blog Wojtka

Problem pojawił się już w Windows Vista. Jak zauważyło kilku ekspertów od bezpieczeństwa (mi. Joanna Rutkowska), istniały sztuczki, które pozwalały "obejść" UAC. Microsoft oczywiście stwierdził, że to nie jest dziura i UAC z założnie nie ma gwarantować czegokolwiek. Potem nawet, ktoś z MS otwarcie przyznał, że UAC nie ma nic wspólnego z bezpieczeństwem i istnieje tylko po to, żeby denerwować użytkownika.

Denerwowanie użytkownika, wydaję się dość dziwnym celem jakiejkolwiek funkcji oprogramowania, więc trzeba jeszcze wyjaśnić, że Microsoft denerwuje użytkownika po to, żeby dostawcy oprogramowania zmienili swoje produkty tak, żeby elewacja nie była wcale potrzebna, znaczy żeby programy działały tak jak powinny w kontekście uprawnień użytkownika (czyli tak jak działają w systemach uniksowych). No i w sumie, nawet trzymało się to kupy. Do czasu aż pojawiły się wersje testowe Windows 7.

Okazało się, że jednak Microsoft chce mniej denerwować użytkowników i teraz przy domyślnych ustawieniach programy będące częścią systemu Windows nie potrzebują okienka UAC, aby podnieść sobie uprawnienia. Na początku brzmiało to dość sensownie, szybko jednak się okazało, że teraz całe UAC można bardzo łatwo obejść (polecam obejrzeć zwłaszcza tę prezentacje ). Żeby nie było nieporozumień, to nie jest ten sam problem, który pozwalał wyłączyć UAC wysyłając klawisze (tamtem problem Microsoft rozwiązał). Prawdopodobnie Microsoft nie jest w ogóle zainteresowany naprawianiem tej usterki, chociaż przez nią całe UAC traci sens (przynajmniej jako bariera chroniąca system i użytkownika).

No tak, ale jeśli wg. Microsoftu UAC nie ma wcale (wbrew temu co jest wmawiane użytkownikowi w reklamach) gwarantować bezpieczeństwa a jedynie go denerwować, to dlaczego w takim razie uważam UAC w Windows 7 za nieporozumienie? No bo z jednej strony Microsoft próbuje wymusić na dostawcach oprogramowanie dostosowanie ich produktów tak by poprawnie działały w kontekście uprawnień użytkownika (tak, żeby elewacja nie była potrzebna), a z drugiej, zamiast zrobić to samo ze swoimi programami, dodaje je do białej listy, która pozwala obejść cały mechanizm UAC. Tutaj, można by dodać, że takie zagranie jest nadużyciem i dzięki temu programy Microsoftu mogą działać lepiej niż inne (bo będą mniej denerwować użytkownika), ale ta kwestia jak i inne została dobrze skomentowana w podlinkowanym wyżej artykule na temat tej usterki.

Wraz z Google Chrome (a także wraz z innymi programami Google np. Gears) instaluje się mała usługa Google Update, która od tej pory pracuje cały czas w systemie. Niby nic niezwykłego, wiele dostawców oprogramowania instaluje tego typu komponent (chociaż wg mnie jest to zła praktyka, do automatycznej aktualizacji oprogramowania nie potrzeba procesu działającego w systemie cały czas, starczyło by dodać odpowiednią pozycje do harmonogramu zadań).

Ale Google Updater robi coś jeszcze. Dodaje się jako wtyczka do Firefoksa a także Internet Explorera, która umożliwia instalowanie oprogramowanie Google bez jakiejkolwiek akcji użytkownika. Żeby się o tym przekonać wystarczy wejść (w IE lub Firefoksie lub nawet w samym Chrome) na stronę Google Chrome, kliknąć Download, nastepnie Accept and Install. Tym razem instalacja oprogramowania rozpocznie się automatycznie z obejściem normalnych zabezpieczeń przeglądarki.

Postanowiłem poszukać więcej informacji, jakiejś dokumentacji, gdzie mógłbym się dowiedzieć jakie zabezpieczenia posiada ten dodatek (nie chce żeby Google korzystało z backdoora w celu instalacji oprogramowanie na moim komputerze, ale jeszcze bardziej nie chce żeby z tego backdoora skorzystały osoby nieupoważnione, np. twórcy oprogramowania malware). Niestety na stronach pomocy i obsługi technicznej Google nie ma żadnej informacji o Google Update. Ani opisu jego mechanizmów zabezpieczeń, ani nawet instrukcji jak usunąć tą usługę z komputera (nie usuwa się ona wraz z Google Chrome, ani nie pojawia się ona jako oddzielna pozycja w dodaj/usuń programy).


Don't be evil!? Nie rozśmieszajcie mnie.

Aktualizacja:

Dla tych co mają wątpliwości podaję więcej szczegółów: w Firefoksie (a jak się przed chwilą przekonałem, również w Safari) Google Update rejestruje się jako wtyczka npgoogleoneclick5.dll, w IE rejestruje się jako BHO goopdatebho.dll. To właśnie te pliki odpowiadają za furtkę.

Niedawno gra Spheres of Chaos została udostępniona jako freeware (wcześniej była dostępna jako shareware). Spheres of Chaos to bardzo ciekawy klon asteroids z psychodeliczną grafiką i odschoolowymi efektami dzwiękowymi. Gra ma już swoje lata, ale nie można powiedzieć, żeby się jakoś istotnie zestarzała. Ogólnie bardzo miła gierka, w bardzo orginalnej oprawie. Parę lat temu grałem w nią trochę i bardzo mi się podobała.

Screen:

Link: http://www.spheresofchaos.com/