最大値より低い UAC レベルをプログラムでオフにすることはできますか?

Question

最近、UAC レベルが最大値 (常に通知) より低い場合、悪意のあるプログラムがプログラムによって UAC 設定を下げ、UAC が役に立たなくなる可能性があると聞きました。

さて、これは Windows 7 ベータ版で問題になったことを覚えていますが、RC では修正されました。

このフィードバックとさらに多くのものを活用して、私たちはリリース候補版への2つの変更それは私たち全員が目にすることになるだろう。まず、UACコントロールパネルは、高い誠実性プロセス、昇格が必要です。これはこの議論の前にすでに作業中でしたが、これを行うとSendKeysなどのすべてのメカニズムが機能しなくなります。次に、UACのレベルを変更すると確認も表示されます。（ソース）

では、私たちのどちらが時代遅れなのでしょうか? 利用可能な新しいルートキットに気付いていないのは私でしょうか、それとも RC で修正されていることに注意を払わなかった他の人でしょうか?

UAC プロンプトなしで UAC レベルを下げる実用的な方法はありますか?

Answer 1

標準の Windows 7 システムでは、いくつかの条件はあるものの、答えは「いいえ」です。

UACコントロールパネルは高い整合性のプロセスまた、あなたが引用したブログ投稿では、UAC インターフェースには常に昇格が必要であると MS は述べていますが...

1. ほとんどのインストールではデフォルトで無効になっている組み込みの管理者アカウントとして実行している場合、すべてのプロセスとデスクトップは高い整合性で実行されるため、UAC プロンプトは表示されません。これはシステムのインストールとアップグレード用に設計されていますが、クライアントをこのモードで日常的に実行させるのは悪い習慣です。基本的には Windows XP を管理者として実行しているのと同じで、このシナリオでは攻撃者は UAC を変更する必要がありません。UAC は表示されないからです。
2. MS が導入した変更があっても、攻撃者は UAC を回避できるプログラムを作成できます。デフォルトの UAC レベルでは、OS は Microsoft が署名した多くのバイナリを免除するため、攻撃者は OS を騙して信頼できると思わせる悪意のあるプログラムを作成できます。UAC を「常に通知する」に設定すると、アプリが署名されているかどうかに関係なく、すべての管理アクションに対してプロンプトが強制的に表示されます。