Microsoft MVP성태의 닷넷 이야기
홈 주인모아 놓은 자료프로그래밍질문/답변사용자 관리 RSS OPML Link
Windows: 20. UAC 이모저모 [링크 복사], [링크+제목 복사],
조회: 28954
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
http://www.sysnet.pe.kr
첨부 파일
 
(연관된 글이 4개 있습니다.)
(시리즈 글이 8개 있습니다.)
Windows: 14. 보호 모드와 필수 무결성 제어(MIC: Mandatory Integrity Control)
; https://www.sysnet.pe.kr/2/0/433

Windows: 15. MIC 환경 구성 - Windows XP와 유사한 보안 설정
; https://www.sysnet.pe.kr/2/0/434

Windows: 16. 개발자를 위한 UAC 환경 설정
; https://www.sysnet.pe.kr/2/0/437

Windows: 17. 보안 데스크톱에서 활성화되지 않은 UAC 창이 안전할까?
; https://www.sysnet.pe.kr/2/0/441

Windows: 20. UAC 이모저모
; https://www.sysnet.pe.kr/2/0/449

Windows: 22. 가상화에 대해서.
; https://www.sysnet.pe.kr/2/0/456

.NET Framework: 297. 특정 EXE 파일의 실행을 Internet Explorer처럼 "Protected Mode"로 실행하는 방법
; https://www.sysnet.pe.kr/2/0/1225

개발 환경 구성: 571. UAC - 관리자 권한 없이 UIPI 제약을 없애는 방법
; https://www.sysnet.pe.kr/2/0/12633




UAC 이모저모


여기 있는 내용들은 제가 UAC 관련해서 수집한 잡다한 정보들을 써놓은 것입니다. 혹시나 제가 잘못 이해한 것이 있다거나 하는 내용이 발견된다면 피드백을 부탁드리겠습니다. ^^

Teach Your Apps To Play Nicely With Windows Vista User Account Control
; https://learn.microsoft.com/en-us/archive/msdn-magazine/2007/january/teach-your-apps-to-work-with-windows-vista-user-account-control

Windows Vista Security Guide
; http://www.microsoft.com/downloads/details.aspx?FamilyId=A3D1BBED-7F35-4E72-BFB5-B84A526C1565
; https://en.wikipedia.org/wiki/Security_and_safety_features_new_to_Windows_Vista


1. UAC 제어는 프로세스가 생성되는 시점에만 가능하다.
인터넷 익스플로러 같은 경우에 보호 모드로 구동되는 프로그램은 아예 별도로 뜨는 것을 확인할 수 있다. 왜냐하면, 이미 exe 프로세스가 시작된 이후에는 해당 프로세스의 필수 무결성 제어(신뢰도 등급)을 바꾸는 것이 불가능하기 때문.

2. 배경(background) 프로그램에서 UAC 권한 알림을 하는 경우.
이런 경우 UAC 보안 데스크톱이 현재 프로그램의 진행을 방해하지 않고, 대신에 작업 표시줄에서 UAC 확인창이 요구된다는 것을 알리기 위한 아이콘이 점멸하는 것으로 구성됨.

3. UAC로 인해 비스타는 2가지 access token을 관리
지정된 조건을 만족하는 계정으로 로그인할 때, 비스타는 2가지 access token을 생성.

  • "filtered standard user access token"
  • "full access token".

데스크톱 관련한 프로세스를 시작(explorer.exe)할 때는 filtered standard user access token을 사용. 이후, UAC 확인창이 뜬 경우, full administrator access toke으로 작업.

지정된 조건이란?

윈도우즈 비스타는 로그인하는 계정이 특정 Relative ID 값이나 특권을 가지고 있는지의 여부를 가지고 판단한다. 즉, 다음과 같은 RID(Relative ID)값을 포함하고 있는 계정은 별도로 "filtered standard user access token"을 같이 갖는다.

[RID 값]
  • DOMAIN_GROUP_RID_ADMINS
  • DOMAIN_GROUP_RID_CONTROLLERS
  • DOMAIN_GROUP_RID_CERT_ADMINS
  • DOMAIN_GROUP_RID_SCHEMA_ADMINS
  • DOMAIN_GROUP_RID_ENTERPRISE_ADMINS
  • DOMAIN_GROUP_RID_POLICY_ADMINS
  • DOMAIN_ALIAS_RID_ADMINS
  • DOMAIN_ALIAS_RID_POWER_USERS
  • DOMAIN_ALIAS_RID_ACCOUNT_OPS
  • DOMAIN_ALIAS_RID_SYSTEM_OPS
  • DOMAIN_ALIAS_RID_PRINT_OPS
  • DOMAIN_ALIAS_RID_BACKUP_OPS
  • DOMAIN_ALIAS_RID_RAS_SERVERS
  • DOMAIN_ALIAS_RID_PREW2KCOMPACCESS
  • DOMAIN_ALIAS_RID_NETWORK_CONFIGURATION_OPS
  • DOMAIN_ALIAS_RID_CRYPTO_OPERATORS


또한, 다음에 나열된 것들을 제외하고 또 다른 윈도우즈 특권(privilege)을 갖고 있는 경우에도, 아래의 특권을 제외한 "filtered standard user access token"이 생성된다.

  • SeChangeNotifyPrivilege
  • SeShutdownPrivilege
  • SeUndockPrivilege
  • SeIncreaseWorkingSetPrivilege
  • SeTimeZonePrivilege

윈도우즈 특권의 경우, 제한 목록에 있는 RID 값을 소유한 계정이 로그인한 경우 생성되는 "filtered standard user access token"은 다음의 특권을 제외한 모든 특권들이 제거된다.

  • SeChangeNotifyPrivilege
  • SeShutdownPrivilege
  • SeUndockPrivilege
  • SeReserveProcessorPrivilege
  • SeTimeZonePrivilege

하지만, 제한된 RID는 포함하고 있지 않은 대신에 제한된 특권을 소유함으로 인해 생성되는 "filtered standard user access token"은 다음의 목록에 있는 특권만을 제거한다.

  • SeCreateTokenPrivilege
  • SeTcbPrivilege
  • SeTakeOwnershipPrivilege
  • SeBackupPrivilege
  • SeRestorePrivilege
  • SeDebugPrivilege
  • SeImpersonatePrivilege
  • SeRelabelPrivilege

RID에 대한 정보: https://learn.microsoft.com/en-us/windows/win32/secauthz/sid-strings
윈도우즈 특권에 대한 정보 : https://learn.microsoft.com/en-us/windows/win32/secauthz/authorization-constants

4. "Admin Approval Mode"
위의 3번 과정에서 설명한 것과 같은 상황에서 "full administrator access token"을 가리켜 "Admin Approval Mode"에 있다고 지칭.

5. 기본 제공되는 "관리자(Administrator)" 계정은 사용할 수 없음으로 설정됨
비스타가 새로 설치되는 경우, 기본 관리자 계정은 사용할 수 없음으로 되어 있지만, 기존의 Windows XP에서 업그레이드시에는 "Admin Approval Mode" 하의 관리자 계정으로써 활성화되어 있음.

6. 기본 관리자 계정에 대한 "시스템 보호 모드 로그인" 불가능
이는 도메인에 참여 여부에 따라 달라짐.

만약 WORKGROUP 상태의 비스타라면,
기본 관리자 계정으로는 보호 모드 진입이 불가능. 하지만, 현재 관리자 그룹에 속한 관리자 계정들이 하나도 없거나, (기타 사유로 인해) 사용할 수 없도록 설정이 된 경우에는 기본 관리자 계정의 보호 모드 진입이 허용.

만약 도메인에 참여한 경우라면,
로컬의 기본 관리자 계정밖에 가능하지 않다고 하더라도, 도메인 레벨의 관리자 계정이 있으므로 여전히 로컬 기본 관리자 계정으로는 보호 모드로 로그인이 안됨. 다시 도메인에서 탈퇴하게 되면, "도메인에 참여하지 않은 경우"에 대한 규칙을 적용.

7. ActiveX Installer Service
인트라넷 사이트에서 구성 가능한 NT 서비스 유형으로 IT 관리자는 Group Policy를 이용하여 관리가능. 다음과 같이 프로그램 추가/삭제에서 설치할 수 있음.

vista_uac_misc_1.png

8. 기존 설치 프로그램에 대한 자동 UAC 확인창 적용 - Installer Detection
대개의 경우, 설치 프로그램은 "Program Files" 폴더에 쓰기 작업을 수행하므로 "high" 신뢰도 필요하기 때문에, 비스타는 설치와 관계된 실행 파일이라고 판단이 되는 경우에는 해당 프로그램 실행시에 자동으로 UAC 확인창을 띄워 준다.

Installer Detection 과정은 다음의 실행 파일 유형에만 적용됨

  • 32비트 응용 프로그램
  • requestedExecutionLevel이 지정되지 않은 응용 프로그램
  • UAC가 허용된 표준 사용자 권한으로 구동되는 상호 작용 프로세스

32비트 프로세스가 실행되기 전 다음의 사항을 확인해서 그것이 "설치 프로그램"인지를 판단.

  • . 파일명에, "install", "setup", "update"와 같은 단어를 포함하고 있는 경우.
  • . 지정된 키워드가 버전 관련 리소스에 포함된 경우. (버전관련 리소스 필드로는 Vendor, Company Name, Product Name, File Description, Original Filename, Internal Name, Export Name)
  • . 지정된 키워드가 실행 파일에 포함된 sxs(side-by-side) 응용 프로그램 manifest에 있는 경우.
  • . 지정된 키워드가 실행 파일에 링크된 특정 StringTable에 있는 경우.
  • . 실행 파일에 링크된 리소스 파일 데이터에 키 속성값
  • . 실행 파일내의 특정한 바이트 모음

하지만, 가능하면 위의 수단 보다는 응용 프로그램 Manifest에 requestedExecutionLevel을 명시해주는 것이 권장됨. 참고로, 응용 프로그램 패치의 경우, Windows Installer 4.0에서 새롭게 선보이고 있는 패칭 기술을 이용하면, 관리자의 권한 획득없이도 패치를 배포하는 것이 가능. 자세한 사항은 https://learn.microsoft.com/en-us/windows/win32/msi/patching-per-user-managed-applications을 참조.

9. 프로그램 실행 시 UAC 확인창 띄우도록 설정
코딩에 의한 방법과 Manifest 파일을 이용한 방법이 있으며, VC++ native 프로그램과 Managed 프로그램에 대한 적용이 달라진다. 자세한 내용은 다음의 토픽을 참조.

필수 무결성 제어(신뢰도 등급)을 조절하는 방법(1) - Manifest 파일 이용
; https://www.sysnet.pe.kr/2/0/445

필수 무결성 제어(신뢰도 등급)을 조절하는 방법(2) - 직접 코딩 
; https://www.sysnet.pe.kr/2/0/446

10. 가상화는 지양
기왕에 응용 프로그램을 마이그레이션 하기로 결정했다면 가상화에 의존하지 않도록 만들어야 한다. 왜냐하면 향후의 운영체제에서는 가상화를 계속 지원할 수 있다고 장담할 수 없기 때문이다. 다음은 마이크로소프트에서 말하는 주의 사항이다.

" Virtualization is implemented to improve application compatibility problems for applications running as a standard user on Windows Vista. Developers must not rely on virtualization being present in subsequent versions of Windows. Microsoft intends to remove virtualization from future versions of the Windows operating system as more applications are migrated to Windows Vista. "

가상화는 마이그레이션에 대해 시도조차 하지 않은 프로그램만을 위한 고려라는 것을 알아두자. 실제로 manifest 파일에 "requestedExecutionLevel" 값을 지정한 경우에는 해당 응용 프로그램에 대해서 가상화는 진행되지 않는다.

가상화 대상이 되는 응용 프로그램은 다음과 같다.

  • 사용자와의 상호작용 인터페이스를 갖는 32비트 프로세스
  • 관리자 계정으로 쓰기가능한 파일/폴더/레지스트리에 대해서 가상화

반대로 다음과 같은 조건을 갖춘 경우 해당 응용프로그램에는 가상화 서비스가 적용되지 않는다.

  • 64비트 프로세스
  • 사용자와의 상호작용 인터페이스가 없는 프로세스
  • 가장된(impersonate) 프로세스
  • 커널 모드 호출자
  • requestedExecutionLevel 값이 지정된 실행 파일

11. UAC 구조도
vista_uac_misc_2.png


12. Windows XP의 일반 사용자 계정에서 정상적으로 동작했던 프로그램이라면?
별도의 마이그레이션 작업이 필요없다. 해당 프로그램은 비스타에서 변함없이 그대로 정상적으로 사용할 수 있다.





[이 토픽에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]
[연관 글]





[최초 등록일: ]
[최종 수정일: 1/9/2023]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com
비밀번호
댓글 작성자
 


2010-05-04 06시13분
[짜두] 이거 같은 링크가 두번 걸려있어요~ 신뢰도 등급을 조절하는 방법(1),신뢰도 등급을 조절하는 방법(2) ~ㅎ
[guest]
2010-05-04 08시15분
넵 수정했습니다. ^^
kevin25
... [76]  77  78  79  80  81  82  83  84  85  86  87  88  89  90  ...
NoWriterDateCnt.TitleFile(s)
12036정성태10/14/201925509.NET Framework: 866. C# - 고성능이 필요한 환경에서 GC가 발생하지 않는 네이티브 힙 사용파일 다운로드1
12035정성태10/13/201919610개발 환경 구성: 461. C# 8.0의 #nulable 관련 특성을 .NET Framework 프로젝트에서 사용하는 방법 [2]파일 다운로드1
12034정성태10/12/201918933개발 환경 구성: 460. .NET Core 환경에서 (프로젝트가 아닌) C# 코드 파일을 입력으로 컴파일하는 방법 [1]
12033정성태10/11/201923160개발 환경 구성: 459. .NET Framework 프로젝트에서 C# 8.0/9.0 컴파일러를 사용하는 방법
12032정성태10/8/201919267.NET Framework: 865. .NET Core 2.2/3.0 웹 프로젝트를 IIS에서 호스팅(Inproc, out-of-proc)하는 방법 - AspNetCoreModuleV2 소개
12031정성태10/7/201916539오류 유형: 569. Azure Site Extension 업그레이드 시 "System.IO.IOException: There is not enough space on the disk" 예외 발생
12030정성태10/5/201923349.NET Framework: 864. .NET Conf 2019 Korea - "닷넷 17년의 변화 정리 및 닷넷 코어 3.0" 발표 자료 [1]파일 다운로드1
12029정성태9/27/201924175제니퍼 .NET: 29. Jennifersoft provides a trial promotion on its APM solution such as JENNIFER, PHP, and .NET in 2019 and shares the examples of their application.
12028정성태9/26/201919137.NET Framework: 863. C# - Thread.Suspend 호출 시 응용 프로그램 hang 현상을 해결하기 위한 시도파일 다운로드1
12027정성태9/26/201914830오류 유형: 568. Consider app.config remapping of assembly "..." from Version "..." [...] to Version "..." [...] to solve conflict and get rid of warning.
12026정성태9/26/201920240.NET Framework: 862. C# - Active Directory의 LDAP 경로 및 정보 조회
12025정성태9/25/201918563제니퍼 .NET: 28. APM 솔루션 제니퍼, PHP, .NET 무료 사용 프로모션 2019 및 적용 사례 (8) [1]
12024정성태9/20/201920487.NET Framework: 861. HttpClient와 HttpClientHandler의 관계 [2]
12023정성태9/18/201920953.NET Framework: 860. ServicePointManager.DefaultConnectionLimit와 HttpClient의 관계파일 다운로드1
12022정성태9/12/201924890개발 환경 구성: 458. C# 8.0 (Preview) 신규 문법을 위한 개발 환경 구성 [3]
12021정성태9/12/201940692도서: 시작하세요! C# 8.0 프로그래밍 [4]
12020정성태9/11/201923864VC++: 134. SYSTEMTIME 값 기준으로 특정 시간이 지났는지를 판단하는 함수
12019정성태9/11/201917417Linux: 23. .NET Core + 리눅스 환경에서 Environment.CurrentDirectory 접근 시 주의 사항
12018정성태9/11/201916214오류 유형: 567. IIS - Unrecognized attribute 'targetFramework'. Note that attribute names are case-sensitive. (D:\lowSite4\web.config line 11)
12017정성태9/11/201920043오류 유형: 566. 비주얼 스튜디오 - Failed to register URL "http://localhost:6879/" for site "..." application "/". Error description: Access is denied. (0x80070005)
12016정성태9/5/201920041오류 유형: 565. git fetch - warning: 'C:\ProgramData/Git/config' has a dubious owner: '(unknown)'.
12015정성태9/3/201925450개발 환경 구성: 457. 윈도우 응용 프로그램의 Socket 연결 시 time-out 시간 제어
12014정성태9/3/201919217개발 환경 구성: 456. 명령행에서 AWS, Azure 등의 원격 저장소에 파일 관리하는 방법 - cyberduck/duck 소개
12013정성태8/28/201922126개발 환경 구성: 455. 윈도우에서 (테스트) 인증서 파일 만드는 방법 [3]
12012정성태8/28/201926688.NET Framework: 859. C# - HttpListener를 이용한 HTTPS 통신 방법
12011정성태8/27/201926248사물인터넷: 57. C# - Rapsberry Pi Zero W와 PC 간 Bluetooth 통신 예제 코드파일 다운로드1
... [76]  77  78  79  80  81  82  83  84  85  86  87  88  89  90  ...