Perdonatemi, ho dimenticato nel primo post un passo molto importante (aggiungo adesso)
- Dopo aver seguito i passi prima elencati, avviate REGEDIT, e per ogni ramo andate nei permessi (menu contestuale->permissions), aggiungete l'utente NoChange e consentite soltanto il permesso di lettura.
Quote:
|
Se però si utilizzano browser differenti allora la procedura di sandboxing è valida.
|
Quote:
|
PS: in generale la procedura di sandboxing è utile con tutti quei programmi che devono necessariamente dialogare con Internet.
|
Esatto
Quote:
Originariamente inviato da sirus
Dipende.
Internet Explorer 7.0 è già eseguito in una sandbox in Windows Vista e questa sandbox è attiva finché lo è UAC.
|
Anche con la modalita' di esecuzione in UAC di IE7 sotto Vista, hai i seguenti vantaggi:
- hai la quasi certezza di negare l'esecuzione di qualunque cosa dal contesto del browser, al di fuori del browser stesso, poiche' l'utente NoChange con cui il browser viene eseguito NON puo' eseguire da se' altre applicazioni; dunque se anche una vulnerabilita' venisse sfruttata, sarebbe molto difficile - per quanto se ne sa al momento - che esso riuscisse a bypassare la negazione dell'esecuzione e sfruttare quella vulnerabilita' per far eseguire un processo/eseguibile esterno (es. un malware scaricato con un attacco drive-by) attraverso il browser, mentre dall'interno del browser stesso sarebbe altrettanto difficile avviare comandi nocivi per via sia delle limitazioni dell'LUA NoChange sia perche' in aggiunta, come descritto in precedenza e riportato subito qui di seguito, la scrittura su disco e su registro e' negata
- hai la quasi certezza di negare che un processo non autorizzato scriva o sovrascriva qualcosa su disco (qualunque locazione essa sia) attraverso il browser
- hai la quasi certezza di negare la scrittura e la modifica del registro (quindi virus, spyware ecc non potrebbero facilmente sporcare il sistema)
Queste "quasi certezze" (che al momento per me sono praticamente piene, dato che non ho ancora sentito di vulnerabilita' in grado di bypassare limitazioni dell'utente sui processi, sul disco, e sul registro allo stesso tempo e questo attraverso un browser eseguito in una modalita' gia' ristretta per via dello LUA) sono "quasi" solo perche' "non si puo' mai sapere"
IMHO anche sotto Vista quando suggerito e' una protezione aggiuntiva, e il motivo e' semplice: quando usi UAC alla fine e' come se usassi (piu' o meno) un processo con delle restrizioni, ma all'interno del contesto di un utente che, nativamente, e'
quasi amministratore a meno di configurazione diversa.
Nel modo suggerito, invece, l'utente con cui il processo viene avviato e', forzatamente,
limitato gia' di per se'.
Questo comporta due cose molto importanti:
1. E' tecnicamente molto piu' probabile bypassare delle restrizioni nel contesto di un utente amministratore, che effettuare una scalata di privilegi da LUA ad amministratore in una situazione in cui esecuzione e scrittura sia su disco che su registro (e il registro e'
importante soprattutto perche' e' all'interno di esso che si definiscono i servizi di Windows e la loro modalita' di esecuzione)
sono entrambe negate
2. Vista ha una gestione delle installazioni IMHO & AFAIK
ridicola perche' ti forza ad eseguire un setup con privilegi di amministratore per come questa gestione e' stata implementata; con le restrizioni dello UAC, ma sempre amministratore.
Dico "ridicola" perche' in XP questo non accade e volendo, con le restrizioni sul software e una configurazione custom dei permessi, non solo puoi eseguire un setup come LUA, ma puoi anche restringere cosa quel setup
puo' fare.
Questo ha importanza significativa per due ragioni: a) se esegui un setup di qualcosa, ad esempio, scaricato,
in Vista esso girerebbe senza restrizioni, mentre in XP (e anche 2000) avresti la possibilita' limitare cio' che quel setup puo' fare (detto tra noi in realta' nessuno lo fa realmente; io per es. per semplicita' mi limito ad usare un altro utente nascosto per i setup - "SetupOnly" - che ha delle restrizioni su alcune cartelle del disco e alcune sezioni del registro nelle quali ci si aspetta che un normale setup
non scriva. Uso questo utente con RunAs ogni volta che installo una applicazione normale, giusto per essere sicuro di sapere dove quel setup puo' scrivere su disco e nel registro; non mi metto ovviamente a creare rules ad hoc per ogni specifico eseguibile ovviamente, perche' non sarebbe umano e quello che faccio con l'utente apposito e' forse gia' di per se esagerato, cio' non toglie che quello che dicevo e' una possibilita' presente in XP ma non in Vista.
Non ho idea del perche', non ho trovato ancora nessun articolo esplicativo in merito. Ma la mia personale opinione e' che Microsoft si stia fidando troppo di UAC, e questo e' un grossolano errore IMHO.
Tornando al discorso dei setup, questo vale in molti casi anche per plugins e componenti installati nel
browser (come gli addons di IE7) come ad es. roba tipo il plug in di Windows Media Player, quello di Flash, Java e cose di questo tipo; in effetti li esegui dal browser ma sono setup veri e propri riconosciuti da UAC e eseguiti comunque come
amministratore
Se dunque uno di questi plugins vuol fare roba illecita, potrebbe anche essere in grado di bypassare le restrizioni della UAC et voila'... UAC e' roba nuova, e non e' detto che cio' non sia possibile.
Col semplice sistema da me suggerito, invece, qualunque roba eseguita dal broeser - e dunque anche il setup di plugins - avviene nel constesto dell'utente limitato, quindi NON avrebbe lo stesso potere che - almeno teoricamente - avrebbe in Vista.
Vista ha introdotto molte cose e sinceramente non ci ho giocato ancora molto, pero' non sarei l'unico a far presente che non tutte le "innovazioni" introdotte sono cosi' ottimali come si potrebbe pensare a prima...ehm..."Vista"
('zzo sta frase me la quoterei da solo, che poeta che sono
)
Questa donna l'amo (ehm... in senso tecnico...amo solo la mia ihana dolce meta'
), adesso leggo.