Eskalering av privilegier i ett standardkonto, kan det ske och hur i så fall

[Hakinger]

Jag har ända sen jag förstod det basala med begränsat användarkonto (efter att ha lärt mig lite om Linux) för nåt decennium sedan alltid använt standarkonto även i Windows olika versioner. Alltså "riktigt" standardkontodet, inte UAC.
Dvs att så fort man ska göra något som gör förändringar i djupet av Windows måste man ange lösenordet för adminkontot. T.ex. vid programinstallationer och andra systemförändringar. Som jag förstått det så är man mycket säker och risken att drabbas av nåt malware utan min aktiva medverkan minskar fenomenalt. Nära på noll risk?

Ständigt läser man om olika "exploits" och skadeprogram för Windows (och Linux ibland för den delen) Har försökt läsa på om sk "privilige escalation" dvs att en buse försöker eskalera rättigheterna hos en användare för att få kontroll över systemet genom att ge sitt fulprogram administratörsrättigheter. Förvånansvärt sällan talar de som sprider informationen om diverse skadliga program ifall det gäller om man kör administratörskonto och/eller begränsat användarkonto. När man själv gräver i det så handlar det till typ 99% (nåja, min procentupplevelse ) alltid om att det handlar om adminkonton (eller ifall buset fått tag på ens admin-lösenord) Av någon anledning tycks det för diverse media oviktigt att nämna detta viktiga faktum. Vilket jag tycker skrämmer upp folk i onödan (bra för antivirustillverkarna dock )

Min fråga är:
Kan privilegie eskalation ske på ett begränsat användarkonto utan att man som användare någonstans behöver ange administratörslösenordet? Förutsatt att buset inte kommit över lösenordet för admin-kontot innan. Om det går, hur går det till i så fall ifall en bugg (exploit) i ett program finns? Måste inte lösenord för en adminrättighet alltid anges i ett begränsat konto?

Edited August 14, 2019 by Pentti H

[Cecilia]

2 timmar sedan, skrev Pentti H:

Kan privilegie eskalation ske på ett begränsat användarkonto utan att man som användare någonstans behöver ange administratörslösenordet?

Jag tror att det har funnits sådana säkerhetshål i Windows så att det har gått att göra det.

 

Väldigt bra att du använder ett standardkonto men det är få som gör det eftersom en vanlig Windows-installation inte hjälper en med det och det är nog därför som media inte tar upp fallet med standardkonton när de skriver om säkerhetsproblem.

[polken]

Kryptoviruset(”PostNord”) krävde inte eskalation då funktionen de använde inte krävde det. 

 

[WindowsPro]

OJ! en äldre tråd! Men för att svara på frågan: 
 "Kan privilegie eskalation ske på ett begränsat användarkonto utan att man som användare någonstans behöver ange administratörslösenordet?"

 

Svar: i vissa väldigt intrikata fall! Det beror på OM det finns en allvarlig sårbarhet som medger just privilegie höjning från ett standardkonto..

Men undersökningar sedan början/mitten av 2000-talet påvisar att dessa är ytterst få! Ser du på t.ex. https://portal.msrc.microsoft.com/en-us/security-guidance och de sårbarheter som beskrivs där, så i de allra flesta fall kan sårbarheter endast utföra *vaddetnuär* in the security context of the current user" Dvs. en angripare kan utnyttja inloggad användares behörigheter och rättigheter.. (Är du inloggad som Admin är du rökt, är du inloggad som standard användare är du betydligt säkrare, speciellt i kombination med ett bra KLIENT-skydd)

 

Undersökningarna har ända sedan de inleddes visat att du i snitt blockerar utnyttjandet av KRITISKA sårbarheter med drygt 94 till 95% (en siffra som stått sig genom åren),, Så JA En icke admin-inloggning skyddar dig mot de värsta skadligheterna på internet osv. BÄTTRE än allehanda sk. Antivirus kan.

Och på frågan: Måste inte lösenord för en adminrättighet alltid anges i ett begränsat konto?

 

Svar NEJ! tyvärr inte.. i en standardinstallerad Windows 10 (det som på utländska kallas: out of the box-installation) så krävs inget adminlösen för UAC-prompten.. Ens om du är standardanvändare.. (Helt sjukt men sant!)

 

Det är en inställning som du själv måste ändra.. 
Och de flesta hem-datorer har tyvärr inget dedikerat adminkonto då de flesta anger sitt namn i slutet av installationen och får därmed adminbehörighet "på köpet"

 

Detta har väldigt ofta ställt till det för dom som glömt sitt lösenord efter t.ex. lång semester, eller där sk. hackare har bytt deras lösenord.. (vilket egentligen brukar ske för att tidigare vänner etc. känt till lösenordet.. eller att folk använt ett för enkelt lösenord, kombinerat med att använda samma, enkla, lösenord till flera onlinetjänster...)

 

När deras inloggning försvinner och de inte har ett separat dedikerat adminkonto, då sitter de med skägget i brevlådan...  Har de dessutom krypterat sin hårddisk är allt data, som inte är säkerhetskopierat, borta för alltid...  

 

Därför skall man, som Pentti H, alltid separera Administratörskontot från sitt egna standardkonto. Inte nog med att detta skyddar datorn bättre än ett antivirus kan om man alltid loggar in som admin, man får även en chans att hämta sitt data från gamla konton som blivit oåtkomliga av *vaddetnuärföranledning*.
 

 

 

Edited October 11, 2019 by WindowsPro
Stavfel