微软新系统WinVista安全特性深度阐述

　　UAP/LUA可以说是Windows Vista爱好者常谈的内容了，陈宇讲师先阐述了Windows前期版本的管理员与用户中的权限区别，以其造成的不便，例如不安全的程序，误操作和管理的问题来对比Windows Vista中的UAP/LUA--新的身份权限控制管理。今天的讲演通俗易懂，原本晦涩的权限概念被解释得非常清楚。

　　不过讲师也承认，Windows Vista在运行现有，特别是9x平台的程序将没有很理想的表现，因为它对管理员权限实在是太依赖了，但是Vista的虚拟区域将会解决这个问题，建议大家了解。

　　UAP/LUA中的用户被定义为普通用户和管理员用户，在管理员用户中，引入了一个"受保护的管理员用户"概念，在这种模式下，正常运行时和普通用户并无区别，但在有需要时，可以升级到拥有足够权限的用户模式(例如安装程序)，这一切都是用户自行控制的，可自定义的。

　　在Windows Vista中，任何用户登录都将以最小权限进行，LUA会根据最大权限来即时提升权限，当两个程序同时运行于系统时，普通用户的进程列表中不包含管理员的进程，这可以避免相互攻击。

　　Windows Vista去除了大量无用的管理员权限检查，让大部分程序都可以以最小模式正常运行。任何新建的帐号在没有赋予权限之前，都是最小权限的缺省用户类型(包括管理员在登录的时候都是这样，这一切都是动态的).这样减少了其余软件和程序的漏洞被人利用发起对系统破坏的可能。

　　在提升权限的时候，受保护管理员用户将接到三种不同方式:对话框，密码提示，安全组合键的升级方式获得必要的权限。管理员也可以自定义程序是否需要提升管理员权限才可以运行.但在通常情况下，Windows Vista已经提供了相当数量的规则。

　　Windows UI 设置这个角落也可以完美地被管理员加锁，和前期的Windows不一样，普通用户对于系统工具是只读的，除非升级到足够权限，否则要对系统做操作就将非常困难(甚至连修改系统时间，没有权限也是一件不可能的事情，系统时间对于整个系统服务特别是数据库来说，实在是太重要了)。

　　前面提过，Windows Vista可能无法很好地兼容现有和早期软件，但是Windows Vista会有一个虚拟化概念，将读取的数据(仅仅是数据，对DLL和EXE)隔离到虚拟存储区，程序的最大影响也仅限于LUA进程，对拥有管理员权限的程序是不起作用的.这仅仅是一个过渡化方案，在下一个版本中将会Cut掉这个技术.

　　LUA最少权限用户进程和管理员进程在同一个桌面运行，有着相同的SID，这样就可以相互读取，调用同一个API，难以避免线程注入.这是非常危险的，微软给出的解决方案还是同一个概念:进程分级别，从下往上，低级别无法读取高级别.这样，即时是恶意软件也无法逃过进程级别的验证，能进入系统，却无法造成破坏.