在討論UAC的工作機制時(shí)，詬病最多的情況就是，只要標識為需要管理員權限，就會(huì )彈出十分“擾民”的對話(huà)框，而很多菜鳥(niǎo)朋友要么都點(diǎn)允許，要么去騷擾網(wǎng)管。
盆盆評注：在企業(yè)范圍里，最好用標準用戶(hù)來(lái)部署桌面，并且關(guān)閉標準用戶(hù)的提升提示，如附圖所示。
這樣很多朋友自然而然都會(huì )產(chǎn)生這樣的想法：如果大多數用戶(hù)都點(diǎn)擊允許，那么UAC還有什么意義，不如關(guān)閉的好。什么都要讓用戶(hù)去決定，大家都知道安全防御體系的木桶結構中，end-user就是最短的那塊木板，現在讓end-user自己去決定，無(wú)疑非?；奶瓶尚?。
這個(gè)觀(guān)點(diǎn)看上去有理有據，很有道理，說(shuō)老實(shí)話(huà)，盆盆自己也曾產(chǎn)生過(guò)這樣的想法。
那么就來(lái)看看以下的五大事實(shí)吧：
1. 合法軟件的潛在破壞威力
UAC絕非僅僅用來(lái)抵御惡意軟件的破壞。大家知道，很多表面上合法的軟件（免費軟件），也會(huì )有意無(wú)意地破壞系統的完整性，例如有些應用程序會(huì )試圖替換別人的Dll文件、或者篡改系統注冊表鍵值，這會(huì )導致軟件沖突、或者系統不穩定，甚至崩潰。
另外，很多合法的應用程序也會(huì )存在多個(gè)漏洞，拿不少人立捧的Firefox來(lái)說(shuō)，就發(fā)現不少漏洞，一旦這些應用程序被惡意代碼攻破，就會(huì )成為攻擊者的橋頭堡。
而啟用UAC，就可以讓這些應用程序工作在更低的特權級別，所有的潛在破壞會(huì )局限在隔離的區域里。
2. 代替殺毒軟件？
錯！
再次澄清一下，UAC并非用來(lái)代替殺毒軟件和反間諜軟件。它更加類(lèi)似于一個(gè)Local的NAP（網(wǎng)絡(luò )訪(fǎng)問(wèn)保護），把默認的應用程序丟在隔離區域（低特權），而讓特殊的應用程序運行在可信區域（高特權）。
UAC和殺毒軟件是互為犄角的，殺毒軟件顯然不能對付所有的惡意代碼，那么遺留的惡意代碼就可以被UAC所限制；同樣由于用戶(hù)的原因，UAC也不一定可以防御所有的惡意代碼，但是還有殺毒軟件在那候著(zhù)。
盆盆評注：MarkRussinovich也說(shuō)過(guò)，UAC并非安全邊界，針對它的惡意代碼遲早也會(huì )來(lái)。UAC會(huì )導致病毒界里的一場(chǎng)革命，病毒會(huì )千方百計爭取在低特權環(huán)境里提升權限，而不是像有些初學(xué)者天真地以為，只需要在代碼里修改manifest，彈出對話(huà)框即可（參考前一篇）。
盡管UAC并非一帖即靈的萬(wàn)能圣藥，但是至少減低了系統的受攻擊面。
記住以下的這個(gè)公式，從左到右，系統安全性不斷提升：
內置Administrator<<普通管理員禁用UAC<普通管理員禁用UAC＋殺毒軟件<普通管理員啟用UAC<普通管理員啟用UAC＋殺毒軟件<標準用戶(hù)＋殺毒軟件
3. 56%>92%？？
如果禁用UAC，有什么負面影響？
首先，那會(huì )禁止虛擬重定向的兼容模式。對于企業(yè)桌面的標準用戶(hù)部署來(lái)說(shuō)，這種負面影響會(huì )比較大。
盆盆評注：微軟做過(guò)統計，如果啟用UAC，在標準用戶(hù)桌面環(huán)境，有92%的舊版應用程序可以正常運行，而禁用UAC，則只有56%的舊版應用程序可以兼容！
禁用UAC，難道您認為56%>92%？？
4. IE保護模式＋MIC＋UIPI，Bye Bye！
如果以上三點(diǎn)都不能阻止您禁用UAC，那么再考慮一下禁用UAC的其他惡果吧。IE保護模式、MIC還有UIPI等安全特性，都會(huì )（或者等于）和您說(shuō)再見(jiàn)了。
缺少了那么多保護作用，整個(gè)Windows Vista安全性就會(huì )降低到和Windows XP SP2差不多的層次（略高一些），那樣的話(huà)，盆盆會(huì )覺(jué)得您花了那么多錢(qián)，買(mǎi)進(jìn)了Windows Vista，結果卻只有一個(gè)Aero，得不償失??！
5. 6歲的孩童也可能欺負您
嘻嘻，剛從cnBeta上看到的一個(gè)新聞，不知道是真是假。說(shuō)是英國的一個(gè)6歲孩童，入侵了議會(huì )的網(wǎng)絡(luò )，并熱心地為議員安妮.米爾頓安裝了鍵盤(pán)記錄木馬。
看看，沒(méi)有UAC，連6歲兒童也可能欺負您！大多數惡意代碼是不會(huì )把自己標識為需要提升權限的，在WindowsVista，UAC會(huì )把這些惡意代碼，還有常用的進(jìn)程，都趕到低特權的隔離區域中。如果英國的議會(huì )提前使用WindowsVista的話(huà)，那么可憐的安妮就不會(huì )被6歲的孩童欺負了。
當然選擇權在您，這完全是個(gè)人意志，然而技術(shù)本身不能是個(gè)人意志，同時(shí)技術(shù)還得要以人為本，和Windows的其他特性相比，UAC還不能算“很”以人為本，但是和獲得的安全性相比，和其他解決方案相比，還算是“以人為本”的。
聯(lián)系客服
