UAC-Stigma, UAC-kompatibel

[jik]

Zitat von himitsu:

Es gibt z.B. ein Manifest, mit dem kann man Windows sagen was es machen soll.

Danke himitsu!
Darüber habe ich auch schon gelesen. Bevor ich mich hineinknie: kann man via Manifest angeben, dass z.B. nach der ersten Userbestätigung (noch besser ohne) keine Frage mehr kommen soll?
Ich habe nämlich so die Befürchtung, dass das gar nicht geht, das würde dann ja auch jede Malware nutzen ...

[himitsu]

Nein, eine Frage komm immer, wenn UAC aktiv und noch höhere Rechte benötigt werden, denn sonst könnten sich Viren und Trojaner doch zu leicht alle Rechte besorgen.

Aber man kann z.B. sagen "nur mit normalen Rechten starten" (asInvoker)
Hatte oben den falschen Link ... siehe Abschnitt/Menüpunkt "Sicherheit".

[Dalai]

Wenn dein Programm in seinem Programmverzeichnis schreibt, dann solltest du

• das so abändern, dass das nicht mehr notwendig ist - dies ist die am ehesten anzustrebende Lösung
• wenn das unumgänglich ist, es entweder als Admin laufen lassen (ganz böse)
• oder die Zugriffsrechte der Verzeichnisse anpassen, und zwar bitte nur so weit öffnen, wie das unbedingt erforderlich ist. Schon das Recht "Ändern" schließt das Löschen von Dateien mit ein!

Und natürlich muss die Anwendung ein Manifest bekommen, denn ohne solches schlägt in jedem Fall die Virtualisierung von Dateien zu (Stichwort VirtualStore).

MfG Dalai

[Der schöne Günther]

Ich kenne mich mit der Thematik auch nicht wirklich aus, aber ein verstehe ich nicht: Wie treten solche "Anfragen" denn aus heiterem Himmel auf?

Entweder deine Anwendung verlangt mittels diesem "Manifest" vor dem Ausführen nach höheren Rechten. Das sieht man im Explorer auch immer an diesem Schildsymbol.

Oder es hat keine administrativen Rechte und wenn es Dinge versucht die es nicht kann (z.B. in C:\Programme schreiben) dann schlagen diese Dinge fehl. Aber es erscheinen nicht von alleine UAC-Abfragen.


Oder habe ich etwas verpasst?

[cookie22]

Zitat von Der schöne Günther:

...Wie treten solche "Anfragen" denn aus heiterem Himmel auf?

Gar nicht! Er versucht wo hinzuschreiben, wo er keine Rechte hat. Wenn man das anpasst, sollte das alles ohne UAC klappen. Muss denn noch in geschützte Bereiche geschrieben werden, muss man mit der UAC leben.

Oder man gibt dem Ganzen von Anfabg an Admin-Rechte.

[Perlsau]

Zitat von Der schöne Günther:

Ich kenne mich mit der Thematik auch nicht wirklich aus, aber ein verstehe ich nicht: Wie treten solche "Anfragen" denn aus heiterem Himmel auf? Entweder deine Anwendung verlangt mittels diesem "Manifest" vor dem Ausführen nach höheren Rechten. Das sieht man im Explorer auch immer an diesem Schildsymbol. Oder es hat keine administrativen Rechte und wenn es Dinge versucht die es nicht kann (z.B. in C:\Programme schreiben) dann schlagen diese Dinge fehl. Aber es erscheinen nicht von alleine UAC-Abfragen. Oder habe ich etwas verpasst?

Dieselbe Frage hab ich mir eben auch gestellt und mal nachgeschaut, was das eigentlich für eine Software ist. Wieso man dafür irgendwelche besonderen Rechte benötigen soll, erschließt sich mir ganz und gar nicht. Wie du kann ich mir nur vorstellen, daß das Programm in gewissen Bereichen schlecht konzipiert ist und z.B. im Programmordner Schreibrechte benötigt. Von alleine erscheinen, wie du schon festgestellt hast, keine UAC-Abfragen. Ich selbst hatte noch nie solche Probleme, obwohl ich auch unter XP anfing, Delphi zu programmieren.

Zitat von jik:

Wie komme ich dahinter, was UAC-Reklamationen auslöst? Dazu habe ich lange im Netz recherchiert.
- Nachsehen, ob gewisse Wörter in der Applikation auftauchen (Update, Setup ...) > nein.
- Schreibt das Prg. auf den Programmordner zu? Ja, auf Unterordner, aber nicht beim Start
- HKCU-Zugriff > nein

Willkommen in der Delphi-Praxis

Wenn du in den Programmordner zu schreiben versuchst, benötigst du ab Windows Vista Admin-Rechte. Das dient der Sicherheit vor Viren und Malware. Ich würde an deiner Stelle einfach das jeweilige User-Verzeichnis als Speicherort wählen oder das Public-Verzeichnis. In letzteres kannst du ohne Einschränkungen schreiben, in das Verzeichnis des angemeldeten Uses kann natürlich nur dieser schreiben.

Also statt das zu beschreibende Verzeichnis mit MeinOrdner := ExtractFilePath(ParamStr(0)); zu wählen, nimmst du den entsprechenden "Specialfolder". Wie das genau geht, kannst du z.B. dort nachlesen. Des weiteren findest du hier eine Liste der virtuellen Verzeichnisse.

[Dalai]

@Günther: Ja und nein. Du hast recht für den Fall, dass ein Programm kein Manifest hat, denn dann nimmt Windows an, dass das Programm nicht mit WinX kompatibel ist, und Schreibzugriffe auf geschützte Verzeichnisse werden auf den VirtualStore umgeleitet und es kommt keine UAC-Abfrage. Leider gibt's auch heutzutage noch solcherlei Software, sogar eine bekannte für Fluchtpläne .

Es gibt aber eine globale Microsoft Application Compatibility Database im Windows (*), in der für einige Programme Kompatibilitätseinstellungen stehen. Trifft man nun "durch Zufall" einen darin vermerkten Eintrag, kann das ebenfalls dazu führen, dass die UAC anspringt. So etwas ähnliches ist mir passiert, was mich selbst mehrere Tage Arbeit gekostet hat, um das überhaupt erstmal rauszufinden und schließlich zu beheben .

Dann gibt es die bereits erwähnte "Heuristik", mit der Windows versucht zu ermitteln, ob ein Programm kompatibel ist (mit Vista, Win7, Win8 usw), anhand von Eigenschaften der EXE.

(*) Wer es genau wissen will: diese DB findet man in der Datei %SystemRoot%\AppPatch\sysmain.sdb. Diese ist nicht veränderbar, man kann deren Einträge nur durch eine eigene (benutzerdef. DB) ergänzen und die festen DB-Einträge durch Registry-Einträge überstimmen/außer Kraft setzen.

MfG Dalai