SuRun 1.2.0.7

cosmo

Kay wrote: Damit SuRun vernünftig und ohne Sicherheitsloch funktioniert, muss es (wie bis SuRun 1.1.0.6)

(Nur, damit keine Mißverständnisse aufkommen: Das soll doch wohl 1.2.0.6 heißen (auch noch einmal weiter untem in dem Beitrag)?)

Heißt das jetzt, daß die Sicherheitslücke nun doch 1.2.0.6 nicht betrifft? So zumindest verstehe ich den Halbsatz.

Ich habe beta 14 noch nicht installiert, daß hier also nur aus theoretischen Überlegungen:

Kay wrote: * SuRun sichert Kennwort-Hash
* Benutzer bekommt von SuRun zufällig gewähltes Kennwort
* Benutzer wird in lokale Administratoren eingetragen
* Benutzer wird angemeldet
* SuRun sichert die Daten der Anmelde-Sitzung
* Benutzer wird aus den Administratoren ausgetragen
* Kennwort-Hash wird wiederhergestellt

Mein Bauchgefühl ist verdammt ungut und ganz ehrlich: Auf einem Produktivrechner würde ich diese Version nicht einsetzen. Sollte irgend etwas zwischen Schritt 1 und 7 schief gehen (das muß nicht zwingend innerhalb und in der Verantwortlichkeit von SuRun geschehen, es kann auch ein überraschender Stromausfall sein), so befürchte ich, daß dann dasselbe passiert, wie wenn ein Admin das Kennwort eines Benutzers löscht, der es vergessen und keine Kennwort-Rücksetzdiskette angelegt hat: Alle Netzwerk-Kennwörter sind weg und - was am katastrophalsten wäre - sollte der Benutzer die NTFS-Datenverschlüsselung verwendet haben, sind die Daten unwiederbringlich im Nirwana.

Kay

Cosmo wrote: Nur, damit keine Mißverständnisse aufkommen: Das soll doch wohl 1.2.0.6 heißen?

Nein! 1.1.0.6.
Alle 1.2.x.x haben die Lücke, zum Glück hat's scheinbar noch keiner benutzt.
Das ist der Grund, warum eine neue Release schnell raus muss!

Cosmo wrote: Sollte irgend etwas zwischen Schritt 1 und 7 schief gehen (das muß nicht zwingend innerhalb und in der Verantwortlichkeit von SuRun geschehen, es kann auch ein überraschender Stromausfall sein), so befürchte ich, daß dann dasselbe passiert, wie wenn ein Admin das Kennwort eines Benutzers löscht, der es vergessen und keine Kennwort-Rücksetzdiskette angelegt hat: Alle Netzwerk-Kennwörter sind weg und - was am katastrophalsten wäre - sollte der Benutzer die NTFS-Datenverschlüsselung verwendet haben, sind die Daten unwiederbringlich im Nirwana.

Ich habe die Zwischenschritte sorgfältig geprüft und so programmiert, dass falls etwas im inneren Schief geht, dass äußere wiederhergestellt wird. Der Beta-Test wird zeigen, wie gut. Ich könnte auch eine Art "Journal" bauen, so dass SuRun den Kennwort-Hash auf Platte flusht, dann alles macht und dann den Hash von Platte löscht. Startet der Dienst neu und es sind noch Hash Daten auf der Platte, restauriert SuRun die zuerst und der Benutzer kann sich wie immer anmelden... aber das sollte (hoffentlich) nicht nötig sein.

Ich denke, dass bei einem Stromausfall gar nichts passiert, weil die ganze Prozedur in sehr kurzer Zeit abgeschlossen ist. Es ist also entweder noch oder schon wieder der alte Hash in der Registry, die ja im RAM gecached ist, was bei Stromausfall eh verloren geht.

Ich werde hier mal Zeitmessungen machen.

Getestet habe ich bisher als PC meine beiden WinXPpro und in VMware XPpro, XPproX64, Win2kpro, Vista business, Win7rc1, Win7rc1 x64. Alles ohne Domäne. Auch getestet Server Win2k3 als PDC mit WinXPpro als Client in einer VMware Domäne.

Edit:
Zeitmessungen für die Benutzer-Vergewaltigungs-Prozedur:
PC XPpro: <450ms
VM 2kpro: <400ms
VM Win7x64rc1: <110ms
VM VistaBusiness: <100ms

cosmo

Beobachtungen zur Beta 14:

Ich habe 2 Programme via RunAs gestartet: Notepad und TweakUI; es kommen die betreffenden Balloon-Tips (so weit so gut).
Ich setze den Fokus auf den Desktop (um die Ballon-Tips abszuschalten), fokussiere dann Notepad und wechsle von dort direkt zu TwakUI.
Beobachtung: Der Balloon-Tip meldet mir nach dem Wechsel konstant weiter den Editor.
Erst wenn ich noch einmal auf den Editor und dann wieder zu TweakUI gehe, bekommt der Balloon-Tip ein entsprechendes Update.

Das Verhalten ist unter XP SP3 reproduzierbar und ist auch vorhanden, wenn ich die beschriebene Prozedur mit TweakUI beginne und von dort zu Notepad wechsle.

Ebenfalls reproduzierbar, wenn ich auf (z. B.) TweakUI gehe, den Ballon ausschalte, dann zu Notepad (Ballon geht an), wechsle direkt zu TweakUI (Ballon meldet weiterhin den Editor); noch einmal zu Notepad und dann zu TweakUI und die Sache ist wieder richtig.

Das Häkchen bei der Benutzereinstellung bzgl. Hardware-Installation ist nach wie vorbelegt (sowohl beim Update von beta 13 zu 14 wie auch von beta 11 zu 14).

Kay

Cosmo wrote: Der Balloon-Tip meldet mir nach dem Wechsel konstant weiter den Editor.
[...]
Ebenfalls reproduzierbar, wenn ich auf (z. B.) TweakUI gehe, den Ballon ausschalte, dann zu Notepad (Ballon geht an), wechsle direkt zu TweakUI (Ballon meldet weiterhin den Editor); noch einmal zu Notepad und dann zu TweakUI und die Sache ist wieder richtig.

Jepp, stimmt auffallend... hab's behoben, Danke!

Cosmo wrote: Das Häkchen bei der Benutzereinstellung bzgl. Hardware-Installation ist nach wie vorbelegt (sowohl beim Update von beta 13 zu 14 wie auch von beta 11 zu 14).

Das Häckchen ist per Voreinstellung an... wegen der (armen) Heimanwender ;-)
Die müssen Hardware installieren dürfen.

[gelöscht]

Hi Kay.

The problem that I am seeing is that since beta 13 I am getting Event Log 1524, "Windows cannot unload your classes registry file - it is still in use by other applications or services. The file will be unloaded when it is no longer in use." and Event Log 1517, "Windows saved user hostname\username registry while an application or service was still using the registry during log off. The memory used by the user's registry has not been freed. The registry will be unloaded when it is no longer in use. This is often caused by services running as a user account, try configuring the services to run in either the LocalService or NetworkService account." errors. I checked all of my processes with Process Hacker and all of my processes launched under the service process are running under the SYSTEM or NETWORK SERVICE accounts.

I just tried installing beta 14 and still see the events. I have been installing the new versions over the old ones. Is that ok, or should I remove my user account from SuRun, uninstall, and then re-install?

I'm going to try doing that and also to revert to 1.2.0.6 to make sure the problem isn't being caused by something other than the SuRun beta versions.

Lastly, thanks with letting me post in this forum in english. :-)

Darrell

Kay

I'll try to explain the "registry in use" problem:
If you run apps with SuRun from 1.0 to 1.1.0.6 and from 1.2.0.7 Beta 13, SuRun creates a logon session for running elevated applications. If any elevated/RunAs applications started by SuRun are still active when you log off, WinLogon (up to Windows 2003) will not close them automatically as they belong to a different logon session.
SuRun installs a hook that will be called by WinLogon after a user logged off. In that hook, SuRun terminates all processes started by SuRun... but that hook is called after the user logged off and after Userenv puts the message into the system event log.

You can verify this if you close all processes started by SuRun before logging off.

I'll try to get the termination hook called earlier, when SuRuns Tray icon receives the WM_ENDSESSION message.

[gelöscht]

Hi Kay.
That makes sense because I also noticed, but failed to mention in my previous post that my Malware Defender program was alerting me at shutdown that the Winlogon.exe process was trying to terminate all three processes I had set to automagically be elevated by SuRun. I had reinstalled 1.2.0.6 before reading your reply and found that the event logs are gone now, just as you have explained they would be. I'll keep an eye on the forum and give another try to a beta version when you have time to implement the earlier termination hook call. I know you are busy fixing the security hole mentioned in earlier posts.

I looked on the main website and searched the forum to see if there was a way to make a donation for the program and excellent support that you provide in the forums, but I couldn't find anything. Do you have a donation account set up with Paypal or another way for users to contribute?

Darrell

cosmo

Kay wrote:
Cosmo wrote: Das Häkchen bei der Benutzereinstellung bzgl. Hardware-Installation ist nach wie vorbelegt (sowohl beim Update von beta 13 zu 14 wie auch von beta 11 zu 14).
Das Häckchen ist per Voreinstellung an... wegen der (armen) Heimanwender ;-)
Die müssen Hardware installieren dürfen.

Ich hatte mich auf den Beitrag #95 bezogen:

Kay:1251444948 wrote:
Cosmo wrote: Wäre es dann nicht besser weil zutreffend wenn die Vorbelegung in grau kein Häkchen zeigen würde?
Wird so gemacht.

Die Option soll ja nicht raus, aber das graue Optionsfeld korrekterweise den tatsächlichen Ist-Zustand der Option anzeigen.

Kay

Cosmo wrote: Ich hatte mich auf den Beitrag #95 bezogen:

Oh! Ich Schussel. Jetzt isses, wie versprochen...und mehr:
SuRun 1.2.0.7 Beta 15 - 01.09.2009
* FIX: Unstimmigkeiten im Tray-Symbol wurden (hoffentlich) beseitigt
* CHG: In Windows<6 (2k, XP, 2k3) beendet das Tray-Symbol bei der Benutzer-Abmeldung alle von SuRun in der Benutzersitzung gestarteten Prozesse. Dadurch sollte die Benutzer-Registry sauber entladen werden können.
* CHG: "SuRun /SYSMENUHOOK" läuft immer, auch wenn keine Hooks aktiv sind, damit es bei der Benutzerabmeldung alle von SuRun gestarteten Prozesse beenden kann.
* CHG: In den Benutzereinstellungen ist "Hardware automatisch administrativ installieren" ohne Haken, wenn der IAT-Hook aus ist.

mik-c-os

[xp64]

ich habe mit erschrecken festgestellt, dass nach dem update-reboot plozlich der hardwaredialog zu sehen wahr.
(das nicht installierte usb-grerät steckt absichtlich mit pc um die funktion zu prüfen)

ist das so gewollt? so ganz ohne sicherheitsabfrage?
das ist eigendlich ein sicherheitsrisiko, wenn man installieren darf was man will?
oder habe ich da ein haken vergessen/übersehen?

[edit:]
habe den haken gefunden...
jetzt kommt wieder der windows dialog :(

generell hätte ich sonnst gesagt das ich eine default einstellung immer ein passwort-abfrage dialog erwarte
es scheind aber das das feature noch nicht komplett zu sein,
ich will auch gar nicht meckern, das hällt dich ja eh nur vom programmieren ab :P

ist eigendlich der IAT-Hook für dieses feature zwingend erfoderlich?

Kay

Das ist gewollt.
Bei jedem unbeschränkten SuRunner ist, wenn der IAT Hook aktiviert ist, das Installieren von Hardware per Voreinstellung erlaubt. Ist für "normale" Windows Benutzer IMHO ungefährlicher, als ein Admin-Passwort einzugeben.

mik-c-os

gut bein heimischen pc ist das problem der 'industriespionage'* nicht gegeben,

aber auch der sohnemann soll ja nicht geich alles installieren dürfen,
doch manchmal ist papi zu faul den benutzeraccound zu wechseln*

eigendlich will ich damit sagen, dass ich gern eine SuRun-Passwortabfrage hätte
mein sicherheitsbedürfnis ist in diesem fall einfach höhr
(wie immer: alles schön optional *klick*)

(* ein mögliches senario

Kay

Mik.c.OS wrote:ist eigendlich der IAT-Hook für dieses feature zwingend erfoderlich?

Leider JA!
Services.exe startet direkt RunDll32.exe, ohne Explorer vorher zu informieren.
SuRunExt wird zwar durch den SysMenu-Hook auch in RunDll injiziert, aber erst, nachdem die Kommunikation zwischen Services und NewDev.DLL abgeschlossen ist.
Der einzige Weg, das einfach abzufangen, ist den IAT-Hook in Services.exe zu injizieren und CreateProcessAsUserW umzuleiten.

Da das installieren von Hardware IMO generell vertrauenswürdig ist, oder nicht, habe ich die Option pro Benutzer so gewählt. Wenn man einem nicht das Installieren von Hardware zutraut, muss man das eben deaktivieren und er sieht den Windumms Dialog, wie gehabt.

[gelöscht]

Kay,
Just wanted to let you know that I tried beta 15 and I am still getting the registry classes unload error in the Event Log. I do notice that now instead of Winlogon.exe terminating the elevated process, it is SuRun.exe doing it.

mik-c-os

Da das installieren von Hardware IMO generell vertrauenswürdig ist, oder nicht, habe ich die Option pro Benutzer so gewählt. Wenn man einem nicht das Installieren von Hardware zutraut, muss man das eben deaktivieren und er sieht den Windumms Dialog, wie gehabt.

wenn man es so einstellt,
kann man denn nicht wenigstens einen sicheren SuRun-Dialog einbauen?
du weist ja selbst wie einfach schatsoftware passwörter abfanen können...

cosmo

Kay:1251814364 wrote: FIX: Unstimmigkeiten im Tray-Symbol wurden (hoffentlich) beseitigt

Ist jetzt ok.

Aber folgendes ist mir noch aufgefallen, ich bleibe bei den Beispiel mit TweakUI und Notepad wie oben dargestellt via RunAs gestartet:
Die Balloon-Tips erscheinen und aktualisieren wie gesagt jetzt fehlerfrei. Klicke ich aber von einem dieser beiden Programme auf den Desktop verschwindet der Tip (logisch), klicke ich jetzt jedoch wieder auf dasselbe Programmfenster, das zuletzt vor dem Desktop den Fokus hatte, so erscheint der Balloon-Tip nicht. Fokussiere ich nach dem Desktop jedoch das andere der beiden Programme, erscheint der Tip sofort wieder und richtig und auch beim Wechsel zwischen den beiden Programmen ist alles OK.

Ist das so gewollt, unvermeidlich oder doch noch ein Fehler?

Kay

Mik.c.OS wrote:kann man denn nicht wenigstens einen sicheren SuRun-Dialog einbauen?
du weist ja selbst wie einfach schatsoftware passwörter abfanen können...

Das ist nicht so leicht. NewDev.DLL saugt Informationen aus Services.exe, wie und was ist nicht dokumentiert, aber NewDev.DLL zeigt sie an, wenn das Gerät installiert wird.
SuRun könnte höchstens warnen, dass "irgend eine Hardware" installiert werden soll und evtl. ein Kennwort abfragen. Aber das fand ich zu viel Aufwand.

Cosmo wrote:Ist das so gewollt, unvermeidlich oder doch noch ein Fehler?

Geht IMO nicht besser. Wenn Du manuell die Blase zu machst, verliert das Admin-Programm den Focus und Explorer bekommt ihn. Wenn Du dann wieder das Admin-Programm aktivierst, sollte das Symbol weg bleiben. Deshalb bleibt es leider auch weg, wenn Du auf andere "normale" Programme und dann wieder auf das Admin-Programm klickst.

cosmo

Also "unvermeidlich", hatte ich auch schon vermutet.

Das hat auch ein positives: Um den Tip zu schließen braucht man dann nicht den meistens ziemlich langen Mausweg zum Balloon zu machen, sondern man klickt einfach irgendwo auf etwas nicht erhöhtes. Und selbst wenn das erhöhte Programm im Vollbildmodus läuft kann mit folgendem Trick arbeiten: Es gibt eine nicht dokumentierte Schnelltaste: Win-B legt den Fokus in den Infobereich ohen sonst etwas zu tun, danach kehrt man wieder zu dem erhöhten Programm zurück (eventuell mit Alt-Tab), ohne die Maus auch nur 1 Pixel weit bewegt zu haben.

deroppi

Hallo, habe wenig Zeit und komme kaum zum mittesten, aber da die beta 15 bisher nur 16-mal runtergeladen wurde gebe ich hier auch mal feedback. Bei mir läuft die beta 15 (wieder) problemlos. Danke!

Kay

Ok, ich habe zu Beta 15 noch Mik's Wunsch eingebaut, das sich SuRun die letzte Einstellung von "Verknüpfungen mit SuRun beibehalten, wie sie sind" merkt. Die spanischen Ressourcen passen jetzt auch alle in deren Platz, da ich aber kein spanisch spreche, habe ich sie "kreativ gekürzt".
Ansonsten heißt die Beta15 nun rc1:

« vorherige Seite Nächste Seite »