深入 Windows 7 使用者帳戶控制 (UAC) 機制：設計目的、運作模式、Vista 差異、安全性權衡

使用者帳戶控制 (UAC) 自 Vista 引入，Win7 予以精進，是 Windows 安全架構的核心防線。本文深入解析 UAC 設計目的、兩種運作模式 (標準使用者/管理員)、Vista 與 Win7 差異、權杖機制、安全性與易用性權衡，幫助使用者理解為何需要 UAC、如何正確配置而非單純關閉。

UAC 設計目的

• 解決「應用程式需要管理權限」導致使用者長期以管理員身分執行的惡性循環。
• 預設將使用者 (含管理員群組成員) 以降低權限的存取權杖執行，僅在明確提升時授予完整權限。
• 保護系統檔案、登錄關鍵區域 (如 HKLM\Software\Microsoft\Windows\CurrentVersion\Run、C:\Windows\System32) 免受惡意程式竄改。
• 強制開發者遵循最小權限原則撰寫應用程式，減少「以管理員身分執行」需求。

UAC 運作機制：兩種模式

模式一：標準使用者 (非管理員群組成員)

• 登入時取得標準權杖，無管理權限。
• 執行需提升權限的動作 (安裝軟體、修改系統設定) → UAC 提示輸入管理員帳號密碼 (Credential Prompt)。
• 驗證通過後，僅該特定動作 獲得提升權限，其餘程式仍在標準權杖下執行。

模式二：管理員群組成員 (預設啟用 UAC)

• 登入時建立兩個權杖：
  ① 完整管理員權杖 (含所有管理員 SID、特權) —— 預設不使用。
  ② 過濾後的標準權杖 (移除管理員 SID、特權，標記為「已過濾」) —— 預設用於啟動桌面、Explorer、所有使用者程式。
• 執行需提升權限動作 → UAC 同意提示 (Consent Prompt，無需密碼，僅是/否)。
• 使用者同意 → 系統以完整權杖啟動該程式/動作。
• 拒絕 → 動作取消，維持標準權杖環境。

Vista vs Windows 7 UAC 差異

權杖機制深度解析

• 管理員登入時，LSASS 建立完整權杖，隨即複製並過濾：移除 SeDebugPrivilege、SeTakeOwnershipPrivilege 等特權，將管理員群組 SID 標記為 SE_GROUP_USE_FOR_DENY_ONLY (僅用於拒絕存取檢查)，產生過濾權杖。
• Explorer 以過濾權杖啟動 → 所有子程序繼承過濾權杖。
• 提升時，AppInfo 服務驗證 UAC 設定 → 使用完整權杖透過 CreateProcessAsUser 啟動目標程式。
• 完整權杖程式與過濾權杖程式隔離：不同完整性等級 (High vs Medium)，無法相互傳送訊息、寫入彼此視窗、注入執行緒。

安全性與易用性權衡

• 關閉 UAC (滑桿拉到「從不通知」)：
  優點：零提示，舊程式相容性最好。
  缺點：完整權杖直接用於桌面，任何程式 (含惡意碼) 皆擁有完整系統控制權，等同 XP 安全模型，極不建議。
• 預設設定 (第三級)：平衡安全與易用，內建工作自動提升、簽名程式少提示、安全桌面防禦 UI 欺騙。
• 最高設定 (第四級「總是通知」)：最安全，所有提升皆提示且暗螢幕，適合高風險環境/不熟電腦使用者。

常見誤區

• ❌ 「UAC 只是煩人的彈窗」 → 實為權杖隔離機制，彈窗只是提升授權的 UI 表現。
• ❌ 「我是管理員，UAC 擋不住我」 → UAC 正是限制「管理員身分執行的程式」預設權限，防止無意/惡意修改系統核心。
• ❌ 「關閉 UAC 才能跑舊程式」 → 正確做法：右鍵程式 → 相容性 → 「以管理員身分執行」或建立捷徑勾選「以管理員身分執行」，而非犧牲整體安全。

進階配置：群組原則 / 登錄

• gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 安全性選項 → 「使用者帳戶控制:」開頭 10 項原則。
• 關鍵原則：
  • 「以系統管理員核准模式執行所有管理員」 (啟用 UAC 總開關)。
  • 「提升提示的行為」 (對應滑桿四級)。
  • 「偵測應用程式安裝並提示提升」 (安裝偵測)。
  • 「虛擬化檔案和登錄寫入失敗」 (UAC 虛擬化開關)。

UAC 是 Windows 7 安全基石，理解權杖隔離、善用滑桿與相容性設定、拒絕「關閉 UAC」捷徑，才能在易用與安全間取得最佳平衡。