Zauważyłem dość dziwne zachowanie systemu Windows 7 na niektórych komputerach biurowych:
- Użytkownik A loguje się na swoje konto jak zwykle.
- Użytkownik A blokuje komputer (przez Win + L lub podobny).
- Użytkownik B (nie ma znaczenia, kto to musi być ktoś z innym kontem użytkownika), następnie loguje się na tym samym komputerze przy użyciu swoich poświadczeń (bezpośrednio na komputerze lub zdalnie).
- Użytkownik B ponownie się wylogowuje.
- Bezpośrednio po wyświetleniu ekranu „wylogowania” sesja użytkownika A jest odblokowana bez konieczności podawania hasła użytkownika A.
Ten dokładny wzór działa tak, jak przedstawiono na wszystkich komputerach, których dotyczy problem, z dowolnymi kombinacjami kont użytkowników. Słyszałem, jak nasz administrator wspominał, że nawet odblokowanie kont adminów działa, jeśli zdarzy się, że pozostaną zalogowane na odpowiednim komputerze. Nie działa to jednak na nowszych komputerach, które niedawno dostaliśmy dla naszego zespołu.
Czy to „zjawisko” jest znane? Nie mogłem znaleźć raportów o podobnym zachowaniu za pośrednictwem Google, więc zakładam, że musi to być coś specyficznego dla naszego środowiska biurowego. Jaka wada konfiguracji systemu Windows 7 może prowadzić do takiego zachowania?
Niektóre tło:
- Nasze komputery PC obsługują system Windows 7 Professional, 64-bitowy. SP1 jest zainstalowany. Wydaje się, że aktualizacje zabezpieczeń są regularnie stosowane.
- Wszystkie konta użytkowników są kontami domenowymi.
- Kilka miesięcy temu poinformowałem jednego z naszych administratorów o tej szczególnej osobliwości, ale ponieważ zachowanie się utrzymuje, postaram się przedstawić problem w bardziej naglący sposób (i tym razem upewnij się, że jest to również osoba odpowiedzialna za bezpieczeństwo IT).
- Wiem, że ma to wpływ na bezpieczeństwo informacji. (Pozwala to na podszywanie się, dostęp do ograniczonych napędów sieciowych itp.) Ale przynajmniej na moim komputerze poważnie psuje moje ustawienia okien, więc nie jest prawdopodobne, że ktoś je wykorzysta bez mojej uwagi. Jestem pewien, że jedynym powodem, dla którego nie zostało to jeszcze rozwiązane, jest to, że nie było (znanego) przypadku nadużycia. Wymaga to także fizycznego dostępu do odpowiedniego komputera, aby można go było wykorzystać.
- Jestem tylko użytkownikiem bez podwyższonych uprawnień. Postaram się podać wszelkie informacje, które będą potrzebne (jeśli w ogóle), ale prawdopodobnie napotkam jakieś ograniczenie wcześniej czy później.
- Chciałbym również przeprosić, jeśli moja terminologia dotycząca administrowania systemem jest wyłączona - nie jestem profesjonalistą. Daj mi znać, jeśli mogę poprawić swoje brzmienie w dowolnym miejscu.
Karta Logowanie Autoruns (wpisy Microsoft są ukryte):
Zaciemniona sekcja to skrypt mapujący dyski sieciowe w zależności od tego, kto się zaloguje. Karta Winlogon Autoruns (są tylko wpisy Windows):
Winlogonkarcie? Jeśli to możliwe, opublikuj zrzut ekranu tej karty. 2) Po wystąpieniu problemu, jakie są dane wartości LastLoggedOnProvider w kluczuHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI\SessionData\#? (Gdzie#jest numer sesji, których może być więcej niż jeden.)Odpowiedzi:
To jest zaprojektowane.
Zobacz Logowanie interakcyjne: Wymagaj uwierzytelnienia kontrolera domeny, aby odblokować stację roboczą
Jest to ustawienie bezpieczeństwa, które zasadniczo jeśli nie jest włączone, pozwala użytkownikowi zalogować się bez sprawdzania poprawności na kontrolerze domeny.
W twoim przypadku Użytkownik A został zatwierdzony i został buforowany. Użytkownik B został zweryfikowany, a gdy użytkownik A wrócił, użył pamięci podręcznej. Jeśli to ustawienie jest ustawione, powinno ono wymagać ponownego uwierzytelnienia z powrotem do kontrolera domeny, aby można było wycofać. Jeśli masz coś do powiedzenia na temat laptopa i utraciłeś połączenie sieciowe, jak połączyć się ponownie z kontrolerem domeny, aby odblokować. Dlatego może to być „niebezpieczne” ustawienie.
źródło
Wygląda na to, że nasi informatycy znaleźli problem. Wszystkie nasze komputery, zarówno marki Dell, jak i HP, mają zainstalowany program HP Remote Graphics Sender (wersja 6.0.3 w przypadku mojego komputera). Wyłączenie odpowiedniej usługi natychmiast zatrzymuje zachowanie naruszające prawo.
Co do tego, dlaczego ta konkretna usługa umożliwiła takie niespotykane zachowanie w systemie Windows: nie wiemy. Jesteśmy całkowicie nieświadomi.
Najprawdopodobniej nie będziemy przeznaczać więcej zasobów na ten problem, ponieważ nie potrzebujemy usługi Sender (tylko przy użyciu Odbiornika). Mogę tylko spekulować, że problem może być spowodowany jakąś niezgodnością między oprogramowaniem HP a naszymi komputerami marki Dell. (Większość komputerów, których dotyczy problem, pochodziła z firmy Dell, chociaż kilka - starszych? - komputerów HP również źle się zachowywało, więc nie może to być cała historia).
Wszystko, co uważane jest za cały romans, pozostaje niezadowalająco tajemnicze, ale niestety nie jestem w stanie dalej badać tej sprawy - zarówno z punktu widzenia finansowania, jak i przywilejów.
źródło