Vi sono applicazioni che, più di altre, devono
essere
considerate a rischio per la possibilità di trasmettere
infezioni o codice dannoso al nostro PC. In cima alla lista troviamo i
browser per la navigazione internet, i client di posta elettronica, i
programmi di chat, instant messager e tutti i software che fanno da
interfaccia tra i contenuti presenti sul web e i file memorizzati
localmente. Perdere il controllo su ciò che viene scaricato
dalla rete significa perdere potenzialmente il controllo dell'intero
sistema.
Programmi antivirus dotati di protezione in tempo reale
dovrebbero,
in teoria, bloccare l'eventuale codice dannoso nel momento stesso in
cui questo viene salvato sul nostro hard disk. In realtà, il
proliferare di trojan e browser hijacker anche su sistemi dotati di
antivirus aggiornati, testimonia in modo preoccupante come queste
misure, da sole, non siano sufficienti. Cosa fare allora per
difendersi? Possibile che non esista una soluzione efficace per non
restare vittima dell'ennesima vulnerabilità del nostro
browser o
di un click un po' troppo avventato sul tasto del mouse?
Una delle regole
più importanti
della sicurezza informatica stabilisce che è sempre
necessario
configurare in modo restrittivo il sistema al fine di ridurre il
più possibile l'impatto di azioni potenzialmente
distruttive.
Ciò significa che nel normale uso di un computer
bisognerebbe
impedire all'utente, e a tutti i programmi che egli usa, di accedere ad
aree di sistema critiche che, se compromesse, renderebbero la macchina
vulnerabile.
Purtroppo nel mondo Windows questa pratica non è
molto
seguita. La maggior parte degli utenti casalinghi, e non solo, lavora
abitualmente usando un account di tipo amministrativo. Certamente
questo dà il vantaggio di un accesso immediato a tutte le
opzioni di configurazione del PC, ma consente anche a virus, worm e
trojan di causare enormi danni direttamente al cuore del sistema
operativo. La maggior parte di questi, infatti, è realmente
pericolosa solo se eseguita come amministratore.
Un account limitato
Usare un account limitato per il lavoro quotidiano
sarebbe
la pratica consigliabile. Per i saltuari compiti amministrativi
è sempre possibile cambiare utenza per elevare i propri
privilegi oppure usare la comoda funzione Esegui come
per
lanciare un programma con credenziali alternative (si accede alla
funzione attraverso un click col tasto destro del mouse sull'icona
dell'eseguibile). A chi usa abitualmente il prompt dei comandi invece
si suggerisce l'uso del comando
RunAs.
Nella pratica le cose possono essere ben diverse. Abitudini
dure a
cambiare o applicazioni mal programmate, che non funzionano
correttamente in un ambiente ristretto, costringono spesso l'utente ad
usare un account col massimo grado di privilegio. Come fare in questi
casi a ridurre il potenziale impatto dannoso delle applicazioni
critiche? La buona notizia è che possibile forzarne
l'esecuzione
in un contesto limitato anche se l'ambiente circostante è
quello
amministrativo. In questo modo creiamo una gabbia
attorno
all'applicazione restringendo il campo a tutte le operazioni che essa
può intraprendere. Questo vale anche per l'eventuale codice
dannoso che essa dovesse a nostra insaputa scaricare ed eseguire.
Bisogna precisare comunque che questa strategia non
è
efficace quanto l'utilizzo di un account limitato. Malware sofisticato
può ancora cercare di attuare una scalata di privilegi ed
eseguire il suo codice privo di limiti. Questo metodo inoltre non mette
al riparo da codice deliberatamente eseguito dall'utente: lanciare
manualmente un programma scaricato dalla rete o allegato ad una email
significa eseguirlo nel contesto di protezione dell'utente
amministratore e non in quello limitato del programma che si
è
usato per scaricarlo.
DropMyRights
DropMyRights, letteralmente "abbassa i miei privilegi", è una piccola applicazione creata dallo sviluppatore Microsoft Michael Howard attraverso la quale è possibile limitare l'esecuzione di un programma a nostra scelta. Nel suo articolo su MSDN intitolato Browsing the Web and Reading E-mail Safely as an Administrator ne descrive in dettaglio il funzionamento e ne fornisce il breve codice sorgente. Una interessante analisi su SecurityFocus ha dimostrato sul campo come attraverso questo piccolo e utile programma sia possibile abbattere in modo quasi totale la pericolosità della maggior parte del malware incontrato durante la navigazione.
DropMyRights funziona unicamente da riga di comando ma, come vedremo tra poco, è possibile sfruttarne le potenzialità anche senza accedere direttamente al prompt.
La fase di installazione è molto semplice. Sebbene ci venga proposto di installare il programma nella cartella Documenti si consiglia di personalizzarne la posizione all'interno della cartella c:programmi. A questo punto possiamo testarne le potenzialità. La sintassi del comando è la seguente:
dropmyrights programma modalità
dove programma è il percorso assoluto dell'eseguibile che si vuole lanciare in modo limitato e modalità è il grado di limitazione che si vuole imporre.
Sono disponibili le seguenti tre modalità in ordine crescente di restrizione:
- N: normal user, è la modalità standard per DropMyRights e corrisponde alla utenza limitata di Windows XP.
- C: constrained user
- U: untrusted user
Nella maggior parte dei casi l'unica opzione realmente utilizzabile è la prima in quanto quelle più limitative creeranno malfunzionamenti o addirittura l'impossibilità di esecuzione dell'applicazione.
Il modo più semplice per usare DropMyRights è quello di creare un collegamento all'interno del quale venga richiamato il comando con la corretta sintassi. Supponiamo ad esempio di voler eseguire Internet Explorer nel contesto limitato normal user e supponiamo anche di avere installato DropMyRights nella posizione c:programmidropmyrights.
Dobbiamo fare in modo di eseguire il seguente comando:
"C:programmidropmyrightsdropmyrights.exe" "C:programmiinternet exploreriexplore.exe" N
Cominciamo col creare un collegamento sul desktop: tasto destro / nuovo / collegamento. Come percorso indichiamo esattamente il comando della riga precedente. Nella pagina successiva possiamo inserire il nome visualizzato per il collegamento, ad esempio IE [limitato]. Se si desidera personalizzare l'anonima icona è possibile selezionare le proprietà del collegamento e premere il pulsante Cambia icona presente all'interno della scheda Collegamento. Attraverso il pulsante Sfoglia si possono ricercare icone memorizzate in qualsiasi eseguibile presente sul pc. Nel nostro caso possiamo selezionare il percorso di Internet Explorer indicato in precedenza per ottenere la relativa icona. A questo punto abbiamo terminato.
Se procediamo con un doppio click sul collegamento dovrebbe apparire per una frazione di secondo una finestra del prompt dei comandi e subito dopo il nostro browser in configurazione limitata, pronto per navigare in tutta sicurezza.
Se si desidera verificare i reali diritti posseduti da Internet Explorer è possibile installare PrivBar. Questa piccola toolbar, realizzata da Aaron Margosis, visualizza in modo costante il livello di protezione del programma consentendoci di avere sempre sotto controllo la situazione.
Allo stesso modo possiamo limitare altre applicazioni. È sufficiente sostituire il percorso di Internet Explorer con quello desiderato. Per Outlook Express, ad esempio, inseriremo in comando:
"C:programmidropmyrightsdropmyrights.exe" "C:ProgrammiOutlook Expressmsimn.exe" N
per Firefox
"C:programmidropmyrightsdropmyrights.exe" "C:ProgrammiMozilla Firefoxfirefox.exe" N
Per concludere, è utile precisare che, sebbene sia molto efficace, questo metodo ha i suoi limiti. Il programma sarà infatti soggetto a restrizioni unicamente se lanciato tramite il collegamento creato. Cliccando su una pagina html locale, cliccando su un link presente in un programma non soggetto a restrizioni e in tutti in quei casi in cui il browser venga lanciato in modo diretto, i privilegi saranno quelli amministrativi.
UAC: le restrizioni di IE 7 secondo Windows Vista
Consci di tutti i problemi di sicurezza che hanno afflitto le
precedenti versioni di Internet Explorer, gli ingegneri Microsoft hanno
deciso di inserire un nuovo meccanismo di protezione all'interno del
nuovo Windows Vista. Il principio su cui si basa è simile a
quello descritto precedentemente ma sarà nativo all'interno
del
sistema operativo.
Questo nuovo meccanismo denominato
UAC
(User Account Control) cerca di limitare in ogni momento l'esecuzione
con diritti amministrativi, assegnando il massimo grado di privilegio
ai soli processi che realmente ne richiedano l'uso. La parola d'ordine
sarà limitare i diritti al minimo indispensabile per il
corretto
funzionamento dei programmi.
Il browser, a questo proposito, non fa eccezione. Internet
Explorer
7 introduce una nuova modalità di funzionamento chiamata
Protected Mode che sarà usata in modo predefinito per tutte
le
zone di protezione diverse dalla Zona Attendibile. In
modalità
protetta Internet Explorer limiterà automaticamente i propri
privilegi riducendo di conseguenza l'impatto di eventuale codice
pericoloso.
Link utili
Un comando alternativo per l'esecuzione limitata:
Running
as Limited User - the Easy Way (Mark's Sysinternals Blog)
