Войти в систему

Home
    - Создать дневник
    - Написать в дневник
       - Подробный режим

LJ.Rossia.org
    - Новости сайта
    - Общие настройки
    - Sitemap
    - Оплата
    - ljr-fif

Редактировать...
    - Настройки
    - Список друзей
    - Дневник
    - Картинки
    - Пароль
    - Вид дневника

Сообщества

Настроить S2

Помощь
    - Забыли пароль?
    - FAQ
    - Тех. поддержка



Пишет dibr ([info]dibr)
@ 2012-12-12 01:46:00


Previous Entry  Add to memories!  Tell a Friend!  Next Entry
icacls
     Что меня всегда радует в винде - так это та лёгкость и прозрачность, с которой ковыряние мышкой в менюшках переходит в произнесение адских заклинаний. Совсем недавно тыкал мышью в "пользователи и пароли" в панели управления - и уже кастуешь спелл control userpasswords2, только что ковырялся в микрософтовском антивирусе - и уже потрясая бубном восклицаешь "netsh winhttp import proxy ie", минуту назад лениво таскал иконы мышью, и тут внезапно Бвана Кубва Донда и Пх'нглуи мглв'нафх Ктулху Р'льех вгах'нагл фхтагн - генту с бубунтой обзавидуются...

     Короче. Ставлю на рабочий компьютер седьмую винду. Перепиливаю панель задач, чтобы была "как в винде" (ну, в смысле, как в WinXP, you know). Это несложно - задаём мелкие иконки, отключаем лишние заголовки и включаем нелишние, а взамен XPшной панели быстрого запуска - включаем панель "ссылки" (links). И, натурально, таскаем туда мышью иконки того, что хочется быстро запускать.
     После чего обнаруживается, что при запуске (как минимум некоторых) задач из панели "links", выдаётся предупреждение системы безопасности windows о "неизвестном издателе", влёгкую неотключаемое. И чтобы отключить которое, не ломая при этом всю "систему безопасности", нужно всего-то запустить cmd.exe с правами администратора, перейти там в папочку, в которой лежат эти самые links, набрать в лёгкие побольше воздуха, и произнести (вдохнули...):

     icacls . /setintegritylevel (CI)low

     (...выдохнули). Не правда ли, очевидно?
     Вот за это мне и нравится винда. Кстати, это ещё и тот редкий случай, когда я прочитал объяснение, что делает эта команда - и ни-фи-га не понял. При чём тут вообще "целостность", и тем более её уровень?!...


(Добавить комментарий)


[info]vlkamov@lj
2012-12-11 23:52 (ссылка)
Вот потому-то наилучшим способом являются конфигурационные файлы на максимально близком к человеческому языке.

Если бы было иначе, Гомер рисовал бы комиксы или сочинял дыр-бул-щил.

(Ответить) (Ветвь дискуссии)


[info]dibr@lj
2012-12-12 02:53 (ссылка)
"Наилучшим" является сохранение контекста работы: если я настраиваю то, как именно я буду дрыгать мышью - удобно это делать мышью же, а не текстовым редактором в "простыне" конфига, если я настраиваю сервис, который глазом-то не видно, а находится он вообще в другом здании - удобно иметь все настройки в одном компактном файле (или в нескольких файлах), редактируемом стандартными средствами.

А если бы было иначе - спайдермена и бэтмена (а также матрицы и аниме) не было бы, а были бы одни гомеры...

(Ответить) (Уровень выше)


[info]lugoblin@lj
2012-12-11 23:58 (ссылка)
А разве не приятнее почувствовать себя волшебником, чем просто учёным или инженером?

(Ответить) (Ветвь дискуссии)


[info]dibr@lj
2012-12-12 02:47 (ссылка)
Ээээ... нет. Приятнее - понимать, что вообще происходит, а не просто произносить "экспекто патронум" и "финита контракта" не понимая, почему надо именно так.
То есть, привыкнуть можно (http://www.fanfics.ru/read.php?id=40982), но всё равно неприятненько как-то :-)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]lugoblin@lj
2012-12-12 03:09 (ссылка)
На самом деле согласен, да, а то был сарказм.

(Ответить) (Уровень выше)


[info]avryabov@lj
2012-12-12 00:51 (ссылка)
быстрый запуск лучше возвращять вот так
www.winline.ru/os/windows_7/dobavlenije_paneli_bystrogo_zapuska_na_panel_zadach_v_windows_7.php

(Ответить) (Ветвь дискуссии)


[info]dibr@lj
2012-12-12 02:43 (ссылка)
Через "new toolbar" у меня дома сделано - именно потому, что через links вылазило предупреждение системы защиты, а про icacls тогда я не знал.
Но почему это "лучше"? Это же, по сути, то же самое, только вручную, а links - штатное...

(Ответить) (Уровень выше)


[info]rain251@lj
2012-12-12 05:28 (ссылка)
я хоть и люблю консолить, но как-то в винде спокойно обхожусь мышой. ну не требуются никакие адские заклинания, что бы я с ней не делал..
для семерки годная весчь - http://classicshell.sourceforge.net/

(Ответить) (Ветвь дискуссии)


[info]arat0r@lj
2012-12-12 07:55 (ссылка)
О! Спасибо, приятственная штука.

(Ответить) (Уровень выше)


[info]zhevak@lj
2012-12-12 08:19 (ссылка)
ну дак! А что Вы хотели -- это же Шindows (не к ночи будь сказано!)

Тут все нацеленео на то, чтобы не упустить прибыль. Тут все должно быть просто, как в розовом автомобильчике. Достаточно знать две педальки (газ, тормоз) и куда руль крутить. Иначе, получится сложный болид, который не под силу "поднять" среднестатистическому неотягощенному компьютерными знаниями пользователю. Значит, получится тот же самый Линух, только хуже. А еще и, прасти-хоспади! -- за деньги.

Ну кому это чудо тогда можно впарить?

Давно уж надо бы было определиться... Чем глубже знания Шindows, тем труднее работать в Линухе. Ибо два разных мира, две разных философии.

(Ответить)


[info]nicka_startcev@lj
2012-12-12 09:47 (ссылка)
я давно говорю, что виндовз - это большая, сложная, запутанная, противоречивая система, сбоку от которой налепили несколько простых на вид панелек, которые просто решают типичные задачи. А если задача нетипичная, то внезапно начинаются серьезные проблемы.

(Ответить)


[info]phantom_ghostly@lj
2012-12-12 10:19 (ссылка)
А нафиг перепиливать седьмую венду, чтоб была как XP?

Чисто субъективное личное неприятие нового интерфейса?

(Ответить) (Ветвь дискуссии)


[info]dibr@lj
2012-12-12 10:42 (ссылка)
Хочу "тонкий" таскбар и мелкие иконки - он компактнее, и влезет в него больше. Не хочу мешанину из запущенных и незапущенных задач в одной куче, пусть будут раздельно. А по остальному принципиальных отличий у таскбара нет (ну, я или навскидку не вспомню) - от аэро я отказываться не собираюсь, это удобно, если ещё какие-то отличия есть, то они для меня уже несущественны (или они в пользу семёрки).

(Ответить) (Уровень выше)


[info]ext_180939@lj
2012-12-16 05:54 (ссылка)
это система безопасности винды, uac всего лишь ее часть. данная команда просто выставляет уровень доверия на минимум и перекрывает доступ всем приложениям из каталога к большей части системных реурсов. это не заклинание, после которого все становится хорошо, это надо понимать для каких приложения оно годится, какие-то могут и перестать работать.

(Ответить) (Ветвь дискуссии)


[info]dibr@lj
2012-12-16 08:05 (ссылка)
Ну тут же ж вот какой вопрос к микрософту. Это ведь существенная часть этой самой системы безопасности? Если "нет, несущественная" - то почему она начинает проявляться сразу же при штатном использовании винды? Если "да, существенная" - то почему к её настройкам нет "парадного хода", а есть только вот такие вот заклинания (и несколько рецептов, как расхреначить эту часть системы полностью через реестр)? Я понимаю, что в системе есть много того, чего пользователю лучше не знать - но пользователь при нормальной работе этого не должен замечать, только при возникновении подозрительных/нештатных ситуаций. Перенос иконки в панель быстрого запуска я подозрительной ситуацией не считаю :-)

Отдельный вопрос, почему "уровень доверия" у микрософта назван "уровнем целостности".

И практический вопрос:

> надо понимать для каких приложения оно годится, какие-то могут и перестать работать

Приложения в основном лежат в program files, оттуда работают, и предупреждений при этом не выдаётся. Означает ли это, что для них можно безопасно создавать ярлыки в "недоверенной" папке, и они будут работать? Если нет - достаточно ли при необходимости запускать их из "недоверенной" папки через "run as administrator" (мне так иногда приходится запускать FAR), или "есть нюансы"?

Заранее спасибо! :-)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]tyomitch@lj
2012-12-16 15:47 (ссылка)
> Отдельный вопрос, почему "уровень доверия" у микрософта назван "уровнем целостности".

В общем потому, что "уровень доверия" определяется для исполняемого файла, а "уровень целостности" -- для процесса, и сигнализирует о том, что все составляющие процесса -- доверенные, и ниоткуда извне "подозрительный" код не мог был просочиться.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]dibr@lj
2012-12-17 04:14 (ссылка)
Но ведь integrity level в "заклинании" применяется именно к каталогу (и/или файлах в нём), потому что проблема (предупреждение системы безопасности) возникает ещё до того, как появляется "процесс". Процесс я вообще не трогаю.

Ну, и логика мне не ясна: если каталог "доверенный" - предупреждение выдаётся. Если "недоверенный" - запускаем молча. Разве не логичным было бы сделать наоборот?..

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]tyomitch@lj
2012-12-17 04:24 (ссылка)
Так предупреждение выдаётся именно о том, что из "доверенного" каталога запускается "недоверенный" файл, т.е. заявленная "целостность" каталога нарушается. (Нарушается ещё при создании процесса, да.)

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]dibr@lj
2012-12-17 06:04 (ссылка)
Означает ли это, что я могу не "опускать" уровень целостности каталога, а "поднять" уровень доверия (или целостности? я ж говорю, стрёмная какая-то терминология) файла?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]tyomitch@lj
2012-12-17 06:23 (ссылка)
Да, (купив сертификат и) подписав файл.

Кажется, "предупреждение безопасности" говорит об этом открытым текстом?

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]dibr@lj
2012-12-17 06:37 (ссылка)
Ээээ... ок.

Тогда последний вопрос (я похожий вопрос, правда, уже задавал). Означает ли это, что [как минимум некоторые] каталоги в Program Files имеют низкий "уровень вот этого самого"? Ведь из program files тот же фар спокойно запускается.
"icacls /save" запускал, получившийся файл неосилил, другие способы посмотреть integrity level в голову не приходят.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]tyomitch@lj
2012-12-17 07:28 (ссылка)
На нетронутой системе:

Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. All rights reserved.

C:\Users\tyomitch>icacls Favorites\Links
Favorites\Links NT AUTHORITY\SYSTEM:(OI)(CI)(F)
BUILTIN\Administrators:(OI)(CI)(F)
tyomitch-PC\tyomitch:(OI)(CI)(F)
Mandatory Label\Low Mandatory Level:(I)(OI)(CI)(NW)

Successfully processed 1 files; Failed processing 0 files


Т.е. там уже стоит низкий уровень, с флагами (INHERITED)(OBJECT_INHERIT)(CONTAINER_INHERIT)(NO_WRITE_UP)

А на Program Files никакого Mandatory Label как раз-таки нет.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]dibr@lj
2012-12-17 07:40 (ссылка)
[пожимая плечами] а кто тогда трогал мои системы (три штуки, две из которых лицензионные, одну лично покупал, вторая - с "корпоративным ключом" в ИПФ)? Ставлю систему, включаю панель links, перетягиваю ярлык far, при запуске получаю предупреждение системы безопасности. Удалить-то этот "Mandatory Label", кстати, можно?

И, кстати - а где в справке по icacls упомянут используемый тобой синтаксис? Ключи перечислены, а что можно без ключей (и что без ключей произойдёт вывод информации) - я не нашёл.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]tyomitch@lj
2012-12-17 08:18 (ссылка)
Удивительные результаты:

1) на Favorites\Links "из коробки" стоит Mandatory Label\Low Mandatory Level:(I)(OI)(CI)(NW), унаследованный от каталога Favorites
2) команда из оппоста заменяет его на Mandatory Label\Low Mandatory Level:(CI)(NW), т.е. лейбл применяется к дочерним каталогам, но не к дочерним объектам -- и в частности, не применяется к ярлыку Far
3) удалить лейбл нельзя: http://stackoverflow.com/questions/13145148/removing-an-explicit-mandatory-label-using-icacls
"The icacls command doesn't seem to provide a method for doing this. However, you can change the mandatory level to Medium. If the mandatory level is Medium the file will behave exactly as if it had no explicit mandatory level assigned. (Or you could copy the file and then delete the original.)"
4) синтаксис без ключей в справке действительно не упомянут.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]dibr@lj
2012-12-17 09:21 (ссылка)
Вот же ж. Видимо, на этом можно завершить: слабодокументированный бардак таки имеется, хотя при желании что-то понять можно.

(Ответить) (Уровень выше) (Ветвь дискуссии)


[info]tyomitch@lj
2012-12-17 17:41 (ссылка)
Перефразируя великих -- Microsoft изощрён, но не злонамерен.
Эта "целостность" вполне логично и последовательно к винде приделана, хоть и неинтуитивно и слабодокументированно.

(Ответить) (Уровень выше)