Ты это к чему я не понял? Ну скачал я файл с оффсайта, и? Или ты подразумеваешь, что файл с неизвестной для винды подписью скачанный с оффсайта не может быть инфицирован, а если инфицирован с (теоритически) подмененной подписью, то не может быть запущен?

Не знаю к чему тут сына приписал (он у меня под линуксом сидит), а решения ты не выделил, только делал туманные намёки, на AppLocker сослался. Права админа обычному пользователю сейчас предлагаешь зачем то дать. Ты всё же поднапрягись, приведи полный алгоритм как обычному пользователю, с ограниченной учёткой (т.е. находится он только в группе Пользователи) дать возможность поставить МСО.

Так вот, включение пользователя в группы Пользователи и администраторы никак не канает, даже с использование AppLocker'а. Во первых это далеко не то же что и sudo (там всё же пользователю не дают админских прав), а во вторых давая пользователю админа даёшь ему и возможность подменить файл/инфицировать файл/тупо отрубить политику домена, всё это неприемлемо в корпоративном секторе, за это в лучшем случае уволят, а то и привлекут по 274 статье УК РФ, и на мой взгляд правильно и делают.

Пока старое железо пашет, нет смысла на семерку перелазить. А гениев с воплями, мол нужно обновлять парк, в дупу, пусть свою фирму заведут с парком в несколько сот компов, и меняют в ней за свой счёт хоть каждый год то, что нормально работает.

Ты либо читать не умеешь, либо просто юлишь и начинаешь писать разную чепуху. Я уже писал что ставить ПО у нас могут только администраторы (как на всех нормальных предприятиях), и что неподписаный то у нас как раз специализированный отраслевой софт, без которого винда не нужна, впрочем как и комп.

Если я поставлю запрет на запуск неподписанных программ, надобность винде отпадет, совсем.

Ты стрелки то не переводи, я в отличии тебя кулл-хакера из себя не строю. Что касаемо иксов - качаешь исходники, компилируешь, ставишь себе в домашний каталог и запускай оттуда сколь угодно.

Ты стрелки то непереводи, поищи лучше рецепт.

ну и где там написано что пользователя надо пихать в группу root?  Там написано что sudo позволяет давать возможность обычным непривилигерованным пользователям запускать комманды с root-привилегиями, что совсем не то же что быть в группе root.

И вообще чего ты привязался к sudo?
Напомню:

UAC != sudo
включение пользователя в группа Администраторы + ограничения AppLocker != sudo

Отстал бы ты от него, все равно пока не прочитаешь и не разберешься чего он делаешь будешь путаться.

Ну, на самом деле есть, например, такое: http://sourceforge.net/projects/sudowin/, но когда я пытался его поставить, мне не удалось это сделать... Судя по дате последнего обновления, он с тех пор не поменялся.

Ну, во-первых, я сильно подозреваю, что krigstask её не под root'ом запускает
Во-вторых, дистрибутив gentoo, в отличие, скажем, от Fedora (из под которой я пишу это сообщение), не страдает свой ориентированностью на Free Software. Браузер Opera там есть в portage.

Отредактировано X Strange (03-02-2013 16:05:00)

Тоже мне проблема, LD_LIBRARY_PATH и LDFLAGS выставить.

Добавлено 03-02-2013 18:18:00
okkamas_knife,
если пользоваться нормальным файл-менеджером, который показывает расширения файлов, но проблема отпадает.

Отредактировано X Strange (03-02-2013 18:18:24)

Это okkamas_knife не остановит.
Он уже такие методы насочинял, что ему даже кухонный нож давать опасно...

В реальности он заразит только профиль юзера, а не всю систему.
Ну вот подхватил глупый okkamas_knife вирус в свой профиль. Я уже не смогу на этом же компе работать под своим профилем? Чтоб мне заразить свой профиль нужно: найти зараженный exe в Общих папках, понадеяться на okkamas_knife и запустить его. Но это уже полный бред! Даже если в профиле есть вирус, то достаточно почистить профиль, а не переустанавливать всю систему.

Возможно, я последний раз запускал MSO (как и OOO) года 3 назад. Вообще макросы в ворде --- это, имхо, чистой воды идиотизм. Документ, он на то и документ, что он не должен нести в себе исполняемого кода.
Что касается флэша --- ну, не надо по подозрительным сайтам лазить...

Это да, но даже в профиле юзера вирус может наделать много гадостей. Поэтому вообще говоря, браузер следует запускать от имени отдельного аккаунта, который к файлам  пользователя доступа не имеет. Однако даже большинству пользователей Linux это делать влом, что уж там говорить про Windows, где такое сделать ещё и сложно (если кто знает, как --- мне будет интересно).

Добавлено 03-02-2013 20:51:24

В каком смысле?

Отредактировано X Strange (03-02-2013 20:51:24)

Ну это уже паранойя.

Разреши пустые пароли.

А вообще WinAPI позволяет задавать пароль из прог при запуске процесса, так что свой runas создать очень просто. Тулз куча.
Я создал тулзу на подключение зашифрованного раздела и запуска прог от профиля на нем. Пароль вожу только на подключение.

Добавлено 03-02-2013 22:39:37

У тебя Админ без пароля?

Отредактировано Keepun (03-02-2013 22:39:37)

Это да. Но не sudo (-%Е

А это необходимо?

Не понимаю. Поясните.

Сомневаюсь, но даже если так, то, во-первых, придётся порыться в MSDN, чтобы узнать, что это за 3 строки, а во-вторых, я сильно подозреваю, что для того, чтобы это работало безопасно, придётся написать сильно побольше, чем 3 строки. Скорее всего, придётся написать системный сервис, работающий под админом (не берусь утверждать, так как не знаю Windows API, особенно по части прав доступа и безопасности).

Продемонстрируйте.

Отредактировано X Strange (04-02-2013 00:41:16)

Предлагается захардкодить пароль в программу? Не самое лучшее решение в плане безопасности. Конечно, для такого случая сойдёт, но полноценный sudo таким способом реализовать не удастся.

По PowerShell: прочитаю --- отвечу.
Upd. Впрочем, и там предлагается загнать пароль в скрипт.

Отредактировано X Strange (04-02-2013 01:18:11)

Тогда в чём её великий смысл? Такая программа уже есть --- она называется runas. Я же хочу другое: если программа имеет такой-то полный путь к исполняемому файлу, то запускать её от другого юзера. Список программ и соответствующих юзеров настраивается в конфигурационном файле (как sudo в UNIX).

Добавлено 04-02-2013 01:27:59

Как я уже написал выше, мне нужно, чтобы уровень привилегий для определённых программ зависел только от полного пути к exe файлу и (если нужно) не требовал ввода пароля.

Добавлено 04-02-2013 01:31:15

Можно и sudo. Её можно настроить так, что будет спрашивать пароль root. А в Ubuntu пароля пользователя достаточно.

Отредактировано X Strange (04-02-2013 01:31:15)