Упущена одна вещь, если открыть выпадающий список, а потом щёлкнуть где-нибудь рядом, то в нормальных системах список закрывается, тут же он висит открытым.
Ещё в 35 лисе не работает раскрытие по общему телу где текст, только по значку сбоку.
Ну тут дело в том что я не играю в игры ставящие драйвера (есть куда ещё потратить время). То есть про то что ММО тащит за собой драйвера я вообще забыл. Таких игр насколько я знаю сравнительно немного.
Но если игра не тащит за собой драйвер я от своих слов не отказываюсь. Это будет действительно безопаснее чем пускать игру в виртуалке с ускорением.
Самый надёжный способ иметь отдельный ПК для таких случаев. Потому что драйвер может всё, в том числе скрыть от вас всю свою активность, это потенциальный руткит.
Архитектура нышнешних ОС сделана не очень безопасно/гибко касаемо этого вопроса во многом из-за дерьмового по архитектуре железа (тормознутое переключение контекстов — колец безопасности от уровня ядра к уровню пользователя) и погони за производительностью в прошлом (собственно перенос всего что часто взаимодействует и требует скорости в ядро). Хотя даже имея (гипотетически) сейчас безопасную и быструю архитектуру, производители таких игр всё равно будут давить на использование драйверов имеющих безграничные права ядра (чтобы их нельзя было обмануть). Тут можно было бы разработать открытый унифицированный, безопасный и надёжный драйвер для защиты от читерства, но на это пока ещё никто не пошёл.
Впрочем в случае такой безопасной и быстрой железной архитектуры можно было бы пускать драйвер проброса графики в пользовательском режиме и не иметь проблем с безопасность, но увы, чего нет, того нет.
Сейчас же никто не пишет для такого драйверы уровня пользователя (типа UMDF) ибо медленно, а нам для графики нужна скорость. Вот и получается что виртуализация не такая уж и безопасная штука когда она на хосте взаимодействует через драйвер с ядром.
Возвращаюсь к решению. Можно поставить драйвер игры вручную отдельно, в случае если он взят из официального источника (имеет цифровую подпись компании производителя) и вы решили доверить ему всё. Игра же при этом всё равно не должна запускаться от админских прав — драйвер работающий с ней уже работает с наивысшими правами. Драйвер достаточно редко обновляется в отличие от игры и так хотя бы можно закрыть уязвимости исходящие от самой игры.
Либо ставить виртуальную машину, пробрасывать видюху и играть в ней, только как я уже выше писал это всё равно не гарант того что дрянь не пролезет через этот драйвер проброса графики (для этого ей не понадобятся права администоратора в виртуализированной ОС). Определить что запуск происходит из виртуальной машины очень просто.
Гляньте сколько нашли уязвимостей только за этот год в том же VirtualBox. Вот развёрнуто об одной из них. А тут слайдики можно глянуть.
Интересное решение, как-то гуглил подобное, но не нашёл рабочего решения. Пробовал одну программу делающую нечто подобное (saferun), но нужные программы отказывались работать.
Спасибо попробую как-нибудь этот способ.
Если их действительно требует игра, а не её установщик, то это звоночек. Либо кто игру собирал безграмотен (например игра ставится в папку program files куда запрещёно писать обычным пользователям и хочет там что-то записать), либо там ставится драйвер. Драйверы зло, потенциальная дыра в безопасности/backdoor.
Если это не драйвер можно проворачивать трюк с правами, группе администраторов урезать права до минимальных (через локалькую политику безопасности), а для действительной админской деятельности создать доп. пользователя и лично ему назначить важные права. Тут конечно ещё стоит урезать права в реестре и в ФС у группы администраторов.
В итоге получится что при запуске игра получит права админа, только эти права будут ограниченные. С кривыми играми работает неплохо, с теми что попробуют поставить драйвер будет ошибка и думаю вряд ли игра продолжит запуск.
Для нормально защиты такого сценария надо ещё запретить группе администраторов создавать службы и добавлять задания в планировщике (там можно выставить запуск от пользователя СИСТЕМА), иначе можно получить права пользователя СИСТЕМА (как root в линуксах), а у неё права безграничные (хотя и есть особенности).
Ещё есть варианты с песочницами, типа Sandboxie и подобными, работающими по принципу copy-on-write, но не знаю как там с драйверами.
Какого администратора? Когда мы запускаем что-то что требует повыше прав, нам вылезает окно UAC где предлагается выбрать пользователя и ввести пароль. Если наш пользователь обладает правами то выбираем его и вводим его пароль.
Администраторы в Windows это скорее условность, через локальную политику безопасности можно отнять у этой группы все (или только определённые) права и дать другой группе. Права распределить можно по-разному. UAC просто не позволяет этими правами пользоваться всё время.
Есть конечно встроенный пользователь администратор, но по умолчанию он выключен, да и по сути ничем он не отличается от других пользователей.
Виртуальные машины не панацея, в них тоже существуют уязвимости, в особенности как раз через проброс графики (а это между прочим драйвер работающий с безграничными правами). Погуглите.
А вообще для игрушек достаточно будет создать отдельного пользователя с ограниченными правами (как в ФС, так и в ролях через локальную политику безопасности) и запускать от него.
Ну это смотря когда было. Разработка проекта же не стоит на месте.
На днях поставлю у себя, отпишусь насколько сейчас опеннота хороша. Но судя по его сайту вроде всё основное на месте.
Ещё можно попробовать Transifex.
Да видел я новость, только вот нотабеноид уже не та надёжная платформа (кстати почему перевод с оригинальными строками они отдали только владельцам, а участникам только переведённые строки?) да и приглашения надо доставать…
Зачем это надо когда теперь за счёт опенноты можно поставить на любую VPS'ку себе персональный нотабеноид, имея при этом ещё и доступ к базе данных?
Ребят кому интересно есть две новости:
1. Обнаружился cat.bombono.org пока так себе сайтец.
2. Оказывается есть свободный движок OpenNota. Можно поставить нотабеноид у себя. Внешне от нотабеноида почти не отличимо.
Вместо закладок. То что я хочу посмотреть/прочитать, но не прямо сейчас. Про обычную закладку я забуду, а про открытые вкладки нет. А ещё вкладку можно закэшировать и тогда содержимое вдруг не потеряется, как это может быть в случае с закладками — далеко не все сайты долго живут.
Ещё в 35 лисе не работает раскрытие по общему телу где текст, только по значку сбоку.
Но если игра не тащит за собой драйвер я от своих слов не отказываюсь. Это будет действительно безопаснее чем пускать игру в виртуалке с ускорением.
Архитектура нышнешних ОС сделана не очень безопасно/гибко касаемо этого вопроса во многом из-за дерьмового по архитектуре железа (тормознутое переключение контекстов — колец безопасности от уровня ядра к уровню пользователя) и погони за производительностью в прошлом (собственно перенос всего что часто взаимодействует и требует скорости в ядро). Хотя даже имея (гипотетически) сейчас безопасную и быструю архитектуру, производители таких игр всё равно будут давить на использование драйверов имеющих безграничные права ядра (чтобы их нельзя было обмануть). Тут можно было бы разработать открытый унифицированный, безопасный и надёжный драйвер для защиты от читерства, но на это пока ещё никто не пошёл.
Впрочем в случае такой безопасной и быстрой железной архитектуры можно было бы пускать драйвер проброса графики в пользовательском режиме и не иметь проблем с безопасность, но увы, чего нет, того нет.
Сейчас же никто не пишет для такого драйверы уровня пользователя (типа UMDF) ибо медленно, а нам для графики нужна скорость. Вот и получается что виртуализация не такая уж и безопасная штука когда она на хосте взаимодействует через драйвер с ядром.
Возвращаюсь к решению. Можно поставить драйвер игры вручную отдельно, в случае если он взят из официального источника (имеет цифровую подпись компании производителя) и вы решили доверить ему всё. Игра же при этом всё равно не должна запускаться от админских прав — драйвер работающий с ней уже работает с наивысшими правами. Драйвер достаточно редко обновляется в отличие от игры и так хотя бы можно закрыть уязвимости исходящие от самой игры.
Либо ставить виртуальную машину, пробрасывать видюху и играть в ней, только как я уже выше писал это всё равно не гарант того что дрянь не пролезет через этот драйвер проброса графики (для этого ей не понадобятся права администоратора в виртуализированной ОС). Определить что запуск происходит из виртуальной машины очень просто.
Гляньте сколько нашли уязвимостей только за этот год в том же VirtualBox.
Вот развёрнуто об одной из них.
А тут слайдики можно глянуть.
Спасибо попробую как-нибудь этот способ.
Если это не драйвер можно проворачивать трюк с правами, группе администраторов урезать права до минимальных (через локалькую политику безопасности), а для действительной админской деятельности создать доп. пользователя и лично ему назначить важные права. Тут конечно ещё стоит урезать права в реестре и в ФС у группы администраторов.
В итоге получится что при запуске игра получит права админа, только эти права будут ограниченные. С кривыми играми работает неплохо, с теми что попробуют поставить драйвер будет ошибка и думаю вряд ли игра продолжит запуск.
Для нормально защиты такого сценария надо ещё запретить группе администраторов создавать службы и добавлять задания в планировщике (там можно выставить запуск от пользователя СИСТЕМА), иначе можно получить права пользователя СИСТЕМА (как root в линуксах), а у неё права безграничные (хотя и есть особенности).
Ещё есть варианты с песочницами, типа Sandboxie и подобными, работающими по принципу copy-on-write, но не знаю как там с драйверами.
Администраторы в Windows это скорее условность, через локальную политику безопасности можно отнять у этой группы все (или только определённые) права и дать другой группе. Права распределить можно по-разному. UAC просто не позволяет этими правами пользоваться всё время.
Есть конечно встроенный пользователь администратор, но по умолчанию он выключен, да и по сути ничем он не отличается от других пользователей.
А вы в политиках включите требования пароля для продолжения, это голову обычно врубает.
А вообще для игрушек достаточно будет создать отдельного пользователя с ограниченными правами (как в ФС, так и в ролях через локальную политику безопасности) и запускать от него.
Например нельзя нажать одновременно Shift+1 и 3 (вообще с 3 и Shift многие другие), очень раздражало по началу.
На днях поставлю у себя, отпишусь насколько сейчас опеннота хороша. Но судя по его сайту вроде всё основное на месте.
Ещё можно попробовать Transifex.
Есть уже Visual Studio Community 2013.
Зачем это надо когда теперь за счёт опенноты можно поставить на любую VPS'ку себе персональный нотабеноид, имея при этом ещё и доступ к базе данных?
1. Обнаружился cat.bombono.org пока так себе сайтец.
2. Оказывается есть свободный движок OpenNota. Можно поставить нотабеноид у себя. Внешне от нотабеноида почти не отличимо.
Спасибо, ещё одного зонда который ещё и умереть может, не надо.