Windows Vista UAC经典误解之二：菜鸟反正都点允许，不如关了好
在讨论UAC的工作机制时，诟病最多的情况就是，只要标识为需要管理员权限，就会弹出十分“扰民”的对话框，而很多菜鸟朋友要么都点允许，要么去骚扰网管。
盆盆评注：在企业范围里，最好用标准用户来部署桌面，并且关闭标准用户的提升提示，如附图所示。
这样很多朋友自然而然都会产生这样的想法：如果大多数用户都点击允许，那么UAC还有什么意义，不如关闭的好。什么都要让用户去决定，大家都知道安全防御体系的木桶结构中，end-user就是最短的那块木板，现在让end-user自己去决定，无疑非常荒唐可笑。
这个观点看上去有理有据，很有道理，说老实话，盆盆自己也曾产生过这样的想法。
那么就来看看以下的五大事实吧：
1. 合法软件的潜在破坏威力
UAC绝非仅仅用来抵御恶意软件的破坏。大家知道，很多表面上合法的软件（免费软件），也会有意无意地破坏系统的完整性，例如有些应用程序会试图替换别人的Dll文件、或者篡改系统注册表键值，这会导致软件冲突、或者系统不稳定，甚至崩溃。
另外，很多合法的应用程序也会存在多个漏洞，拿不少人立捧的Firefox来说，就发现不少漏洞，一旦这些应用程序被恶意代码攻破，就会成为攻击者的桥头堡。
而启用UAC，就可以让这些应用程序工作在更低的特权级别，所有的潜在破坏会局限在隔离的区域里。
2. 代替杀毒软件？
错！
再次澄清一下，UAC并非用来代替杀毒软件和反间谍软件。它更加类似于一个Local的NAP（网络访问保护），把默认的应用程序丢在隔离区域（低特权），而让特殊的应用程序运行在可信区域（高特权）。
UAC和杀毒软件是互为犄角的，杀毒软件显然不能对付所有的恶意代码，那么遗留的恶意代码就可以被UAC所限制；同样由于用户的原因，UAC也不一定可以防御所有的恶意代码，但是还有杀毒软件在那候着。
盆盆评注：Mark Russinovich也说过，UAC并非安全边界，针对它的恶意代码迟早也会来。UAC会导致病毒界里的一场革命，病毒会千方百计争取在低特权环境里提升权限，而不是像有些初学者天真地以为，只需要在代码里修改manifest，弹出对话框即可（参考前一篇）。
尽管UAC并非一帖即灵的万能圣药，但是至少减低了系统的受攻击面。
记住以下的这个公式，从左到右，系统安全性不断提升：
内置Administrator<<普通管理员禁用UAC<普通管理员禁用UAC＋杀毒软件<普通管理员启用UAC<普通管理员启用UAC＋杀毒软件<标准用户＋杀毒软件
3. 56%>92%？？
如果禁用UAC，有什么负面影响？
首先，那会禁止虚拟重定向的兼容模式。对于企业桌面的标准用户部署来说，这种负面影响会比较大。
盆盆评注：微软做过统计，如果启用UAC，在标准用户桌面环境，有92%的旧版应用程序可以正常运行，而禁用UAC，则只有56%的旧版应用程序可以兼容！
禁用UAC，难道您认为56%>92%？？
4. IE保护模式＋MIC＋UIPI，Bye Bye！
如果以上三点都不能阻止您禁用UAC，那么再考虑一下禁用UAC的其他恶果吧。IE保护模式、MIC还有UIPI等安全特性，都会（或者等于）和您说再见了。
缺少了那么多保护作用，整个Windows Vista安全性就会降低到和Windows XP SP2差不多的层次（略高一些），那样的话，盆盆会觉得您花了那么多钱，买进了Windows Vista，结果却只有一个Aero，得不偿失啊！
5. 6岁的孩童也可能欺负您
嘻嘻，刚从cnBeta上看到的一个新闻，不知道是真是假。说是英国的一个6岁孩童，入侵了议会的网络，并热心地为议员安妮.米尔顿安装了键盘记录木马。
看看，没有UAC，连6岁儿童也可能欺负您！大多数恶意代码是不会把自己标识为需要提升权限的，在Windows Vista，UAC会把这些恶意代码，还有常用的进程，都赶到低特权的隔离区域中。如果英国的议会提前使用Windows Vista的话，那么可怜的安妮就不会被6岁的孩童欺负了。
当然选择权在您，这完全是个人意志，然而技术本身不能是个人意志，同时技术还得要以人为本，和Windows的其他特性相比，UAC还不能算“很”以人为本，但是和获得的安全性相比，和其他解决方案相比，还算是“以人为本”的。