Posso criar um privilégio de administrador para apenas um aplicativo?

Question

Uma universidade tenta executar nosso software, mas seus usuários não têm direitos de administrador.

No entanto, nosso software requer direitos de administrador para ser executado.

Existe uma maneira de o administrador do sistema criar um privilégio, apenas para o nosso software, ou isso causaria uma lacuna de segurança (maior) para o sistema deles?

Quaisquer outras soluções alternativas (razoáveis) também são bem-vindas, mas alterar nosso software está (infelizmente) fora de questão. Esse problema ocorre no Windows XP e no Vista.

    

Answer 1

Sim, isso causa uma grande falha de segurança. Se você tiver algum bug que permita a execução arbitrária de códigos ou a geração de novos processos, basicamente terá dado ao usuário direitos totais de administrador para o sistema.

Sei que você disse que não pode alterar seu software, mas se for entre uma venda perdida e uma venda perdida, considero que não é tão difícil não exigir direitos de administrador.

O que em particular requer os direitos? Você precisa escrever para certas partes do disco? Você precisa de acesso bruto a um dispositivo? Isso ajudaria a esclarecer.

    

Answer 2

A melhor maneira que eu poderia pensar seria usar um substituto de runas que economize senhas criptografadas ... algo como supercrypt .

    

Answer 3

Se os usuários fizerem parte de um domínio, você poderá usar um GPO para definir uma diretiva de restrição de software , que permite somente seu aplicativo para ser executado. Crie contas para os usuários e conceda direitos de administrador local às máquinas (de preferência com esse mesmo GPO).

    

Answer 4

Dê uma olhada no Sudo para Windows . Ele permite elevar os usuários normais aos administradores para o escopo de um único aplicativo.

Eu não tenho certeza se isso funcionará totalmente para você, como se você desse permissão ao usuário sudo. Eu não acho que você será capaz de impedi-lo de elevar outros aplicativos de sua escolha. Pode valer a pena olhar embora.

    

Answer 5

O seu software não pode ser executado dentro de uma máquina virtual ou sandbox, por exemplo? Virtualbox ou Sandboxie ou Contas Virtuais da ICore ?

Nas máquinas dos usuários ou hospedadas em um servidor.

Isso não facilitará a instalação ou uso, mas você vai comprar algum tempo até que seu software seja modificado.

    

Answer 6

Acho que o PrivilegeGuard da Avecto deve fazer exatamente o que você está procurando ... ele permite que você eleve os direitos de um aplicativo do Windows em particular, sem conceder direitos de administrador completos aos usuários. Tudo isso pode ser feito para o XP, Vista e Win 7.

    

Answer 7

Isso é absolutamente possível, PowerBroker Desktop: Windows Edition permite elevar os direitos de aplicações específicas sem elevar o usuário, você pode definir qual elevação adicional é dada ao (s) SID envolvido (s).

    

Answer 8

Suponho que você esteja pesquisando uma solução de baixo custo, mas se não conseguir encontrar nada que se encaixe, tente Universal Shield . Funciona restringindo o acesso por aplicativo e não por usuário. Em termos de segurança, é exatamente o que você precisa.

    

Answer 9

eu só encontrei isso .. link

Não tenho certeza de como isso é adequado para um ambiente de trabalho / escola. mas em casa isso funciona bem para um pequeno número de utilitários de administração que uso regularmente.