I fjor brøt kinesiske hackere Microsoft Exchange Online-programvaren og fikk tilgang til amerikanske myndigheters e-post fra 22 organisasjoner, noe som potensielt risikerte nasjonal sikkerhet. Etter hendelsen ga US Cyber Safety Review Board ut en kritikk rapportere sier «en serie av Microsofts operasjonelle og strategiske beslutninger som samlet pekte på en bedriftskultur som deprioriterte bedriftssikkerhetsinvesteringer og streng risikostyring…«
Siden den gang har Microsoft under Satya Nadella gjort sikkerhet til toppprioritet og startet Secure Future Initiative (SFI) i november 2024. Nadella skrev i et notat til Microsoft-ansatte, «Hvis du står overfor avveiningen mellom sikkerhet og en annen prioritet, er svaret ditt klart: Gjør sikkerhet.«
I juli 2024 krasjet imidlertid CrowdStrike-oppdateringen tusenvis av Windows-systemer rundt om i verden, noe som resulterte i omfattende forstyrrelser. Nå vurderer Microsoft om de skal tillate tredjeparts sikkerhetsleverandører å laste inn drivere på kjernenivå.
På forbrukersiden avslørte den nylige Recall-fiaskoen Microsofts svake sikkerhetsmodell for AI-funksjonen. Etter det stoppet Microsoft utrullingen og nå har selskapet overhalt sikkerhetsmodellen for Recall, slik at brukerne kan avinstallere den fullstendig.
Nå tar Microsoft et stort skritt for å beskytte personlige Windows 11-PCer. Selskapet planlegger å bringe «Adminless» Windows 11 slik at administratorrettigheter ikke utnyttes av ukjente apper og ondsinnede skript.
Det er første gang Microsoft overhaler hvordan Windows-operativsystemet fungerer under panseret. David Westonsier Microsofts VP for OS Security and Enterprise, «Dette er den mest effektive sikkerhetsfunksjonen som har truffet Windows i nyere minne.«
Hva er Adminless Windows 11?
I motsetning til macOS og Linux, gir Windows administratortilgang til den første brukerkontoen som standard, opprettet under installasjon eller oppsett. Dette har vært tilfelle på Windows i mange år, men admintilgang er beskyttet av UAC-ledeteksten.
Nå, den nyeste Windows 11 Insider Preview Build 27718 i Canary-kanalen introduserer noe som kalles «Administratorbeskyttelse». For øyeblikket er funksjonen deaktivert som standard, men brukere kan aktivere den via gruppepolicy.
Den oppretter en admin-konto under panseret (f.eks. admin_username) og hever administratorrettigheten midlertidig gjennom «runas»-kommandoen for gjeldende økt. Opptrappingen gjøres via sikre metoder som PIN/fingeravtrykk/Windows Hello-autentisering. På denne måten gis ikke de administrative rettighetene permanent.
I utgangspunktet er administratorrettigheter bare midlertidig aktive når det er nødvendig, og det er ikke konstant tilgjengelig. Microsoft kaller det «just-in-time» administratorrettigheter. Windows-bloggen lyder:
«Administratorbeskyttelse er en kommende plattformsikkerhetsfunksjon i Windows 11, som tar sikte på å beskytte frie flytende administratorrettigheter for administratorbrukere, slik at de fortsatt kan utføre alle administratorfunksjoner med just-in-time administratorrettigheter. Denne funksjonen er av som standard og må aktiveres via gruppepolicy. Vi planlegger å dele flere detaljer om denne funksjonen hos Microsoft Ignite.»
Så i stedet for å tillate UAC-forespørsler, må brukere angi en PIN-kode eller autentisere ved hjelp av andre Windows Hello-metoder for å midlertidig gi administratorrettigheter, på samme måte som macOS og Linux. Under panseret heves administratorrettighetene kun på behovsbasis, og det er ikke alltid tilgjengelig. Microsoft sier at flere detaljer om funksjonen vil bli delt på Microsoft Ignite-arrangementet i november.
Min erfaring med å bruke Adminless Windows 11
Jeg har aktivert funksjonen for administratorbeskyttelse gjennom Group Policy Editor på Canary-bygget. Du kan aktivere det ved å navigere til Datamaskinkonfigurasjon > Windows-innstillinger > Sikkerhetsinnstillinger > Lokale retningslinjer > Sikkerhetsalternativer. Her åpner du «Brukerkontokontroll: Konfigurer type Admin Approval Mode» og endre den til «Admin Approval Mode med administratorbeskyttelse.» Start nå PC-en på nytt.
Når aktivert, når du installerer et program, vil du bli bedt om å angi en PIN-kode eller autentisere med andre metoder. Spørsmålet User Account Control (UAC) vises ikke lenger. Selv for å åpne Task Manager eller andre systemverktøy som Registerredigering eller Group Policy Editor, må brukere autentisere via sikre metoder.
I tillegg, for å gjøre endringer i Windows-sikkerhetsinnstillingene, må du bekrefte handlingen ved å angi en PIN-kode. Jada, det kan irritere noen superbrukere, men det er avveiningen mellom sikkerhet og bekvemmelighet.
I skjermbildene ovenfor kan du legge merke til at når du kjører kommandoprompt som admin, sier CMD at den kjører under en nyopprettet admin_username-konto med admin-rettigheter. I stedet for å gi fulle administratorrettigheter til brukerkontoen, brukes en administratorkonto under panseret for å heve midlertidige administratorrettigheter. Denne separasjonen fra hovedbrukerkontoen øker sikkerheten.
Totalt sett liker jeg veldig godt at Microsoft legger ned betydelig innsats for å forbedre sikkerheten til Windows-PCer på forbrukersiden. I likhet med macOS og Linux som tilbyr et sudo-/rotløst miljø som standard, beveger Windows 11 seg i den retningen med administratorbeskyttelse. Jeg håper at når denne oppdateringen kommer på Windows 11 i fremtiden, vil den være aktivert som standard.
Støtt vårt arbeid ❤️
Hvis du likte denne artikkelen, vurder å gi en tips for å hjelpe oss med å fortsette å publisere kvalitetsinnhold.
