L'UAC et Delphi

La plateforme Windows a toujours été la cible de nombreux virus et autres joyeusetés. Placer judicieusement un verrou lorsque nécessaire est une action de nature à limiter l'exposition du système à du code malveillant.
La philosophie est assez simple. Elle se résume principalement en deux points :

1-1. Emplacement des données▲

1-2. Confirmation d'exécution▲

Que vous soyez utilisateur standard ou administrateur, tout lancement d'un processus devant accéder au système doit provoquer l'appel d'un écran de confirmation d'exécution. Deux boites de dialogues différentes assurent cette tâche.

C'est le processus (l'exe ou le COM) dans sa globalité qui fonctionne en mode administrateur ou utilisateur. N'envisagez donc pas d'avoir dans le même programme une partie du code demandant l'élévation de privilège administrateur. C'est au lancement du programme qu'il vous faut déterminer si le mode utilisateur standard suffit ou si le mode administrateur sera nécessaire.

Un ensemble de règles pour les nouveaux développements et bien sûr pour la reprise des anciens programmes peuvent facilement être appliquées.

1. Placer les données utilisateurs dans le répertoire ou sous-répertoire du compte de l'utilisateur ou dans un répertoire commun.
2. Séparation du code en deux exécutables (ou 1 exécutable + 1 composant COM). Toutes fonctions ne nécessitant pas une élévation de privilège seront placées dans le programme principal. Les fonctions réservées à l'administrateur seront regroupées dans le second programme. Le premier ou le second processus devra disposer d'un mécanisme d'élévation de privilège pour les fonctions administrateurs.
3. Définir le niveau de sécurité que requiert votre programme et créer un fichier manifest avec un des trois niveaux suivants (voir comment plus loin, pour la création du fichier manisfest).

• AsInvoker = le programme s'exécute avec le même niveau de droit que le parent.
• HighestAvailable = l'application s'exécute avec les privilèges les plus hauts que l'utilisateur puisse obtenir.
• RequireAdministrator = l'application ne peut être exécutée que par un administrateur.

Dans les trois cas, il n'y aura plus de redirection vers VirtualStore.

• Dans vos sources, ne pas ouvrir les fichiers situés dans les répertoires protégés ou dans la registry avec un Flag WRITE ou dans un mode autorisant l'écriture.
• Ne pas utiliser le dossier de redirection (VirtualStore) pour vos nouveaux programmes et faites en sorte que ceux existants ne l'utilisent plus, car il n'est pas garanti que ce dossier et sa philosophie d'utilisation soient maintenus dans les prochaines versions de Windows.
• Est-il nécessaire de le préciser, ne jamais désactiver l'UAC, même, si cela permet de rendre à nouveau opérationnel un programme dans l'urgence. Il y a d'autres solutions.
• Informer l'utilisateur de la nécessité d'une élévation des droits par le symbole Bouclier (Shield)

Pour le moment, nous en savons suffisamment pour commencer à travailler, mais je vous conseille néanmoins la lecture de l'excellent article de Jacques MASSA sur l'UAC:
http://msdn2.microsoft.com/fr-fr/library/bb469893.aspx
Cet article n'est pas orienté Delphi (et pour cause), mais vous y trouverez un complément d'information et disposerez ainsi d'une base de connaissance solide.

3-1. Déplacer les données vers un répertoire autre que ceux protégés.▲

3-2. Rendre rapidement opérationnel un programme dont vous n'avez pas le source▲

<?xml version="1.0" encoding="utf-8" ?> 
<assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0">
  <assemblyIdentity version="1.0.0.0" processorArchitecture="X86" name="Project3" type="win32" /> 
  <description> essai  Application </description>
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3">
    <security>
      <requestedPrivileges>
        <requestedExecutionLevel level="highestAvailable" />  ICI
      </requestedPrivileges>
    </security>
  </trustInfo>
</assembly>

1 24 "MonManifest.manifest"

brcc32 MonManifest.rc

program
{$R 'MonManifest.RES' 'MonManifest.rc' } // ajouter cette ligne ici dans le source du projet
 uses
  Forms,
  Unit1 in 'Unit1.pas' {Form1};
{$R *.res}

3-3. Lancement d'un exe en mode administrateur depuis un autre programme Delphi.▲

3-3-1. Via du code directement depuis Delphi▲

Cas typique de l'updater, le programme principal lance un second programme avant de mourir. Ce second programme se charge du download, de la décompression éventuelle, de l'installation et de la relance du programme principal en nouvelle version. Dans ce cas, utilisez simplement ce code (pas besoin de manifest)

 

Sélectionnez

procedure RunAsAdmin(hWnd : HWND; aFile : String; aParameters : String);
Var
 Sei : TShellExecuteInfoA;
begin
 Fillchar(sei,SizeOf(sei),0);
 sei.cbSize := SizeOf(sei);
 sei.Wnd    := hWnd;
 sei.fMask  := SEE_MASK_FLAG_DDEWAIT or SEE_MASK_FLAG_NO_UI;
 sei.lpfile := PChar(aFile);
 sei.lpVerb := 'runas';
 sei.lpParameters := PChar(aParameters);
 sei.nShow := SW_SHOWNORMAL;
 if not ShellExecuteEx(@sei) then
  RaiseLastOSError;
end;

// choisir et lancer un exécutable en mode administrateur
if OpenDialog1.Execute then
 RunAsAdmin(self.Handle,OpenDialog1.FileName,'');

3-3-2. La solution « OBJET COM »▲

Cette solution n'est pas développée ici, cependant vous pouvez consulter ce lien

3-3-3. Solutions extrêmes▲

Si vos utilisateurs n'ont pas accès au mode administrateur et que vous n'avez pas les sources, il reste encore les possibilités suivantes :

1. Déplacer le programme et ses données dans un répertoire non protégé par exemple C:\ChezMoi\ ;
2. Changer les droits du répertoire racine du programme sur la machine de l'utilisateur.

• Si vous développez des Freeware ou des Shareware, vous n'avez pas accès au système de l'utilisateur. Mais vous qu'en même changer les droits du répertoire dans lequel votre programme sera installé.

Exemple avec InnoSetup

Sélectionnez

[Dirs]
Name: "{app}";Permissions:users-full authusers-ful

Attention, ces possibilités vont à l'encontre de la sécurité proposée par l'UAC. Elles sont donc à utiliser en dernier recours.

3-3-4. Ajouter un bouclier sur un bouton TButton▲

 

Sélectionnez

// necessite uses commctrl;
 Button_SetElevationRequiredState(Button1.Handle,True);

3-4. Ajout du bouclier à un bouton d'un TTaskDialog▲

Mettre simplement la propriété ElevationRequired à True pour le bouton.

Lorsque l'UAC repère un des mots Install, Update ou Setup dans le nom d'un exécutable, la boite de contrôle de compte utilisateur s'affichera au lancement du programme. Ceci peut poser un problème de debug de vos exe sous Delphi voir l'article suivant :
http://dn.codegear.com/article/33493

Lors de la recherche du fond pour cet article, je me suis aperçu que bien souvent des personnes recherchent un bug dans le moteur du BDE, la registry ou des opérations E/S (DeleteFile, CreateFile, Registry ) alors que c'est simplement la redirection des opérations d'écriture vers le dossier virtualstore qui fausse l'exécution. Alors, je rajoute volontairement ce petit épilogue, afin que le moteur de recherche du site indexe aussi cet article pour les mots BDE, Registry, DeleteFile et CreateFile.