Stara Uniksowa zasada "nieprzemakalnego płaszcza bezpieczeństwa" polega na pracy bez uprawnień administracyjnych. Windowsy też to powinny realizować, ale .... no właśnie. Najkrócej mówiąc dlaczego praca jako administrator jest niebezpieczna i nie powinna mieć miejsca w codziennym użytku: szkodniki internetowe (trojany i inne malware) automatycznie dziedziczą uprawnienia użytkownika, więc będąc administratorem "przyzna się" im pełną kontrolę nad systemem. Gdyby każdy dostosował się do zasady używania konta limitowanego, można zamknąć dział Wirusy. Wstęp i opisy metod muszą być nieco rozbudowane by przeznaczenie aplikacji stało się w pełni jasne a użytkownicy z nich korzystający nie załatwili się niemożnością powtórnego logowania na swoje konto:

Unix - Unixy posiadają dwie komendy rozwiązujące sprawę bezpiecznej "bezadministracyjnej" pracy: su (= substitute user / zamień użytkownika) oraz sudo (= superuser do). Komenda su umożliwia przełączenie aktywnego użytkownika bez konieczności wylogowania się. Dla odmiany komenda sudo umożliwia wybranym użytkownikowi wywołanie zadania z podniesionymi uprawnieniami superuser, ale bez przełączania użytkownika i jego kontekstu.

Windows Vista - Posiada natywnie wbudowany system podnoszący bezpieczeństwo pracy w środowisku administratora, w postaci tzw. UAC (User Account Control). Wariacja rozwiązana w taki sposób, iż użytkownik posiada konto administratora aczkolwiek domyślnie pracuje ono w środowisku standardowym a zadania typowo administracyjne wymagają zatwierdzenia. Niemniej UAC to nie jest sudo. Mylącą kwestią w tej materii jest tryb Admin Approval Mode (zapytanie o potwierdzenie swej tożsamości sugeruje sudo).

Windows 2000/XP/2003 - Imitacja su zrealizowana pod postacią opcji Uruchom jako, która umożliwia uruchomienie programu przy użyciu innego konta i kontekstu zabezpieczeń niż te, których użytkownik użył do zalogowania się (oczywiście musimy znać hasło konta na które mamy przełączyć aplikację).
Sama praca z poziomu czystego konta limitowanego nastręcza różne trudności głównie z pracą programów, które nie chcą działać i wymagają uprawnień administracyjnych. By to usprawnić i zagwarantować, że limitowane konto będzie miało wszystkie potrzebne nam uprawnienia dla softów, jest wymagana żmudna procedura śledcza opisana w tym artykule MS: Jak w praktyce stosować zasadę minimalnych uprawnień (na forum mały przykład: klik). Dla przeciętnego użytkownika jest to awykonalne i wszyscy jadą na koncie o uprawnieniach administracyjnych, "bo tak jest wygodniej". Pod tym kątem można dobrać pomoce umożliwiające szybkie przestawienie uprawnień bez skomplikowanych procedur i faktycznej znajomości tematyki. Może się to odbywać w dwóch kierunkach:







Mniej bezpieczny kierunek. Metoda opiera się na obniżeniu uprawnień dla wybranych przez nas "czułych" aplikacji, które mogą brać udział w narażaniu bezpieczeństwa komputera (typowo pod uwagę internetowe aplikacje: przeglądarki, klienty poczty, komunikatory...). Czyli jesteśmy administratorem, ale wybrane przez nas programy zostaną zastartowane jako limitowane. W potocznym nietechnicznym rozumieniu jest to zbliżone do Internet Explorer Protected Mode w Viście. Metoda nie narusza układu grup i nie przenosi naszego konta do innej grupy. Opiera się na wdrażaniu tzw. Software Restriction Policy (aka SAFER) (Windows 2000 tego nie obsługuje, zaimplementowane dopiero od XP Pro w górę). Wywód skrócę tyle ile się da, wizualizując na przykładzie XP Pro (Home nie posiada przystawki secpol):

XP Pro / 2003:

Start >>> Uruchom >>> secpol.msc >>> Software Restriction Policies (Zasady ograniczeń oprogramowania) >>> Security Levels (Poziomy zabezpieczeń):

Domyślnie widać tu tylko dwa skrajne poziomy: Disallowed (Niedozwolone) i Unrestricted (Bez ograniczeń). W istocie poziomów jest więcej (ale są tu ukryte = jest trik rejestru to włączający na widoczne) i to one będą brały udział w naszym zadaniu. Te dodatkowe poziomy to:

Basic user / Użytkownik podstawowy - Zwykły limitowany użytkownik a nie administrator czy użytkownik zaawansowany.
Constrained / Z ograniczeniami - Kolejne zmniejszenie praw
Untrusted / Niezaufane - Kolejne zmniejszenie praw

Z punktu widzenia przydatności zalecane ustawienie to Użytkownik podstawowy (i to eksponuję w przykładach), programy powinny działać w miarę przyzwoicie. Kolejne poziomy w dół czynią aplikację coraz mniej użyteczną a nawet uniemożliwiają jej start. Tryb Niezaufane prawie bezużyteczny, większość aplikacji pada, nie chce startować nawet zwykły Notatnik.

W dalszej części tematu przedstawionych kilka aplikacji realizujących SAFER na tych właśnie pośrednich poziomach. Ogólnie czynią to wg dwóch metod: przez wywoływanie funkcji API (tak działają programy: DropMyRights i Process Explorer) lub przez statyczną zasadę secpol.msc (tak działa SetSAFER).







Zalecany kierunek, praca na koncie limitowanym z podwyższaniem uprawnień na życzenie. Zasady działania programów opiszę zbiorczo. Ogólnie rzecz biorąc są emulacją sudo Unixów, powiedzmy że są rozwiązaniem dla tych, którzy pragną posiadać coś a'la UAC Visty, choć jak zaznaczone wcześniej nie są to te same rzeczy. Narzędzia te opierają się na automatycznym utworzeniu nowej grupy użytkowników (zwykle nazwa Sudoers lub coś brzmiącego podobnie) i przypisanie tam naszego konta jako znak, że konto może stosować sudo. Program powinien dodać nasze konto automatycznie do Sudoerów poprzez pytanie o taką akcję albo przy instalacji albo przy pierwszej próbie użycia opcji. Ale jeśli to nie nastąpi jest wymagane ręczne przypisanie się do tej grupy (oczywiście siedząc jeszcze na koncie o uprawnieniach administracyjnych):

XP Pro / 2003:

Start >>> Uruchom >>> lusrmgr.msc >>> Grupy >>> dwuklik na nową grupę Su... i opcją Dodaj wprowadzić wszystkie konta, które mają dostać pozwolenie na korzystanie z sudo.

XP Home:

Nie posiada bezpośredniej możliwości ingerowania w grupy. Przypisanie do grupy trzeba wykonać z linii komend Start >>> Uruchom >>> cmd przez wpisanie polecenia:

net localgroup NazwaGrupySu "NazwaTwojegoKonta" /add

Po wylądowaniu w grupie Su... musimy się przelogować, gdyż tylko w tym momencie Windows ładuje przynależność grupową. Z technicznego punktu widzenia nasze konto staje się kontem limitowanym. Oczywistym znakiem limitacji brak możliwości wywołania typowo administracyjnych narzędzi i brak trybu zapisu do system32, zobrazowane charakterystycznym błędem Odmowa dostępu. Reszta "mankamentów" wyjdzie na jaw przy uruchamianiu / instalowaniu niektórych aplikacji. Będąc takim "sudoerem", w przypadku konieczności wyegzekwowania programu / instalacji programu z uprawnieniami administratora, wywołujemy tylko stosowną opcję (a jaką to zależy już od programu), zostaniemy poproszeni o autoryzację (czyli wpisanie naszego hasła = musimy mieć zahasłowane konto). Nie zawsze prośba o hasło będzie ponawiana w kółko - to już zależy od tego w jaki sposób programy zarządzają tym hasłem.

Trik, którym posługują się programy w trakcie podwyższania uprawnień, to czasowe przesuwanie użytkownika do grupy admin, a po ukończeniu tasku administracyjnego jego usunięcie z tejże grupy. Dzieje się to automatycznie i bez faktycznego opuszczania naszego konta i jego kontekstu, w przeciwieństwie do Windowsowej opcji Uruchom jako. Co to oznacza?

• Opcja Uruchom jako: Aplikacje widzą cudze środowisko, czyli Pulpit / Menu Start etc tego użytkownika na którego przełączyliśmy aplikację. Więc tworzone skróty lądują w innych ścieżkach (niedostępnych z poziomu naszego konta).
• Wywołanie przez "sudo": Aplikacje widzą prawidłowo środowisko konta czyli nasz Pulpit / Menu Start etc., skróty instalacyjne programów lądują w prawidłowych i spodziewanych ścieżkach dostępu. Soft zainstalowany metodą "sudo" jest "własnością" tego użytkownika i może być po instalacji konfigurowalny przez niego (i to nawet bez ponowienia sudo). Z tym, że tutaj są dość sprzeczne zalecenia: wygoda vs. maksymalne bezpieczeństwo. Pod kątem max zabezpieczeń należałoby jednak przekonfigurować ustawienie właściciela w taki sposób, by domyślnie właścicielem zostawała grupa administratorów a nie użytkownik korzystający z sudo.

W dalszej części tematu opisane trzy implementacje sudo dla Windows: SuRun, Sudowin, SuDown.







Dodatki do określonych aplikacji podające informacje w jakim stanie zabezpieczeń zostały uruchomione:


PrivBar

Platforma: Windows XP/2003/Vista 32-bit i 64-bit
Licencja: freeware

Pasek narzędziowy dla Windows Explorer i Internet Explorer podający aktualny status uprawnień. Montaż (wymaga uprawnień admina): rozpakować pobraną paczkę, zarejestrować plik PrivBar poprzez wpisanie w Start >>> Uruchom polecenia regsvr32 "ścieżka dostępu do PrivBar.dll". Po tej akcji wystarczy tylko włączyć nowy pasek w Windows Explorer lub Internet Explorer w menu Widok >>> Paski narzędziowe >>> PrivBar. Windows 2003: należy uaktywnić dodatkową domyślnie wyłączoną opcję IE: Opcje internetowe >>> Zaawansowane >>> Włącz rozszerzenia przeglądarki innych firm.
Domyślnie pasek ląduje w nieszczególnej pozycji, ale można to wszystko skorygować odblokowując paski narzędzi i przesuwając sobie PrivBar w wybrane miejsce. Dodatkowy tip: wielokrotny klik na lewą krawędź paska ustawia kilka predefiniowanych rozmiarów. Kolorystyczna mapka uprawnień:
. Administrator . Użytkownik zaawansowany . Użytkownik podstawowy .. Z ograniczeniami

Klik na kolorowe kółeczko uruchamia nowe okno ze szczegółowymi informacjami o przywilejach. Tam pokazuje się totalna miazga




IsAdmin

Platforma: Windows XP/Vista
Licencja: freeware

Wtyczka do Firefoxa i Thunderbirda, wizualizująca poprzez ikonkę status uprawnień uruchomienia programu.




Natomiast co jeśli nie chcemy tego instalować, lub chcemy sprawdzić inne aplikacje? Jest jeszcze inny sposób zbadania czy program działa w trybie ograniczonym, za pomocą naszego doskonałego menedżera procesów Process Explorer. Na liście procesów dwuklik na proces, przejść do zakładki Security, podświetlić grupę Administratorów. Jeśli widnieje tam Deny a w Privilages tylko SeChangeNotifyPrivilege to proces jest uruchomiony w limitowany sposób. Jeśli brak Deny to proces pracuje na poszerzonych uprawnieniach.




Więcej informacji, sztuczek i opisów znajdziecie na tych stronach:

http://blogs.msdn.com/aaron_margosis/default.aspx
http://blogs.msdn.com/michael_howard/
http://technet.microsoft.com/en-us/library/bb456992.aspx

Inne rozwiązania sudo-like plus kolekcja różnych narzędzi przydatnych z punktu widzenia pracy w środowisku limitowanym na tych stronach:

http://nonadmin.editme.com/UsefulTools
http://kareldjag.over-blog.com/article-6649283.html

Process Explorer

Platforma: Windows XP/2003 (działa też na innych systemach, ale pod kątem opcji tylko te)
Licencja: freeware

Ogólny menedżer procesów. Pomijając jego bogate możliwości, interesującą tu nas funkcją jest opcja uruchamiania aplikacji w trybie limitowanym. Z technicznego punktu widzenia metoda prowadzenia akcji identyczna jak narzędzia DropMyRights. Z użytkowego punktu widzenia operacja nie opiera się na tworzeniu skrótów lecz wywołaniu z menu File opcji Run as limited user, a w polu dialogowym przypominającym Uruchom wskazanie ścieżki dostępu do aplikacji mającej zostać uruchomioną w taki sposób. Dokładniej o tej metodzie w blogu autora. Jest tam też wzmiankowana alternatywna metoda z linii komend poprzez narzędzie PsExec.




DropMyRights

Platforma: Windows XP/2003
Licencja: freeware

Narzędzie Microsoftu, oficjalnie nie wspierane. Szczegółowy opis związany z jego użytkowaniem jest zlokalizowany w artykule speca od bezpieczeństwa Michaela Howarda: Browsing the Web and Reading E-mail Safely as an Administrator. Skrócę do esencji uruchamiania programu, wg dwóch sposobów:

1.

DropMyRights jest programem konsolowym i obsługuje następującą składnię polecenia:

DropMyRights {ścieżka dostępu do exe} [N|C|U]

Przełącznik umożliwia trójstopniowe degradowanie uprawnień dla programu: N (Użytkownik podstawowy), C (Z restrykcjami), U (Niezaufane). Jeśli polecenie ustawiono bez żadnego przełącznika, jest realizowana automatycznie opcja N.

2.

Najprostszym sposobem uruchomienia aplikacji z obniżonymi uprawnieniami przez DropMyRights, bez ręcznego wklepywania w linii komend, jest utworzenie nowego skrótu do aplikacji. Skrót do danej aplikacji tworzymy tradycyjną metodą: prawy klik na tło Pulpitu / folderu >>> Nowy >>> Skrót. Skrótowi można przypisać dowolną nazwę identyfikacyjną. W jego Właściwościach dokonujemy modyfikacji ścieżek dostępu i parametrów wg następującego modelu:

W polu Element docelowy / Target wpisujemy pełną ścieżkę do DropMyRights.exe a po niej pełną ścieżkę do naszego programu (jeśli obie posiadają spacje muszą być zamknięte przez cudzysłów):

"C:\Program Files\DropMyRights\DropMyRights.exe" "C:\Program Files\Nasz program\program.exe"

Opcjonalnie (nie jest to konieczne) po ścieżkach dodajemy przełącznik (N / C / U) precyzujący dokładniejszy rodzaj limitacji.

W polu Rozpocznij w: / Start in: podajemy katalog programu DropMyRights.

Kosmetycznie przypisujemy nową ikonkę.

HShellExtPack

Metoda ciągłego tworzenia skrótów może w końcu zmęczyć. Powstał dodatek HShellExtPack do DropMyRights, wprowadzający do menu kontekstowego plików wykonywalnych opcje uruchamiania w różnym trybie. Instalacja dodatku sprowadza się do przekopiowania z rozpakowanej paczki plików HShellExtPack.dll i Launcher.exe do katalogu uwzględnionego w jednej ze zmiennych środowiskowych. Np. C:\WINDOWS\system32. Następnie należy plik zarejestrować poleceniem regsvr32 "ścieżka dostępu do HShellExtPack.dll".

Wada metody DropMyRights: program działa jako limitowany tylko poprzez ten specjalny skrót. Każda inna metoda wywołania aplikacji np. via trzeci program (nie patrząc daleko klik w link www w Gadu-Gadu) uruchamia go z pełnymi uprawnieniami. Dlatego też proszę spójrzcie na metodę realizowaną przez program SetSAFER.



StripMyRights

Platforma: Windows XP/2003
Licencja: freeware

Ulepszony podpicowany klon DropMyRights, dodający nową ciekawą funkcjonalność. Narzędzie należy umieścić w folderze C:\WINDOWS\system32. Można wdrożyć trzy różne tryby użytkowania StripMyRights:

1.

Tak jak DropMyRights czyli z linii komend lub przez utworzony skrót poprzez polecenie o składni:

StripMyRights.exe [/L N|C|U] {ścieżka dostępu do exe}

np.:

StripMyRights.exe /L N "C:\Program Files\Internet Explorer\iexplore.exe"

Wady metody: takie same jak dla DropMyRights czyli wywołanie aplikacji w inny sposób niż ten skrót uruchamia ją na uprawnieniach administracyjnych. Problem poniekąd rozwiązują alternatywne metody opisane poniżej.

2.

Uruchamianie StripMyRights jako debugger dla danej aplikacji. Polecenie wygląda inaczej, ma dodatkowe parametry:

StripMyRights.exe {/D | /DW} [/L N|C|U]

np.:

StripMyRights.exe /D /L N

Nie podaje się ścieżki dostępu do exe aplikacji, Windows sam je zinterpretuje na podstawie zapisu w rejestrze (patrz niżej).

By ustawić dla konkretnej aplikacji debugowanie przez StripMyRights, wymagany jest import do rejestru odpowiedniego wpisu w kluczu Image File Execution Option, wg modelu (tu przykład iexplore.exe = można pod to podstawić nazwę exeka dowolnej aplikacji):

KOD

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iexplore.exe]
"Debugger"="StripMyRights.exe /D /L N"

Zalety metody: uruchomiona aplikacja będzie działać w trybie limitowanym dla wszystkich użytkowników komputera, a jedyną możliwością uruchomienia jej z uprawnieniami admina będzie zmiana nazwy exe aplikacji. Wady metody: ucierpi nieco funkcjonalność, np. bezpośrednie otwieranie linków www z Uruchom w Menu Start zwróci błąd, jeśli proces przeglądarki nie będzie jeszcze uruchomiony w tle (ponowienie załatwi sprawę).

3.

Uruchamianie aplikacji poprzez kopię programu StripMyRights. W tym przypadku trzeba wykonać mix na plikach i ich nazwach. W folderze aplikacji, która ma zostać uruchomiona w trybie limitowanym, zmieniamy nazwę exeka aplikacji na nazwa.exe.orig (np. iexplore.exe.orig) a obok umieszczamy kopię programu StripMyRights.exe zmieniając mu nazwę na exeka aplikacji (np. iexplore.exe). Uruchomienie takim sposobem powoduje, że kopia StripMyRights.exe ubrana pod nazwą procesu aplikacji sprawdza obecność pliku nazwa.exe.orig, a w przypadku jego znalezienia wywołuje nasz program w trybie ograniczonych uprawnień. Zalety tego triku: tak uruchomiona aplikacja będzie działać w trybie limitowanym dla wszystkich użytkowników komputera, poza tym można wywołać nasz program z uprawnieniami admina wskazując po prostu plik nazwa.exe.orig. Wady: w tej metodzie nie ma możliwości wyboru poziomu zabezpieczeń (start z domyślnym parametrem /L N), wszelkie aktualizacje czy naprawy spowodują powtórne podstawienie pod exeka oryginalnego programu....

StripMyRights Enhanced

Jest też w internecie linkowana "autoinstalacyjna" mini paczka StripMyRights Enhanced. Jest to nic innego jak spakowane razem: StripMyRights + PrivBar + pliki rejestru dodające w menu kontekstowym opcje uruchamiania z ograniczeniami = wszystko ubrane w prosty plik batch automatyzujący zbiorowy montaż. Nie musicie tego jednak montować .... StripMyRights + PrivBar można zainstalować w sposób oddzielny.

SetSAFER

Platforma: Windows XP/2003 + zainstalowane .NET Framework
Licencja: freeware

Eksperymentalne narzędzie MS. Szczegółowy opis metody w kontynuacji artykułowej: Browsing the Web and Reading E-mail Safely as an Administrator, Part 2. Generalnie jest to wzmocnienie metody realizowanej przez DropMyRights / Process Explorer, znacznie od niej lepsze. Zamiast wywołań API jest ustalona sztywna reguła wymuszająca startowanie danej aplikacji zawsze w trybie limitowanym. To oznacza brak wymogów tworzenia specjalnych skrótów. Aplikacja uruchomiona w dowolny sposób (np. przez klik w skrót URL na Pulpicie, link w e-mailu) zawsze startuje jako limitowana. Instalacja SetSAFER automatycznie tweakuje rejestr, czego wynikiem jest uwidocznienie w przystawce secpol.msc nowego poziomu Użytkownik podstawowy. Autor celowo zrezygnował z uwzględniania reszty limitowanych poziomów, uznając że są zbyt nieprzewidywalne dla zachowania się aplikacji. Aplikacje planowane do startu w trybie ograniczonym należy dodać ręcznie poprzez bezpośrednią edycję pliku konfiguracyjnego setSAFER.xml z folderu C:\Program files\SetSAFER\bin\Release. Domyślna zawartość tego pliku setSAFER.xml posiada tylko trzy zapisy:



By dodać nasze aplikacje należy tylko zreplikować linie z app, w comment wstawiając nazwę aplikacji, w path jej ścieżkę dostępu, w user precyzując czy ma startować jako limitowana (true) czy bez ograniczeń (false). Jako ścieżkę można zapisać konkretne exe lub cały folder aplikacji, co spowoduje, że wszystkie exe z jego obrębu odziedziczą to samo ustawienie (proszę nie dodawać folderów systemowych!). Przykładowo dopiszmy Operę:



Natomiast uruchomienie graficznej wersji narzędzia SetSAFER.exe pozwoli włączać / wyłączać z trybu limitowanego aplikacje już dodane via plik setSAFER.xml:


UWAGA: Jeśli aplikacja ma inną ścieżkę dostępu niż specyfikowana w pliku XML, restrykcje nie działają. Należy o tym pamiętać aktualizując / przemontowując / przenosząc soft. Jeśli ląduje on w innej ścieżce dostępu, trzeba to dokorygować w XML. Ten fakt można też wykorzystać do lekkiego oszustwa: jeśli skopiujemy sobie np. na Pulpit exe aplikacji poddanej limitacji, z tego extra exeka możemy uruchomić aplikację bez limitów (oczywiście = ścieżka się nie zgadza).

UWAGA: Narzędzie SetSafer z głównego linka zostało stworzone przed pojawieniem się finałowej wersji .NET Framework 2.0. Jeśli na komputerze jest .NET Framework 2.0 uruchomienie aplikacji wywali błąd. W takiej sytuacji należy pobrać zmodyfikowany exek narzędzia: klik, i zamienić nim ten oryginalny w folderze C:\Program files\SetSAFER\bin\Release.

SetSAFER jest sporym uproszczeniem dla przeciętnego użytkownika, choć oczywiście bazując na opisie z artykułu można zrezegnować z tej aplikacji i wykonać wszystko ręcznie (tylko na XP Pro / 2003, na XP Home z powodu oczywistych braków najlepsza alternatywa to po prostu SetSafer).

SuRun

Platforma: Windows 2000/XP/2003/Vista 32-bit i 64-bit
Licencja: GPL (open source)

SuRun - Implementacja sudo dla Windows inspirowana programem SuDown i przewyższająca metodologią i bezpieczeństwem pierwowzór. Z kosmetycznego punktu widzenia jest najbliżej "UAC". Program wykorzystuje system bezpiecznego Pulpitu do interakcji z użytkownikiem. Podczas autoryzacji lub konfigurowania programu Pulpit nie jest dostępny dla innych aplikacji (hooki klawiaturowe i myszkowe również nie będą działać). Wizualnie jest to zobrazowane poprzez zaciemnienie tła pod dialogiem. SuRun integruje się z menu kontekstowym i dodaje opcje: Control panel as admin... (uruchomienie Panelu sterowania jako admin) w prawokliku tłowym Pulpitu + Start as admin... w prawokliku plików bat, cmd, cpl, exe, lnk i msi + sudo dla folderów. Wprowadza też specjalny hook do menu Paska tytułu upostaciowany jako opcje: Run as admin... + Restart as admin.... Hook umożliwia wykonanie zadań w przeciwnym wypadku niemożliwych np. ustawienie zegara systemowego czy kontynuowanie instalacji aplikacji. W konfiguracji programu możemy ustawić takie rzeczy jak: wymóg wprowadzania hasła, czy SuRunnerzy mają prawo przestawiać czas systemowy i ingerować w Opcje zasilania, dopasowywanie tych opcji Automatycznych aktualizacji, rodzaj tła podkładowego trybu bezpiecznego Pulpitu, podmianę Uruchom jako Windows przez moduł SuRun, zaawansowane opcje wstrzykiwania.
Program wprowadza nową grupę SuRunners. Już podczas instalacji ujawnia się okno konfiguracyjne umożliwiające dodanie do tej grupy użytkowników uprawnionych do stosowania sudo. W tym samym miejscu dokonuje się również wycofania z SuRunnerów z powrotem na Administratora. Do obejrzenia angielski tutorial. Tak, program jest przeznaczony również dla Windows 2000 oraz Vista. Mimo, że strona programu jest po niemiecku, sam program ma wersję angielską. Podawałam tu kiedyś spolszczenie hostowane na naszym serwerze, ale zawiera błędy i nie adresuje najnowszej wersji, dlatego usuwam.



SudoWin

Platforma: Windows XP/2003/Vista
Licencja: BSD

SudoWin (Sudo for Windows) - Instalacja programu automatycznie generuje nową grupę o nazwie Sudoers i przy instalacji pada pytanie czy sudo ma być dostępne tylko dla aktualnego użytkownika czy dla wszystkich użytkowników komputera. Po instalacji trzeba się ręcznie dodać do nowej grupy Sudoers plus otworzyć plik C:\Program files\Sudowin\Server\sudoers.xml i w nim w sekcji users dopisać użytkowników mających prawo stosować sudo. Program można stosować w wersji graficznej lub przez linię komend. Aplikacja integruje w menu kontekstowym opcję Sudo... dla plików *.bat, *.cmd, *.exe*, *.msi oraz folderu (SuRun też to posiada). W kwestii działania sudo na folderze - jest to możliwe tylko wtedy jeśli zostanie włączone: Opcje folderów >>> Widok >>> Uruchom okna folderów w osobnych procesach. Aplikację można wykorzystać na .... Viście .... by imitować realizację sudo w dokładnym rozumieniu. Deinstalacja: pada pytanie o usuwanie grupy + pliku konfiguracyjnego.

Program nie tylko przeznaczenia desktopowego, równie dobrze może zostać zastosowany w środowiskach enterprise z Active Directory. Zawyżanie przywilejów można ustawić też na inne poziomy, nie tylko administracyjne. Wysokokonfigurowalny, ale to już wyższa szkoła jazdy. Całe Sudo można dowolnie przekonfigurować posługując się edycją wspomnianego już pliku tekstowego sudoers.xml. Poza tym jest to aplikacja o otwartej wtyczkowej architekturze = programiści mogą napisać własne systemy autoryzacji + autentyfikacji i zaimplementować je do sudowin. SuDo najgorsze do konfigurowania przez amatorów.



Konfiguracja w pliku sudoers.xml:






SuDown:

Platforma: Windows XP/2003
Licencja: GPL (open source)

SuDown = "Switch user down". Program, który zainspirował powstanie projektu SuRun. Rola aplikacji identyczna jak powyżej czyli transformowanie oryginalnego konta administracyjnego do konta typu "Sudoer", które nadal pozostaje kontem pseudo-administracyjnym, ale uruchomionym w środowisku niższych uprawnień. Aplikacja instaluje nową grupę automatycznie a nasze konto zostanie dodane doń przy pierwszym uruchamianiu opcji Sudo. Zawyżanie przywilejów w środowisku obniżonych uprawnień można wykonać albo poprzez menu kontekstowe albo poprzez wersję konsolową narzędzia. Opcje kontekstowe są dwie: z prawokliku na tło Pulpitu / folderu *sudo Control Panel (wywołanie Panelu sterowania z uprawnieniami admina) + z prawokliku na plik wykonywalny opcja *sudo NaszExek. Aplikacja obsługuje sudo tylko dla plików wykonywalnych (brak tu opcji wywowałania sudo na folderze). Poza tym programu nie da się konfigurować. Potrafi czasowo zcachować autentyfikację (5 min na kesz), co jest wygodne przy uruchamianiu wielu aplikacji w tym samym czasie. Najuboższa implementacja sudo dla Windows i nieszczególnie niezalecana (m.in. brak systemu bezpiecznego Pulpitu), choć lepsze to niż żadne. Deinstalacja: program automatycznie likwiduje nową grupę i przywraca nas na administratora.

Do w/w punktu 1 można jeszcze zaliczyć narzędzie od Teamu Spybota przystosowane pod nieboraków: Alter Ego. Jest to automatyczny kreator dla określonych w liście aplikacji (Gadu i Tlen są tam załączone) tworzący spersonifikowane skróty aplikacji działające w limitowanym kontekście. Normalny użytkownik "nie zauważy różnicy". Poważną wadą jest niestety fakt, że lista programów ma sztywną postać, tylko to co wymyślił autor, nie można dodawać własnych. Wynika to z operacji jakie prowadzi narzędzie.





Czyli po prostu tak. Żadna z wcześniej opisanych metod, tylko zastępstwo na systemowe Uruchom jako, o poszerzonych właściwościach umożliwiających operacje niedostępne z natywnego narzędzia. Przypominam, że przy użytkowaniu tego jest zmieniane środowisko użytkownika, nie tak jak w rozwiązaniach sudo-like.



Advanced Run

Platforma: Windows XP/Vista 32-bit
Licencja: freeware

Advanced Run - Launcher będący alternatywą na tradycyjne Uruchom oraz Uruchom jako, który umożliwia startowanie programów i poleceń na uprawnieniach dowolnego użytkownika komputera bez przełączania kont. To nie jest zwyczajna replika wbudowanego w system Uruchom jako, są tu funkcje nieobecne w oryginale. Aplikacja ma wbudowane tzw. profile bezpieczeństwa ukierunkowane odpowiednio na redukcję lub podwyższanie uprawnień dla procesu. Domyślnie prekonfigurowane trzy: Anti-spyware, maksymalny zakaz, maksymalne pozwolenie. Układ ten można swobodnie rozszerzać konfigurując własne profilowanie, aczkolwiek to zabawa dla geeków. Prócz tych funkcji znajdziemy tutaj obsługę stosowania tzw. "shell verbs" w celu wykonania dodatkowych operacji dla otwieranych plików, wbudowane matryce komend i możliwość modyfikacji tego zestawu. Wreszcie import / eksport ustawień, profilów, skrótów pod kątem migracji ustawień w sieciach korporacyjnych.
Program podstawia się pod normalne Uruchom w Menu Start (czyli i skrót klawiaturowy Winkey + R) całkowicie zastępując tradycyjny dialog własnym. Dlatego też instalacja programu musi zostać sfinalizowana restartem komputera. Dodatkowo w menu kontekstowym obiektów zostanie uplasowana nowa opcja Advanced Run... umożliwiająca wywołanie tego dla dowolnego pliku. Koniecznie poczytać FAQ. Tak, również dla Visty i w tej materii stanowi lepsze - pod kątem funkcyjnym i integracyjnym z systemem - rozwiązanie niż nakładka ShellRunAs. Niestety brak wsparcia dla platform x64.



Krążąc w temacie alternatyw Uruchom jako tutaj jeszcze do kolekcji Run as umożliwiające wywołanie aplikacji administracyjnie bez wpisywania hasła (hasło jest szyfrowane w preparowanym exeku):

Runasspc / Steel Run As / CPAU