De mythe van het onveilige Windows XP door Ruud Uphoff
Deze titel lezen, zal voor velen al een reden zijn om de wenkbrauwen te fronsen, dan wel zonder verder uitstel behendig op de kast te klimmen. Verwonderlijk is dat niet. Het werd ons met de binaire paplepel ingegoten. Windows is van Microsoft. Microsoft is groot! En groot moet dood, want wij houden niet van macht, vooral als we die zelf niet bezitten. Ik kan mij nog herinneren dat ik er door iemand afkeurend op werd aangesproken dat ik PC-DOS gebruikte. Dat was stout, want PC-DOS was van die walgelijke IBM-gigant. Of ik maar snel over wilde gaan op MS-DOS van lief klein Microsoftje. Het kan verkeren… Microsoft heeft besloten per 11 juli de ondersteuning van Windows 98, 98SE en Millennium te stoppen. Geen updates meer, al kun je hetgeen eerder werd uitgebracht nog wel een poosje downloaden. In elk geval wordt daarmee een punt gezet achter een stukje geschiedenis dat het imago van Microsoft geen goed heeft gedaan. Het zijn net als Windows 3.11 en ouder, gewoon wat ik spottend “DOSprogjes” noem. Dat ze 32bits werden doet daar niets aan af en dat deze onveilige en instabiele puinzooi ooit als “Besturingssysteem” werd verkocht en aan internet werd gehangen is onbegrijpelijk. Maar vrijwel gelijk met Windows 95 werd ook Windows NT 4.0 ontwikkeld. Het is dit besturingssysteem waarvan versie 5.1 beter bekend is als Windows XP. Helaas echter, is er door de loop der jaren een cultuurtje ontstaan dat ernstig afbreuk doet aan het veiligheidsconcept van Windows XP. Nu echter een browser als Firefox en een mail-client als Thunderbird een niet verwaarloosbaar marktaandeel opeisen, verstomt de internationale zwetspers. Soms hoor je nog iemand aarzelend mompelen over de het “veel veiliger” Firefox, maar overtuigend klinkt het al lang niet meer. Als deze alternatieven hebben inmiddels hun plaatst opgeëist binnen de verzameling veiligheidslekken die nu eenmaal in geen enkel product van enige omvang te voorkomen zijn.
Veilig werken met een veilig Windows Ja, dat kan zonder meer. Maar daarvoor moet we het veiligheidsconcept van Windows XP begrijpen en ons er aan houden. En dat geldt niet alleen voor ons, maar ook en vooral voor de leveranciers van software.
Elke serieus besturingssysteem, kent minimaal twee soorten accounts. Eén type account heeft onbeperkte toegang tot de gehele machine en dient om deze te kunnen configureren en te onderhouden, zoals installeren van software en aanbrengen van updates op software en besturingssysteem. Zo’n account dient niet te worden gebruikt om met de computer te werken. Daarnaast zijn er een of meer accounts voor gebruikers. Die hebben niet de mogelijkheid software te installeren of updates aan te brengen. Ze mogen alleen maar de aanwezige applicaties gebruiken. Wanneer wordt gewerkt met een beperkt account, eigenlijk beter te noemen “een normaal account” zijn virussen en Trojaanse paarden nagenoeg kansloos . Want een virus of worm moet zich kunnen installeren. Daartoe ontbreken de nodige rechten: -
De map Windows en alle submappen zijn niet toegankelijk voor schrijfoperaties. De map Program Files en alle submappen zijn eveneens ontoegankelijk voor schrijfoperaties. De malafide software kan nergens vrijwel automatisch starten omdat de daartoe benodigde registersleutels ontoegankelijk zijn.
Maar helaas blijft vrijwel de hele wereld rotzooien, een ander woord is er niet voor, onder beheersaccounts. Dat wordt uiteraard veroorzaakt door onwetendheid van gebruikers. Een onwetendheid die vanuit kwaad opzet in stand wordt gehouden omdat daar commerciële belangen onder schuil gaan. Men heeft namelijk jarenlang software in elkaar gebakken “voor Windows 98” en gemakshalve verklaard dat deze ook werkte onder Windows NT. Dat dankt je de koekoek! Onder een beheersaccount ja!
Waaraan software moet voldoen Een programmeur of ontwikkelteam moet kennis van zaken bezitten op drie hoofdzaken. -
-
Materiedeskundigheid. Logisch. Iemand die niets weet van digitale fotobewerking kan geen applicatie als bijvoorbeeld Paint Shop Pro in elkaar zetten. Kennis van zaken m.b.t. de ontwikkelomgeving. Visual C++ of Delphi of wat dan ook. Kortom, moet kunnen programmeren. Kennis van het besturingssysteem. En dit is helaas de sluitpost!
Het probleem zit ‘m dus in het laatste. Veel programmeurs, en niet alleen kleine jongens, rotzooien maar wat naar eigen inzicht. Er wordt dan ook na installatie door een applicatie nog getracht te schrijven in verboden gebieden. -
-
Het programma moet bij installatie de registerwaarde HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SFC opvragen. Daar geeft de waarde ProgramFilesDir aan waar voor de applicatie een submap moet worden aangemaakt. Als deze sleutel niet bestaat dient de gebruiker om een locatie te worden gevraagd. De eigen variabele configuratie dient te worden beheerd onder HKEY_CURRENT_USER\Software\<programmanaam> en %userprofile%\Application Data\<programmanaam> Ergens anders kan namelijk niet meer worden geschreven onder een beperkt account.
De computer beheren zonder als beheerder in te loggen Als naar behoren wordt gewerkt onder een beperkt account, is het toch lang niet altijd nodig af te melden en opnieuw in te loggen onder een beheersaccount. Eenvoudige beheersfuncties kunnen uitgevoerd worden mits men het wachtwoord van een beheerder weet.
Is de beheersfunctie een programma, dan is het eenvoudig een kwestie van met de rechter muisknop op het pictogram klikken en kiezen voor “Uitvoeren als”. In figuur 1 is te zoen hoe we dat doen voor een snelkoppeling naar de systeemprompt. Deze keuze roept dan het scherm van figuur 2 op. We kiezen voor het account “Administrator” en voeren het wachtwoord van Adminsitrator in . Nu komen we op een systeemprompt. Geef daar eens het commando SET en kijk wat er verschijnt als waarde voor de omgevingsvariabelen USERNAME en USERPROFILE. Alle commando’s die we nu geven worden uitgevoerd onder het account administrator. Probeer nu maar een harde schijf met CHKDSK te testen. Onder het beperkt account wordt dat commando geweigerd, maar nu wordt het gewoon uitgevoerd. Hetzelfde geldt voor “defrag”. Maar een poging control.exe te starten zal mislukken. Het namelijk niet mogelijk onder een ander account delen van de verkenner te starten en daar hoort het configuratiescherm ook bij. Gelukkig zijn er wel mogelijkheden om toch de meeste onderdelen uit het configuratiescherm uit te voeren. Daartoe moeten we gebruik maken van het programma runas.exe dat we vanaf een gewone systeemprompt kunnen starten. Het programma runas start een programma onder een ander account. Ga naar een systeemprompt en type het commando: runas /env /user:administrator "C:\WINDOWS\system32\rundll32.exe shell32.dll,Control_RunDLL nusrmgr.cpl" Het wachtwoord van Administrator mowt worden ingevoerd. Vervolgens zal de dialoog “Gebruikersaccount” verschijnen en het is nu gewoon mogelijk beheer van gebruikers uit te voeren alsof met een beheersaccount was ingelogd.
Een boze hacker die via een veiligheidslek de machine wist binnen te dringen, zal echter niets kunnen uitrichten van enig belang.
Drie handige batch bestandjes Het is niet echt handig om telkens zulke lange regels te moeten intypen. Een slim zijn dus om terug te keren naar icoontjes klikken. Daartoe moeten we een drietal klein batchbestandjes aanmaken en we moeten daarvoor echt even uitloggen en opnieuw aanmelden met een beheersaccount. De bedoeling is namelijk dat een beheerder eigenaar is van die bestandjes en een gewone gebruiker ze niet kan wijzigen. De drie noemen we DOCPL.BAT, DOMMC.BAT en DOEXE.BAT. We zullen met de laatste beginnen. Het batchbestand, geplaatst in C:\ dient om programmabestanden onder het administratoraccount te starten: @Echo off color 4F runas /env /user:administrator %1 delay 10 Dat is alles. We kunnen nu bijvoorbeeld de harde schijf gaan defragmenteren door een snelkoppeling te maken naar C:\doexe “defrag C:”. Het scherm heeft een rode kleur om te laten zien dat we niet onder een normaal account bezig zijn. Voor toepassingen onder Microsoft Management Console ziet het bestand er als volgt uit: @echo off color 4F runas /env /user:administrator "mmc c:\windows\system32\%1" delay 10 Hier moeten we wel het complete pad voor het msc-bestand opgeven omdat mmc.exe niet in het pad zal zoeken. Welke applicaties zijn hiermee uit te voeren? Nemen we als voorbeeld diskmanagement. Klik START, kies uitvoeren en type dommc diskmgmt.msc hier een lijstje met mogelijke *.msc-bestanden en hun functie:
certmgr.msc ciadv.msc
Certificaatbeheer Indexing sevice
compmgmt.msc devmgmt.msc dfrg.msc diskmgmt.msc eventvwr.msc fsmgmt.msc gpedit.msc lusrmgr.msc ntmsmgr.msc ntmsoprq.msc perfmon.msc rsop.msc secpol.msc services.msc wmimgmt.msc
Computerbeheer Apparaatbeheer Defragmenteren Schijfbeheer Logboeken Shares Groepsbeleid Lokale gebruikers en groepen Verwisselbare opslag Beheeraanvragen voor verwisselbare opslag Prestatiemonitor Resulterende verzameling beleidsregels Lokaal beveiligingsbeleid Services WMI beheer
Een soorgelijk bestandje maken we voor Configuratie-items. @echo off color 4F runas /env /user:administratir "C:\WINDOWS\system32\rundll32.exe shell32.dll,Control_RunDLL %1" delay 10 pause Hier een lijstje met de CPL-bestanden en hun functie.
access.cpl appwiz.cpl bthprops.cpl desk.cpl firewall.cpl hdwwiz.cpl inetcpl.cpl intl.cpl irprops.cpl joy.cpl main.cpl mmsys.cpl ncpa.cpl
Toegankelijkheid voor gehandicapten Software BlueTooth Beeldscherm Firewall Wizard hardware toevoegen Instellingen van Internet Explorer Internatuionale instellingen Infrarood Spelbesturin De muis Audioinstellingen Inbel- en netwerkverbindingen
netsetup.cpl nusrmgr.cpl nwc.cpl odbccp32.cpl powercfg.cpl sysdm.cpl telephon.cpl timedate.cpl wscui.cpl wuaucpl.cpl
Wizard netwerkinstellen Gebruikers Novell netwerk (normaliter geblokkeerd) Database Energiebeheer Systeemeigenschappen Modem/telefoon: locaties De klok/kalender Beveiligingscentrum Automatische updates
Beheerders kunnen uiteraard een map met snelkoppelingen aanleggen. Als een programma niet wil draaien onder een beperkt account Dan hebt u niet te maken met een programma, maar met brandhout. Ik vrees echter dat u met die vaststelling niet zoveel kunt. Normaliter is het op te lossen door het programma uit te voeren onder een beheersaccount middels “Uitvoeren als” of via doexe.bat waarbij de data mot worden opgeslagen in een map waar ook een gewone gebruiker bij kan. Ik moet dringend afraden software die het internet op wil en alleen onder een beheersaccount wil werken, nog te gebruiken. Er is geen enkele garantie dat hier geen sprake is van spyware. De commercie heeft er vaak belang bij dat we onder een beheersaccount blijven werken. Sommige software wil terwijl we surfen vanalles installeren en dat lukt dus niet onder een beperkt account. Ga er maar vanuit dat software die dan niet wil werken gewoon malfide is. Minimaal had de ontwerper minachting voor onze veiligheid. © Ruud Uphoff
