UAC für einzelne Programme abschalten?

[Ralf Kaiser]

Hallo zusammen,

die UAC in Vista mag ja normalerweise ganz sinnvoll sein aber in manchen Situationen nervt sie wirklich.

Wenn man z.B. mit Delphi.NET in ASP.NET entwickeln will dann muss Delphi mit Adminrechten gestartet werden damit die IDE in der Lage ist virtuelle Verzeichnisse im IIS anzulegen. Darum habe ich in der Delphi Startverknüpfung "Als Administrator ausführen" angehakt Soweit so gut.

Jetzt schlägt allerding bei jedem Delphi-Start die UAC zu und will wissen ob ich Delphi wirklich mit Adminrechten starten will.

Darum habe ich mich gefragt, ob man die UAC nicht irgendwie für einzelne Programme abschalten kann. Gibt es eventuell eine Art "Trusted List" in die man Programme aufnehmen kann denen man vertraut? (wie ich MS kenne geht das wieder mal nicht)

Weiss jemand da näheres?

Ciao,
Ralf

[Phoenix]

Nein, so etwas gibt es (leider) nicht.
Das wäre auch klasse, um z.B. Batchfiles die Dienste Starten/Stoppen (z.B. die klassischen "net start mysql-Batches) immer mit Admin-Rechten auszführen. Ich fänds klasse wenn es sowas gäbe, aber leider nein.

[Ralf Kaiser]

Hmm. Warum überrascht mich das jetzt nicht? (oder: Warum bringt MS nie etwas wirklich zu Ende, solche "Trusted Lists" würden meiner Meinung nach zu so einer Funktion zwingend dazu gehören)

[DP-Maintenance]

Dieses Thema wurde von "MrSpock" von "Klatsch und Tratsch" nach "Windows 9x / ME / 2000 / XP / 2003 / Vista" verschoben.
Vista Frage.

[DevidEspenschied]

Eine "Trusted List" wäre wieder nur eine Möglichkeit, Trojaner einzutragen und auszuführen, und die Benutzerkontensteuerung irgendwie auszuhebeln. Wer sich damit wirklich mal beschäftigt hat, wird feststellen, dass sie relativ wasserdicht ist.

Dir wird wohl nichts weiter übrig bleiben, als Delphi mit der Benutzerkontensteuerung zu starten oder diese abzuschalten (auf meinen Entwicklungssystemen mache ich das immer). Man weiss ja eigentlich was man tut, für Dummy-User isses dann wieder hilfreich...

[Ralf Kaiser]

Stimmt schon. Ich war auch schon nahe daran die UAC einfach abzuschalten. Ich will allerdings sehen, wie sich meine Programme mit UAC verhalten. Ansonsten müsste ich für diese Tests die UAC wieder einschalten und hinterher wieder ausschalten. Auch lästig.

Ich hatte halt gehofft, dass man z.B. über die lokalen Sicherheitsrichtlienien die UAC irgendwie selektiv steuern könnte.

Wäre ja auch zu schön gewesen um wahr zu sein...

[Ralf Kaiser]

Zitat:

Zitat von devidespe

Eine "Trusted List" wäre wieder nur eine Möglichkeit, Trojaner einzutragen und auszuführen

Dann müsste das halt so implementiert sein, dass die veränderung einer solchen Liste immer mit UAC geschützt ist. Meinetwegen noch mit Eingabe eines speziellen Kennwortes. Wenn ein Admin so dumm ist dort ein gefährliches Programm einzutragen dann ist er halt selbst schuld.

Bei normalen Benutzern halte ich die UAC sowieso für ungeeignet. Ich habe schon oft gesehen, dass ein Otto-Normal-User immer bei allen Dialogen reflexartig auf JA klickt ohne darüber nachzudenken was da im Dialog steht. Und wenn der Benutzer nach dem Reflex "Da ist ein Dialog - da muss ich auf JA klicken" handelt dann macht die UAC keinen Sinn mehr.

[Bernhard Geyer]

Zitat:

Zitat von Alfi001

Zitat:

Zitat von devidespe

Eine "Trusted List" wäre wieder nur eine Möglichkeit, Trojaner einzutragen und auszuführen

Dann müsste das halt so implementiert sein, dass die veränderung einer solchen Liste immer mit UAC geschützt ist. Meinetwegen noch mit Eingabe eines speziellen Kennwortes. Wenn ein Admin so dumm ist dort ein gefährliches Programm einzutragen dann ist er halt selbst schuld.

So eine Speicherung hat Apple versucht indem sie die Exe entsprechend signiert hat. Dummerweise wurden damit Exe's mit Zertifikatione ungültig. Ist also damit noch schlechter gewesen als die MS Lösung gar nix zu machen da manche Exe's abbrechen wenn das eigene Zertifikat ungültig wird (wie Skype)

Zitat:

Zitat von Alfi001

Bei normalen Benutzern halte ich die UAC sowieso für ungeeignet. Ich habe schon oft gesehen, dass ein Otto-Normal-User immer bei allen Dialogen reflexartig auf JA klickt ohne darüber nachzudenken was da im Dialog steht. Und wenn der Benutzer nach dem Reflex "Da ist ein Dialog - da muss ich auf JA klicken" handelt dann macht die UAC keinen Sinn mehr.

Genau das sehe ich auch. Evtl. wird es ja mit dem Windows 2008-Beta alias Vista SP1 besser und sie haben sich etwas einfallen lassen.

[gsh]

Zitat:

Zitat von Alfi001

Und wenn der Benutzer nach dem Reflex "Da ist ein Dialog - da muss ich auf JA klicken" handelt dann macht die UAC keinen Sinn mehr.

GANZ genau darum find ich die UAC nutzlos. Hab sie bei mir gleich mit vLite ausgeschaltet.

Windows sollte eher mal auf Sicherheitsrichtlinien wie Linux zurückgreifen. (root = Admin, Useracc = NonAdmin) Sicher kann man des bei windows auch einstellen aber dann kommt überrall "Zugriff verweigert" (Bei Linux kann man root passwort eingeben)

Auch wenns ein bissi OT ist ich wollte es einfach loswerden.


So noch bissi was zum Topic:
Die UAC ist ja eigentlich für DAU (Dümmster anzunehmender User) geschrieben worden ... und was will ein DAU mit einer trusted list?

[Ralf Kaiser]

Also das passt ja wie Faust aufs Auge! Im heutigen "Dilbert" scheint es genau um das Thema zu gehen.

:-D

[ringli]

Du könntest ja eines der zahlreichen RunAs-Implementation verwenden die im Internet so rumschwirren und dir damit eine entsprechende Verknüpfung auf dem Desktop erstellen. Dann brauchst du nicht immer die Benutzerdaten eingeben.

[gsh]

Also ich würds so machen:
Auf dem EntwicklerPC die UAC abschalten.
Dann mit VirtualPC oder VMWare ein virtuelles Vista aufsetzen und dort dein prog testen.

Das hat zwei vorteile:
- Du musst dich nicht mit der lästigen UAC abgeben
- Du kannst deine Programme auf einem "frischen" Vista testen also ohne IDE komponnente installiert zu haben. Somit kannst du wirklich testen ob es dann bei deinem Kunden auch laufen müsste

[Die Muhkuh]

Oder zwei Benutzerkonten auf dem PC.

Entwicklungskonto, ohne UAC
Testkonto, mit UAC

[DevidEspenschied]

Die UAC klappt ja nur dann auf, wenn ein Programm Admin-Rechte benötigt. Entwickelt man eine solche Applikation (und fordert bspw. durch ein Vista-Manifest die Admin-Rechte an) und startet Delphi auch mit Admin-Rechten, wird für jeden Programmstart innerhalb der IDE separat die UAC aufgeklappt. Das kann ziemlich nervend sein, gerade wenn man häufig compiliert und startet (ich zumindestens).

Selbst wenn Du glücklicher Besitzer eines Zertifikats bist, und den Signierungsprozess mit den Pre-Build oder Post-Build-Option innerhalb von Delphi steuerst, ändert sich daran nichts. Der Diaglog der UAC sieht nur anders aus.

Von daher stimme ich einer Lösung zu, auf dem Entwicklungssystem die UAC zu deaktivieren, und auf einem zweiten Testsystem, bzw. einer parallelen Vista-Installation, einem anderen Konto oder innerhalb einer virtuellen Session die UAC wieder zu aktivieren.

Bei mir musste bspw. auch die Möglichkeit geschaffen werden, auf dem System mit UAC Screenshots für die Dokumentation zu erstellen (also von der Benutzerkonsteuerung selbst). Weitere Hinweise hiezu liefert Heise.