Microsoft test Windows 11-functie om tijdelijk adminrechten te krijgen via Hello

Microsoft heeft een testversie van Windows 11 uitgebracht waarin het zogenaamde Administrator Protection is toegevoegd. Daarbij kan een gebruiker met normale gebruikersrechten werken, maar adminrechten opvragen via een eenmalig token bij zaken waarvoor hogere rechten nodig zijn.

De functionaliteit zit in Insider Preview 27774 in het Canary Channel van Windows 11. In die bètaversie zit een eerste uitwerking van Administrator Protection, een functie die Microsoft in november al aankondigde. Administrator Protection is een nieuwe manier om tijdelijke adminrechten te vragen op een pc.

Met Administrator Protection kan iedere gebruiker, ook admins zelf, de beveiligingsrechten krijgen van een normale gebruiker. Als de gebruiker daarna adminrechten nodig heeft, bijvoorbeeld om software te installeren of zaken aan te passen, kan die daarvoor tijdelijk geautoriseerd worden als beheerder.

Dat gebeurt via Windows Hello. Windows maakt in dat geval een admintoken aan dat eenmalig kan worden gebruikt. Dat token wordt vernietigd nadat de taak is uitgevoerd. In tegenstelling tot het huidige systeem, waarbij een normale gebruiker een wachtwoord in kan voeren, is de toegang zo niet persistent. Dat moet het systeem volgens Microsoft beter beschermen tegen malware, die vaak eerst probeert hogere beheerdersrechten te krijgen en te behouden. Door de autorisatie via Windows Hello te laten lopen, is het volgens Microsoft bovendien moeilijker om directe kerneltoegang te krijgen, zegt Microsoft.

Reacties (33)

[GekkeRipper]

Ik werk als normale gebruiker met beperkte rechten in Windows 11. Aan mijn admin account dat ook op de pc bestaat is mijn vingerafdruk gekoppeld. Als ik iets wil doen dat admin rechten nodig heeft dan vraagt Windows om credentials van de admingebruiker. Je kunt dan volstaan door je vinger op de scanner te leggen. Hij ziet dat de vinger bij de admingebruiker hoort en klaar is kees.

Dit werkt voor mij prima. Maar deze nieuwe functie klinkt wel beter.

[SunnieNL]

Volgens mij er een verschil met de UAC. Jij omschrijft nu de UAC waarbij je eigenlijk switched naar een ander account voor de admin zaken. Dat account moet al wel bestaan.

Dit systeem werkt meer als Intune Endpoint Privilege Management. Daarbij wordt geen admin account gebruikt dat al moet bestaan op je device. Je krijgt alleen een admin token. Als je strikt kijkt in de process explorer zul je ook geen account zien staan bij het proces. Het is geen system, geen user. Er wordt een soort ghost account gemaakt met alle eigenschappen van je eigen basic user account met daarin een admin token en die wordt na afloop vernietigd. De werking daarvan staat verder uitgelegd op https://call4cloud.nl/virtual-account-epm-elevation/

[Reactie gewijzigd door SunnieNL op 17 januari 2025 15:24]

[GekkeRipper]

Klopt UAC is de term die ik vergeten was te noemen. Dus het nieuwe systeem is wel fijner. Geen los beperkt account, of admin account?, meer nodig.

[0x0]

Tenzij je geen gebruik maakt van Windows Hello.
Waarom moet dit nu weer een onderdeel worden van iets wat anders?
Zo word je steeds meer gepusht om dingen aan te zetten die je liever niet wil hebben.
Kuck kuch... co-pilot.

[Tusk]

Waarom zou je geen gebruik willen maken van hallo?

[0x0]

Waarom wel?

[mbb]

Wat is Hello, die nieuwe naam van MSN messenger?
Hoe weet Windows Hello of je het zelf bent, of iemand anders? Zit er dan iemand van Microsoft aan de andere kant, die je (wel of niet) toestemming geeft iets op je eigen machine te installeren?
Is deze implementatie op verzoek van de FBI ofzo, zodat zij ook aan Microoft Hello toestemming kunnen vragen dingen te installeren?

[FREAKJAM]

Er is nog wel een essentieel verschil tussen de twee. Administrator Protection is voornamelijk ook bedoeld als threat protection oplossing tegen bijv. malware, waarbij EPM meer een PAM-oplossing is, gericht op least privilege op basis van JiT/JeA.

Het meest veilige is een combinatie van beiden.

[Reactie gewijzigd door FREAKJAM op 18 januari 2025 13:32]

[Blokker_1999]

Het belangrijkste verschil is dat deze tool het mogelijk maakt om iets onder je eigen gebruiker te installeren, wat voor sommige applicaties ook een meerwaarde kan zijn want er zijn spijtig genoeg nog altijd applicaties die er van uitgaan dat iedereen admin is op zijn/haar systeem.

[wigwam]

Slim

[fuzzyIon]

Een vorm van sudo voor windows dus. Ik zou liever zien dat alleen leden van de admin groep eenmalig zon token kunnen aanvragen.

[Reactie gewijzigd door fuzzyIon op 17 januari 2025 15:08]

[HansvDr]

Hebben ze toch al lang met Run as Administrator.

Werk als gebruiker met beperkte rechten, run as Administrator als je wat meer nodig hebt en dan vul je het wachtwoord in...

[_Thanatos_]

Er is "run as Administrator" voor Joop, maar er is geen "run as Joop" voor de admin.

Althans, niet op een handige manier.

[HansvDr]

runas /user:GebruikerNaam "notepad.exe"

[MoonRaven]

Shift+rechter muisknop, Run as different user.

[beerse]

Dat is nu ook al het geval met de uac: Als je een simpel account hebt (zonder admin rechten) en er komt een uac prompt voorbij, dan kan je daar een admin account in opgeven. Hopelijk wordt het daar aan gekoppeld.

[You119]

Hoe zie je dat voor je? Zoals je het schrijft lijk je te bedoelen dat niet-admingroep gebruikers helemaal geen rechten kunnen opvragen.
Evengoed vraag ik me wel af hoe dit voor thuisgebruik de situatie veiliger maakt zonder het onhandig te laten zijn. Daarbij zijn de meeste mensen nu eenmaal admin op hun eigen apparaat, zonder enig idee te hebben van de schade die ze ermee aan kunnen richten. Of ze worden voor alles bang, vaak nadat het een keer mis is gegaan of door verhalen van anderen.
Als iets om rechten vraagt heeft een gebruiker meestal geen idee waarom dat is, zelfs niet als ze dit zelf actief initiëren. Het is niet intuïtief en vaak onduidelijk door alleen 'setup.exe' te laten zien, vervolgens kan zoiets werkelijk bij alles in Windows. Lijkt me dat daar meer verbeteringen in te behalen zijn dan alleen hoelang de rechten beschikbaar zijn, als ik het artikel goed heb begrepen.

[fuzzyIon]

Hoe zie je dat voor je? Zoals je het schrijft lijk je te bedoelen dat niet-admingroep gebruikers helemaal geen rechten kunnen opvragen.

Dat is bij android niet anders.

[zordaz]

Inderdaad, daar moest ik ook meteen aan denken, en verder aan de volgende legendarische uitspraak:

'Those who don't understand Unix are condemned to reinvent it, poorly'

[brutus0]

wel veilig maar ik denk dat ze daar bij de helpdesk moeite mee gaan hebben als iemand een teamviewer instantie opent en wordt gevraagd om windows hello. mensen vinden het al lastig met ja of nee voor wijzigingen. als je een persoon met een mac help moeten ze ook 26 keer toestemming geven om het over te nemen.

[mr_evil08]

Een beetje helpdesk gebruikt al quick assist, Teamviewer is de laatste jaren echt een drama geworden.

[atthias]

geheel eens

het is erg jammer het zo achteruit te zien gaan

[mcyh]

Wel handig dat die bij sommigen een tijd geleden nog moest updaten —nee een andere n nieuwe versie installeren— voor je hem kon gebruiken.

[FPSUsername]

Met Anydesk kun je de gehele sessie admin privileges geven, dus zo'n probleem zal het niet zijn.

[Nimja]

Sudo!

[beerse]

Hebben ze ook (net als ssh): nieuws: Microsoft kondigt sudo voor Windows aan

Enneh, ja, als ze het netjes gedaan hebben, is het sudo en hebben ze voor halo een pam module gemaakt.

[Toegevoegd] Hopelijk komt dit als aanvulling op de huidige uac constructie en wordt het niet iets nieuws. Dat was ooit alleen maar wegklikken (als je in de goede groep zat) of een ander account opgeven (als je niet in de juiste groep zit).

[Reactie gewijzigd door beerse op 17 januari 2025 15:14]

[rob3rt]

Dit bestaat al, wij gebruiken dit op het werk al exact zo zoals omschreven, bij ons heet dit: beyond trust manager

Zodra je normaliter admin rechten moet ingeven komt nu een popup van de beyond trust manager en hier moet je een reden opgeven en je authentificeren met bv je windows hello account of wachtwoord.
Na de identificatie loopt je installer dan verder (met admin rechten)..

Lijkt dus exact op de methode dat hier wordt omschreven.

[Blokker_1999]

Er zijn inderdaad verschillende tools voor enterprise omgevingen die admin rechten op aanvraag kunnen toekennen en waarbij men applicaties op voorhand kan goedkeuren of waarbij de gebruiker eenmalig rechten kan vragen. MS heeft zelf vorig jaar ook deze functionaliteit in Intune geintroduceerd onder de naam "EPM - Endpoint Privilege Management".

[X-DraGoN]

Lijkt me ideaal als dit breed beschikbaar gaat zijn. Dat zal het hopelijk eenvoudiger maken om tijdelijke admin privileges te geven.

[mr01z0]

Nee, dit is niet een oplossing om tijdelijke admin rechten te geven. Het is voor Admins, dus users die al in de admin groep staan om op een veiligere manier iets te starten met admin rechten.

[Franckey]

Ik begrijp nog niet goed wat er anders is aan de huidige situatie waarbij je local admin kan zijn. Je voert dan, ook al ben je local admin, alles uit als standaard user en op het moment dat er meer rechten nodig zijn krijg je een UAC dialog. Wat is er beter aan dit nieuwe systeem?

[Blokker_1999]

Dat je niet langer een speciaal admin account nodig hebt maar dat het met een gewone gebruikersaccount kan in combinatie met een phishing resistant authenticatie.

[Reactie gewijzigd door Blokker_1999 op 17 januari 2025 19:18]