IT之家 5 月 20 日消息，微軟昨日（5 月 19 日）發(fā)布博文，表示即將在 Windows 11 系統(tǒng)中，引入 Administrator Protection 安全功能，減少提升權(quán)限（elevated privileges）帶來的風(fēng)險(xiǎn)。

微軟在博文中表示，在提升權(quán)限環(huán)境下運(yùn)行應(yīng)用時(shí)，設(shè)備最容易受到攻擊。應(yīng)用在這種狀態(tài)下能廣泛更改配置并實(shí)施系統(tǒng)級變更，可能影響設(shè)備整體安全；惡意軟件若在提升權(quán)限時(shí)運(yùn)行，可竊取密鑰并在組織內(nèi)部橫向移動(dòng)，導(dǎo)致大規(guī)模安全妥協(xié)。

Administrator Protection 功能遏制提升權(quán)限的風(fēng)險(xiǎn)，采用即時(shí)管理員權(quán)限（just-in-time admin token）機(jī)制，確保權(quán)限僅在需要時(shí)生成，任務(wù)完成后即銷毀，降低暴露風(fēng)險(xiǎn)。

Administrator Protection 引入了用戶訪問控制（UAC）的全新架構(gòu)，遵循“最小權(quán)限原則”（Principle of Least Privilege）。

該架構(gòu)通過系統(tǒng)管理的分離賬戶（System Managed Administrator Account，SMAA）創(chuàng)建隔離的管理員密鑰，形成安全邊界，防止用戶級惡意軟件訪問提升權(quán)限環(huán)境。

此外，該功能取消了自動(dòng)提權(quán)（auto-elevation），要求用戶每次操作都手動(dòng)授權(quán)，結(jié)合 Windows Hello 的面部、指紋或 PIN 認(rèn)證，既增強(qiáng)安全又提升便利性。

對于應(yīng)用開發(fā)者，微軟建議盡量以非提升權(quán)限方式安裝和運(yùn)行應(yīng)用，避免將文件存儲在用戶配置文件目錄下，推薦使用 % ProgramFiles% 或 MSIX 打包方式。用戶運(yùn)行應(yīng)用時(shí)，應(yīng)盡量保持非提升狀態(tài)，僅在必要任務(wù)時(shí)提升權(quán)限。

廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。