Windows 7: referenzauswertung wurde v. server zurückgesendet

[berens]

Hallo!

Bezugnehmend auf dieses Thema http://www.delphipraxis.net/internal...t.php?t=168532 , in dem es um die Windows 7 Kompatibilität von Delphi (2010) und die Einbindung des Windows 7 Manifestes geht, habe ich nun ein neues Problem.

Wenn die UAC nicht aktiviert ist, gibt es kein Problem. Mit aktivierter UAC gibt es beim Starten des meisten meiner Programme die Fehlermeldung

Zitat:

Referenzauswertung wurde vom Server zurückgesendet

Laut der Forenantworten die ich über Google ermittelt habe ist der eindeutiger Tenor: "Deaktivier' halt einfach die UAC!". Das kann ich meinen Kunden nicht zumuten; deshalb die Frage was ich noch tun kann/soll/muss, damit diese Meldung nicht kommt.

Die Meldung tritt sowohl bei einem PC mit Domäne, als auch bei einem ohne Domäne auf. Bei Beiden ist jeweils der Admin angemeldet.

Falls es an meinem Manifest liegen sollte, hier die .ini für den Manifest-Creator von himitsu ( http://www.delphipraxis.net/internal...nifest+creator ):

Zitat:

[ManifestCreator]
Version=0.0.0.0
Name=Mein Programmname
Type=Win32
VersionFormFile=
Architecture=X86
Language=
PuplicKey=
Description=
ExecutionLevel=3
UIAccess=1
SupportedOS_Windows Vista=1
SupportedOS_Windows Sieben=1
FileHash=0
HelpDir=0
Design=1
FileVersion=0
Manifest=
Resource=

[Dezipaitor]

Wenn du das Manifest verdächtigst, dann hast du zwei Möglichkeiten.

1. Versuche es ohne
2. Benutze eines der vielen Standardmanifeste, die überall gepostet sind.

Edit:
UIAccess sollte False sein.

[Assertor]

Hallo,

Zitat:

Zitat von Dezipaitor

UIAccess sollte False sein.

genau. Außerdem ggf. Rechte prüfen, damit meine ich nicht die Gruppenzugehörigkeit, sondern die GPOs (SecPol).

Dazu gefunden:

Zitat:

Problems with uiAccess = true
[...]

I have tried to search your problem in Microsoft's internal database. I
found that the error message "A referral was returned from the server"
corresponds to: ERROR_DS_REFERRAL.

Further discussion shows that ShellExecute API will call the
AIS(Application Information Service) to elevate the launched application.
However, if you have set policy "User Account Control: Only elevate
executables that are signed and validated" to enabled in secplo.msc, AIS
will try to contact the certificate/signing subsystem. to validate your
Exetable. If the validation fails, the AIS retruns ERROR_DS_REFERRAL to the
ShellExecute, which is finally reported to the end user. Yes, this error
message is not informative now, the Vista security team filed an internal
bug to discuss this and may catalog and translate all of those error codes
into ERROR_ACCESS_DENIED_BY_POLICY in the future.

To verify if your problem is caused by the AIS validation failure, you may
try to disable "Local Policies"->"Security Options"->"User Account Control:
Only elevate executables that are signed and validated" in secplo.msc.
Note: it is disabled by default in my Vista machine.

If you still can not address this problem, is it possible for you to create
a little sample project for me to reproduce this problem? Then I may give
it a troubleshoot. Additionally, to isolate this problem better, I
recommend you use pure Win32 unmanaged to write a this sample.

Thanks.

Best regards,
Jeffrey Tan
Microsoft Online Community Support

Also ist ERROR_DS_REFERRAL ("Referenzauswertung wurde vom Server zurückgesendet") irreführend: Es handelt sich ja um eine per GPO gesteuerte Zurückweisung der Elevation für unsignierte Apps.

Ergo: uiAccess aus, oder Anwendung signieren.

Gruß,
Assertor

[Dezipaitor]

Anwendung muss nicht nur signiert sein, sondern auf sich in einem "sicheren" Ordner befinden, der von MS vorgegeben wurde, z.b. Programme.

[Assertor]

Zitat:

Zitat von Dezipaitor

Anwendung muss nicht nur signiert sein, sondern auf sich in einem "sicheren" Ordner befinden, der von MS vorgegeben wurde, z.b. Programme.

Ja? Ganz sicher? Ich meine, die Zertifikate müssen nur im Trusted Publisher Store sein... Hast Du einen Link parat?

Edit: Hast recht, zumindest mit Win7 (siehe http://appdeveloper.intel.com/en-us/node/1062):

Zitat:

From what I gather uiAccess=true is generally intended for accessibility utilities. If you do need uiAccess Enabled, then the executable needs to be digitally signed and must be installed under %Windir% or %ProgramFiles%.

Gruß,
Assertor

[Dezipaitor]

Ist auch in WinVista so.

[berens]

Ah. Oh. Stichwort Zertifikate. Meins ist seit ein paar Tagen abgelaufen oO. Das könnte natürlich die Erklärung sein, dass der Zertifikate-Herausgeber nicht (positiv) auf die Anfrage nach der Gültigkeit meines Zertifikats antwortet.

Toller Anbieter von meinem Zertifikat; Verdient sich ne goldene Nase und erinnert einen noch nicht mal dran, wenn das alte Zertifikat abläuft. -.-

Ich weiss: SuFu ist dein Freund, aber kann mir einer in einem Satz zusammenfassen ob/wofür/wann ich uiAccess tatsächlich auf true brauche?


Danke schonmal für den wichtigen Hinweis mit dem Zertifikat!

[Dezipaitor]

http://blogs.msdn.com/cjacks/archive...e-desktop.aspx

[Bernhard Geyer]

Zitat:

Zitat von berens

Ah. Oh. Stichwort Zertifikate. Meins ist seit ein paar Tagen abgelaufen oO. Das könnte natürlich die Erklärung sein, dass der Zertifikate-Herausgeber nicht (positiv) auf die Anfrage nach der Gültigkeit meines Zertifikats antwortet.

Hast du denn für deine Exe nicht per Timestamp-Service das Zertifikat unentlich gültig gemacht? Du kannst zwar keine neuen Exe's signieren, aber eine schon signierte Exe hat immer ein gültiges Zertifikat.

Zitat:

Zitat von berens

Toller Anbieter von meinem Zertifikat; Verdient sich ne goldene Nase und erinnert einen noch nicht mal dran, wenn das alte Zertifikat abläuft. -.-

Bei Verisign ist es umgekehrt. Mann bekommt Post (kein e-Mail) das das Zertifikat abläuft obwohl man schon seit einiger Zeit eine Verlängerung gekauft hat.

[berens]

Verisign: ^^

Tatsächlich sind die .exe Dateien mit einem TimeStamp signiert, aber das bringt mir alles nichts, wenn ich heute ein Update rausbringen will :/

Naja...