Есть большое количество пользователей сети w2k, которые первый раз взяли мышку в руки. Это, в основном, ученики, но есть ещё и такие учителя. У каждого должен быть перемещаемый профиль. Следовательно, у каждого должна быть учётная запись.
Нужно сделать так, чтобы при входе в систему ничего не надо было вводить руками. Следовательно надо применять что-то типа электронного ключа.
Но, во-первых, при использовании электронного ключа всё-таки что-то вводить приходится, а во-вторых, это слишком дорогое решение.
Остаётся только ключевая дискета.
Таких решений (вход в систему с использованием ключевой дискеты) я не нашёл. Существуют ли они вообще? Кто-нибудь встречал или слышал?
Возможен и вариант с запуском программы от имени другого пользователя. В этом случае нужна программа, которая бы обнаружила окно ввода имени и пароля и вводила бы их с дискеты. Кто-нибудь встречал?

school
Научи вводить логин/пароль. Всяко проще будет. Остальное будет только сложнее.

А мы не ищем лёгких путей .
Если б это я их учил...
А училки до такой рутины не опускаются - западло. У них творчество!

Syskey - есть такая утиля ....
http://support.microsoft.com/default.aspx?kbid=310105

...хотя это, наверное, не совсем то ...Но почитай, может пригодится ....

Точнее, совсем не то - имя, пароль всё равно надо вводить.

надо писать дополнительный модуль для системы безопасности NT (WinLogon & GINA) либо заменять msgina.dll с фильтрацией запросов/ответов и передачей параметров оригинальной GINA.

Выглядеть это чудо могло бы так:

1. юзер подходит к компу и видит на экране приглашение WinLogon'а нажать Ctrl-Alt-Del для ввода логина/пароля.
2. юзер сует дискетку/CDR/CDRW/LPT-ключ (зависит от фантазии) и жмет Ctrl-Alt-Del.
3. наша переписанная GINA ловит момент нажатия (точнее ей передает сигнал WinLogon) - читает ключевой носитель, определяет, какому пользователю надо (или не надо) дать доступ и выпольняет автологон.

Реально похожая система работала в компьютерном клубе - там через програму управления клубом конкретный компьютер разблокировался под конкретный логин на конкретное время.

school
...а в каком виде ты собираешься хранить логон-имя/пароль на дискете ...? ...Если в текстовом, то можно было бы установить автологон в дефолтового юзера, запускать старт-ап скрипт компьютера, который будет спрашивать дискету - и если не совпадает (или дискеты нет) - отправлять комп в логоф (или в перезагрузку) ...Но больно суетливо это ...А читать зашифрованный логон/пароль с дискеты в момент нажатия трех_кнопок - наверное какие нибудь хакерские примочки для этого есть ...Но МС именно для того и ввела три_кнопки при логоне, чтобы нельзя было переслать пароль/имя юзера удаленно ....

carrotik
Со старт-ап скриптом - это мысль. Только тогда, наверное, так: автологон в дефолтового юзера, затем запуск оболочки от имени того пользователя, чья дискета вставлена.
А в каком виде хранить пароли - это вопрос. Вроде особой секретности не надо, наверное, можно и в текстовом.

Denis_L
Про гину я читал, но я не программист и сам с этой задачей не справлюсь, поэтому и ищу что-нибудь готовое.
Програма управления клубом - это, пожалуй, близко. Для компьютерного класса подойдёт, а вот как быть с компьютерами, которые стоят россыпью по кабинетам.

carrotik
...а в каком виде ты собираешься хранить логон-имя/пароль на дискете ...?

А где в моем посте написано, что логин/пароль держиться на дискете ?
Вообше то я имел в виду что дискета с некоим ключевым файлом служит только идентификатором, способным отличить одного юзера от другого, а сами пароли нигде кроме как на конкретной машине (или на контроллере домена) не храняться.

...Но МС именно для того и ввела три_кнопки при логоне, чтобы нельзя было переслать пароль/имя юзера удаленно ....
Вообще то МС ввела три кнопки для того, чтобы кто-либо не мог с помошью своей програмки нарисовать окошко ввода логина/пароля, похожее на стандартное, и тем самым не получил логин/пароль в чистом виде от самого юзера, который и не подозревает, что окошко нарисовала не винда. Комбинация три кнопки еще во время загрузки регистрируется хот-кеем на WinLogon потому его перехватить иначе как переписав систему автентификации нельзя.

то можно было бы установить автологон в дефолтового юзера
И как ты себе это представляеш ? Получается даже если никто не залогинился машина автоматом будет заходить в дефолтового юзера, потом запускается твой скрипт - видит что дискетки нет и делает логоф. А дальше ? через несколько милисекунд винда снова сделает автологон и снова твой скрипт выкинет юзера
Напоминает анекдот про scandisk:
- Какая класная программа этот scandisk - сама проверяет файловую систему, сама исправляет да еще и перегружает машину чтобы изменения вступили в силу. Вот у знакомого она запустилась, вылечила диск, слегка подправила настройки системы и для надежности перезагрузилась !
- Ага, знаю я того знакомого! У него scandisk до сих пор (уже второй месяц) запускается, лечит диск, подправляет настройки и для надежности перезагружается

school

а вот как быть с компьютерами, которые стоят россыпью по кабинетам
Если компьютеры в одной сети, тогда можно сделать модуль, который будет сигналить админу, что такой-то пользователь за таким-то компом хочет войти, а админ уже сам решит пустить или нет. Если компы не в сети то простого решения я не знаю.

Добавление от 30.03.2004 11:49:

А если обобщить все сказанное то получается такой набор:
1. Задача не является тривиальной и распостраненной, посему вероятность найти готовое решение очень низка.
2. Так как рассматриваемая проблема стоит перед государственным учереждением с малым бюджетом (вроде мы тут про школу говорили), то IMHO возможности оплатит работу програмиста, который напишет готовое решение данной задачи у них нет.

Учитывая полученную информацию, можно нарисовать два возможных решения проблемы:
1. обучить пользователей базовой системе безопасности винды - например после нажатия Ctrl-Alt-Del показывать окошко, в котором написано на родном языке как же можно залогинится на комп (реализуется через стандартные возможности винды)
2. заставить в административном порядке училок вводить логин/пароль для учеников - в скором времени им станет в тягость делать это самим - глядиш и учеников научат

Все вышесказанное - мое личное IMHO, так как окончательное решение за вами

Прикинуть бы, какая может быть трудоёмкость решения этой задачи (переписать гину). А деньги, может быть и найдутся.

Беда в том, что у нас компьютер с 1 класса. И, если в 5 проблем нет, то в 1 и 2 - не реально.

school
Беда в том, что у нас компьютер с 1 класса. И, если в 5 проблем нет, то в 1 и 2 - не реально.

Тогда задача слегка меняется (если я правильно понял)
1. Ученики 1-4 классов должны логинится автоматически
2. Ученики 5-хх классов и учителя обучаються вводить логин/пароль вручную

тогда решение может быть таким:
1. Когда на урок приходят ученики 1-4 классов учитель запускает некую програму которая делает автологон для всех компов в классе, а по завершению урока автоматически блокирует компы
2. Остальные используют стандартный метод входа.

Тогда задача сильно упрощается - нужен всего лиш свой сервис на каждой машине, который будет выполнять логон/логоф и клиент на машине учителя, который будет этим управлять.
При этом ничего изменять в системе безовасности НТ не нужно, сервис с правами системы сделает всю работу сам. Правда при этом есть один нюанс - пользователь с правами локального админа может убить этот сервис - если знает его название (правда при этом можно дать форсированный ребут системы - сервис стартанет снова во время загрузки)

Denis_L
"нужен всего лиш свой сервис на каждой машине, который будет выполнять логон/логоф и клиент на машине учителя, который будет этим управлять"
Но msgina всё равно придётся переписывать.

school
Но msgina всё равно придётся переписывать

Не факт.
Пример:
1. По запросу логина на машину К1 с машины ADMIN передается инфа, под каким логином (например ТЕСТ) нужно зайти и пароль.
2. Сервис на машине К1 записавает эти данные (логин, пароль) в реестр + дополнительный ключ, чтобы форсировать автологон.
3. Сервис ждет пока появиться процесс Explorer.exe, запущеный системой от имени пользователя (ТЕСТ), после чего удаляет из реестра запись про автологон (можно не удалять - см. примечание).

В результате система залогинилась, что нам и было нужно.

Примечание:
1. если логин/пароль не удалять, то после перезагрузки система автоматически залогинится.
2. пользователь может узнать пароль, запустив редактор реестра.

А если вместо логина/пароля надо будет вводить PIN код? Подойдет такое?
Тогда надо искать в этом направлении: http://www.microsoft.com/windows2000/techinfo/howitw…ity/sclogonwp.asp
А если нет тогда например уже готовое решение:
http://www.secidentity.eutron.com/prod3.asp

school
А что интересно дальше у вас в школе будет происходить, после того как компьютер по биоритмам или клечатке глаза распознал пользователя и ввёл за него пароль? Я так думаю логично будет для компьютера считывать мысли пользователя и делать за него всю работу.

Denis_L
...не, ну я сам не мудрил, я просто идею двинул ... ...А в принципе - почему бы не записать на дискету reg-файл (или пару файлов), который будет прописывать в реестр, " вiдповiдно до" ситуации с дискетой, или автологон юзеру, или отмену автологона, если рыломъ не вышел ... ...так, размышления ...

kenedy
А если нет тогда например уже готовое решение:
http://www.secidentity.eutron.com/prod3.asp

Классно, если не учитывать цену - Euro 195 each это явно не для школы. Прикинь масштабы - даже 250 учеников - это уже на почти 50тыс евро - хотя идея классная, сам бы себе взял, если б не более 10 баксов стоило

carrotik
В принципе можно, если "положить" на систему безопаспости и хранить голые пароли на дискетке , но
как заставить "тупой виндовс" при вставленной дискете прочитать какой-то файл да еще и запустить его через редактор реестра на импорт.

Denis_L
....я ж и говорю про старт-скрипт ...на VBScript ...он и файл прочитает, и реестр изменит, если надо ....но с последующей перезагрузкой ...плюс шатдаун-скрипт тож .....но я сразу сказал - суетливо это .....А насчет голых паролей на дискетке - дак у автора задача противоречивая .....тут "или шашечки, или ехать" ...

2All
Народ, перестаньте ерундой мучаться.

Dr.Venom правильно говорит.
От себя добавлю: потом эти ученики пойдут и скать работу, некоторые даже найдут. И вот тут начнется: "а я так не умею", "меня не так учили", ...
Учите пользоваться стандартными средствами. Всем будет легче.

carrotik
Согласен, хотя и геморно получается

BSW
Если бы вы внимательно читали посты то увидели бы, что тоесть задача стоит облегчить работу детей 1-4 класов, а уже старше должны будут сами вводить пароль/логин.

Denis_L
Если бы вы внимательно читали посты то увидели бы
Ай, дяденька, не бейте ногами, каюсь, виноват, пропустил...

А если для малолеток завести одного единственного юзера (со странным именем Q) с абсолютно минимальными правами (дабы не попортили чего) и без пароля?
Учитель может перед началом урока пробежать по классу, всех залогинить (буквально три кнопки - q-<Enter>-<Enter> , поди палец не отвалится. Чтобы "особо умные" не попользовались такой "халявой" эту учетную запись разрешать только на время занятий в младших классах.

Кстати, а автологон из доменных политик рулится?

Denis_L
В какой момент должен начать работать сервис, управляющий логоном, чтобы обеспечить в конечном итоге автологон - я так понимаю, что раньше winlogon, а возможно ли это?
Да, ведь надо же сохранить и обычный вход. Как система будет узнавать, как я хочу войти. Если окно уже появилось, то, если я оставил строки имени и пароля пустыми, то система должна отправить запрос на админскую машину. Т.е. msgina придётся переписать, чтобы отправлять такой запрос.

BSW
Идея состоит в том, чтобы разгрузить учеников и учителей от рутины, чтобы научить, кроме многого другого, уверенной работе на клавиатуре.

Добавление от 31.03.2004 14:05:

BSW
Учитывая, что windows по умолчанию сохраняет и показывает имя последнего пользователя, оно может быть любым, не обязательно очень простым. Но плодотворная дебютная идея состоит в том, чтобы у каждого был свой перемещаемый профиль.

school
В какой момент должен начать работать сервис
Сервис стартует от имени аккаунта SYSTEM и на момент отображения на экране так называемого Welcome Screen (если он включен) или SAS (System Authentication Service) Notification (если машина в домене) данный сервис уже работает.

Да, ведь надо же сохранить и обычный вход
Одно другому мешать не будет.

Как система будет узнавать, как я хочу войти
Для этого на машине админа должен быть клиент который будет давать команду на логон конкретной машине под конкретным логином/паролем. Если команды нет, то машина и не залогинится - соответственно остается стандартный метод входа - вводить логин/пароль вручную.

Т.е. msgina придётся переписать
В том варианте как я предлагаю - нет. В моем случае Админ может инициировать автологон на конкретной машине, а не машина нотифицирует админа о такой необходимости. В принципе можно и допольнительно реализовать нотификацию админа - это еще одна длл-ка типа Winlogon Notification Packages (MSDN> Platform SDK: Security). В любом варианте нет необходимости переписывать msgina.dll.

Denis_L
"В любом варианте нет необходимости переписывать msgina.dll."
Да, теперь вижу.

И всё-таки нотификация и ключ у пользователя должен быть, иначе мы избавляем учителя только от хождения от компьютера к компьютеру и заставляем его отслеживать, кто куда сел. А хотелось бы так: ученики сели, вставили ключи, запросы передаются админу, в окне админа появляется список кто куда сел, учитель жмёт кнопку "Залогинить всех" или расставляет галочки и жмёт ОК.
А на момент отображения на экране Welcome Screen или SAS можно работать с дискетой?

Бориска
Нам шутка строить домен помогает?

school
А хотелось бы так
Ну я тут прикинул не самый сложный вариант, но как известно аппетит растет во время еды
Если делать все правильным путем, то для того чтобы
запросы передаются админу, в окне админа появляется список кто куда сел, учитель жмёт кнопку "Залогинить всех" или расставляет галочки и жмёт ОК
надо писать таки свою подсистему автентификации, заменять на клиентах msgina.dll на свою прокси-дллку, которая сначала будет читать ключ, и если он есть то передавать полученную инфу на управляющий комп, а если нет - то отображать стандартный запрос на ввод логина/пароля.


А на момент отображения на экране Welcome Screen или SAS можно работать с дискетой?
На указанный момент можно обращаться практически к любым устройствам, в том числе и к сменным (то биш к дискетам, CD, USB, и т.д.)

school
...не....ну если у тебя централизованное управление - то зачем тогда дискеты ?....Примерно можно сделать так (опять же ИМХО) ...Дети сели - учитель на своем компе запускает скрипт, который выводит диалог типа "Компьютер №1 - Пользователь: .." ...Учитель вводит имя "Петя" и жмет ОК - скрипт прописывает на удаленном компе в реестр автологон для Пети и отправляет комп №1 в перезагрузку, после чего Петя автологинится (т.е. сидит и ждет, достает тетрадку, книжку и рогатку из портфеля)....Также и для остальных ....Понятно, что перезагрузка дело небыстрое - но чтобы реестр прочитался, логофа мало ....Вот примерно так ... Можно просто составить список по классам - и скрипт будет читать этот файл-список и логинить целый класс, чтоб не каждого по отдельности ....нужно только заставить детей садиться на свои места ...но это уже педагогика ...

school
Ты от это читал ?
Регистрация с использованием смарт-карт

school
Учитывая, что windows по умолчанию сохраняет и показывает имя последнего пользователя, оно может быть любым, не обязательно очень простым.
Обязательно. Ведь совсем не факт, что последним был именно этот юзер.

Но плодотворная дебютная идея состоит в том, чтобы у каждого был свой перемещаемый профиль.
Свой юзернейм и свой профиль - это хорошо. Вопрос вот в чем: действительно ли необходимо однозначно идентифицировать детишек, или все-таки можно позволить им работать под одним именем?
Пусть 1-4 классы будут "все одинаковые" (хотябы в пределах класса), а остальные - со своими именами/паролями.

Использовать USB, floppy и прочие ключи, включая отпечатки пальцев, может быть проблематично. Что делать с забытыми/потерянными/поломанными ключами и грязными руками?

Осмелюсь повторить мысль насчет управления автологоном из доменных политик. Но, опять же, имеем либо "все под одним именем", либо жесткую привязку юзеров к машинам.