Ograniczenia

W numerze 9 magazynu @t , któryś z czytelników narzekał na niedosyt artykułów o rejestrze. Żeby zaspokoić Jego (i innych) ciekawość zamieszczam tu kilka ciekawostek z zakresu zabezpieczenia systemu:
Ograniczenia uprawnień użytkowników
Jeżeli z komputera korzysta wielu użytkowników, warto zabezpieczyć system przed wprowadzaniem niebezpiecznych zmian w jego konfiguracji. Nie muszą to być zmiany celowe, ale zostawianie słabo znającego Windows 9x użytkownika samego przy komputerze zawsze niesie ze sobą potencjalną szansę małej (lub dużej) katastrofy. 
Ograniczenia uprawnień użytkowników można wprowadzać w kilku kluczach. Pierwszy z nich dotyczy całego komputera, niezależnie od tego, jaki użytkownik jest zalogowany i związany jest z pracą w sieci. 
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Network. 
* HideSharePwds -- ukrywanie haseł udostępniania poprzez zastąpienie ich na ekranie gwiazdkami. 
* DisablePwdCaching -- wyłączenie buforowania haseł. 
* AlphanumPwds -- wymaganie korzystania z hasła alfanumerycznego. 
* MinPwdLen -- minimalna długość hasła. 
* NoDialIn -- brak możliwości odbierania telefonu. 
* NoFileSharing -- brak możliwości udostępniania plików innym użytkownikom. 
* NoPrintSharing -- brak możliwości udostępniania drukarek innym użytkownikom. 
Pozostałe klucze zapisane są w kategorii użytkownika (HKEY_CURRENT_USER albo HKEY_USERS\użytkownik). 

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System 
* NoDispCPL -- wyłączenie dostępu do właściwości ekranu. 
* NoDispBackgroundPage -- wyłączenie dostępu do zakładki właściwości ekranu Tło. 
* NoDispScrSavPage -- wyłączenie dostępu do zakładki właściwości ekranu Wygaszacz ekranu. 
* NoDispAppearancePage -- wyłączenie dostępu do zakładki właściwości ekranu Wygląd. 
* NoDispSettingsPage -- wyłączenie dostępu do zakładki właściwości ekranu Ustawienia. 
* NoSecCPL -- wyłączenie dostępu do arkusza właściwości Hasła. 
* NoPwdPage -- wyłączenie dostępu do zakładki Zmień hasło arkusza Hasła. 
* NoAdminPage -- wyłączenie dostępu do zakładki Zdalne administrowanie arkusza Hasła. 
* NoProfilePage -- wyłączenie dostępu do zakładki Profile użytkownika arkusza Hasła. 
* NoDevMgrPage -- wyłączenie dostępu do zakładki Menedżer urządzeń arkusza System. 
* NoConfigPage -- wyłączenie dostępu do zakładki Profile sprzętu arkusza System. 
* NoFileSysPage -- wyłączenie dostępu do arkusza właściwości System plików. 
* NoVirtMemPage -- wyłączenie dostępu do arkusza właściwości Pamięć wirtualna. 
* DisableRegistryTools -- wyłączenie dostępu do Edytora Rejestru. 

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Network 
* NoNetSetup -- wyłączenie dostępu do właściwości sieci. 
* NoNetSetupIDPage -- wyłączenie dostępu do zakładki właściwości sieci Identyfikacja. 
* NoNetSetupSecurityPage -- wyłączenie dostępu do zakładki właściwości sieci Kontrola dostępu. 
* NoFileSharingControl -- brak kontroli nad współużytkowaniem plików. 
* NoPrintSharingControl -- brak kontroli nad współużytkowaniem drukarek. 
* NoEntireNetwork -- brak folderu Cała sieć. 
* NoWorkgroupContents -- brak składników grup roboczych w Otoczeniu sieciowym. 

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer 
* NoPrinterTabs -- ukrycie zakładek Ogólne i Szczegóły arkusza właściwości drukarki. 
* NoDeletePrinter -- brak możliwości usuwania drukarek. 
* NoAddPrinter -- brak możliwości dodawania drukarek. 
* NoStartMenuSubFolders -- ukrywa podfoldery menu Start. 
* NoRun -- brak polecenia Uruchom. 
* NoSetFolders -- brak polecenia Ustawienia w menu Start. 
* NoSetTaskbar -- brak właściwości paska zadań. 
* NoFind -- brak polecenia Znajdź. 
* NoDrives -- brak dostępu do dysków lokalnych (uaktywnienie wymaga podania wartości binarnej zawierającej tyle jedynek, ile kolejnych liter dysków ma zostać ukrytych). 
* NoNetHood -- brak dostępu do otoczenia sieciowego. 
* NoDesktop -- brak pulpitu. 
* NoClose -- brak możliwości zamknięcia Windows. 
* NoSaveSettings -- wyłączone zachowywanie ustawień przy wyjściu. 
* RestrictRun (klucz) -- lista dozwolonych aplikacji. 
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\WinOldApp 
* Disabled -- brak możliwości uruchamiania aplikacji DOS-u. 
* NoRealMode -- brak możliwości uruchamia aplikacji DOS-u w trybie pojedynczej aplikacji. 
Uaktywnienie wymienionych wartości wymaga dopisania ich do odpowiednich kluczy i nadania im wartości binarnej1. Blokowania odpowiednich opcji dokonasz też poprzez kliknięcie na odpowiedni plik .REG, który zablokuje, bądź odblokuje daną opcję. To przykładowy szablon, w którym opcja jest odblokowana. Aby ją zablokować należy zmienić wartość z 0 na 1 np.:NoDispCPL = hex:00,00,00,00- odblokowana NoDispCPL = hex:01,00,00,00- zablokowana
Powyższy wpis zablokuje wyświetlanie okna właściwości ekranu.

Jeżeli zmiany nie dotyczą całego systemu, czyli nie są wprowadzane w kategorii HKEY_LOCAL_MACHINE, należy pamiętać, że: 
* Konfigurację użytkownika korzystającego w danym momencie z systemu zmieniamy w kategorii HKEY_CURRENT_USER. 
* Konfiguracje innych użytkowników zmieniamy w kluczach HKEY_USERS\identyfikator_użytkownika 
Zabezpieczenie przed anonimowym logowaniem
Kiedy Windows 95/98 pracuje w sieci lub korzystamy z możliwości przypisania indywidualnych konfiguracji różnym użytkownikom, przy uruchamianiu systemu włącza się procedura tzw. logowania, oznaczająca podanie identyfikatora (imienia) i hasła użytkownika. Po kliknięciu OK Windows się uruchamia. Jest to procedura dość prosta i oczywista. Nie jest chyba jednak do końca jasne, co dzieje się, kiedy w okienku logowania podamy nie znany jeszcze systemowi identyfikator (na przykład "Alojzy Bąk") albo klikniemy Cancel. 
Jak już napisano wcześniej, konfiguracje poszczególnych użytkowników zapisywane są w kategorii HKEY_USERS w kluczach odpowiadających ich identyfikatorom. W kategorii tej znajdziemy również klucz dodatkowy -- .Default. Odpowiada on konfiguracji domyślnej, wykorzystywanej wówczas, gdy nie można użyć żadnej z pozostałych. 
Gdy wiemy o istnieniu tego klucza, możemy wprowadzić dwie innowacje: 
* Odpowiednio ograniczyć uprawnienia użytkownika domyślnego, wykorzystując klucz Policies. Możemy również wprowadzić dowolne inne zmiany -- to już zależy od naszych potrzeb. 
* Zmienić nazwę klucza .Default. Wówczas logowanie anonimowe nie będzie w ogóle możliwe. 
Uwaga: Jeżeli nie korzystamy z opcji indywidualnych konfiguracji użytkowników, w kategorii HKEY_USERS znajdziemy wyłącznie klucz .Default. Wówczas zmienianie go nie ma żadnego sensu, ponieważ zawsze wszelkie modyfikacje zostaną stracone przy zamykaniu systemu, kiedy miejsce .Default zajmie HKEY_CURRENT_USER. 

<DF>
frankosio@wp.pl  
http://strony.wp.pl/wp/frankosio 


Copyright 2001 by magazyn @t.Wszelkie prawa zastrzeżone.