OT Re: Jak zapisovat do HKLM i HKCU?

Otázka od: Pavel Zichovsky

22. 7. 2004 12:57

Zdravim,

On 22 Jul 2004 at 11:35, Ludek ZITA wrote:

> On Behalf Of Pavel Zichovsky
> > Jde proste o bezpecnost. Obycejny uzivatel nema co zapisovat
> > do HKLM, stejne tak nema co zapisovat do windows adresare, a
> > v podstate obycejny uzivatel vubec nema co instalovat nejaky novy SW.

> Ahoj.
> Muzes prosim podporit nejakym argumentem ze povoleni zapisu vsemi usery
> do klice HKLM/Software/ludek/plmail/common/last_report (samozrejme, ze
> nikam jinam), ktere provede instalacni program (samozrejme spusteny
> adminem pri instalaci) bude zavaznou (ci vubec nejakou) bezpecnostni
> dirou.
> At nad tim premyslim jak premyslim, nic mne nenapada.

Pokud to provede "instalacni program", jakou mas zaruku, ze si "neotevre" neco
vice?. Pokud se to udela rucne, je to jen vec admina, zda to povoli.

Povoleni konkretni vetve HKLM nemusi byt ohrozeni bezpecnosti systemu, ale
bezpecnosti toho konkretniho programu. "Zly" uzivatel muze (diky tomu, ze ma
pristup do te vetve v HKLM) "nabourat" konfiguraci programu tak, ze nebude
schopen provozu, a omezi to vsechny uzivatele. Pri uplatneni politiky
"default v
HKLM jen pro cteni, uzivatelske v HKCU pro zapis" neposkodi jine,
ale jen sam
sebe.
Dale diky nejake (i nechtene) chybe v tom programu (napr. buffer overflow) muze

takhle "ponicena" konfigurace ohrozit i bezpecnost celeho systemu, pokud tu
aplikaci spusti treba administrator.

Ja vim, pravdepodobnost je mala, ale je. A pokud to s bezpecnosti myslis
opravdu
vazne, musis pocitat se vsim a vymyslet i nepravdepodobne scenare.
(Vim minimalne o jedne aplikaci, kterou je podobnym zpusobem (i kdyz ne treba
pres registr, ale pres adresare - v podstate je to to same) mozno zneuzit v
podstate
k cemukoliv.

Pavel Zichovsky (zichovsky@trul.cz)