,日常使用时可以使用管理员帐户吗?

如果 UAC 已开启,日常使用时可以使用管理员帐户吗?

自从大约三年前切换到 Windows 7,并且现在使用 Windows 8.1 以来,我已经熟悉了用户帐户控制的概念,并按照以下方式使用我的电脑:我用于日常工作的标准帐户和激活的内置管理员帐户,仅用于在请求时提升进程,或者在需要时“以管理员身份运行”应用程序。

但是,最近在阅读了更多关于用户帐户控制的内容后,我开始怀疑我的工作方式是否正确?或者我应该每天使用管理员帐户,因为管理员帐户只有在应用程序请求时才会被提升,或者直到我通过“以管理员身份运行”选项请求时才会被提升?我之所以问这个问题,是因为我在某处读到内置管理员帐户是真正的管理员,我的意思是 UAC 不会在登录时弹出,我担心当潜在的恶意软件出现时不会出现问题。我不得不说,我并不是每天都使用它,只是在需要提升某些应用程序时才使用它。我一年登录不到 10 次……

那么,还有什么更好的呢?谢谢你的回答!当然,祝你新年快乐!

PS 我一年前就问过这个问题(:P),我想我应该重申一下:现在的管理员帐户是否和标准帐户加上内置管理员帐户一样安全?

答案1

现在,管理员帐户是否与标准帐户加上内置管理员帐户(在需要时)一样安全?

简而言之,仍然没有。

较长的答案...

UAC 不是一项安全功能

在 Windows XP 和以前版本的 Windows 时代,实践最小特权原则,尤其是在企业环境中。该原则意味着您将使用标准用户帐户执行所有日常任务。任何需要管理员权限的任务都将使用具有管理员权限的单独帐户执行(假设用户有合法的需要)。

但 Windows XP 的设计并未考虑到这一点,当以标准用户身份运行时,即使您也有权访问管理员帐户,也会出现许多怪癖和限制。作为标准用户,您无法单击系统托盘时钟来显示整洁的月历,无法更改网络设置,并且“以...身份运行”功能不适用于所有功能(尤其是 Windows 资源管理器,因此如果我没记错的话,计划任务、打印机和其他 shell 文件夹也是如此)。

当然,很多缺陷都有解决方法,但发现、记录并解决这些缺陷需要花费大量时间。

安全是安全性和便利性之间的平衡。Windows Vista 引入了 UAC,主要用于检测何时需要管理员权限,并自动提示您使用具有管理员权限的(其他)帐户进行身份验证。这使得实践最小特权原则变得容易得多。

副作用是,在使用管理员帐户登录时执行需要管理员权限的任务,让您有机会真正确认您想要行使这些权限。安装软件时出现 UAC 提示似乎是合理的,而打开普通网页时则不合理。

然而,事实证明,大多数用户不使用单独的帐户,而且相当多的日常任务需要管理员权限(调整时钟、网络、电源计划等设置),因此会在 Vista 中触发 UAC 提示。这一系列提示导致大多数用户

a) 盲目接受任何 UAC 提示,不关注实际需要提升的内容,或者

b) 完全禁用 UAC 确认

在 Windows 7 中,微软让多个 Windows 可执行文件自动提升权限,因此如果您使用的是管理员帐户,则某些操作将自动以提升的(管理员)权限执行。这使得 UAC 看起来不那么突兀。

UAC 自动提升可被利用

因此,Windows 7 中有一个内置的自动提升权限机制。如果以标准用户权限运行的应用程序可以利用此机制,那么 UAC(其设计初衷并非安全机制)就可以被绕过,您最终可以以管理员权限运行应用程序,尽管系统并未提示您确认。

事实证明,UAC 自动提升实际上可以通过注入代码来利用,正如 Leo Davidson 所证明的那样(Windows 7 UAC 白名单:代码注入问题(及更多)),并由龙政 (Windows 7 中的 UAC 仍存在问题,微软不会/无法修复代码注入漏洞)。

结论

从安全角度来看,使用单独的帐户进行日常工作和任何需要管理员权限的操作仍然有意义。这是唯一可以(合理地)确保没有应用程序在未经您明确授权的情况下以管理员权限运行的方法。

也就是说,这是便利性和安全性之间的平衡。正如@GeminiDomino 指出的那样,你也可以用环氧树脂填充所有端口,就像军方使用的那样。你也可以运行你的电脑像 Bruce Schneier 一样“空气间隙”,这样它就不会直接连接到任何网络。

最后,这取决于您是否同意在执行管理任务时必须明确进行身份验证。

答案2

最多安全吗?断开网络和显示器,用环氧树脂填充所有端口,然后拆开硬盘,将零件散落在海拉鲁的地牢中。

不过,说真的,根据我的经验,你的担心是有道理的。不仅仅是因为恶意软件和其他不良软件,还因为你毕竟是人。当然,在有限用户的情况下,你可能会犯下造成巨大损害的错误。作为管理员,你可以造成所有这些损害,甚至更多。

以管理员身份运行日常操作可能非常诱人,尤其是在处理某些似乎不喜欢在更新中配合“以管理员身份运行”的软件包时(我正在看你,VirtualBox...),但既然你的标题说“安全”,我会说最好在它们偶尔出现时处理它们,就像你现在做的那样。很好的直觉。

新年快乐!

相关内容