Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

102 Kapitel 4: Grundlagen der Benutzerkontensteuerung
UIPI
Falls Sie zum Beispiel eine Anwendung namens Setup.exe oder Install.exe haben, wird sie
als Installer erkannt, sodass automatisch eine Eingabeaufforderung angezeigt wird. Allgemeine
Informationen und einen Überblick zum Microsoft Windows Installer finden Sie im
MSDN unter http://go.microsoft.com/fwlink/?LinkId=30197.
User Interface Privilege Isolation (UIPI, Benutzeroberflächen-Rechteisolierung) ist eine
neue Technologie in Windows Vista und Windows Server 2008. Sie hilft dabei, Prozesse, die
auf Administratorebene laufen, von Prozessen zu isolieren, die auf demselben interaktiven
Desktop mit geringeren Privilegien ausgeführt werden. UIPI verhindert, dass eine Anwendung
mit geringeren Privilegien Windows-Nachrichten missbraucht, um Eingaben an einen
Prozess mit höheren Privilegien zu senden. Wenn ein Prozess Eingaben an einen anderen
sendet, kann er Eingaben in den anderen »einschleusen«, ohne dass der Benutzer dafür seine
Zustimmung gegeben hat.
UIPI definiert einen Satz erlaubter Windows-Nachrichtenoperationen, die von den höchsten
der unterschiedlichen Prozessebenen erlaubt werden. Höhere Privilegebenen können Windows-Nachrichten
an Anwendungen senden, die auf niedrigeren Ebenen laufen, aber umgekehrt
können niedrigere Ebenen bestimmte Windows-Nachrichten nicht an Anwendungsfenster
senden, die unter höheren Ebenen laufen. UIPI hat keinen Einfluss auf die Funktion
oder das Verhalten des Fensternachrichtenaustauschs zwischen Anwendungen derselben
Privilegebene. UIPI kommt ins Spiel, wenn ein Benutzer, der Mitglied der Gruppe Administratoren
ist, auf demselben interaktiven Desktop Anwendungen als Administrator und Standardbenutzer
ausführt.
Anhebungsaufforderungen auf dem sicheren Desktop
Eingabeaufforderungen für Anmeldeinformationen und Anhebungszustimmung werden in
Windows Vista und Windows Server 2008 standardmäßig auf dem sicheren Desktop angezeigt.
Jede Anwendung muss auf einem Desktop laufen, und jeder interaktive Benutzer bekommt
bei der Anmeldung einen Desktop zugewiesen, auf dem alle seine Anwendungen
laufen. Der sichere Desktop wird vom Betriebssystem für Dienste und kritische Benutzeroberflächen
verwendet, zum Beispiel die Anmeldungsoberfläche.
Indem das Betriebssystem die Anhebungseingabeaufforderung auf dem sicheren Desktop
anzeigt, garantiert das Betriebssystem, dass die dort angezeigten Informationen nicht manipuliert
werden können. Wenn eine ausführbare Datei eine Anhebung anfordert, wird der
Benutzer von seinem interaktiven Desktop auf den sicheren Desktop umgeschaltet. Der
sichere Desktop zeichnet einen abgeblendeten Hintergrund des Benutzerdesktops und zeigt
hervorgehoben die Anhebungseingabeaufforderung an. Wenn der Benutzer auf Fortsetzen
oder Abbrechen klickt, schaltet der Desktop automatisch zurück zum interaktiven Desktop
des Benutzers. Malware kann zwar den interaktiven Desktop übermalen und eine Imitation
des sicheren Desktops anzeigen (das sogenannte Spoofing), aber selbst wenn der Benutzer
eine solche gefälschte Eingabeaufforderung autorisiert, bekommt die Malware keine Anhebung.
Falls die UAC so konfiguriert ist, dass sie Anmeldeinformationen vom Benutzer anfordert,
könnte Malware, die eine entsprechende Eingabeaufforderung vortäuscht, die Anmeldeinformationen
des Benutzers ausspähen. Die Malware kann diese Anmeldeinformationen
aber im Remotezugriff nicht nutzen, um sich Administratorprivilegien zu verschaffen.
Malware gewinnt letztlich also überhaupt nichts dadurch, dass sie das Dialogfeld für den