Promotic
WikipediaLinkedInYoutubeTwitterFacebook

Komponenta SafeOper

Komponenty a nastavení SafeOper slouží k zabezpečení aplikace proti nežádoucím zásahům operátora, například spuštění jiných aplikací, ukončení běhu PROMOTIC aplikace, atd.
 
Funkčnost je založena na možnosti konfigurace OS Windows 10/7/Vista/XP/XPe/2003-12Server pomocí hodnot v registrační databázi (registry) tak, aby běžící PROMOTIC aplikace byla zabezpečena proti nežádoucím zásahům obsluhy. Konfigurační soubory a skripty jsou umístěny ve složce \Pm\Tools\SafeOper\ (složky WinXP a Win7). Vše pro OS Windows 7 platí i pro OS Windows 10. V podstatě se nejedná PROMOTIC komponentu, ale o specifické nastavení OS Windows.
 

Chování takto nakonfigurovaného systému

a) Po startu počítače se automaticky spustí PROMOTIC aplikace (automaticky se přihlásí Windows uživatel Promotic a spustí se povelový soubor AutoStart.bat, ve kterém se spustí PROMOTIC aplikace).
b) Není spuštěna ani plocha Windows (desktop) ani lišta úloh (TaskBar) a není přístupný ani správce úloh (TaskManager).
c) Nefunguje klávesa Ctrl+Alt+Del (pouze ve WinXP), Ctrl+Esc, atd.
d) Klávesy Alt+Tab, Alt+F4, atd. fungují a umožňují manipulaci s již otevřenými okny a aplikacemi.
e) Je-li PROMOTIC aplikace zmenšena, pak nefunguje ani pravá klávesa myši nad plochou obrazovky mimo aplikaci PROMOTIC. Zmenšení a zavření aplikace se dá navíc zakázat v konfigurátoru objektu PmRoot v záložce Aplikace a Vzhled.
f) Interaktivními prostředky OS Windows nelze spustit žádnou úlohu.
V OS Windows XP lze zamezit odhlášení uživatele nebo vypnuti počítače.
Od OS Windows Vista a výše po stisku kláves Ctrl+Alt+Del nelze zabránit odhlášení uživatele nebo vypnutí počítače.
g) Ze skriptů aplikace lze spustit libovolnou aplikaci pomocí funkce Pm.CreateProcess nebo Pm.ShellExecute (a to i v kontextu jiného Windows uživatele, například Admin, pomocí utility RunAs).
h) Odhlášení uživatele nebo vypnutí počítače je nutno udělat v aplikaci pomocí funkce Pm.ShutDown (nejlépe ji volat při ukončení aplikace v události PmRoot.onAppStopBegin).

Charakteristika práce s PROMOTIC a s aplikací

Veškerá instalace a upgrade PROMOTIC systému i vlastní aplikace probíhá pod vytvořeným Windows uživatelem Admin (skupina Administrators). Tento účet nemá žádné zabezpečovací vlastnosti a umožňuje úplnou práci s OS Windows, PROMOTIC i s aplikací. Tato konfigurace odpovídá normálnímu, nezabezpečenému provozu.

Vlastní zabezpečený provoz PROMOTIC aplikace probíhá pod vytvořeným Windows uživatelem Promotic (skupina Users a během konfigurace kvůli zápisu do registrační databáze přechodně i Administrators). Do složky \Pm s nainstalovaným systémem PROMOTIC má aplikace přístup pouze ke čtení.

Protože je aplikace instalována pod uživatelem Admin a provozována pod uživatelem Promotic, musí být všechny soubory a složky aplikace přístupné uživateli Promotic pro čtení i zápis. Toto je splněno u souborového systému FAT32, kde nelze nastavovat práva u souborů a složek, ale u NTFS je nutno tuto podmínku zajistit (implicitně by nebyla splněna).

Nainstalují-li se OS Windows na samostatný počítač (mimo doménu), pak OS Windows použijí zjednodušený model zabezpečení. U souborů a složek pak nelze ručně nastavovat uživatelská přístupová práva, ale existuje sdílená složka Windows (C:\Documents and Settings\All Users\Dokumenty pro Win XP a C:\Users\Public\Documents pro Win Vista, Win Server 2008 a novější), která má práva přednastavena tak, že složky a soubory v ní umístěné, jsou přístupné všem Windows uživatelům pro čtení i zápis. Z tohoto důvodu je vhodné umístit aplikaci, včetně složky s datovými soubory aplikace, do této sdílené složky.

Jsou-li OS Windows zařazeny do domény, pak lze aplikaci nainstalovat kamkoliv, ale je nutno u složek a souborů aplikace povolit uživateli Promotic právo čtení i zápis. V případě nutnosti se dá zjednodušený model zabezpečení sdílení souborů u OS Windows XP, které nejsou v doméně, vypnout pomocí 'Místních zásad zabezpečení' počítače.

Při konfiguraci komponenty SafeOper je nutno pracovat přesně podle návodu. Důležité je, že lze pomocí klávesy SHIFT, držené stisknuté během celého startu OS Windows, zakázat automatické přihlášení uživatele Promotic a následné spuštění aplikace a místo toho se přihlásit jako uživatel Admin a provést případné úpravy v konfiguraci SafeOper, aplikaci nebo systému PROMOTIC. V krajním případě lze zrušit uživatele Promotic a začít celý postup instalace znova od bodu 7).

Spouštět REG soubory (SafeOperStart.reg a SafeOperStop.reg) lze jen pod uživatelem Promotic a to pouze ve chvíli, kdy je přechodně přidán i do skupiny Administrators. V zásadě je nutno spustit soubor SafeOperStart.reg pouze jednou během instalace, zatímco soubor SafeOperStop.reg není typicky nutno spouštět nikdy.

Popis jednotlivých kroků během instalace na OS Windows

Při nesprávné instalaci může v krajním případě nastat situace, kdy se nelze k nainstalovanému systému správně přihlásit. Proto je doporučeno držet se následujícího postupu:
1) Přihlásit se jako uživatel Administrator.
2) Vytvoření nového uživatele Admin, člena skupiny Administrators (důležitý krok, nevynechávat jej).
3) Odhlásit se a přihlásit se jako uživatel Admin.
4) Instalace systému PROMOTIC do složky C:\Pm.
5) Instalace aplikace do nové složky ve sdílené složce
C:\Documents and Settings\All Users\Dokumenty (pro Win XP) nebo
C:\Users\Public\Documents (pro Vista, Win Server 2008 a novější).
6) Editace SafeOper souborů ve složce \Pm\Tools\SafeOper\WinXP nebo Win7 (AutoStart.bat spouští PROMOTIC aplikaci, SafeOperStart.reg konfiguruje uživatele Promotic do režimu SafeOper a SafeOperStop.reg konfiguruje uživatele Promotic zpět do normálního režimu).
6.1) AutoStart.bat, v souboru se edituje příkaz ke spuštění PROMOTIC aplikace (soubor lze zkopírovat i jinam, takže pak nemůže dojít k jeho přepsání při upgrade PROMOTIC).
6.2) SafeOperStart.reg, v souboru se edituje klíč s cestou k souboru AutoStart.bat (Shell), název počítače (DefaultDomainName) a heslo uživatele Promotic (DefaultPassword).
7) Vytvoření nového uživatele Promotic, člena skupiny Users a Administrators.
8) Odhlásit se a přihlásit se jako uživatel Promotic.
9) Spustit (načíst) soubor SafeOperStart.reg ve složce \Pm\Tools\SafeOper\ složka WinXP nebo Win7.
10) Odebrat uživatele Promotic ze skupiny Administrators.
11) Restartovat počítač.

Příklady

Příklad1:
Ukončení OS Windows současně s ukončením aplikace voláním metody Pm.ShutDown v události PmRoot.onAppStopBegin.
Pm.ShutDown 2, true
Příklad2:
Spuštění příkazové řádky v kontextu přihlášeného Windows uživatele (Promotic) ze skriptu pomocí metody Pm.CreateProcess.
Pm.CreateProcess "cmd.exe", ""
Příklad3:
Spuštění příkazové řádky v kontextu jiného Windows uživatele (Admin) ze skriptu pomocí metody Pm.CreateProcess. Tento příkaz by neměl chybět v servisním menu aplikace chráněné pomocí komponenty SafeOper, protože příkazová řádka umožňuje spuštění libovolného jiného programu, editaci Windows uživatelů a jejich práv, kopírovaní a mazání souborů, atd.
Pm.CreateProcess "runas /user:Admin cmd.exe", ""
Příklad4:
Spuštění editace konkrétního souboru v kontextu jiného Windows uživatele s tím, že při každém spuštění bude nutno zadat heslo daného uživatele (heslo nesmí být prázdné).
Pm.CreateProcess "runas /user:Admin ""notepad.exe C:\Pm\Promotic.ini""", ""
Příklad5:
Spuštění aplikace v povelovém souboru AutoStart.bat pomocí utility RunLater (použití této utility je nutné, aby po spuštění aplikace na obrazovce nezůstalo okno s příkazovým řádkem).
C:\Pm\RunLater.exe /t=1 /f=C:\Documents and Settings\All Users\Dokumenty\Demo\demo.pra

Užitečné příkazy příkazové řádky

Příklad1:
Spuštění nové příkazové řádky v kontextu jiného Windows uživatele (Admin) z příkazové řádky (která je například v kontextu Promotic).
runas /user:Admin cmd.exe
Příklad2:
Spuštění nástroje pro úpravu Windows uživatelů. Možnost přiřadit administrátorská práva uživateli Promotic).

Není dostupné pro OS Windows Home edice (Windows 10 Home, Windows 7 Home Basic, Windows 7 Home Premium, ...).

Úpravy lze provádět pouze v kontextu Windows uživatele s administrátorskými právy (Admin).

lusrmgr.msc
Příklad3:
Spuštění nástroje pro Místní nastavení zabezpečení

Není dostupné pro OS Windows Home edice (Windows 10 Home, Windows 7 Home Basic, Windows 7 Home Premium, ...).

Úpravy lze provádět pouze v kontextu Windows uživatele s administrátorskými právy (Admin).

secpol.msc
Příklad4:
Příkaz pro spuštění plochy, nástrojové lišty s tlačítkem Start Windows (pokud je aktivní SafeOper a plocha je potlačena). Později je nutno provést restart počítače, aby byl SafeOper opět plně fukční.
explorer.exe
Příklad5:
Spuštění REG souboru SafeOperStart.reg nebo SafeOperStop.reg aktivujícího nebo deaktivujícího komponentu SafeOper. Lze provést pouze v kontextu Windows uživatele Promotic a to pouze ve chvíli, kdy je přechodně přidán i do skupiny Administrators.
SafeOperStart.reg
SafeOperStop.reg
Příklad6:
Editace textového souboru.
notepad "C:\Pm\Tools\SafeOper\WinXP\AutoStart.bat"
notepad "C:\Pm\Tools\SafeOper\WinXP\SafeOperStart.reg"
© MICROSYS, spol. s r. o.Tavičská 845/21 703 00 Ostrava-Vítkovice