即時聊天軟體QQ終於支援多使用者配置隔離

即時聊天軟體QQ終於支援多使用者配置隔離，使得以普通使用者權限運行QQ程式成為可能。這給具有安全意識的使用者和IT管理員而言，提供了方便。我不太清楚使用“多使用者配置隔離”這個詞是否準確，我所說的“多使用者配置隔離”是指作業系統下使用者將自己運行某個程式需要的個人化資訊，比如帳號密碼等，儲存在使用者自己的主目錄下。

簡單說，在Windows NT系統裡，使用者的主目錄指的就是C:\Documents and Settings\User目錄。而C:\Program Files目錄存放的僅僅是程式的檔案。這樣處理的好處就是配合NTFS許可權，將程式目錄設定為唯讀且只有管理員權限可寫，普通使用者就無法修改程式目錄。 這樣一來，以普通使用者權限登陸的使用者，即使中毒，作業系統也能保證病毒無法修改或感染程式目錄的檔案，因為普通使用者觸發的病毒也僅僅具有普通使用者權限，無法修改程式目錄。

以一台WindowsNT作業系統上安裝了QQ為例，QQ程式目錄為C:\Program Files\QQ，而該系統上使用者A的賬戶和好友名單儲存於C:\Documents and Settings\A下，使用者B的類似資訊儲存於C:\Documents and Settings\B。QQ程式目錄C:\Program Files\QQ不儲存任何具體使用者的個人化資訊。

QQ軟體和其前身OICQ，從Windows 95時代一直是將使用者的個人化資訊儲存在程式目錄的，這種做法是無可指責的，因為Win95、Win98並沒有NTFS檔案系統，也就無法實現根本意義上 的多使用者配置隔離。Windows 2000使用了NTFS檔案系統，但騰訊未能遵從微軟系統的程式開發規範，仍然將使用者個人化資訊寫在程式目錄裡，於是C:\Program Files\QQ目錄下會出現諸如235423或412359這樣的目錄。騰訊這樣做的前提假設是使用者登陸作業系統的帳號都是Administrator 群組的，具有系統最高權 限，總是可以修改程式目錄C:\Program Files\QQ。

直到Vista系統的推出，騰訊QQ這種做法才得到改變。因為Vista引入UAC，加強了賬戶安全。使用者賬戶預設為普通許可權，使用者進行影響系統的 操作的時候，會彈出交談視窗要求使用者確認，這個過程是臨時提權，將使用者的帳號臨時提升到管理員的許可權來完成某種操作，操作結束後，使用者權限會恢複到普通權 限水平。這就是Vista比XP安全的原因，Vista顯式的將使用者權限通過UAC進行了約束，不像XP那樣，系統安裝結束後，預設使用者即是Administrator 群組。知 道為什麼很多人的XP經常中毒崩潰嗎？因為他們總是用管理員賬戶Administrator登陸XP，一旦觸發病毒，病毒也具有了管理員權限，可以感染、 修改、刪除系統檔案，系統不崩潰才怪。熊貓燒香的流行就是因為大部分電腦使用者都是以管理員進行操作，點擊病毒檔案後，病毒檔案自然的擁有管理員權限，而管 理員許可權是可以修改刪除C:\Program Files目錄的檔案的，這樣C:\Program Files下每個二進位EXE檔案都開始燒香了。

接著說Vista和QQ。Vista對賬戶許可權約束的加強，要求應用軟體發行者必須考慮修改程式以遵守Vista的多使用者配置隔離要求，否則程式無 法正常工作。試想，QQ安裝後，使用者權限為普通許可權，啟動的QQ程式要求將使用者的帳號密碼儲存，這個時候QQ程式無法對C:\Program Files\QQ進行寫操作，於是程式僵死。解決的唯一的出路就是將使用者個人化資訊寫到C:\Documents and Settings\User目錄去。

QQ2009終於實現了多使用者配置隔離，對具有安全意識的使用者和IT管理員而言，這是個好訊息，比如我可以用管理員權限給家裡的電腦安裝必要的軟體，然後讓家人使用普通許可權使用者，這樣，除作業系統因漏洞被攻擊外，病毒對系統核心和程式不會造成影響。

令人遺憾的是，這種改變是在Vista系統的UAC強制要求和Vista系統的推廣下發生的，如果沒有Vista的推廣，不知道騰訊什麼時候才能意 識到不符合規範的軟體給多少使用者帶來了煩惱，不知道騰訊什麼時候才有動力去修改那亂糟糟的C:\Program Files目錄.