魚(yú)與熊掌的困惑 - Windows 7中的UAC

Win7之家（ m.airtaxifl.com）：魚(yú)與熊掌的困惑 - Windows 7中的UAC

 自從Windows 7的UAC漏洞被公布以來(lái)，有關(guān)UAC的討論就從未停止過(guò)。昨天，國(guó)外著名網(wǎng)站Ars Technica發(fā)表了題為“觀點(diǎn)：Windows 7中的UAC一團(tuán)糟 - 修復(fù)或者放棄吧”的文章再次引發(fā)了有關(guān)UAC的爭(zhēng)論。

事件回放

今年1月底，國(guó)外知名博客作者Longzheng發(fā)表文章稱發(fā)現(xiàn)了Windows 7中UAC的重大漏洞。在文章中，他介紹了該漏洞：

“在WIndows 7 Beta中，UAC的默認(rèn)狀態(tài)為“只在程序?qū)ο到y(tǒng)作出更改時(shí)提醒我”和“當(dāng)我對(duì)系統(tǒng)設(shè)置進(jìn)行更改時(shí)不提示”。那么，系統(tǒng)是如何區(qū)分這兩種操作的呢？數(shù)字簽名。那些管理Windows設(shè)置的軟件都有特殊的Windows 7數(shù)字簽名，因此，當(dāng)用戶通過(guò)控制面板更改計(jì)算機(jī)設(shè)置時(shí)，UAC不會(huì)彈出。

而Windows 7的罩門就在于UAC設(shè)置同樣是系統(tǒng)設(shè)置的一部分，因此，由于默認(rèn)的UAC設(shè)置，當(dāng)用戶對(duì)UAC設(shè)置進(jìn)行改動(dòng)時(shí)，UAC也不會(huì)彈出。現(xiàn)在大家都知道問(wèn)題所在了吧。也就是說(shuō)，只要用軟件模擬一系列的鍵盤操作，就可以輕松關(guān)閉UAC，這就為病毒、木馬大開(kāi)方便之門了。”

隨后，在2月初，Longzheng再次稱UAC問(wèn)題擴(kuò)大化，這次惡意軟件可以將自己的權(quán)限提升至超級(jí)管理員權(quán)限，而不會(huì)觸發(fā)UAC，也不用關(guān)閉UAC。而事實(shí)上，惡意軟件甚至可以悄無(wú)聲息地關(guān)閉UAC。這對(duì)微軟而言，可不是個(gè)好消息，對(duì)當(dāng)前的Windows 7 Beta用戶也不是什么好新聞，至少已經(jīng)存在安全風(fēng)險(xiǎn)了。對(duì)此，他建議所有Windows 7 Beta用戶將UAC級(jí)別設(shè)置為高以減少安全風(fēng)險(xiǎn)。

詳情參見(jiàn)：

Windows 7 Beta中的UAC現(xiàn)Bug

Win 7 UAC問(wèn)題擴(kuò)大 - 可被隨意關(guān)閉

UAC現(xiàn)狀

這樣的情況讓微軟陷入了一種兩難的境地，由于上述漏洞的存在，目前的UAC遠(yuǎn)不如Vista下的安全；但如果微軟為了用戶安全進(jìn)行修復(fù)的話，那又勢(shì)必會(huì)影響用戶使用，招致Vista時(shí)的惡名。有一種解決方法就是，微軟在這兩者之間找到一個(gè)平衡點(diǎn)，但是...顯然不是那么容易的事情。

Ars Technica認(rèn)為，微軟應(yīng)該在Windows 7正式版發(fā)布之前盡快修復(fù)該漏洞，如果能保留易用性最好，如果不能保留也應(yīng)該以安全性為重，不然整個(gè)系統(tǒng)就與以管理員身份登錄的XP無(wú)異了，這也違背了UAC設(shè)計(jì)的初衷了。與其這樣還不如干脆就撤銷掉。

一點(diǎn)感想

現(xiàn)在的問(wèn)題是，微軟迫切需要一款系統(tǒng)來(lái)挽回Vista帶來(lái)的損失，拯救微軟，幫助其度過(guò)難關(guān)。那么，保留Vista樣式的UAC是否會(huì)導(dǎo)致用戶反感？畢竟，病毒不會(huì)天天找上用戶，但UAC幾乎天天會(huì)彈出。當(dāng)初沒(méi)有UAC，Windows XP也賣得很好；有UAC的Vista卻表現(xiàn)不佳，盡管UAC不是最主要的原因，但微軟是否會(huì)冒這個(gè)險(xiǎn)就很難說(shuō)了。是以用戶利益為本還是以自身利益為主，這就要看微軟的決定了。其實(shí)如果用戶可以理解并親自體驗(yàn)一下的話，肯定會(huì)贊同以安全為本，使用Vista近兩年，一點(diǎn)沒(méi)覺(jué)得UAC帶來(lái)了多少煩惱，多點(diǎn)一下鼠標(biāo)換來(lái)安全性上的極大提升，我覺(jué)得比某些**殺毒軟件強(qiáng)多了。