查看完整版本: 体验UAC保护 五种途径确保Vista系统安全

体验UAC保护 五种途径确保Vista系统安全

　　cZ1a$T\/z-uhP
0A
g(Joj C5L-~Dw

'~d9[5l$U~+H\B4i(\#l                   　　用户帐户管理功能（UAC）是Vista系统与前代相比，最为重大的改进之一。引入UAC是微软对一直被Linux（及基于Unix的MAC OS X操作系统）使用的安全模式的回应。这种安全模式要求用户拥有管理员权限来实现某些任务，比如安装软件，而在其余时候用户的权限则要低一些。I7stZvu p
m

?*|d!Y.A EX'}:h/_n }9VM$Ul4|4nu
　　微软为什么要这么做？这样可以避免用户被黑客骚扰。如果黑客使用一个尚未修补的漏洞劫持了用户的浏览器，他同时也劫持了用户的权限。因为那个用户可以安装软件，所以黑客也可以。结果会怎么样？攻击者掌控了那台电脑，可以在里面放置木马、蠕虫病毒、恶意软件和间谍程序。
#J
Ru!GL
4vLI9GyY.T I
l1f%[L`u <BR clear=all>[img]http://school.cfan.com.cn/system/vista/he/h002/h17/img200704081943290.jpg[/img]R)_9Y,@ jNR

] ? \#Z1|;pm$N Vista（点击可做壁纸）?_;Wl$^1J
qa(V%p(_},Q#d

3p"C)T,e'_:{ cj"Z3H 　　面对日益增长且越来越巧妙的攻击，开发者把Vista作为一个解决方法推出。但为什么要等呢？照搬下面五个策略，你能让你的XP（甚至是更早的操作系统）体验到Vista的UAC保护。/[h9e$w~X`

G:?Z#Y)TQJ
*OMosSlku 方案一：使用受限帐户/X#nXv!Q
[C[E

lS:C9a@
2G Ss)A?%_ 　　乍一想在Windows里创建一个非管理员帐户简直就是非常容易的事情，你肯定会奇怪Vista与UAC功能到底能提供什么保护。
"do:o8n)rnrvmV Y4X?3C?{I
(a[xHU-n
　　没错。你能你可以很容易地创建一个受限帐户，只需要点开始—设置—控制面板—用户与帐户。然后选择“创建新用户”，给用户起个名字，在点“创建帐户”之前选中“受限用户”。然后设定一个密码，你就大功告成了。Zm/|!]#lf\4uW Fv

O5X*F#@r9H %^j"Q6v*U0Iq%j{8w SO)F
　　并非如此。一旦设置开始生效——比如使用XP的受限帐户——当你开始使用一台新的电脑（或者至少重装了Windows XP系统），如果你在一台已经使用了一段时间的系统上这么做，那么你的恶梦就要开始了。
-K3lz:q mt ^gs
?R8]&T*b +X&B,uq(^x3h
　　你将没法访问你此前存在“我的文档”里的文件，因为这个文件夹被锁在管理员帐户下。而之前安装的一些程序也会消失不见。
5@5dO^O &L1ZjW0@2F
*g/? gt-D1X+]e m
　　此外，即使程序仍然可用，你所有的自定义设置也将失效，程序将回溯到初始设置。以Firefox为例子，它的所有扩展程序都会丢失，微软的Word回溯到它的标准设置。使用XP时你得花上好些时间来重新设置它们。X`H5{0\
KQR"y m

.xNCV4X"h5e 　　更别提还有些程序你只能在管理员模式下才能安装了。即使安装好了，没有管理员权限你也别想运行它。（你可以暂时回避这个问题，鼠标右标点击一个程序文件，并选择“运行方式”，然后选择一个拥有管理员权限的帐户，并键入密码。不过这么做是没有什么保证的。）Z9Ud.Wk)mb/S
$K-w)^)^f5|
w+a#q1} Ur'e
　　概述：这么做行不通，因为有太多的问题。
6v3b;G,e#@F\
3[(_\so
LDK6ef ~:WC 　　
(HQS'tzxx7g J)LS,\v;J]8i+HqkU

0d/{m3nd mU                   !@&j`Rly7Z }Cb
me;e3x%C |
%XT&hOA;_)MgD
方案二：运行方式
"O@E-o%u H}!f"v M7}
&mc/JC&t"HM
KuY_]Myi 　　Windows XP有一项功能叫做“运行方式”，能让你临时地使用另外一个用户帐户。通常被用来让权限较低的用户暂时拥有管理员权限，以便安装某个程序。
k3}F[tQ\v#_VO
r\ dRhh

E!lFkkcML)m,F 　　但你也可以用它来模拟Vista UAC提供的某些保护。F$nX/R+l6zB
LCT,^T
)?.rkq2mR us;i(u'Qc6b
　　方法是这样的，运行最易受到攻击的程序时——你的浏览器和邮件收发程序是其中两个——使用低权限用户。这样即使恶意软件劫持了这些程序，情况也不至于坏到哪里去。!Yq;_n/kW8NgB#l

4N1|)pxF^:lJ RZ]RWlJ'Xp1i
　　让这种方法行之有效，以低权限用户运行你的浏览器——比如IE或者firefox——和邮件程序，而在其它操作时则使用管理员帐户。这样就避免了使用受限用户时碰到程序安装/启动时出现问题的可能。同时你可以保留当前程序的自定义设置，数据文件的位置等等。
tb|N,y(}5_
S7N2s N2y\)o -k5t4sw{z^br7m
　　举例来说，右键单击桌面上IE的快键方式，在Windows 资源管理器里或者快速启动栏里的。从菜单中选择“运行方式”。选择“下列用户”。然后或者输入或者选一个受限用户帐号，输入密码并点“确定”。
4dVi:@(A-U$?/i9d
Wpv$G*_0x4U7s0e`6F u YdPS%pV
　　你可以让这个过程自动运行而无需右击程序图标。右击快捷方式，选择“属性”，单击“快捷方式”标签，然后是“高级”按钮。选中“以其它用户身份运行”然后点“确定”。以后你再从这个快捷方式启动程序，你马上就能看到一个对话框让你选择是以管理员身份还是其它身份运行这个程序——在这里，是使用受限用户帐户。sr/yeX+?)?

ryCei;a 7D:G4j?7sH8C'V+{ h
　　概述：这种方案不太灵活因为需要一个受限的用户帐户。q)a6wH_`R
YO G.q\5i)S/x9v2gU x
3R#R"mX3v*i]vJ
方案三：使用进程管理器
j?7Hy3G!vV@A)J w2I#[+z[d
yfr G!u9o:h
　　尽管Sysinternals现在已是微软的一小部分，但它的这款著名的免费工具——根据微软外部的声明——仍将是免费的。
4j
lfoLc@(En *By$t0bQ_


l bL6v4h/_2p'^
iG 　　从Sysinternals的网站上下载进程管理器，这个网站由Wintemals托管，Wintemals由两人共同成立，其中之一是因发现了Sony音乐CD里的木马程序而享有盛名的Mark Russinovich.1C|.s8| xY
/rw ZX&i.y
"F9ly1Y/P h.`xd
　　尽管进程管理器是用来显示Windows当前运行着的进程的信息的——把它看成是一个误码率为？的任务管理器——它有助于在Windows XP里成倍提高一些UAC功能下的安全保护。“以受限用户运行”的功能就包括在进程管理器的文件菜单里。0[;fry*k!E:T
9m&q:W:y#S
1e;q,Co'uq+N
　　就像Windows拥有“运行方式”命令一样，在非管理员权限下运行某个程序——浏览器，或者邮件程序。不像使用“运行方式”时那样要求你输入一个受限帐户或者密码。相反，它使用的Windows的CreatedRestrictedToken API应用程序接口，来创建被叫做token的安全环境，把管理员权限给去掉了。%j+T:|+i9w/^
I ?m_WW{!uZ
'D{i)h4{O"F
　　你所需要做的就是选择文件—运行，然后以受限用户运行。然后输入或者选择想要运行的程序，比如“Outlook.exe”，以更少的权限运行它。这非常的不错。
#`UV/Um5x
k(q WQ6Wb@h

'P*xv:h3e 　　概述：这样做非常灵活。不过就像Russinovich承认的那样，这并无法保证能对付所有的可能安全威胁。,~Ak(?8rsQ
j:T"~

9o&[OSI)w:K1Ez e9Sw5uz.e
　　
aHWRC
k] SyJeO
[SQ7H!H.{:B                   
M.W{Ti:^ ;ty7t)d$H7]y
)[;?]#Q1E/m.^
方案四：降低“我的”权限$qqlptC9z/o3qM

Z wbv|6E vh|[4he?*?
　　方案三的一个问题是，你还得使用其它程序——进程管理器来以低权限运行程序。并不是太方便。
{)t:mF9b^N
C p*h _Zvir(q

C!N-n'Ux_ gj$s2A H:R5D 　　当然了，Vista会把帐户保护隐藏到选择框的后面，你只需要点击一个图标即可。
's I \O+qb
QF2i5M"qZ#WkU MC K5j"JJ.NuX{
　　想复制这个过程——并自动以低权限运行你选定的程序——下载“降低我的权限”软件，一个有两年历史的程序，你可以巧妙地设定快捷方式，只需一点就可以安全地运行各种程序。
"F5cc(|
\U
)masi3tw^fh,L
:? C*r6X
s k_| 　　这个软件由Michael Howard编写，他是微软的一位安全开发者。它所做的就像它的名称所表示的那样，降低某个程序的权限。设定一个快捷方式来直接启动一个受限的浏览器或者邮件程序，Howard很清楚地说明了（同时也通过屏幕截图展示了）你要采取哪些步骤来实现。我们惟一的建议是，把可执行程序“dropmyrights.exe”放在C盘根目录下，这样就不需要输入很长的路径名来找到快捷方式的目标所指。z7^z^0Jgf
9q'En)K5Qi

!UzM$iYX5H 　　Sysinternals也提供了一款类似的工具，名称是PsExec.你可以从这儿下载。你可以把它看成是进程管理器在命令行模式下的奇怪样子。需要知道更多关于如何使用PsExec来配置快捷方式的详情，请到Mark Russinovich（Winternals的合伙创始人，Sysinternals站点即托管于此）的博客，查阅以“使用PsExec的优势”开篇的文章。bpMF7e _%T%g
'o9Jk
r;WnY%]*dA,Jz4i

ORz"X-fJt
　　概述：值得这么做来使程序在受限用户下运行。
nML+k&_!U`7vh2u+{9[
5J"tVV w:U/C"B s%i|)jS6^:b1ee
方案五：买一台Mac电脑
MV!J yOyV|I,z ,c/J z.v
V2UZ(x([

-QZ4^s!YuJz 　　很多分析师已经把Vista的UAC功能与早就被使用在Mac OS X操作系统（与及Unix，Linux）里的权限模式联系起来了。举例来说，在Mac电脑里，你总是运行着受限用户，而有时候——比如安装软件时——你就得提供一个管理员用户名和密码。
"gn1N1J/` u"g"@5aMj#|4[)Ts
\)G;hE:Jx]
　　如果Vista的UAC功能是Mac OS X的复制，那为什么不现在就用上这种功能呢。
/r'Bf2M bs
kOW H8zQ;kSfd F
A(}xwN@7TH 　　这意味着一台全新的电脑，苹果基于Intel处理器的Mac mini，iMac，Macbook与及MacBook并不便宜，不管苹果迷们怎么说——与另一份Windows XP的许可证和一些软件比起来，苹果电脑是两个阵营里最好的了。
}btK*Vd6J;M[RWv
PcG Aj9x;R
;t!k*_$nA1t 　　下面揭示了它可能如何工作。!zlRa"J

D^'w/g(b|
r+gy2CiG5K5Lv
　　在一台Intel处理器的Mac电脑上，安装一个Parallels Desktop虚拟机。这款售价80美元的虚拟软件让你能在Mac OS X边儿上运行Windows XP及针对XP的软件。
qe7Rab.O ;pp u.{nP

7a7F+H^ S%qKay 　　运行易受攻击的软件——在Mac上运行浏览器与邮件客户端程序，可能还有即时通信软件——在Mac上这些程序并不仅仅因为系统的安全策略更安全，且与Windows要面对的威胁比起来，针对OS X的威胁在数量上要少得多。
'U`7NIl0bi'e ^;y*]\*@S4E
gFT#ra1j
　　在Windows 虚拟机（VM）里运行所有其它东西。P1Y
dF#I8l n;W
1t0y PzJg
r1T'Q]?*iL
　　复制并粘贴信息，使用Parallels在Mac OS X与Windows VM之间共享文件。b1t
R;^
~FQ3r'S
q%[VPf?rgz7J3P

z2S)YhN0P7{5Ht!j/o 　　说明：在苹果自己的双启动软件Boot Camp上这不起作用，因为它要求你在使用另一个操作系统之前关闭目前运行的操作系统，而且也不允许在两个操作系统之间共享任何文件或者数据。
xlh7lA*f #^8APW5bC)YIw_(vPz

u7Tt]IwIW 　　概述：价钱不菲，不过你立刻就能得到一个安全的操作系统。