Microsoft offert in Windows 7 veiligheid voor bruikbaarheid

De bedoeling van UAC is duidelijk, en goedbedoeld: voorkomen dat kwaadwillenden wijzigingen aanbrengen op de pc van een doelwit. Maar de regelmatige verstoring van de werkzaamheden leidde bij veel Vista-gebruikers tot irritaties. Vandaar dat Microsoft in Windows 7 tot aanpassingen besloot. Wijzigingen in de instellingen die de gebruiker aanbrengt, lokken in de standaardinstelling van Windows 7 geen reactie meer uit van UAC.Bij die aanpassing is echter een cruciale fout gemaakt, stelt Long Zheng: ook wijzigingen in de instellingen van UAC lokken in de standaardconfiguratie van Windows 7 geen waarschuwing meer uit. Dat betekent dat een aanvaller van buitenaf UAC kan uitschakelen, en vervolgens code van eigen makelij kan opstarten. Met een kennis heeft Long Zheng een script in Visual Basic ontwikkeld dat bewijst dat dat mogelijk is.Long Zheng heeft Microsoft in overweging gegeven om UAC op dit punt aan te scherpen. Een minimale aanpassing zou kunnen zijn, altijd te waarschuwen wanneer aanpassingen in de instellingen van UAC worden gemaakt. Dat maakt het niet echt veilig - een gebruiker zou immers per ongeluk de actie kunnen bevestigen - maar het is beter dan de huidige oplossing. Microsoft geeft echter tot nog toe aan dat het dat niet van plan is. Het bedrijf zou zich natuurlijk nog kunnen bedenken: Windows 7 is alleen nog in bèta beschikbaar. Maar vooralsnog houdt men vol dat de UAC-instellingen die Long bekritiseerd, doelbewust zo ontworpen zijn en niet gewijzigd zullen worden.Volgens Long biedt UAC op deze manier echter feitelijk geen enkele bescherming. Hij adviseert gebruikers van de bèta de optie 'altijd waarschuwen' in te stellen. Al krijgt men dan wel weer bij ieder wijziging een popupvenster dat weggeklikt moet worden. Een alternatief is te gaan werken als standaardgebruiker: dan moet men weer bij ieder actie bevestigen en wachtwoorden ingeven.De kritiek van Long Zheng en een voorbeeldscipt om UAC uit te schakelen in Windows 7 zijn te vinden op zijn blog.