Boa noite!

Como todos os meus leitores já devem saber, eu sou um daqueles que defende o princípio do menor privilégio (também conhecido como Least-Privilege, nos livros de segurança). Em especial, li recentemente no Writing Secure Code exatamente sobre isso. Fiquei feliz em saber que tudo aquilo que eu sempre comentei é um dos princípios que o autor recomenda.

Além disso, sou um usuário de um tipo raro. Não que isso me torne mais ou menos especial ou inteligente, mas apenas diferente. Eu utilizo meu computador sem ser com uma conta de administrador ou equivalente. Mesmo no meu notebook, que praticamente só eu uso, não utilizo uma conta administrativa. Uso computadores dessa forma há mais de 4 anos, quando entrei na faculdade, sem problemas. Uso a conta de admin somente quando necessário, para instalar algum programa ou biblioteca. Se essa política fosse seguida por usuários em geral, mais da metade dos problemas em seus computadores sequer teria acontecido. Já discuti sobre esta prática em outro post anterior, e recomendo a leitura deste outro site para quem não estiver acreditando em mim.

Recentemente concluí que havia instalado todos os softwares necessários no meu notebook, e resolvi alterar novamente minha conta para ficar com "menos poderes" novamente. O único problema encontrado até o momento foi o Gerenciamento de Energia.

Não sei quanto às versões anteriores, mas o Windows XP teima em não permitir que usuários comuns alterem o esquema atual de energia. Usuários de notebooks são os mais afetados com isso, uma vez que, num notebook, é interessante utilizar diversos esquemas de energia para diversas situações. Eu, por exemplo, tenho 12 esquemas de energia configurados, uma para cada situação. Isso permite utilizar de forma inteligente a bateria do notebook, visando aumentar a vida útil dela e o tempo de uso que ela rende habilitando e desabilitando dispositivos como CD-ROM, Placa de rede, Firewire, diminuindo a intensidade do vídeo, etc.

É até questionável porque ele foi programado desta forma. Eu mesmo acredito que, ao menos na versão cliente do SO (leia-se Windows XP), qualquer usuário deveria poder configurar e definir o esquema de energia que está sendo utilizado no momento. Em servidores isso não faz o menor sentido, além de não ser muito correto do ponto de vista da segurança. Mas em clientes, qual o problema? Enfim...

Hoje, após voltar de uma reunião da Semana da Computação (vou falar dela depois), fiz meu jantar e voltei a pesquisar sobre o assunto. Buscando no Google encontrei um site que eu já conhecia, mas que eu não tinha lido ainda. Ele novamente, o blog Non-Admin, de Aaron Margosis. Ele escreveu um artigo completíssimo sobre porque o XP não permite que os usuários configurem seus sistemas e como contornar isso.

Segundo ele, o problema está no fato da interface gráfica setar ao mesmo tempo a configuração dos esquemas de energia do usuário e do sistema (system-wide, ou seja, algum lugar abaixo de HLKM no registro), quando deveria configurar somente as configurações do usuário. Até daria certo se a configuração padrão da chave do registro em questão permitisse escrita para usuários comuns.

Para permitir então que qualquer usuário comum do XP configure o esquema de energia, faça o seguinte:

1. Abra o Editor de Registro (também conhecido como Regedit) como administrador. Você pode fazer isso logando com a conta de admin ou com o comando RunAs.
2. Navegue até a chave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ControlsFolder\PowerCfg
3. Clique com o botão direito na subchave GlobalPowerPolicy e escolha Permissões
4. Clique no botão Avançado
5. Clique no botão Adicionar
6. Digite INTERACTIVE (ou qualquer outro grupo que você queira permitir a configuração. Recomendo o grupo INTERACTIVE porque nele estão todos os usuários que podem logar localmente neste computador), clique em Checar Nomes e em OK
7. Marque as opções Alterar Valor (Set Value) e Criar Subchave (Create Subkey) e clique em OK.
8. Repita os passos acima para a subchave PowerPolicies

Ainda assim, recomendo que leia o artigo original. Se você acompanhar os comentários, vai ver que encontraram soluções para outros problemas antigos como o de permitir que usuários comuns cliquem duas vezes no relógio, ou mesmo como implementar essa alteração de permissões no registro utilizando o REGINI, scripts VBS, o programa REGPERM, distribuir por GPOs, etc. Vale um bookmark!

Vale lembrar que o Windows Vista não tem esse problema. Foram feitas várias alterações no controle de energia do SO. Entretanto, continuo não usando o Vista, mas agora por opção. =). Pretendo utilizar em breve Windows Server 2008 ou 2003 R2.

Até a próxima!