Minder pop-ups in Windows Vista

Een groot deel van de beschreven beveiligingen en controles wordt geregeld door het UAC en daarin verschilt Windows Vista van zijn voorgangers. Windows XP werkt immers standaard met administratorrechten: is een virus eenmaal binnen dan is er verder geen hindernis meer voor de malware. Ook softwareontwikkelaars gingen altijd uit van de administratorrechten.

In Windows Vista is het administratorrecht niet standaard. Consequentie van de nieuwe beveiligingsstrategie is evenwel dat de gebruiker regelmatig geconfronteerd wordt met pop-upvensters. Elke keer als er namelijk een actie op beheerniveau moet worden uitgevoerd, springt er een venster tevoorschijn, waarin de gebruiker wordt gevraagd om toestemming. Het voordeel daarvan is dat er geen beheerder aan te pas hoeft te komen, om de beheeractie uit te voeren. Maar wacht u te lang met het geven van uw toestemming, dan 'bevriest' Vista tijdelijk: het werkvenster wordt donker en alleen het pop-upvenster blijft prominent in beeld staan.

UAC geeft gebruikers met beperkte rechten dus de mogelijkheid een actie uit te voeren waarvoor in principe administratorrechten nodig zijn. Gevolg is wel dat de gebruiker geregeld pop-ups voorgeschoteld krijgt, waarin om zijn toestemming wordt gevraagd.

 

Windows Vista kent zes lokale gebruikersaccounts:

 

 

Verder zijn er nog een paar accounts, die bedoeld zijn om Windows Vista vanuit een externe bron te benaderen. Net zoals in eerdere Windows-versies verleent het inlogvenster een zogenaamd token, een virtueel 'doorgeefmuntje', waarin de rechten van een gebruiker zijn vastgelegd. Dit token wordt steeds doorgegeven aan andere Windows-processen. Logt een gebruiker in dan geeft het aanmeldproces WinLogon dit door aan het Windows-initialisatieproces UserInit. Dit proces roept vervolgens de Shell aan.

 

Wordt bijvoorbeeld vanuit Windows Verkenner een programma aangeroepen, dan gelden daarvoor de rechten die in het inlogtoken zijn vastgelegd. Start deze gebruiker een proces waarvoor eigenlijk méér rechten nodig zijn en klikt hij in het dialoogvenster op Uitvoeren, dan zorgt UAC voor aanvullende rechten. Overigens is dit niet altijd het geval; sommige programma's kunnen alleen uitgevoerd worden met ware administratorrechten (requireAdministrator). In dat geval moet de gebruiker de inlognaam en het wachtwoord van de administrator kennen en opgeven.

 

Telkens wanneer er een UAC aangestuurde pop-up op het scherm verschijnt, wordt de achtergrond van uw beeldscherm donkerder. Vista gebruikt nu tijdelijk een ander, afgeschermd bureaublad (desktop). Alleen echte veilige systeemapplicaties mogen gebruikmaken van dit nieuwe UAC-bureaublad. Zo wordt voorkomen dat andere applicaties kunnen ingrijpen op UAC-aanvragen.

 

Op oudere systemen kan het wat langer duren alvorens de standaarddesktop weer op het scherm terugkeert. Duurt dit te lang naar uw zin, dan kunt u ervoor kiezen om de UAC-aanroepen af te werken op het standaardbureaublad. U schakelt daartoe het UAC-bureaublad als volgt uit:

 

 

 

Om de UAC-optie weer in te schakelen voert u dezelfde handelingen uit. Een andere manier (voor ervaren gebruikers) is om in het Windows-register de DWord-waarde EnableLUA van 1 op 0 zetten. De bijbehorende registersleutel is:

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System.

 

 

U kunt UAC-ingrepen op uw systeem als volgt beperken:

 

 

Windows Vista biedt hier verschillende opties. U kunt het UAC-beleid aanscherpen, of juist afzwakken. Zo kunt u voor uw bedrijf het besluit nemen dat gebruikers helemaal geen hogere rechten mogen krijgen. In dat geval zullen de gebruikers helemaal niet meer lastig worden gevallen door UAC-aanvragen. Dit geniet echter alleen de voorkeur voor organisaties waar gebruikers inderdaad geen administratorrechten nodig hebben.

 

Anderzijds kunt u voor de administratorrechten vastleggen dat er naast een bevestiging door de gebruiker ook gevraagd wordt naar het administratorwachtwoord. Al deze opties kunt u vinden in de keuzelijst Beleid; zaken die betrekking hebben op het UAC-beleid beginnen met Gebruikersaccountbeheer.

 

U kunt het administratoraccount ook handmatig activeren. Dit doet u als volgt:

 

net user administrator P@s$word /activate:yes

 

P@s$word is hier het wachtwoord van de administrator. Vanuit veiligheidsoverwegingen is het gebruik van het administratoraccount niet aan te raden, maar indien u binnen uw bedrijf de enige beheerder bent, dan bent u in dit geval ook verlost van de meldingen van UAC.

 

 

Als u de verduistering van het UAC-waarschuwingsvenster niet op prijs stelt, dan kunt u er op de volgende manier vanaf komen:

 

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system

 

 

Naast de meldingen van het UAC komt Windows Vista ook bij andere meldingen op de proppen met een venster. Ook deze kunt u beperken:

 

 

 

Is het gevaarlijk om de pop-upvrije instelling van UAC te gebruiken? Nee! Zolang u maar weet wat u doet en weet waar de potentiële gevaren voor het systeem zitten. Echter, om álle gebruikers (te) veel rechten te geven moet beslist afgeraden worden.