В своем развитии Windows прошла долгий путь от графической надстройки над MS-DOS до клиентской надстройки над облачным сервисом Microsoft. Превратить ее в полноценную операционку вряд ли удастся, но, если подкрутить глубокие настройки, она станет чуточку безопаснее и не такой своенравной.

WARNING

Прежде чем экспериментировать с реестром и службами, советуем создать точку восстановления, а еще лучше — сделать полный бэкап системного раздела.

 

Бэкапим реестр

Один из способов сделать бэкап реестра — это запустить в консоли REG EXPORT.

reg export HKLM hklm_backup.reg

Такой командой мы задаем создание файла hklm_backup.reg со всей информацией из ветки HKEY_LOCAL_MACHINE. Аналогично повторяем команду для других веток реестра (см. скриншот).

Создаем бэкап реестра
Создаем бэкап реестра

Так же можно бэкапить отдельные ключи перед их изменением. Если что-то пойдет не так, ты всегда откатишь изменения простым запуском .reg-файла.

 

Получаем доступ к реестру

Программисты наклепали десятки разных твикеров системы. Все они обещают чудеса и работают непрозрачно, но реально все их функции сводятся к трем простым вещам:

  • изменению отдельных ключей реестра;
  • остановке невостребованных служб;
  • удалению или добавлению заданий планировщика.

Часто эти процедуры взаимосвязаны. Например, запущенная служба не даст удалить свой ключ реестра или автоматически восстановит отмененное задание в планировщике. Поэтому мы рассмотрим каждую задачу подробно, не ограничиваясь стандартными рекомендациями.

Начнем с получения доступа к реестру. Это отдельная проблема в новых Windows, особенно десятой версии. По умолчанию администратор не может изменить значения ключей во многих ветках реестра или удалить файлы по своему усмотрению. Он вроде как хозяин, но не совсем.

Типичная схема управления привилегиями доступа Windows удивляет линуксоида тем, что система имеет более высокие полномочия, чем любой аккаунт в группе админов. В дефолтных настройках SYSTEM может все, а Administrators — только дозволенное.

Исправить это недоразумение можно разными «хакерскими» способами, но большинство из них оставляют брешь в системе и снижают безопасность вместо того, чтобы ее повышать. Поэтому рассмотрим более аккуратные методы. Независимо от объекта (ключа реестра, файла, каталога) сначала придется стать его владельцем и лишь затем назначать себе права доступа.

 

Метод 1 — через regedit

Удобство этого метода в том, что в нем не требуется дополнительно устанавливать какой-либо софт. Неудобство — в необходимости задавать разрешения для каждого конкретного ключа через графическую оболочку. Хотя кому-то это, наоборот, покажется удобным.

Меняем владельца для Кортаны
Меняем владельца для Кортаны

Просто запускаем от админа regedit, выделяем желаемый ключ и в контекстном меню (вызывается правым кликом мыши) переходим в параметр «Разрешения» (Permissions), где меняем владельца и затем прописываем любые разрешения.

Задаем разрешения для изменения настроек Кортаны
Задаем разрешения для изменения настроек Кортаны
 

Метод 2 — через штатную утилиту SubInACL

Скачиваем утилиту SubInACL с сайта Microsoft. В списке поддерживаемых ОС нет Windows 10, но пусть тебя это не смущает. Проверяли, работает. Просто помни, что программу надо запустить из консоли от имени администратора. Для этого удобнее сначала скопировать SubInACL.exe в системный каталог Windows (%Windir%\System32\), чтобы не вбивать каждый раз путь до исполняемого файла.

Копируем SubInACL в системный каталог
Копируем SubInACL в системный каталог

Далее для SubInACL нужно указать имя модифицируемого объекта, его тип и желаемое действие. Объект может быть одного из следующих типов: файл (file), каталог (folder), определенный ключ реестра (keyreg) или запись реестра со всеми ее дочерними ключами (subkeyreg).

Как обычно: прежде чем назначать права объекту, нужно стать его владельцем. Два действия легко объединить в одну команду, перечислив их через пробел. Например, следующая команда сначала сделает группу «Администраторы» владельцем ключа AutoLogger (он отвечает за трассировку событий, происходящих на начальных этапах загрузки ОС), а затем предоставит админам полный доступ к нему.

SUBINACL /keyreg "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\WMI\AutoLogger" /setowner=XTester /grant=XTester=f

Вместо XTester подставь везде имя своей учетной записи.

Используя объекты типа subkeyreg, легко полностью разблокировать реестр. Просто перечисли его корневые ветки по образцу ниже:

subinacl /subkeyreg HKEY_LOCAL_MACHINE /grant=XTester=f
subinacl /subkeyreg HKEY_CURRENT_USER /grant=XTester=f

И так далее.

Пример использования SubInACL
Пример использования SubInACL

Аналогично в одну команду становимся владельцами всех файлов и каталогов на указанном диске.

subinacl /subdirectories %SystemDrive% /grant=XTester=f
 

Метод 3 — через стороннюю бесплатную утилиту SetACL

В целом метод аналогичен использованию штатной утилиты SubInACL. Отличия — минимальные.

Сначала скачиваем фриварную софтину.

Распаковываем архив и копируем из него файл SetACL.exe в каталог %Windir%\System32 (или 64). Потом запускаем консоль от админа и вызываем SetACL. Полный синтаксис использования этой утилиты описан в руководстве. Краткая справка вызывается при запуске с ключом help.

Логика утилиты та же, что и у SubInACL: нужно указать имя объекта, его тип и действие. Только в случае SetACL это лучше делать отдельными командами. Например, команда ниже сделает указанного пользователя (XTester) владельцем ключа автологгера.

SetACL.exe -on "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\WMI\AutoLogger" -ot reg -actn setowner -ownr "n:XTester"

Следующая же команда предоставит указанной учетке полный доступ к этому ключу реестра, то есть позволит изменять его.

SetACL.exe -on "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\WMI\AutoLogger" -ot reg -actn ace -ace "n:XTester;p:full"
Используем SetACL для задания прав доступа
Используем SetACL для задания прав доступа

После того как ты получил возможность менять любые ключи реестра, самое время приступить к его модификации.

 

Отключаем Кортану

Кортана сильно интегрирована в систему. Она связана со службой поиска, политиками приватности и так далее. Поэтому записей о ней в реестре много, и с каждым билдом Windows 10 их становится все больше.

После «разблокировки» реестра любой ключ легко менять через regedit. Когда их много, удобнее создать батник и поменять их все скопом из консоли.

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Windows Search" /v "AllowCortana" /t REG_DWORD /d 0 /f 

reg add "HKLM\SOFTWARE\Microsoft\PolicyManager\default\Experience\AllowCortana" /v "value" /t REG_DWORD /d 0 /f 

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Search" /v "CortanaEnabled" /t REG_DWORD /d 0 /f 

reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Search" /v "CortanaEnabled" /t REG_DWORD /d 0 /f 

reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Search" /v "CanCortanaBeEnabled" /t REG_DWORD /d 0 /f
 

Отключаем сбор данных

Под видом сбора «диагностических» данных Windows 10 передает в Microsoft гигабайты данных, среди которых могут оказаться и конфиденциальные. По сути это что-то вроде встроенного кейлоггера.

Чтобы избавиться от этой пакости, сначала останавливаем фоновые службы. Это можно сделать через оснастку services.msc или прямо из консоли.

net stop DiagTrack 
Останавливаем службу телеметрии
Останавливаем службу телеметрии
sc config DiagTrack start=disabled 
Отключаем автостарт службы телеметрии
Отключаем автостарт службы телеметрии
net stop dmwappushservice
sc config dmwappushservice start=disabled
Изменяем любые ключи реестра через консоль или regedit
Изменяем любые ключи реестра через консоль или regedit

Далее по аналогии останавливаем службы и запрещаем их автозапуск:

  • diagnosticshub.standardcollector.service;
  • DcpSvc;
  • WerSvc;
  • PcaSvc;
  • DoSvc;
  • WMPNetworkSvc.

Список служб всегда подбирается индивидуально, но в первую очередь мы последовательно отключаем:

  • DiagTrack (служба отправки «диагностических» данных);
  • Diagnostics Hub Standard Collector (служба сборщика центра «диагностики» Microsoft);
  • dmwappushservice (служба маршрутизации push-сообщений WAP).

Теперь пора править реестр.

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection" /v AllowTelemetry /t REG_DWORD /d 0 /f

reg add "HKLM\SYSTEM\CurrentControlSet\Services\diagnosticshub.standardcollector.service" /v "Start" /t REG_DWORD /d 4 /f 

reg add "HKCU\SOFTWARE\Microsoft\Personalization\Settings" /v "AcceptedPrivacyPolicy" /t REG_DWORD /d 0 /f

reg add "HKLM\SYSTEM\ControlSet001\Control\WMI\AutoLogger\AutoLogger-Diagtrack-Listener" /v "Start" /t REG_DWORD /d 0 /f

reg add "HKLM\SYSTEM\CurrentControlSet\Control\WMI\AutoLogger\AutoLogger-Diagtrack-Listener" /v "Start" /t REG_DWORD /d 0 /f

reg add "HKLM\SYSTEM\CurrentControlSet\Control\WMI\AutoLogger\SQMLogger" /v "Start" /t REG_DWORD /d 0 /f

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\AppCompat" /v "AITEnable" /t REG_DWORD /d 0 /f

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\AppCompat" /v "DisableUAR" /t REG_DWORD /d 1 /f

reg add "HKCU\SOFTWARE\Microsoft\InputPersonalization" /v "RestrictImplicitInkCollection" /t REG_DWORD /d 1 /f

reg add "HKCU\SOFTWARE\Microsoft\InputPersonalization" /v "RestrictImplicitTextCollection" /t REG_DWORD /d 1 /f

reg add "HKCU\SOFTWARE\Microsoft\InputPersonalization\TrainedDataStore" /v "HarvestContacts" /t REG_DWORD /d 0 /f

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\TabletPC" /v "PreventHandwritingDataSharing" /t REG_DWORD /d 1 /f

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\HandwritingErrorReports" /v "PreventHandwritingErrorReports" /t REG_DWORD /d 1

reg add "HKLM\SOFTWARE\Policies\Microsoft\SQMClient\Windows" /v "CEIPEnable" /t REG_DWORD /d 0 /f

reg add "HKLM\SOFTWARE\Policies\Microsoft\SQMClient" /v "CorporateSQMURL" /t REG_SZ /d "0.0.0.0" /f

reg add "HKCU\SOFTWARE\Policies\Microsoft\Office\16.0\osm" /v "Enablelogging" /t REG_DWORD /d 0 /f

reg add "HKCU\SOFTWARE\Policies\Microsoft\Office\16.0\osm" /v "EnableUpload" /t REG_DWORD /d 0 /f

reg add "HKCU\SOFTWARE\Microsoft\MediaPlayer\Preferences" /v "UsageTracking" /t REG_DWORD /d 0 /f

reg add "HKCU\SOFTWARE\Microsoft\Siuf\Rules" /v "NumberOfSIUFInPeriod" /t REG_DWORD /d 0 /f

reg add "HKCU\SOFTWARE\Microsoft\Siuf\Rules" /v "PeriodInNanoSeconds" /t REG_DWORD /d 0 /f

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection" /v "DoNotShowFeedbackNotifications" /t REG_DWORD /d 1 /f

reg add "HKCU\SOFTWARE\Policies\Microsoft\Assistance\Client\1.0" /v "NoExplicitFeedback" /t REG_DWORD /d 1 /f

reg add "HKLM\SOFTWARE\Microsoft\Input\TIPC" /v "Enabled" /t REG_DWORD /d 0 /f

reg add "HKCU\SOFTWARE\Microsoft\Input\TIPC" /v "Enabled" /t REG_DWORD /d 0 /f

Просто сохрани все в виде скрипта (.bat или .cmd) и закомментируй те строки, которые считаешь лишними на конкретном компьютере.

 

Отключаем небезопасные сервисы

Любой сервис теоретически небезопасен, но есть известный перечень служб, которые оставляют в Windows 10 зияющие дыры. Остановить и отключить их автозагрузку можно также через net stop и sc config. Я просто перечислю их здесь, чтобы не перегружать статью командами с повторяющимся синтаксисом:

  • RemoteRegistry;
  • TermService;
  • TrkWks;
  • DPS.

Если ты используешь Windows 10 на компьютере, то лучше отключить и бесполезный сбор информации с датчиков мобильных устройств:

Продолжение доступно только подписчикам

Вариант 1. Оформи подписку на «Хакер», чтобы читать все материалы на сайте

Подписка позволит тебе в течение указанного срока читать ВСЕ платные материалы сайта. Мы принимаем оплату банковскими картами, электронными деньгами и переводами со счетов мобильных операторов. Подробнее о подписке

Вариант 2. Купи один материал

Заинтересовала информация, но нет возможности оплатить подписку? Тогда этот вариант для тебя! Обрати внимание: этот способ покупки доступен только для материалов, опубликованных более двух месяцев назад.


20 комментариев

  1. MrFreeman

    28.12.2017 at 16:27

    Статья очень полезная, спасибо большое)
    Было бы классно собрать это все в один большой БАТник в конце статьи)

  2. joker2k1

    28.12.2017 at 17:00

    спасибо за эту замечательную статью-батник
    хоть я и использую вин10 только для игр, но урезать ей прыть не помешает

  3. jura12

    28.12.2017 at 23:07

    срок действия этой статьи полгода. дальше новый апдейт где будет все по другому.

  4. robotobor

    29.12.2017 at 07:39

    Спасиб.Полезно.

  5. Махметхажиев Алексей

    29.12.2017 at 23:14

  6. Нездий

    30.12.2017 at 13:09

    Именно за любовь к передаче данных в сеть я и не люблю данный продукт майкрософт. За статью спасбио, действительно полезно

  7. r0uly

    31.12.2017 at 03:33

    Снимаю шляпу, господа кулхацкеры!

    P.S. Если у кого возникли проблемы с добавлением ключа в реестр для отключения истории приложений, допишите в конец приведенной команды » /d 0 /f» без кавычек, а то там видимо обрезалась эта часть.

  8. Mr.Ecco

    04.01.2018 at 16:10

    Есть еще полезная штука, но работает уже через powershell:
    1) Get-AppxPackage | Select PackageFullName
    Выведет полный список всех установленных НА ЭТОТ ПРОФИЛЬ winstore-приложений. Какие-то из них можно удалить.
    2) Get-AppxPackage *zune* | Remove-AppxPackage
    Удаляет приложения, которые подходят под шаблон «*zune*» (это wildcard, но только со звездочками).
    3) Add-AppxPackage -register «C:\Program Files\WindowsApps\*zune*\AppxManifest.xml» -DisableDevelopmentMode
    Восстановит ранее удаленное приложение. Да, они не удаляются окончательно и остаются в DefaultProfile (удалять их оттуда не рекомендуется да и незачем).
    Удаление лишних Metro-приложений помогает избежать того, что они «внезапно» запускаются сами и висят фоновым процессом.

  9. Владиславище

    07.01.2018 at 19:08

    Отличная статья! Хоть как-то, минимально убрать глобальную слежку и гигабайты инфы сливаемой в MS с моего компа. Ещё-бы запретить обновления — раз и навсегда!!!

  10. samodelkin

    09.01.2018 at 15:47

    Очень полезная статья, новый апдейт и все можно переделывать.
    Хотя, конечно, можно поставить на шедулер (что чем-то криво).

    Наверное, у понимающего человека после этой статьи должна появиться мысль: а что Линукс как домашний ящик, это не так уж и плохо (… и сложно).

  11. SemionGorb

    19.01.2018 at 17:57

    taskkill /f /im OneDrive.exe
    start %SystemRoot%\System32\OneDriveSetup.exe /uninstall

    а можно проверить инфу, кажись что-то поменялось и по этому пути уже нет onedrive

  12. Slame

    27.01.2018 at 21:14

    Попробуй:
    start %SystemRoot%\SysWOW64\OneDriveSetup.exe /uninstall

  13. enc

    30.01.2018 at 18:04

    статья супер, уже не перы

  14. enc

    30.01.2018 at 18:05

    статья супер, уже не первый раз использую её как справку

  15. Alexei_Eremeev

    18.02.2018 at 12:12

    Спасибо за краткий и емкий мануал по первым шагам с win10.
    И насчет «при вёрстке часть кода обрезалась» — подумал, что автор специально так напечатал, чтобы помучились, подумали. Было интересно за сыном наблюдать (его ноут правили), как он с увлечением лечит подарок.

Оставить мнение

Check Also

Все по песочницам! Запускаем приложения в отдельных виртуалках с помощью AppVM

Если ты действительно заботишься о безопасности, то некоторые приложения есть смысл запуск…