Problemas comuns de segurança do WIA

Há vários problemas comuns que podem impedir que um driver WIA existente (que funcionou bem em LocalSystem) seja executado com êxito na conta LocalService .

Os problemas mais comuns ocorrem com:

• Acesso ao sistema de arquivos

  A conta LocalService restringiu severamente o acesso ao arquivo. Por exemplo, os drivers não podem mais gravar no diretório %windir%.

• Acesso ao registo

  Muitas chaves de registo que estavam abertas para contas LocalSystem são de apenas leitura para LocalService. Por exemplo, os drivers já não conseguem escrever em chaves do registo na subárvore HKLM.

• Objetos nomeados do kernel

  Verifique se os objetos nomeados (por exemplo, eventos e mutexes) acessados pelo driver WIA e por componentes externos, como aplicativos incluídos, têm as ACLs apropriadas. Se um aplicativo criar um objeto de evento nomeado, mas não conceder especificamente acesso a uma conta LocalService , o driver não poderá usá-lo. Da mesma forma, se um minidriver criar um objeto de evento nomeado, ele deverá conceder o mesmo acesso ou o aplicativo não poderá usar o objeto de evento.

• Objetos COM fora de processo

  Qualquer tentativa de criar ou usar uma interface COM fora do processo falhará, a menos que esse componente conceda explicitamente as permissões apropriadas para uma conta LocalService . Por exemplo, chamadas para CoCreateInstance ou CoCreateInstanceEx (ambas são descritas na documentação do SDK do Microsoft Windows) com o sinalizador CLSCTX_LOCAL_SERVER definido podem falhar se o componente não conceder permissão a uma conta LocalService . Da mesma forma, o driver que tenta usar um ponteiro para uma interface COM que não está em processo para o driver pode falhar. Isso pode ocorrer se um componente chama o driver e lhe entrega um ponteiro para uma interface pela qual o driver pode chamar de volta para a interface.

• Criação e abertura de processos

  Os drivers WIA não devem iniciar manualmente outros processos (por exemplo, chamando CreateProcess ou CreateProcessAsUser). Embora este comportamento tivesse tido sucesso para drivers em contas LocalSystem, não é mais possível para os drivers fazê-lo na nova conta LocalService. Para obter mais informações sobre CreateProcess e CreateProcessAsUser, consulte a documentação do SDK do Windows.