Microsoft MVP성태의 닷넷 이야기
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 

UAC - 관리자 권한 없이 UIPI 제약을 없애는 방법

UIPI(User Interface Privilege Isolation)는,

What is User Interface Privilege Isolation (UIPI) on Vista
; https://docs.microsoft.com/en-us/archive/blogs/vishalsi/what-is-user-interface-privilege-isolation-uipi-on-vista

보안 데스크톱에서 활성화되지 않은 UAC 창이 안전할까?
; https://www.sysnet.pe.kr/2/0/441#uipi

쉽게 말해서, 낮은 권한의(관리자 권한이 없는) 프로그램에서 높은 권한의(관리자 권한으로 승격된) 프로그램 UI를 제어할 수 없게 만드는 역할을 합니다. 보안상 타당한 이유입니다. 이것에 대한 좋은 사례로 이전에 소개한,

(WACOM도 지원하는) Tablet 공통 디바이스 드라이버 - OpenTabletDriver
; https://www.sysnet.pe.kr/2/0/12632

OpenTabletDriver 프로그램이 (일반 권한으로) 실행됐을 때, "관리자 권한"의 프로그램에 입력 포커스가 갔을 때 태블릿 입력이 안 되는 문제가 발생합니다. 이런 제약을 벗어나려면 OpenTabletDriver 프로그램도 "관리자 권한"으로 실행하면 됩니다.




하지만, 이렇게 관리자 권한을 취득하는 것이 바람직하지는 않습니다. 실제로 마이크로소프트 역시 UIPI로 인한 제약을 벗어나기 위한 방법으로 관리자 권한 이외의 해결책을 gpedit.msc를 이용해 제시하고 있습니다.

User Account Control: Only elevate UIAccess applications that are installed in secure locations
; https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/user-account-control-only-elevate-uiaccess-applications-that-are-installed-in-secure-locations

기본적으로 "User Account Control: Only elevate UIAccess applications that are installed in secure locations" 옵션이 "Enabled"이기 때문에 저 방식을 따르면 UIPI 제약을 벗어날 수 있는데요.

이를 위해 우선 해당 응용 프로그램이 "manifest" 파일을 갖도록 설정해야 합니다. 이에 대해서는 전에 설명한 적이 있는데요,

비주얼 스튜디오에서 관리자 권한을 요구하는 C# 콘솔 프로그램 제작
; https://www.sysnet.pe.kr/2/0/11318

위의 글에 따라 "Application Manifest File"을 추가한 다음 uiAccess 값만 true로 바꿉니다.

<?xml version="1.0" encoding="utf-8"?>
<assembly manifestVersion="1.0" xmlns="urn:schemas-microsoft-com:asm.v1">
  <assemblyIdentity version="1.0.0.0" name="MyApplication.app"/>
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v2">
    <security>
      <requestedPrivileges xmlns="urn:schemas-microsoft-com:asm.v3">
        <requestedExecutionLevel level="asInvoker" uiAccess="true" />
      </requestedPrivileges>
    </security>
  </trustInfo>

  <compatibility xmlns="urn:schemas-microsoft-com:compatibility.v1">
    <application>
    </application>
  </compatibility>
</assembly>

저렇게 설정하고 빌드하면 이제 exe 파일을 실행할 때마다 다음과 같은 오류가 발생합니다.

A referral was returned from the server.

Access is denied.

왜냐하면 UIPI 제약을 벗어나겠다고 명시했으면서 정작 필요한 자격을 갖추지 않았기 때문에 "Access is denied"가 발생하는 것입니다. 바로 그 자격이란 인증서로 서명해 주는 것입니다. 이를 위해 다음의 글에 설명했던 방법에 따라 코드 서명 용 인증서를 생성하고,

PowerShell - New-SelfSignedCertificate를 사용해 CA 인증서 생성 및 인증서 서명 방법
; https://www.sysnet.pe.kr/2/0/12588

다음과 같이 signtool.exe를 이용해 서명을 하면,

signtool sign /fd SHA256 /v /sm /n "CASigned" [...].exe

이후 실행해도 오류가 발생하지 않습니다. 하지만, 오류만 발생하지 않을 뿐 여전히 UIPI 제약을 벗어난 것은 아닙니다. 마지막 단계가 아직 남아 있기 때문인데요, 바로 해당 EXE 파일을 윈도우 시스템이 정한 디렉터리 하위에 위치를 시켜야 한다는 점입니다.

  • \Program Files\ including subdirectories
  • \Windows\system32\
  • \Program Files (x86)\ including subdirectories for 64-bit versions of Windows

가령 "C:\Program Files\Test"라는 디렉터리를 만들고 여러분의 EXE 파일을 복사해 넣으면 이제부터 해당 프로그램은 "일반 권한"으로 실행돼도 "관리자 권한"의 프로그램과 UI 상호작용을 할 수 있습니다.




유의할 점이 있다면, 위에서도 언급했지만 이 기능은 사용자가 "Computer Configuration" / "Windows Settings" / "Security Settings" / "Local Policies" / "Security Options"에 설정한 "User Account Control: Only elevate UIAccess applications that are installed in secure locations" 옵션을 활성화시켰기 때문에 가능한 것입니다.

uiaccess_enable_without_admin_rights_1.png

따라서 만약 저 옵션을 "Disabled"로 바꾼다면 남은 해답은 오직 "관리자 권한"으로 실행하는 것뿐입니다.




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 5/7/2021]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




1  2  3  4  5  6  7  8  [9]  10  11  12  13  14  15  ...
NoWriterDateCnt.TitleFile(s)
12916정성태1/12/2022632오류 유형: 784. TFS - One or more source control bindings for this solution are not valid and are listed below.
12915정성태1/11/2022781오류 유형: 783. Visual Studio - We didn't find any interpreters
12914정성태1/11/20221344VS.NET IDE: 172. 비주얼 스튜디오 2022의 파이선 개발 환경 지원
12913정성태1/11/20221128.NET Framework: 1133. C# - byte * (바이트 포인터)를 FileStream으로 쓰는 방법 [1]
12912정성태1/11/2022890개발 환경 구성: 623. ffmpeg.exe를 사용해 비디오 파일의 이미지를 PGM(Portable Gray Map) 파일 포맷으로 출력하는 방법
12911정성태1/11/2022888VS.NET IDE: 171. 비주얼 스튜디오 - 더 이상 만들 수 없는 "ASP.NET Core 3.1 Web Application (.NET Framework)" 프로젝트
12910정성태1/10/2022941제니퍼 .NET: 30. 제니퍼 닷넷 적용 사례 (8) - CPU high와 DB 쿼리 성능에 문제가 함께 있는 사이트
12909정성태1/10/20221261오류 유형: 782. Visual Studio 2022 설치 시 "Couldn't install Microsoft.VisualCpp.Redist.14.Latest"
12908정성태1/10/2022916.NET Framework: 1132. C# - ref/out 매개변수의 IL 코드 처리
12907정성태1/9/2022721오류 유형: 781. (youtube-dl.exe) 실행 시 "This app can't run on your PC" / "Access is denied." 오류 발생
12906정성태1/9/2022846.NET Framework: 1131. C# - 네임스페이스까지 동일한 타입을 2개의 DLL에서 제공하는 경우 충돌을 우회하는 방법 [1]파일 다운로드1
12905정성태1/8/2022779오류 유형: 780. Could not load file or assembly 'Microsoft.VisualStudio.TextTemplating.VSHost.15.0, Version=16.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' or one of its dependencies.
12904정성태1/8/2022960개발 환경 구성: 623. Visual Studio 2022 빌드 환경을 위한 github Actions 설정 [1]
12903정성태1/7/20221062.NET Framework: 1130. C# - ELEMENT_TYPE_INTERNAL 유형의 사용 예
12902정성태1/7/2022910오류 유형: 779. SQL 서버 로그인 에러 - provider: Shared Memory Provider, error: 0 - No process is on the other end of the pipe.
12901정성태1/5/2022939오류 유형: 778. C# - .NET 5+에서 warning CA1416: This call site is reachable on all platforms. '...' is only supported on: 'windows' 경고 발생
12900정성태1/5/20221389개발 환경 구성: 622. vcpkg로 ffmpeg를 빌드하는 경우 생성될 구성 요소 제어하는 방법
12899정성태1/3/2022918개발 환경 구성: 621. windbg에서 python 스크립트 실행하는 방법 - pykd (2)
12898정성태1/2/20221559.NET Framework: 1129. C# - ffmpeg(FFmpeg.AutoGen)를 이용한 비디오 인코딩 예제(encode_video.c) [1]파일 다운로드1
12897정성태1/2/20221162.NET Framework: 1128. C# - 화면 캡처한 이미지를 ffmpeg(FFmpeg.AutoGen)로 동영상 처리 [4]파일 다운로드1
12896정성태1/1/20221263.NET Framework: 1127. C# - FFmpeg.AutoGen 라이브러리를 이용한 기본 프로젝트 구성파일 다운로드1
12895정성태12/31/20211535.NET Framework: 1126. C# - snagit처럼 화면 캡처를 연속으로 수행해 동영상 제작파일 다운로드1
12894정성태12/30/20211239.NET Framework: 1125. C# - DefaultObjectPool<T>의 IDisposable 개체에 대한 풀링 문제 [3]파일 다운로드1
12893정성태12/27/20211459.NET Framework: 1124. C# - .NET Platform Extension의 ObjectPool<T> 사용법 소개파일 다운로드1
12892정성태12/26/20211065기타: 83. unsigned 형의 이전 값이 최댓값을 넘어 0을 지난 경우, 값의 차이를 계산하는 방법
12891정성태12/23/2021940스크립트: 38. 파이썬 - uwsgi의 --master 옵션
1  2  3  4  5  6  7  8  [9]  10  11  12  13  14  15  ...