Windows 2000 的安全特性

　　Windows 2000 是微软商业化 Windows NT 系列的第二个版本（NT 5.0）。这个版本最突出的特点就是比以前版本增加了许多安全方面的特性。最显而易见的就是 NTFS 文件系统的加密功能 EFS（Encrypted File System 加密文件系统）。这个功能是以前版本的 Windows NT 所不具备的。除此之外，Windows 2000 在很多方面作了调整，以使安全性能更加完善。
　　Windows 2000 的用户权限设定比以前版本安全。User 组的用户默认权限不能修改系统文件、不能安装程序、不能添加公用的启动项目。当然，要让这些安全性全面实现，必须使用 NTFS 文件系统。Windows 2000 的注册表也有所修改，增加了 HKEY_CURRENT_USER\SOFTWARE\CLASSES 键，使得用户可以自定义文件的打开方式。
　　不过，在上述安全性的实现情况下，要找到完全适合此环境的程序还是很难的。微软自己的产品就有很多不能这样使用：Microsoft Office 2000 安装完以后 Microsoft Outlook 必须先执行一下，然后普通用户才能使用。Microsoft Office 2000 中的 Microsoft Photo Editor 无法正确处理注册表信息，从而在普通用户账号下不能正常打开图片文件。Windows 2000 自己附带的 Windows Media Player 6.4 的“选项”不支持用户自定义的文件关联。Windows Media Player 7.0 也不支持。微软自己的程序就如此不兼容，更何况别的厂商的程序呢？
　　Windows 2000 的 Users 组用户的权限到底受那些限制呢？在 Windows 2000 的 Microsoft Management Console 帮助文件里面写道：
Members of the Users group can perform most common tasks, such as running applications, using local and network printers, and shutting down and locking the workstation. Users can create local groups, but can modify only the local groups that they created. Users cannot share directories or create local printers.
　　以上这段文字的意思是：Users 组的用户可以执行通常的操作，比如运行程序、使用本机的或网络上的打印机，以及关闭和锁定工作站。Users 用户可以创建本地用户组，但是只能修改他们自己创建的用户组。Users 用户不能新建文件夹共享或者创建本机打印机。

The Users group provides the most secure environment in which to run programs. On a volume formatted with NTFS, the default security settings on a newly installed system (but not on an upgraded system) are designed to prevent members of this group from compromising the integrity of the operating system and installed programs. Users cannot modify system-wide registry settings, operating system files, or program files. Users can shut down workstations, but not servers. Users can create local groups, but can manage only the local groups that they created. They can run certified Windows 2000 programs that have been installed or deployed by administrators. Users have full control over all of their own data files (%userprofile%) and their own portion of the registry (HKEY_CURRENT_USER).

Users cannot install programs that can be run by other Users (this prevents Trojan horse programs). They also cannot access other Users' private data or desktop settings.

To secure a Windows 2000 system, an administrator should:

Users will not be able to run most programs written for previous versions of Windows because previous versions of Windows either did not support file system and registry security (Windows 95 and Windows 98) or shipped with lax default security settings (Windows NT). If Users have problems running legacy applications on newly installed NTFS systems, then do one of the following:

  1. Install new versions of the applications that are certified for Windows 2000.
  2. Move end users from the Users group into the Power Users group.
  3. Decrease the default security permissions for the Users group. This can be accomplished by using the compatible security template. For more information, see "Predefined security templates" in Related Topics.
　　从上面这段文字可以看出，Users 用户不能安装大多数程序，不能威胁操作系统的完整性（如果使用 NTFS 文件系统的话）。他们不能修改系统相关的注册表项目，不能修改操作系统文件，不能修改程序文件。他们可以关闭工作站，但不能关闭服务器。他们可以运行经过验证的适合于 Windows 2000 的程序。他们可以完全控制他们自己的配置（profile）文件，也可以控制他们自己的注册表项目 HKEY_CURRENT_USER\*。
　　Users 用户可以安装某些程序，但这些程序默认不能被他人使用。即使能被他人使用，也不能让这些程序在他人登录后自动启动。他们不能访问他人的配置文件。
　　由于一些老的程序没有考虑安全性问题或者只满足老版本 Windows NT 的比较不严格的安全规则，所以 Users 用户可能不能正常使用这些程序。
　　要解决上述应用程序不能正常使用的问题，可以通过下几种途径之一：
  1. 使用较新版本的满足 Windows 2000 安全性规则的程序。
  2. 把 Users 用户转移到 Power Users 组。
  3. 减少对 Users 用户的限制。这一点可以通过使用“安全模板”来完成。
  4. 放宽特定程序所在目录的权限限制（注意要保护好可执行文件以免病毒感染）。
  5. 某些软件如果难以配置好，可将它安装在用户自己的目录里（不要共享给所有用户）。
  6. 实在不行就只能将少量程序使用 Power User 身份或管理员身份运行。
返回 Windows 概览