Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

UAC - 관리자 권한 없이 UIPI 제약을 없애는 방법

UIPI(User Interface Privilege Isolation)는,

What is User Interface Privilege Isolation (UIPI) on Vista
; https://docs.microsoft.com/en-us/archive/blogs/vishalsi/what-is-user-interface-privilege-isolation-uipi-on-vista

보안 데스크톱에서 활성화되지 않은 UAC 창이 안전할까?
; https://www.sysnet.pe.kr/2/0/441#uipi

쉽게 말해서, 낮은 권한의(관리자 권한이 없는) 프로그램에서 높은 권한의(관리자 권한으로 승격된) 프로그램 UI를 제어할 수 없게 만드는 역할을 합니다. 보안상 타당한 이유입니다. 이것에 대한 좋은 사례로 이전에 소개한,

(WACOM도 지원하는) Tablet 공통 디바이스 드라이버 - OpenTabletDriver
; https://www.sysnet.pe.kr/2/0/12632

OpenTabletDriver 프로그램이 (일반 권한으로) 실행됐을 때, "관리자 권한"의 프로그램에 입력 포커스가 갔을 때 태블릿 입력이 안 되는 문제가 발생합니다. 이런 제약을 벗어나려면 OpenTabletDriver 프로그램도 "관리자 권한"으로 실행하면 됩니다.




하지만, 이렇게 관리자 권한을 취득하는 것이 바람직하지는 않습니다. 실제로 마이크로소프트 역시 UIPI로 인한 제약을 벗어나기 위한 방법으로 관리자 권한 이외의 해결책을 gpedit.msc를 이용해 제시하고 있습니다.

User Account Control: Only elevate UIAccess applications that are installed in secure locations
; https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/user-account-control-only-elevate-uiaccess-applications-that-are-installed-in-secure-locations

기본적으로 "User Account Control: Only elevate UIAccess applications that are installed in secure locations" 옵션이 "Enabled"이기 때문에 저 방식을 따르면 UIPI 제약을 벗어날 수 있는데요.

이를 위해 우선 해당 응용 프로그램이 "manifest" 파일을 갖도록 설정해야 합니다. 이에 대해서는 전에 설명한 적이 있는데요,

비주얼 스튜디오에서 관리자 권한을 요구하는 C# 콘솔 프로그램 제작
; https://www.sysnet.pe.kr/2/0/11318

위의 글에 따라 "Application Manifest File"을 추가한 다음 uiAccess 값만 true로 바꿉니다.

<?xml version="1.0" encoding="utf-8"?>
<assembly manifestVersion="1.0" xmlns="urn:schemas-microsoft-com:asm.v1">
  <assemblyIdentity version="1.0.0.0" name="MyApplication.app"/>
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v2">
    <security>
      <requestedPrivileges xmlns="urn:schemas-microsoft-com:asm.v3">
        <requestedExecutionLevel level="asInvoker" uiAccess="true" />
      </requestedPrivileges>
    </security>
  </trustInfo>

  <compatibility xmlns="urn:schemas-microsoft-com:compatibility.v1">
    <application>
    </application>
  </compatibility>
</assembly>

저렇게 설정하고 빌드하면 이제 exe 파일을 실행할 때마다 다음과 같은 오류가 발생합니다.

A referral was returned from the server.

Access is denied.

왜냐하면 UIPI 제약을 벗어나겠다고 명시했으면서 정작 필요한 자격을 갖추지 않았기 때문에 "Access is denied"가 발생하는 것입니다. 바로 그 자격이란 인증서로 서명해 주는 것입니다. 이를 위해 다음의 글에 설명했던 방법에 따라 코드 서명 용 인증서를 생성하고,

PowerShell - New-SelfSignedCertificate를 사용해 CA 인증서 생성 및 인증서 서명 방법
; https://www.sysnet.pe.kr/2/0/12588

다음과 같이 signtool.exe를 이용해 서명을 하면,

signtool sign /fd SHA256 /v /sm /n "CASigned" [...].exe

이후 실행해도 오류가 발생하지 않습니다. 하지만, 오류만 발생하지 않을 뿐 여전히 UIPI 제약을 벗어난 것은 아닙니다. 마지막 단계가 아직 남아 있기 때문인데요, 바로 해당 EXE 파일을 윈도우 시스템이 정한 디렉터리 하위에 위치를 시켜야 한다는 점입니다.

  • \Program Files\ including subdirectories
  • \Windows\system32\
  • \Program Files (x86)\ including subdirectories for 64-bit versions of Windows

가령 "C:\Program Files\Test"라는 디렉터리를 만들고 여러분의 EXE 파일을 복사해 넣으면 이제부터 해당 프로그램은 "일반 권한"으로 실행돼도 "관리자 권한"의 프로그램과 UI 상호작용을 할 수 있습니다.




유의할 점이 있다면, 위에서도 언급했지만 이 기능은 사용자가 "Computer Configuration" / "Windows Settings" / "Security Settings" / "Local Policies" / "Security Options"에 설정한 "User Account Control: Only elevate UIAccess applications that are installed in secure locations" 옵션을 활성화시켰기 때문에 가능한 것입니다.

uiaccess_enable_without_admin_rights_1.png

따라서 만약 저 옵션을 "Disabled"로 바꾼다면 남은 해답은 오직 "관리자 권한"으로 실행하는 것뿐입니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]


donaricano-btn



[최초 등록일: ]
[최종 수정일: 5/7/2021]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 쓴 사람
 




1  2  3  4  5  6  7  8  [9]  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12651정성태5/31/2021634오류 유형: 720. PostgreSQL - ERROR: 22P02: malformed array literal: "..."
12650정성태5/17/2021494기타: 82. OpenTabletDriver의 버튼에 더블 클릭을 매핑 및 게임에서의 지원 방법
12649정성태5/16/2021633.NET Framework: 1059. 세대 별 GC(Garbage Collection) 방식에서 Card table의 사용 의미
12648정성태5/16/2021554[예약]파일 다운로드1
12647정성태5/15/2021633.NET Framework: 1058. C# - C++과의 연동을 위한 구조체의 fixed 배열 필드 사용파일 다운로드1
12646정성태5/15/2021704[예약]파일 다운로드1
12645정성태5/14/2021672[예약]파일 다운로드1
12644정성태5/14/2021585오류 유형: 719. 윈도우 - 제어판의 "프로그램 및 기능" / "Windows 기능 켜기/끄기" 오류 0x800736B3
12643정성태5/14/2021492오류 유형: 718. 서버 유형의 COM+ 사용 시 0x80080005(Server execution failed) 오류 발생
12642정성태5/14/2021599오류 유형: 717. The 'Microsoft.ACE.OLEDB.12.0' provider is not registered on the local machine.
12641정성태5/13/2021605디버깅 기술: 179. 윈도우용 .NET Core 3 이상에서 Windbg의 sos 사용법
12640정성태5/13/2021894오류 유형: 716. RDP 연결 - Because of a protocol error (code: 0x112f), the remote session will be disconnected. [1]
12639정성태5/12/2021600오류 유형: 715. Arduino: Open Serial Monitor - The module '...\detection.node' was compiled against a different Node.js version using NODE_MODULE_VERSION
12638정성태5/12/2021637사물인터넷: 63. NodeMCU v1 ESP8266 - 펌웨어 내 파일 시스템(SPIFFS, LittleFS) 및 EEPROM 활용
12637정성태5/10/2021637사물인터넷: 62. NodeMCU v1 ESP8266 보드의 A0 핀에 다중 아날로그 센서 연결 [1]
12636정성태5/10/2021696사물인터넷: 61. NodeMCU v1 ESP8266 보드의 A0 핀 사용법 - FSR-402 아날로그 압력 센서 연동파일 다운로드1
12635정성태5/9/2021575기타: 81. OpenTabletDriver를 (관리자 권한으로 실행하지 않고도) 관리자 권한의 프로그램에서 동작하게 만드는 방법
12634정성태5/9/2021626개발 환경 구성: 572. .NET에서의 신뢰도 등급 조정 - 외부 Manifest 파일을 두는 방법파일 다운로드1
12633정성태5/7/2021665개발 환경 구성: 571. UAC - 관리자 권한 없이 UIPI 제약을 없애는 방법
12632정성태5/7/2021756기타: 80. (WACOM도 지원하는) Tablet 공통 디바이스 드라이버 - OpenTabletDriver
12631정성태5/5/2021655사물인터넷: 60. ThingSpeak 사물인터넷 플랫폼에 ESP8266 NodeMCU v1 + 조도 센서 장비 연동파일 다운로드1
12630정성태5/5/2021715사물인터넷: 59. NodeMCU v1 ESP8266 보드의 A0 핀 사용법 - CdS Cell(GL3526) 조도 센서 연동파일 다운로드1
12629정성태5/5/2021881.NET Framework: 1057. C# - CoAP 서버 및 클라이언트 제작 (UDP 소켓 통신)파일 다운로드1
12628정성태5/4/2021615Linux: 39. Eclipse 원격 디버깅 - Cannot run program "gdb": Launching failed
12627정성태5/4/2021680Linux: 38. 라즈베리 파이 제로 용 프로그램 개발을 위한 Eclipse C/C++ 윈도우 환경 설정
12626정성태5/3/2021689.NET Framework: 1056. C# - Thread.Suspend 호출 시 응용 프로그램 hang 현상 (2)파일 다운로드1
1  2  3  4  5  6  7  8  [9]  10  11  12  13  14  15  ...