DATA DA PUBLICAÇÃO 26/01/2009 | Informática
Conta limitada do Windows protege sistema contra pragas digitais
As contas de usuário limitadas do Windows podem eliminar ou, pelo menos, reduzir o estrago feito por diversas pragas digitais. Em outros casos, servem como “fatores atenuantes” em brechas de segurança, diminuindo sua gravidade. Mesmo assim, a conta padrão do Windows ainda é configurada como “administrador”, até no Windows Vista. Nesta coluna, você vai entender o motivo disso e como o uso de uma conta de usuário limitado aumenta sua segurança.
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e deixe-a na seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
Embora as contas de usuário com diferentes permissões de acesso tenham sido introduzidas no Windows NT, muitos só passaram a ter qualquer contato com elas no Windows XP. Elas não existem nos Windows 95/98/Me, mas estão presentes no Windows 2000, que descende da base “NT”. O Windows 2000 não foi muito utilizado em sistemas domésticos, tendo ficado restrito a ambientes corporativos ou de rede.
Todas as opções referentes às contas de acesso ao sistema podem ser encontradas na opção Contas de Usuário no Painel de Controle. Lá, novas contas podem ser criadas ou modificadas para serem limitadas ou administrativas. As opções são simples e intuitivas, especialmente no Windows XP.
As contas de usuário “limitadas” não limitam tanto o uso do PC como pode parecer. É possível realizar as atividades mais comuns, como editar e armazenar documentos e fotos, executar os programas instalados no computador e navegar na internet sem qualquer dificuldade.
Se houver necessidade de instalar programas, o que na maioria das vezes não é possível com contas limitadas, basta usar o comando “Executar como”, acessível no menu de contexto (clique direito) dos programas (se ele não aparecer, tente segurar Shift ao dar clique direito). Por ali é possível selecionar um usuário com poderes administrativos, e o programa de instalação será executado com as permissões daquela conta.
No Linux e no MacOS X, a situação não é muito diferente. Nesses sistemas, no entanto, a senha de administração é solicitada em vez de ser necessária a intervenção manual. O Windows Vista já é assim, porém não requer a senha, apenas uma confirmação de conceder direitos administrativos aos programas que os solicitarem.
Como a conta limitada ajuda a proteger o sistema
Usuários limitados não podem criar arquivos em pastas de sistema, como WINDOWS ou Arquivos de Programas, nem na raiz do drive (“C:”). Em vez disso, os arquivos devem ser colocados na pasta pessoal, geralmente “Meus documentos”. Também falharão alterações que afetem outros usuários no chamado registro HKLM do Windows.
Ainda é possível executar aplicativos baixados da internet, mas esses softwares (maliciosos ou não) estarão sujeitos às mesmas restrições. Nem mesmo os programas instalados no computador escapam das limitações, quando executados por uma conta com essa configuração.
Na maioria das vezes, porém, isso não faz diferença. O programa pode armazenar as configurações ou mudanças feitas pelo usuário em sua chave pessoal no registro do Windows (conhecida como HKCU). Relatórios de erro, plug-ins entre outros também possuem um local correto, conhecido como “Application Data” ou “Dados dos Aplicativos”, que é único para cada usuário do sistema.
Ou seja, as contas de usuário limitadas pouco influenciam o uso de softwares legítimos, quando estes foram desenvolvidos corretamente. Códigos maliciosos, porém, perdem boa parte de sua força. Eles não podem instalar “drivers” -- programas especiais que são executados com altas permissões e que são comuns atualmente para dificultar a remoção de pragas digitais. Além disso, a infecção não poderá se espalhar para os demais usuários nem para arquivos do sistema, então os estragos causados são reduzidos.
A coluna Segurança para o PC fez um pequeno teste usando um cavalo de troia disseminado na semana passada capaz de roubar senhas de banco. Quando executado a partir de uma conta limitada, ele não conseguiu se instalar ou criar qualquer arquivo malicioso, por depender de permissões que a conta não tinha. Depois de uma reinicialização do sistema, o computador estava limpo.
Se o uso de contas limitadas passasse a ser comum, os criminosos poderiam se adaptar. Várias pragas digitais já funcionam em contas limitadas e tentam se instalar tanto nos registros de sistema (pasta WINDOWS, HKLM) como nos pessoais (Dados de Aplicativos, HKCU). Ainda assim, a funcionalidade do vírus é reduzida e a remoção facilitada.
Problemas de compatibilidade com programas antigos
A conta padrão do Windows XP é configurada como “administrador”. O administrador possui acesso total ao sistema, deixando o funcionamento do computador parecido com as versões mais conhecidas do Windows.
Isso porque muitos programas não funcionam corretamente em contas limitadas. Desenvolvidos para funcionar no Windows 98 ou 95, esses softwares não utilizam as pastas corretas como “Dados de Aplicativos” ou a chave pessoal HKCU. Em vez disso, tentam colocar até mesmo as configurações pessoais dentro da pasta “Arquivos de Programas”, por exemplo, na qual um usuário limitado não pode gravar nada.
O UAC (User Account Control) do Windows Vista, que gera uma tela de confirmação a cada ação que necessita de permissão administrativa, foi uma tentativa da Microsoft de incentivar os desenvolvedores a criarem programas corretamente, sem o uso de recursos indisponíveis a contas limitadas.
Existem, claro, programas que naturalmente dependem de direitos administrativos para funcionar. É o caso das ferramentas de segurança. Antivírus e outros softwares do gênero instalam-se como serviços no Windows, e serão executados com direitos totais mesmo a partir de contas limitadas.
Hoje são poucos softwares que apresentam erros desse tipo. Se um software que você usa não funciona em contas limitadas, procure uma alternativa que funcione, ela merece atenção por realizar seu trabalho da maneira correta. Em último caso, é possível criar um atalho e configurar que o mesmo automaticamente solicite a senha administrativa, indo nas propriedades Avançadas na aba Atalho.
Resumindo as dicas de hoje: uma conta administrativa deve ser configurada e ela precisa ter uma senha (no mínimo razoável, ou seja, nada de “123456”). O computador deve ser operado com uma conta limitada, talvez com o seu nome, e o recurso “Executar como” deve ser usado sempre que uma atividade como a instalação de um programa precisar ser realizada com a conta administrativa. No caso de algum problema com um aplicativo específico, é bom procurar uma atualização ou alternativa; em último caso, o “Executar como” pode ser usado para executá-los também.
* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e deixe-a na seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
Embora as contas de usuário com diferentes permissões de acesso tenham sido introduzidas no Windows NT, muitos só passaram a ter qualquer contato com elas no Windows XP. Elas não existem nos Windows 95/98/Me, mas estão presentes no Windows 2000, que descende da base “NT”. O Windows 2000 não foi muito utilizado em sistemas domésticos, tendo ficado restrito a ambientes corporativos ou de rede.
Todas as opções referentes às contas de acesso ao sistema podem ser encontradas na opção Contas de Usuário no Painel de Controle. Lá, novas contas podem ser criadas ou modificadas para serem limitadas ou administrativas. As opções são simples e intuitivas, especialmente no Windows XP.
As contas de usuário “limitadas” não limitam tanto o uso do PC como pode parecer. É possível realizar as atividades mais comuns, como editar e armazenar documentos e fotos, executar os programas instalados no computador e navegar na internet sem qualquer dificuldade.
Se houver necessidade de instalar programas, o que na maioria das vezes não é possível com contas limitadas, basta usar o comando “Executar como”, acessível no menu de contexto (clique direito) dos programas (se ele não aparecer, tente segurar Shift ao dar clique direito). Por ali é possível selecionar um usuário com poderes administrativos, e o programa de instalação será executado com as permissões daquela conta.
No Linux e no MacOS X, a situação não é muito diferente. Nesses sistemas, no entanto, a senha de administração é solicitada em vez de ser necessária a intervenção manual. O Windows Vista já é assim, porém não requer a senha, apenas uma confirmação de conceder direitos administrativos aos programas que os solicitarem.
Como a conta limitada ajuda a proteger o sistema
Usuários limitados não podem criar arquivos em pastas de sistema, como WINDOWS ou Arquivos de Programas, nem na raiz do drive (“C:”). Em vez disso, os arquivos devem ser colocados na pasta pessoal, geralmente “Meus documentos”. Também falharão alterações que afetem outros usuários no chamado registro HKLM do Windows.
Ainda é possível executar aplicativos baixados da internet, mas esses softwares (maliciosos ou não) estarão sujeitos às mesmas restrições. Nem mesmo os programas instalados no computador escapam das limitações, quando executados por uma conta com essa configuração.
Na maioria das vezes, porém, isso não faz diferença. O programa pode armazenar as configurações ou mudanças feitas pelo usuário em sua chave pessoal no registro do Windows (conhecida como HKCU). Relatórios de erro, plug-ins entre outros também possuem um local correto, conhecido como “Application Data” ou “Dados dos Aplicativos”, que é único para cada usuário do sistema.
Ou seja, as contas de usuário limitadas pouco influenciam o uso de softwares legítimos, quando estes foram desenvolvidos corretamente. Códigos maliciosos, porém, perdem boa parte de sua força. Eles não podem instalar “drivers” -- programas especiais que são executados com altas permissões e que são comuns atualmente para dificultar a remoção de pragas digitais. Além disso, a infecção não poderá se espalhar para os demais usuários nem para arquivos do sistema, então os estragos causados são reduzidos.
A coluna Segurança para o PC fez um pequeno teste usando um cavalo de troia disseminado na semana passada capaz de roubar senhas de banco. Quando executado a partir de uma conta limitada, ele não conseguiu se instalar ou criar qualquer arquivo malicioso, por depender de permissões que a conta não tinha. Depois de uma reinicialização do sistema, o computador estava limpo.
Se o uso de contas limitadas passasse a ser comum, os criminosos poderiam se adaptar. Várias pragas digitais já funcionam em contas limitadas e tentam se instalar tanto nos registros de sistema (pasta WINDOWS, HKLM) como nos pessoais (Dados de Aplicativos, HKCU). Ainda assim, a funcionalidade do vírus é reduzida e a remoção facilitada.
Problemas de compatibilidade com programas antigos
A conta padrão do Windows XP é configurada como “administrador”. O administrador possui acesso total ao sistema, deixando o funcionamento do computador parecido com as versões mais conhecidas do Windows.
Isso porque muitos programas não funcionam corretamente em contas limitadas. Desenvolvidos para funcionar no Windows 98 ou 95, esses softwares não utilizam as pastas corretas como “Dados de Aplicativos” ou a chave pessoal HKCU. Em vez disso, tentam colocar até mesmo as configurações pessoais dentro da pasta “Arquivos de Programas”, por exemplo, na qual um usuário limitado não pode gravar nada.
O UAC (User Account Control) do Windows Vista, que gera uma tela de confirmação a cada ação que necessita de permissão administrativa, foi uma tentativa da Microsoft de incentivar os desenvolvedores a criarem programas corretamente, sem o uso de recursos indisponíveis a contas limitadas.
Existem, claro, programas que naturalmente dependem de direitos administrativos para funcionar. É o caso das ferramentas de segurança. Antivírus e outros softwares do gênero instalam-se como serviços no Windows, e serão executados com direitos totais mesmo a partir de contas limitadas.
Hoje são poucos softwares que apresentam erros desse tipo. Se um software que você usa não funciona em contas limitadas, procure uma alternativa que funcione, ela merece atenção por realizar seu trabalho da maneira correta. Em último caso, é possível criar um atalho e configurar que o mesmo automaticamente solicite a senha administrativa, indo nas propriedades Avançadas na aba Atalho.
Resumindo as dicas de hoje: uma conta administrativa deve ser configurada e ela precisa ter uma senha (no mínimo razoável, ou seja, nada de “123456”). O computador deve ser operado com uma conta limitada, talvez com o seu nome, e o recurso “Executar como” deve ser usado sempre que uma atividade como a instalação de um programa precisar ser realizada com a conta administrativa. No caso de algum problema com um aplicativo específico, é bom procurar uma atualização ou alternativa; em último caso, o “Executar como” pode ser usado para executá-los também.
* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.
Assine nosso Feed RSSAs últimas | Informática
19/09/2018 | Grupo Renault Nissan terá sistema operacional Android em seus carros
18/09/2018 | A corrida para a criação do computador mais poderoso da história
11/06/2018 | Google tira ovos de emoji de salada para agradar veganos
As mais lidas de Informática
Relação não gerada ainda
As mais lidas no Geral
Relação não gerada ainda