【軟媒編譯】魚和熊掌 - Windows 7 UAC中的Bug無法修復(fù)

Win7之家（ afsion.com.cn）：【軟媒編譯】魚和熊掌 - Windows 7 UAC中的Bug無法修復(fù)

 Windows 7中的UAC自從Beta版本以來就一直處于風(fēng)口浪尖中，而國外博客作者LongZheng自從發(fā)現(xiàn)了Windows 7 UAC的Bug后，一直就沒停止關(guān)注過。日前，LongZheng再次撰文指出了Windows 7中UAC的漏洞是無法修復(fù)的，微軟也不會去修復(fù)了。LongZheng寫道：

我承認(rèn)，我并未程序員，對Windows工作的內(nèi)咋原理了解得也不多。但，作為一名電腦愛好者，我覺得我對UAC有著基本的了解，比如，UAC是什 么，是如何工作的以及UAC存在的原因等。但最近Windows部門主管Mark Russinovich的文章改變了我的看法。在文中，Mark Russinovich說：

“UAC彈出窗口存在的價(jià)值在于當(dāng)有軟件試圖對系統(tǒng)文件進(jìn)行更改時(shí)可以及時(shí)通知用戶并給予用戶阻止更改的機(jī)會。”

說到這，可能有人會想起幾個(gè)月前有人發(fā)現(xiàn)的UAC Bug，還不清楚的可以跟我一起來回顧一下：

【Vista之家譯】Windows 7 Beta中的UAC現(xiàn)Bug

【Vista之家譯】Win 7 UAC問題擴(kuò)大 - 可被隨意關(guān)閉

【Vista之家譯】UAC再添亂 - Windows 7 RC現(xiàn)權(quán)限Bug

但這次，Longzheng稱另一個(gè)Bug出現(xiàn)了，而且比之前那個(gè)還要嚴(yán)重。

該Bug是由國外研究人員Leo Davidson發(fā)現(xiàn)的，黑客可以通過代碼注入的方式輕松突破Windows 7中的UAC限制。也就是說，在中等UAC級別下，軟件可以在不彈出UAC的情況下運(yùn)行任意代碼或其他需要管理員權(quán)限才能運(yùn)行的程序。

關(guān)于此問題，Mark Russinovich也作出了解釋：

“有些人已經(jīng)發(fā)現(xiàn)了Windows 7中UAC的漏洞，黑客通過標(biāo)準(zhǔn)用戶即可運(yùn)行一些本來需要管理員身份才能運(yùn)行的軟件。也就是說，惡意軟件可以利用同樣的方法取得系統(tǒng)管理員權(quán)限。確實(shí)，跟Vista相比，Windows 7中的UAC沒那么安全了。”

關(guān)于UAC的問題，可以說是擺在微軟面前的一大難題，微軟已經(jīng)無法去修復(fù)此問題了，因?yàn)檫@不是技術(shù)上的問題了已經(jīng)，而是易用性和安全性之間的矛盾。 微軟唯一能做的，就是告訴用戶UAC默認(rèn)級別和“總是提醒”級別之間的區(qū)別。如果用戶為了保證易用性原因犧牲安全性的話，那微軟也無話可說。

附部分原文：

I admit, as a non-programmer, I have very little knowledge about the inner-workings of Windows. However, as an enthusiast, I thought I had a basic but firm understanding of what User Account Control is, how it works, and why it exists.
...