ユーザーアカウント制御

問題点と解決

Windows Vista以降、既定でアプリケーションを標準ユーザーの権限で実行するようになり、2つの問題が発生した。

一つ目は、ユーザーが標準ユーザー権限でのみ動作するアプリケーションのみを実行していたとしても、管理者権限が必要となる場合である。例えば、アプリケーションのインストール時はほとんどの場合、システム全体で共有されるディレクトリやレジストリキーを作成したり、サービスやデバイスドライバーをインストールしたりする必要がある。こうした操作を管理者アカウントに切り替えてから実行するといったこともあり得るが、非常に不便であり、管理者権限を必要としない操作が日常のほとんどでありながら、ユーザーが管理者アカウントに留まったままになる可能性がある。UACはこうした問題を解決するため、管理者ユーザーにログインする際に管理者権限を持つアクセストークンと制限付きトークンを作成（後述）して必要な場合に昇格させ、標準ユーザーの場合でも管理者ユーザーの資格情報を入力した場合に昇格可能にした。つまり、UACはセキュリティ境界ではなく、昇格を承認されたソフトウェアが管理者権限を利用してどういった操作をするかはUACの関知するところではない。

二つ目は、標準ユーザーと同じ権限で動作することを想定していない古いアプリケーションが、保護されたディレクトリやレジストリにアクセスする場合である。こうしたアプリケーションでも互換性を保つため、ファイルシステムとレジストリの仮想化を導入して一定の条件を満たす場合に限り、仮想化されたデータストアに自動的にリダイレクトする。

管理者ユーザーにログオンする場合

ログオンが成功したのち、LSASS（ローカルセキュリティ機関サブシステムサービス、英語: Local Security Authority Subsystem Service, Lsass.exe）は、フル管理者トークン（英語: Full admin token, privileged token）と制限付き管理者トークン（英語: Filtered admin token）の二つのトークンを作成する。ユーザーが起動するアプリケーションのプロセスには制限付きトークンが付与され、ユーザーが昇格を承認したプロセスにのみフル管理者トークンが付与される。

違いは以下の通りである。

標準ユーザーにログオンする場合

ログオンが成功したのち、LSASSは、標準ユーザートークン（英語: Standard user token）のみ作成する。

昇格フロー

昇格を必要とする実行可能ファイルを実行すると、SvcHost.exe上で実行されているアプリケーション情報サービス（英語: AIS, appinfo.dll）が呼び出され、consent.exeを実行する。セキュアデスクトップが有効になっている場合、consent.exeは現在のデスクトップの背景をWinlogonデスクトップ上に描画し、昇格が必要なアプリケーションの情報を表示したダイアログを表示する。ユーザーが昇格を承認、もしくは有効な資格情報を入力したら、AISはCreateProcessAsUserを通じて親プロセスよりも権限が高いアクセストークンを付与したプロセスを作成し、親プロセスを呼び出し元に設定し直して終了する。

昇格ダイアログ

ダイアログの隔離

マルウェア等がそのウィンドウオブジェクトにアクセスして外観等を変更することを防ぐために、consent.exeのダイアログは既定で隔離されたWinlogonデスクトップ上に表示される。

電子署名の有無によるビジュアルの差別化

有効な電子署名が付与された実行可能ファイルが昇格されようとしている場合、昇格ダイアログには空色の帯が描画される。電子署名がない場合、ダイアログには黄色の帯が表示され、発行元も「不明」と表示される。

ユーザーが昇格要求

ユーザーは昇格させたいアプリケーションをWindows Explorerの「管理者で実行」を使用するか、「プログラムの実行」においてControl+⇧ Shift+⏎ Enterを使用することで、Windowsに昇格を要求できる。

管理者ユーザーがアプリケーションを管理者権限で実行する際、昇格ダイアログはユーザーに「はい」か「いいえ」を表示して管理権限への昇格の承認または拒否を促す。こうした昇格を「承認昇格（英語: Consent elevation）」と呼ぶ。「はい」を押して許可した場合、アプリケーションには上記2つのうちのフル管理者トークンが付与され、管理権限を使用することが可能になる。

標準ユーザーがアプリケーションを管理者権限で実行する際、昇格ダイアログは管理者アカウントのユーザー名とパスワードの入力を促し、その資格情報から新たに管理権限をもつアクセストークンを作成しアプリケーションに付与する。管理者アカウントの資格情報を知る人物が標準ユーザーに代わって入力する必要があるため、こうした昇格を「肩越し昇格（英語: Over-the-shoulder elevation）」と呼ぶ。

アプリが昇格要求

アプリケーションが管理者権限を必要とする場合、アセンブリマニフェスト（requestedExecutionLevelノードに注目）を使用してアプリケーション側から実行時に昇格を要求することができる。

<?xml version="1.0" encoding="UTF-8"?>
<assembly xmlns="urn:schemas-microsoft-com:asm.v1" xmlns:asmv3="urn:schemas-microsoft-com:asm.v3" manifestVersion="1.0">
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3">
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel level="requireAdministrator" uiAccess="false" />
      </requestedPrivileges>
    </security>
  </trustInfo>
</assembly>

自動昇格

UACは以下の条件を満たす場合、Windowsはアプリケーションを自動で昇格させ、ユーザーに昇格ダイアログを表示しない。

• 発行元が「Microsoft Windows」である（「Microsoft」ではいけない）電子署名が付随する。
• %SystemRoot%\System32やその複数のサブディレクトリ、%ProgramFiles%内のWindows DefenderやWindows Journal等のサブディレクトリのいずれかにその実行可能ファイルが存在する。
• アプリケーションマニフェストにautoElevateが定義されている。

  <?xml version="1.0" encoding="UTF-8"?>
  <assembly xmlns="urn:schemas-microsoft-com:asm.v1" xmlns:asmv3="urn:schemas-microsoft-com:asm.v3" manifestVersion="1.0">
    <asmv3:application>
      <asmv3:windowsSettings xmlns=”http://schemas.microsoft.com/SMI/2005/WindowsSettings">
        <autoElevate>true</autoElevate>
      </asmv3:windowsSettings>
    </asmv3:application>
  </assembly>
  

ファイルシステムの仮想化

ファイルシステムの仮想化はLuafv.sysドライバで実装されており、以下の条件を満たす場合、保護されたストレージへのアクセスは自動的にリダイレクトされる。

• 32ビットアプリケーションである。
• 管理者権限で実行されていない。
• カーネルモードのイメージが呼び出し元でない。
• 呼び出し元が偽装をしていない。
• 実行可能イメージにUAC互換のあるマニフェストが付随していない。
• 管理者ユーザーがレジストリへの書き込み権限を持っている。
• 呼び出し元がサービスのような非対話型プロセスでない。

レジストリの仮想化

レジストリの仮想化はWindowsエグゼキュティブであるコンフィグレーションマネージャに実装されており、以下の条件を満たす場合、仮想化可能なレジストリキーへのアクセスは自動的にリダイレクトされる。

• 32ビットアプリケーションである。
• 管理者権限で実行されていない。
• カーネルモードのイメージが呼び出し元でない。
• 呼び出し元が偽装をしていない。
• 実行可能イメージにUAC互換のあるマニフェストが付随していない。
• 管理者ユーザーがレジストリへの書き込み権限を持っている。
• 呼び出し元がサービスのような非対話型プロセスでない。
• 以下のキーまたはサブキーでない。
  • HKLM\Software\Classes
  • HKLM\Software\Microsoft\Windows
  • HKLM\Software\Microsoft\Windows NT