Newsgroup: it.comp.os.dibattiti
Titolo: Windows 7 UAC

http://www.osnews.com/story/21653/Microsoft_Won_t_Fix_Windows_7_s_UAC
http://www.pretentiousname.com/misc/win7_uac_whitelist2.html
In Windows 7 Microsoft ha aggiunto un meccanismo di white listing per le 
applet e le applicazioni di sistema [1], in modo tale che, con le 
impostazioni UAC su "default" (livello massimo meno 1), le operazioni di 
gestione del sistema (tipo interazione col pannello di controllo et 
similia) non richiedessero il prompt di elevazione.
Long story short, il meccanismo ha in pratica una falla: � possibile 
iniettare thread arbitrari[2] in un processo whitelistato e sfruttare il 
meccanismo per eseguire di conseguenza istruzioni a privilegi elevati 
*senza prompt*.
La vulnerabilit� NON � sfruttabile se UAC � impostata al massimo livello, 
perch� torna alle impostazioni di Vista "classiche" (prompt sempre) e non 
funziona con un utente non-amministratore, per il quale viene chiesta anche 
una password di amministratore.
Il pomo della discordia � che, nonostante la cosa si sappia dalla beta, a 
quanto pare in MS ci sono un po' passati sopra.
Cosa pensate dell'intera faccenda?
[1] comprendendo in realt� anche stronzate tipo calc.exe, ma lasciamo 
perdere
[2] se ho ben capito, a meno che il processo non giri in "high integrity" � 
*sempre* possibile iniettare thread arbitrari in altri processi, e questo 
NON costituisce la vulnerabilit�, � la whitelist ad introdurre questo 
effetto collaterale

 Cosa pensate dell'intera faccenda?
Che la ricerca della sicurezza non accetta compromessi. O si fa tutto 
il necessario minimo indispensabile, cio� UAC settato come in Vista, o 
lo si disabilita del tutto e si fa contenti la maggiornaza degli utenti  
a cui della sicurezza informatica in realt� non interessa una cippa.
Microsoft come sembra, ha deciso di fare le nozze con i fichi secchi, 
cio� abbassando notevolmente il livello di sicurezza, e scontentando lo 
stesso gli utenti cui anche le minori richeste dell'UAC non adranno 
bene lo stesso.
-- 
Ciao, Guglielmo.


ad un utonto sempre piu' tonto
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 ad un utonto sempre piu' tonto
grazie per il tuo inestimabile contributo alla discussione.

 bene lo stesso.
e non sono molto d'accordo nemmeno su questo, finora ho sentito molti
pareri positivi sul comportamento di UAC in Win7, lato utente ovviamente.

 Cosa pensate dell'intera faccenda?
Direi che "fottesega" � la parola che pi� si avvicina al mio stato 
d'animo, a riguardo...
p.bes

 non mi sembra sia proprio cos�
Beh la vulnerabilit� c'�, � stata facilmente scoperta da subito dopo 
la distribuzione della prima beta pubblica, e non � affatto difficile 
da implementare. Se non � un abbassamento notevole del livello di 
sicurezza, non vedo come altro lo si potrebbe definire.  
Se non lo si fosse capito io mi sarei posto due scelte:
- Mantenere l'UAC come � in Vista, che � il minimo su versante 
sicurezza, e che dopo gli aggiustamenti post SP1 � meno fastidioso 
della versione originale.
- Disattivarlo e lasciare alla consapevolezza degli utenti la sua 
attivazione.
Io avrei scelto la prima, qualcun altro la seconda, di sicuro cos� com� 
non � ne carne ne pesce e non capisco pi� a cosa serva.
-- 
Ciao, Guglielmo.

� stato postato il codice completo della PoF
http://www.pretentiousname.com/misc/win7_uac_whitelist2.html#release

Guglielmo ha scritto:

sono d'accordo, per� faccio il paragone con la mia esperienza personale: 
nel tempo ho visto da vicino vari utenti che "aiutami aiutami ho il pc 
pieno di virus".
Glielo ripulisci, in molti casi riformatti perch� il pc � talmente pieno 
che fa ridere, reinstalli windows XP con l'ultimo service pack, 
controlli bene le varie opzioni, disattivi le eccezioni inutili del 
firewall di sistema, installi l'antivirus, poi gli aggiornamenti di 
windows update, installi firefox, installi openoffice, installi windows 
messenger...
Gli spieghi che:
- la password sulla loro utenza gliel'hai fatta mettere perch� cos� � 
pi� sicuro
- firefox � pi� sicuro perch� meno soggetto a virus (specialmente con 
adblock)
- non devono cliccare sui link che ti arrivano dai malware su messenger
ti dicono di s� poi nel giro di mezza giornata si rompono i co*lioni e:
- disattivano la password all'avvio
- usano IE senza manco provare firefox (e senza ritegno nel visitare 
siti insulsi e installare adware inutile di vario genere)
- usano msn come farebbe uno di 6 anni
dopo 2 giorni dicono "mi escono ancora dei messaggi di virus". Cosa vuoi 
rispondergli? "ca**i tuoi".
Ergo, cos� come il sottoscritto s'� rotto le palle di andare a 
soccorrere gli amici che "aiuto ho il virus" e di dispensare consigli 
vari, la microsoft s'� rotta le palle di sbattersi tanto per la 
sicurezza quando alla fine la maggioranza degli utenti sono capre.
Non accettano le cose basilari, figuriamoci l'UAC.
Vogliono un sistema senza password, pronto all'uso e con memorizzate 
tutte le password che servono (email, msn, skype, chi + ne ha + ne 
metta), e vogliono poter scorazzare ovunque sulla rete come bufali allo 
stato brado, installare qualsiasi porcheria e cliccare qualunque cosa 
come dei dementi senza nemmeno leggere cosa c'� scritto. E tutto ci� 
"senza virus". Cosa vuoi dirgli? Digli di s� punto e basta. Si arrangiano.
BTW, m'� capitato di recente di notare come ragazzi di 15-16-17 anni, 
con tutti quelli che secondo "i grandi" sono stereotipi negativi 
(orecchini, piercing, pettinati in un certo modo, insomma truzzi), e 
comunque non nerd, siano abbastanza attenti e paranoici riguardo alle 
password.
La generazione erudita sta arrivando! :-)

 sicurezza quando alla fine la maggioranza degli utenti sono capre.
La tua esperienza � identica al 100% alla mia, dato che seguivo
l'assistenza tecnica per conto di un'azienda di informatica e, anche
quando ho cambiato lavoro, per anni amici e conoscenti hanno continuato a
chiamarmi periodicamente per "resettare" il PC (loro dicevano quasi tutti
cos�...)
Confermo parola per parola quanto hai scritto.
Per fortuna anni fa ho abbandonato Windows per uso personale e questo,
oltre a migliorare il mio benessere, mi ha consentito di iniziare a
rispondere "Mi spiace ma ho perso la mano, non uso Windows, non so
aiutarti" alle varie richieste. Per cui oggi sono un uomo libero. :)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it