黑客评点Vista:安全?远远不够!
UAC惹人烦
此外,大卫.唐还表示,随着对安全性的日益关注,微软有针对客户端操作系统必然会关心的系统保护和数据保护这两个方面在Vista中添加了一系列的安全功能。这些功能包括UAC(用户访问控制),它强制用户使用有限制权限的账户,取代之前Windows版本用户传统上都拥有系统管理员权限的情况。在Vista上UAC功能对所有用户是默认激活的,甚至是管理员账户也仅获得中度完整级权限,当然你还是可以关掉它。
不过,也有人批评UAC警告框实在是令人厌烦:首先UAC使用了很突兀的颜色,桔红色代表警报,绿中带蓝则代表安全;其次如果用户想要继续已被警告行为,它总要提出征询确认。不过,鲁特克丝卡则完全不认同对UAC的这种评价,她在博客中写道:“虽然UAC是Vista中引入的最重要的安全机制,但还是可以通过许多方式绕过它。”鲁特克丝卡的观点不久后就得到了赛门铁克研究科学家奥利.怀特豪斯(Ollie Whitehouse)跟贴。贴子发的时间在2月20日,标题为“为什么不能总是相信Vista的UAC提示的一个例子”;他在其中写道,这是由于要绕过UAC很容易,仅使用社会工程学就能欺骗用户来批准违法用户获得权限提升。
唐也在陈述过程中表示出他的担忧:频繁的UAC征询对话框会造成一种“点击这里才能开始工作”的局势。“UAC征询对话框过于频繁出现将会迫使用户关掉这项功能吗?”他表示。“倘若由此影响用户的日常活动,惹得用户最后不胜其烦也是有可能的。”
不过鲁特克丝卡表示,她对没完没了地讨论“UAC对话框真令人厌烦”这一问题的感到很困惑。“到现在我用Vista已有两个月了,”她说。“除了刚安装的几天内,其他时间几乎没怎么注意到UAC对话框。我认为UAC,从技术角度讲是一个好东西;对一般用户而言,也是一种好的安全机制。”
不过,鲁特克丝卡表示她不满意的一点是微软的态度。面对UAC的批评声一浪高过一浪后,微软只是开始强调UAC不是一个象防火墙那类的硬性安全边界,它更多意义上讲是一个导向性的工具。对此,鲁特克丝卡指出,不幸的是微软的这种态度正说明微软还未考虑过攻击的潜在途径也是一种bug。“从低级到高级[用户权限]的违法提升未被其考虑为一种安全bug。”她表示,“但事实上这类权限提升正是一种很好指标,表明设备已存在隐患。