Csendben települő alkalmazások: amitől a Windows sem véd meg
A Windows-felhasználók jól ismerik a telepítések közben felugró figyelmeztetést, amely engedélyt kér egy programnak a számítógép módosítására. Mégis vannak alkalmazások, amelyek minden különösebb kérdés nélkül települnek, és az operációs rendszer egyetlen figyelmeztetést sem jelenít meg. Ennek nem feltétlenül biztonsági hiányosság az oka, de fontos, hogy a rendszergazdai jogosultság hiánya nem jelenti rögtön azt, hogy egy alkalmazás ártalmatlan.
A Windows nem minden programnak ad hozzáférést a teljes rendszerhez
A háttérben a Windows beépített jogosultságkezelő rendszere, a User Account Control (UAC) működik. Ez felelős azért az ismerős, elsötétített képernyőn megjelenő ablakért, amely engedélyt kér, amikor egy alkalmazás rendszergazdai jogosultságokat igénylő műveletet szeretne végrehajtani.
Érdekes részlet, hogy még egy rendszergazdai fiókkal bejelentkezett felhasználó alkalmazásai sem kapnak automatikusan teljes rendszergazdai hozzáférést. A Windows alapértelmezés szerint korlátozott jogosultságokkal futtatja a programokat, és csak akkor kér külön jóváhagyást, amikor egy alkalmazásnak valóban magasabb hozzáférési szintre van szüksége. Normál felhasználói fiók esetén ilyenkor egy rendszergazdai jelszó megadására is szükség lehet.
A különbség elsősorban attól függ, hogy a telepítő milyen területeket szeretne módosítani. A Windows rendszermappái, a Program Files könyvtár, a rendszerleíró adatbázis bizonyos részei, az eszközillesztők és a háttérben futó rendszerszolgáltatások telepítése jellemzően emelt jogosultságot igényel. Ezek módosítása ugyanis nemcsak az aktuális felhasználóra, hanem akár az egész számítógépre is hatással lehet.
A saját felhasználói mappa jelenti a kiskaput
Az alkalmazásoknak azonban nem feltétlenül kell a Windows védett rendszerterületeire írniuk. Minden felhasználói fiók rendelkezik saját könyvtárakkal, amelyekhez az adott személy külön rendszergazdai engedély nélkül is hozzáférhet.
Az egyik gyakori telepítési cél a %LOCALAPPDATA%\Programs mappa. Ez a felhasználó saját profiljához tartozik, ezért az ide telepített alkalmazások a többi Windows-felhasználótól elkülönítve működhetnek. A program így létrehozhatja a saját fájljait, beállításait és parancsikonjait anélkül, hogy a teljes rendszert módosítania kellene.
Az eszközszintű telepítés során a program a számítógép közös területére kerül, így több felhasználói fiókból is elérhető. A felhasználói szintű telepítés ezzel szemben az adott fiók saját profiljába helyezi az alkalmazást, ezért általában rendszergazdai jogosultság nélkül is elvégezhető.
Jó példa erre a Visual Studio Code, amelynél a fejlesztők két különböző telepítési lehetőséget kínálnak. A User Installer kizárólag az aktuális felhasználói fiókba telepíti a programot, a System Installer viszont a számítógép összes felhasználója számára elérhetővé teszi azt. Előbbihez nem szükséges rendszergazdai jogosultság, utóbbihoz igen. A Microsoft az egyéni felhasználói telepítést ajánlja a legtöbb embernek, mert a frissítéseket is kényelmesebben kezeli. A Visual Studio Code dokumentációja részletesen bemutatja a két lehetőség közötti különbséget.
A Microsoft Store is másképpen kezeli a telepítéseket
A Microsoft Store-ból érkező alkalmazásoknál egy másik technológia is szerepet játszhat. Az MSIX csomagformátum esetében ugyanis nem feltétlenül maga az alkalmazás telepítője végzi az összes fájlműveletet, a Windows saját csomagkezelő rendszere gondoskodik a program telepítéséről és regisztrációjáról.
Az ilyen alkalmazások alapértelmezés szerint a C:\Program Files\WindowsApps védett könyvtárba kerülhetnek, és felhasználónként regisztrálja őket a rendszer. A program telepítési fájljai csak olvashatók, így az alkalmazás normál működés közben nem módosíthatja szabadon a saját telepítési állományait. Ez az eljárás szintén hozzájárulhat ahhoz, hogy a telepítéshez ne kelljen hagyományos rendszergazdai jóváhagyás. A Microsoft MSIX-dokumentációja részletesen ismerteti ezt a működést.
Van azonban egy fontos kivétel, a Microsoft Store nem kizárólag MSIX-alapú alkalmazásokat kínál. Hagyományos EXE- és MSI-telepítők is elérhetők rajta, amelyek eltérő jogosultságokat igényelhetnek. Ráadásul az MSIX-csomagok sem feltétlenül ússzák meg a figyelmeztetést, ha például háttérszolgáltatást vagy rendszerszintű módosítást igényelnek.
A legnagyobb tévedés
Az adatbiztonság szempontjából itt válik igazán fontossá a különbségtétel. Sokan hajlamosak a UAC-figyelmeztetést egyfajta biztonsági ellenőrzésként értelmezni, és úgy kezelni, hogy ha megjelenik, gyanús a program, ha pedig nem, akkor minden rendben van. Ez azonban egyáltalán nem így működik.
Egy rosszindulatú alkalmazásnak nem feltétlenül kell rendszergazdai jogosultság ahhoz, hogy komoly károkat okozzon. A normál felhasználói hozzáféréssel is elérheti az adott fiók személyes dokumentumait, letöltött fájljait, módosíthatja vagy akár titkosíthatja azokat. Bizonyos esetekben a felhasználó számára hozzáférhető munkamenetadatok és más érzékeny információk is veszélybe kerülhetnek.
A UAC tehát nem víruskereső, és nem minősíti az alkalmazások megbízhatóságát. Elsősorban azt akadályozza meg, hogy a programok észrevétlenül olyan rendszerszintű változtatásokat hajtsanak végre, amelyekhez magasabb jogosultság szükséges.
A veszély nem pusztán elméleti, vannak olyan kibertámadási módszerek is, ahol hamis 404-es hibaoldalakba rejtettek rosszindulatú kódot. Az ilyen esetek jól mutatják, hogy egy első pillantásra ártalmatlannak tűnő letöltés mögött is komoly kockázat rejtőzhet. Nem a rendszergazdai engedély kérése vagy annak hiánya dönti el, hogy egy program megbízható-e.
Ne kapcsold ki a védelmet csak azért, mert zavaró
A legfontosabb óvintézkedés továbbra is az, hogy kizárólag megbízható forrásból töltsünk le alkalmazásokat. Telepítés előtt ellenőrizzük a fejlesztő kilétét, a letöltési weboldalt és a digitális aláírást, valamint használjunk naprakész vírusvédelmet. A digitális aláírás önmagában természetesen nem garancia arra, hogy a program jóindulatú.
A Microsoft azt is javasolja, hogy korlátozzuk a rendszergazdai jogosultságú fiókok számát, és a mindennapi tevékenységekhez lehetőség szerint normál felhasználói fiókot használjunk. A UAC értesítési szintjének csökkentése sem jó megoldás pusztán azért, mert a felugró ablakok kényelmetlenek. A Microsoft különösen azoknak ajánlja a legmagasabb értesítési szintet, akik gyakran telepítenek új programokat vagy látogatnak ismeretlen weboldalakat.
A rendszergazdai jogosultság nélkül települő alkalmazások tehát önmagukban nem jelentenek biztonsági problémát. A Windows jogosultságkezelése éppen azt szolgálja, hogy a programok csak akkora hozzáférést kapjanak, amekkorára ténylegesen szükségük van. A felhasználóknak viszont azt is meg kell érteniük, hogy a rendszer védelme és a saját adataik védelme nem teljesen ugyanaz a feladat.
Költs kriptóból közvetlenül a Kraken Krak Mastercarddal!
MI A TEENDŐD?- Regisztrálj a Krakenre a linkünkkel.
- Igényeld meg ingyenesen a Krak Cardot.
- Add hozzá Apple Payhez vagy Google Payhez.
- Vásárolj közvetlenül Kraken egyenlegedről akár 400+ kripto- és fiat eszközzel.
- Élvezd a 2% cashback-et a vásárlások után, havi vagy éves kártyadíj nélkül!
