בקרת חשבון משתמש - UAC מוסבר¶
מתקינים תוכנה, ופתאום המסך מתכהה ומופיעה הודעה - "האם ברצונך לאפשר לאפליקציה זו לבצע שינויים במחשב שלך". רוב האנשים פשוט לוחצים "כן" בלי לחשוב פעמיים, ולפעמים אפילו מנסים לכבות את ההודעה הזו לצמיתות כי היא "מעצבנת". אבל ההודעה הזו, שנקראת UAC, נבנתה בכוונה, ומטרתה חשובה יותר ממה שנראה במבט ראשון.
מה זה בעצם UAC¶
UAC, ראשי תיבות של User Account Control, הוא מנגנון בווינדוס שמפריד בין שתי רמות הרשאה - הרשאות משתמש רגילות, שמספיקות לרוב הפעולות היומיומיות, לבין הרשאות מנהל (administrator), שנדרשות לשינויים משמעותיים במערכת. גם משתמש שמוגדר כ-administrator לא רץ כברירת מחדל עם ההרשאות המלאות שלו - הוא רץ עם הרשאות רגילות, ורק כשתוכנית מבקשת במפורש הרשאות גבוהות יותר, UAC מציג את חלון האישור.
זה נקרא "עקרון ההרשאה המינימלית" - גם משתמש שיש לו הרשאות מלאות עדיף שירוץ ברירת מחדל עם הרשאות מוגבלות, ויקבל הרשאות גבוהות רק לרגע ורק כשבאמת נדרש, במקום לרוץ כל הזמן עם כוח מלא.
למה זה חשוב - הבעיה שלפני UAC¶
בגרסאות ווינדוס ישנות יותר, לפני שUAC הוצג, משתמש שהיה מוגדר כ-administrator רץ עם הרשאות מלאות כל הזמן, בלי שום שכבת אישור נוספת. הבעיה עם זה הייתה שכל תוכנה שרצה תחת אותו משתמש - כולל תוכנה זדונית שהצליחה לחדור למחשב - קיבלה אוטומטית את אותן הרשאות מלאות, בלי שהמשתמש בכלל ידע או אישר את זה.
UAC פותר את הבעיה הזו בכך שהוא מוסיף שכבת אישור מפורשת - גם אם תוכנית זדונית מצליחה לרוץ במחשב, היא עדיין תצטרך לעבור את מסך UAC כדי לקבל הרשאות מנהל, מה שנותן למשתמש הזדמנות אחרונה לשים לב שמשהו חשוד קורה ולסרב.
מה בעצם מפעיל את חלון UAC¶
לא כל פעולה מפעילה את UAC - רק פעולות שנחשבות משמעותיות מספיק, כמו התקנת תוכנה חדשה, שינוי הגדרות מערכת קריטיות, עריכת קבצים בתיקיות מוגנות של מערכת ההפעלה, או הרצת תוכנית ששינתה את עצמה לדרוש הרשאות גבוהות באופן מפורש. פעולות יומיומיות רגילות - פתיחת מסמך, גלישה באינטרנט, עריכת תמונה - לא מפעילות אותו כלל, כי הן לא זקוקות להרשאות גבוהות.
רמות הרגישות של UAC¶
ווינדוס מאפשר לשלוט בכמה UAC "רגיש" לפעולות - מהגדרה שמציגה אישור על כל פעולה, ועד הגדרה שכמעט אף פעם לא מציגה אישור. חשוב להבין שהורדת הרגישות לא מבטלת את הבעיה שUAC פותר, היא רק מבטלת את ההתראה - ההרשאות הגבוהות עדיין ניתנות, פשוט בלי לשאול. מומחי אבטחה כמעט תמיד ממליצים להשאיר את UAC ברמת ברירת המחדל שלו, ולא לכבות אותו לגמרי, למרות הפיתוי לעשות זאת רק כדי להיפטר מההודעות.
איך להתייחס נכון להודעת UAC¶
הכלל הכי חשוב הוא פשוט - לקרוא בפועל מה מבקש את ההרשאה, לא רק ללחוץ "כן" באוטומטיות. אם התקנתם תוכנה בעצמכם ומופיע חלון UAC בעקבות זה, זה תקין וצפוי. אבל אם חלון UAC מופיע פתאום בלי שיזמתם שום פעולה שדורשת אותו, זה סימן שכדאי לעצור ולחשוד, כי משהו שרץ ברקע מנסה לקבל הרשאות גבוהות בלי שביקשתם זאת.
לסיכום¶
UAC הוא לא הודעה מעצבנת שכדאי לכבות, אלא רשת ביטחון אחרונה שמפרידה בין תוכנה שרצה בהרשאות רגילות לבין תוכנה שיכולה לשנות את המערכת עצמה. ההרגל הפשוט של לקרוא רגע לפני ללחוץ "כן" הוא אחד הצעדים הקטנים והיעילים ביותר לאבטחת מחשב ווינדוס.
רוצים להעמיק עוד באבטחת מחשבי ווינדוס בסיסית? יש לנו קורס ווינדוס בסיסי מלא בחינם שבונה את הידע הזה שלב אחרי שלב.
יש לכם שאלה על UAC או הרשאות בווינדוס? בואו לדבר בדיסקורד.