No ano passado, hackers chineses violaram o software Microsoft Exchange Online e acessaram e-mails do governo dos EUA de 22 organizações, colocando potencialmente em risco a segurança nacional. Após o incidente, o Conselho de Revisão de Segurança Cibernética dos EUA divulgou um relatório crítico relatório ditado “uma série de decisões operacionais e estratégicas da Microsoft que apontavam coletivamente para uma cultura corporativa que despriorizava os investimentos em segurança empresarial e o gerenciamento rigoroso de riscos…“
Desde então, a Microsoft, sob o comando de Satya Nadella, fez da segurança a sua principal prioridade e iniciou o Iniciativa Futuro Seguro (SFI) em novembro de 2024. Nadella escreveu em um memorando aos funcionários da Microsoft: “Se você se depara com a troca entre segurança e outra prioridade, sua resposta é clara: faça segurança.“
No entanto, em julho de 2024, a atualização CrowdStrike travou milhares de sistemas Windows em todo o mundo, resultando em perturbações generalizadas. Agora, a Microsoft está considerando se permitirá que fornecedores de segurança terceirizados carreguem drivers no nível do kernel.
Do lado do consumidor, o recente fiasco do Recall expôs o modelo de segurança sem brilho da Microsoft para o recurso de IA. Depois disso, a Microsoft interrompeu o lançamento e agora a empresa reformulou o modelo de segurança do Recall, permitindo aos usuários desinstalá-lo completamente.
Agora, a Microsoft está dando um passo importante na proteção de PCs pessoais com Windows 11. A empresa está planejando trazer o Windows 11 “sem administrador” para que os privilégios de administrador não sejam explorados por aplicativos desconhecidos e scripts maliciosos.
É a primeira vez que a Microsoft está revisando a forma como o sistema operacional Windows funciona nos bastidores. David Westonvice-presidente de segurança de sistema operacional e empresa da Microsoft diz: “Este é o recurso de segurança de maior impacto que atingiu o Windows nos últimos tempos.“
O que é o Windows 11 sem administrador?
Ao contrário do macOS e do Linux, o Windows concede acesso de administrador à primeira conta de usuário por padrão, criada durante a instalação ou configuração. Este tem sido o caso no Windows há muitos anos, no entanto, o acesso do administrador é protegido pelo prompt do UAC.
Agora, o mais recente Windows 11 Insider Preview Build 27718 no canal Canary apresenta algo chamado “Proteção do administrador”. Atualmente, o recurso está desabilitado por padrão, mas os usuários podem habilitá-lo por meio da Política de Grupo.
Ele cria uma conta de administrador oculta (por exemplo, admin_username) e eleva o privilégio de administrador temporariamente por meio do comando “runas” para a sessão atual. O escalonamento é feito por meio de métodos seguros, como autenticação por PIN/impressão digital/Windows Hello. Desta forma, os privilégios administrativos não são concedidos permanentemente.
Basicamente, os direitos de administrador ficam ativos apenas temporariamente quando são necessários e não estão constantemente disponíveis. A Microsoft chama isso de privilégios de administrador “just-in-time”. O blog do Windows diz:
“A proteção do administrador é um recurso de segurança de plataforma futuro no Windows 11, que visa proteger direitos de administrador flutuantes para usuários administradores, permitindo que eles ainda executem todas as funções administrativas com privilégios de administrador just-in-time. Este recurso está desativado por padrão e precisa ser ativado por meio da política de grupo. Planejamos compartilhar mais detalhes sobre esse recurso no Microsoft Ignite.”
Portanto, em vez de permitir solicitações do UAC, os usuários terão que inserir um PIN ou autenticar usando outros métodos do Windows Hello para conceder temporariamente direitos de administrador, semelhantes ao macOS e Linux. Nos bastidores, os direitos de administrador são elevados apenas conforme a necessidade e nem sempre estão disponíveis. A Microsoft afirma que mais detalhes sobre o recurso serão compartilhados no evento Microsoft Ignite em novembro.
Minha experiência usando o Windows 11 sem administrador
Ativei o recurso de proteção do administrador por meio do Editor de política de grupo na versão Canary. Você pode habilitá-lo navegando até Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas Locais > Opções de Segurança. Aqui, abra “Controle de conta de usuário: configurar tipo de modo de aprovação de administrador” e altere para “Modo de aprovação de administrador com proteção de administrador”. Agora, reinicie o seu PC.
Uma vez ativado, sempre que você instalar um programa, será solicitado que você insira um PIN ou se autentique usando outros métodos. O prompt do Controle de Conta de Usuário (UAC) não aparecerá mais. Mesmo para abrir o Gerenciador de Tarefas ou outras ferramentas do sistema, como o Editor do Registro ou o Editor de Política de Grupo, os usuários terão que se autenticar por meio de métodos seguros.
Além disso, para fazer alterações nas configurações de Segurança do Windows, você terá que confirmar a ação inserindo um PIN. Claro, isso pode incomodar alguns usuários avançados, mas esse é o compromisso entre segurança e conveniência.
Nas capturas de tela acima, você pode notar que ao executar o Prompt de Comando como administrador, o CMD diz que está sendo executado em uma conta admin_username recém-criada com direitos de administrador. Em vez de conceder direitos totais de administrador à conta do usuário, uma conta de administrador oculta é usada para elevar privilégios de administrador temporários. Esta separação da conta do usuário principal aumenta a segurança.
No geral, gosto muito do fato de a Microsoft estar envidando esforços significativos para melhorar a segurança dos PCs com Windows do lado do consumidor. Semelhante ao macOS e ao Linux, que oferecem um ambiente sem sudo/root por padrão, o Windows 11 está caminhando nessa direção com a Proteção do Administrador. Espero que quando esta atualização chegar ao Windows 11 no futuro, ela seja habilitada por padrão.
Apoie o nosso trabalho ❤️
Se você gostou deste artigo, considere deixar uma gorjeta para nos ajudar a continuar publicando conteúdo de qualidade.
