微軟新系統Win Vista安全特性深度闡述

UAP/LUA可以說是Windows Vista愛好者常談的內容了，陳宇講師先闡述了Windows前期版本的管理員與用戶中的權限區別，以其造成的不便，例如不安全的程序，誤操作和管理的問題來對比Windows Vista中的UAP/LUA--新的身份權限控制管理。今天的講演通俗易懂，原本晦澀的權限概念被解釋得非常清楚。不過講師也承認，Windows Vista在運行現有，特別是9x平臺的程序將沒有很理想的表現，因為它對管理員權限實在是太依賴了，但是Vista的虛擬區域將會解決這個問題，建議大家了解。

UAP/LUA中的用戶被定義為普通用戶和管理員用戶，在管理員用戶中，引入了一個'受保護的管理員用戶'概念，在這種模式下，正常運行時和普通用戶并無區別，但在有需要時，可以升級到擁有足夠權限的用戶模式(例如安裝程序)，這一切都是用戶自行控制的，可自定義的。

在Windows Vista中，任何用戶登錄都將以最小權限進行，LUA會根據最大權限來即時提升權限，當兩個程序同時運行于系統時，普通用戶的進程列表中不包含管理員的進程，這可以避免相互攻擊。

Windows Vista去除了大量無用的管理員權限檢查，讓大部分程序都可以以最小模式正常運行。任何新建的帳號在沒有賦予權限之前，都是最小權限的缺省用戶類型(包括管理員在登錄的時候都是這樣，這一切都是動態的).這樣減少了其余軟件和程序的漏洞被人利用發起對系統破壞的可能。

在提升權限的時候，受保護管理員用戶將接到三種不同方式:對話框，密碼提示，安全組合鍵的升級方式獲得必要的權限。管理員也可以自定義程序是否需要提升管理員權限才可以運行.但在通常情況下，Windows Vista已經提供了相當數量的規則。

Windows UI 設置這個角落也可以完美地被管理員加鎖，和前期的Windows不一樣，普通用戶對于系統工具是只讀的，除非升級到足夠權限，否則要對系統做操作就將非常困難(甚至連修改系統時間，沒有權限也是一件不可能的事情，系統時間對于整個系統服務特別是數據庫來說，實在是太重要了)。前面提過，Windows Vista可能無法很好地兼容現有和早期軟件，但是Windows Vista會有一個虛擬化概念，將讀取的數據(僅僅是數據，對DLL和EXE)隔離到虛擬存儲區，程序的最大影響也僅限于LUA進程，對擁有管理員權限的程序是不起作用的.這僅僅是一個過渡化方案，在下一個版本中將會Cut掉這個技術.LUA最少權限用戶進程和管理員進程在同一個桌面運行，有著相同的SID，這樣就可以相互讀取，調用同一個API，難以避免線程注入.這是非常危險的，微軟給出的解決方案還是同一個概念:進程分級別，從下往上，低級別無法讀取高級別.這樣，即時是惡意軟件也無法逃過進程級別的驗證，能進入系統，卻無法造成破壞.