Windows Registry je zbirka konfiguracija, vrijednosti i svojstava Windows aplikacija kao i Windows operacijskog sustava koji je organiziran i pohranjen na hijerarhijski način u jedinstveno spremište.

Kad god se novi program instalira u sustav Windows , u Windows Registry se unosi unos s njegovim atributima kao što su veličina, verzija, lokacija u pohrani itd.

Budući da su ove informacije pohranjene u bazi podataka, ne samo da je operacijski sustav svjestan korištenih resursa, već i druge aplikacije mogu imati koristi od ovih informacija jer su svjesne bilo kakvih sukoba koji bi mogli nastati ako bi se određeni resursi ili datoteke su- postojati.

Što je Windows Registry i kako^(How) radi?

Windows Registry je zapravo srce načina na koji Windows radi. To je jedini operativni sustav koji koristi ovakav pristup središnjeg registra. Ako bismo trebali vizualizirati, svaki dio operacijskog sustava mora komunicirati s Windows Registry , od slijeda pokretanja do nečega tako jednostavnog kao što je preimenovanje imena datoteke.

Jednostavno^(Simply) rečeno, to je samo baza podataka slična onoj u katalogu knjižničnih kartica, gdje su unosi u registar poput hrpe kartica pohranjenih u katalogu kartica. Ključ registra bio bi kartica, a vrijednost registra bila bi važna informacija napisana na toj kartici. Operativni sustav Windows koristi registar za pohranu hrpe informacija koje se koriste za kontrolu i upravljanje našim sustavom i softverom. To može biti bilo što, od informacija o hardveru računala do korisničkih preferencija i vrsta datoteka. Gotovo^(Almost) svaki oblik konfiguracije koji radimo na Windows sustavu uključuje uređivanje registra.

Povijest Windows Registra

U početnim verzijama Windowsa^(Windows) , programeri aplikacija morali su uključiti u zasebnu ekstenziju .ini datoteke zajedno s izvršnom datotekom. Ova .ini datoteka sadržavala je sve postavke, svojstva i konfiguraciju potrebne za ispravan rad zadanog izvršnog programa. Međutim, to se pokazalo vrlo neučinkovitim zbog suvišnosti određenih informacija, a također je predstavljalo sigurnosnu prijetnju izvršnom programu. Kao rezultat toga, nova implementacija standardizirane, centralizirane i sigurne tehnologije bila je očita potreba.

Pojavom Windowsa 3.1^{(Windows 3.1)} , osnovnu verziju ovog zahtjeva ispunila je središnja baza podataka zajednička za sve aplikacije i sustav pod nazivom Windows Registry .

Ovaj je alat, međutim, bio vrlo ograničen, budući da su aplikacije mogle pohraniti samo određene konfiguracijske informacije izvršne datoteke. Tijekom godina, Windows 95 i Windows NT dalje su se razvijali na ovoj osnovi, uvodeći centralizaciju kao temeljnu značajku u novijoj verziji Windows Registry .

Međutim, pohranjivanje podataka u Windows Registry opcija je za programere softvera. Dakle, ako bi programer softverske aplikacije stvorio prijenosnu aplikaciju, od njega se ne traži dodavanje informacija u registar, lokalna pohrana s konfiguracijom, svojstvima i vrijednostima može se kreirati i uspješno isporučiti.

Relevantnost Windows Registry u odnosu na druge operacijske sustave

Windows je jedini operativni sustav koji koristi ovaj pristup središnjem registru. Ako bismo trebali vizualizirati, svaki dio operacijskog sustava mora biti u interakciji s Windows Registry , od slijeda pokretanja do preimenovanja naziva datoteke.

Svi ostali operativni sustavi kao što su iOS, Mac OS , Android i Linux nastavljaju koristiti tekstualne datoteke kao način konfiguriranja operacijskog sustava i mijenjanja ponašanja operacijskog sustava.

U većini varijanti Linuxa^(Linux) , konfiguracijske datoteke se spremaju u .txt formatu, što postaje problem kada moramo raditi s tekstualnim datotekama jer se sve .txt datoteke smatraju kritičnim sistemskim datotekama. Dakle, ako pokušamo otvoriti tekstualne datoteke u ovim operacijskim sustavima, ne bismo ih mogli vidjeti. Ovi operacijski sustavi to pokušavaju sakriti kao sigurnosnu mjeru jer se sve sistemske datoteke kao što su konfiguracije mrežne kartice, vatrozida, operativnog sustava, grafičkog korisničkog sučelja, sučelja video kartice itd. spremaju u ASCII formatu.^{(ASCII format.)}

Kako bi zaobišli ovaj problem, i macOS, kao i iOS, implementirali su potpuno drugačiji pristup proširenju tekstualne datoteke implementacijom ekstenzije .plist^{(.plist extension)} , koja sadrži sve informacije o sustavu i konfiguraciji aplikacije, ali i dalje prednosti posjedovanja jedinstvenog registra nadmašuju jednostavnu promjenu ekstenzije datoteke.

Koje su prednosti Windows Registry ?

Budući da svaki^(Every) dio operacijskog sustava kontinuirano komunicira s Windows Registry , mora biti pohranjen u vrlo brzoj pohrani. Stoga^(Hence) je ova baza podataka dizajnirana za iznimno brzo čitanje i pisanje, kao i učinkovito pohranjivanje.

Ako bismo otvorili i provjerili veličinu baze podataka registra, ona bi obično lebdjela između 15 – 20 megabajta, što je čini dovoljno malom da se uvijek učitava u RAM ( Memorija slučajnog pristupa^{(Random Access Memory)} ) koja je slučajno najbrža dostupna pohrana za operativni sustav.

Budući da se registar uvijek mora učitavati u memoriju, ako je veličina registra velika, neće ostaviti dovoljno prostora za nesmetano ili neometano pokretanje svih drugih aplikacija. To bi bilo štetno za performanse operacijskog sustava, stoga je Windows Registry dizajniran s temeljnim ciljem da bude visoko učinkovit.

Ako postoji više korisnika koji komuniciraju s istim uređajem i postoji veliki broj aplikacija koje koriste uobičajene, ponovna instalacija istih aplikacija dvaput ili više puta bila bi gubitak prilično skupe pohrane. Registar sustava Windows^(Windows) ističe se u ovim scenarijima gdje se konfiguracija aplikacije dijeli među različitim korisnicima.

To ne samo da smanjuje ukupnu pohranu koja se koristi, već i korisnicima daje pristup za unošenje promjena u konfiguraciju aplikacije s jednog priključka za interakciju. To također štedi vrijeme jer korisnik ne mora ručno ići na svaku .ini datoteku lokalne pohrane.

Scenariji s više korisnika^(Multi-User) vrlo su česti u poslovnim postavkama, ovdje postoji snažna potreba za pristupom s privilegijama korisnika. Budući da se ne mogu sve informacije ili resursi podijeliti sa svima, potreba za pristupom korisnika temeljenim na privatnosti lako je implementirana kroz centralizirani Windows registar. Ovdje mrežni administrator zadržava pravo uskratiti ili dopustiti na temelju obavljenog posla. To je jedinstvenu bazu podataka učinilo svestranom i robusnom budući da se ažuriranja mogu provoditi istovremeno s udaljenim pristupom svim registrima više uređaja u mreži.

Kako radi Windows Registry?

Istražimo osnovne elemente Windows Registry prije nego što počnemo prljati ruke.

Registar sustava Windows^{(Windows Registry)} sastoji se od dva osnovna elementa nazvana ključ registra^{(Registry Key)} koji je objekt spremnika ili jednostavno rečeno oni su poput mape u kojoj su pohranjene različite vrste datoteka i vrijednosti registra^{(Registry Values)} koje su objekti koji nisu kontejneri koji su poput datoteka koje može biti bilo kojeg formata.

Također biste trebali znati: ^{(You should also know:)} Kako preuzeti potpunu kontrolu ili vlasništvo nad ključevima registra sustava Windows^{(How to Take Full Control or Ownership of Windows Registry Keys)}

Kako pristupiti Windows Registry?

Možemo pristupiti i konfigurirati Windows Registry pomoću alata za uređivanje registra, Microsoft ^{(Registry Editor)}uključuje^(Microsoft) besplatni uslužni program za uređivanje registra zajedno sa svakom verzijom svog operacijskog sustava Windows^{(Windows Operating System)} .

Ovom uređivaču registra^{(Registry Editor)} može se pristupiti upisivanjem “Regedit” u naredbeni redak^{(Command Prompt)} ili jednostavnim upisivanjem “Regedit” u okvir za pretraživanje ili pokretanje s izbornika Start . Ovaj uređivač je portal za pristup registru sustava Windows^(Windows) i pomaže nam da istražimo i izvršimo promjene u registru. Registar je krovni izraz koji koriste razne datoteke baze podataka koje se nalaze unutar direktorija instalacije sustava Windows^(Windows) .

Je li sigurno uređivati ​​uređivač registra?^{(Is it Safe to edit Registry Editor?)}

Ako ne znate što radite onda je opasno igrati se oko konfiguracije Registry . Kad god uređujete Registar^(Registry) , pazite da slijedite ispravne upute i promijenite samo ono što vam je naloženo da promijenite.

Ako svjesno ili slučajno izbrišete nešto u Windows Registry , to bi moglo promijeniti konfiguraciju vašeg sustava što bi moglo dovesti do plavog zaslona^{(Blue Screen)} smrti ili se ^(Death)Windows neće pokrenuti.

Stoga se općenito preporuča napraviti sigurnosnu kopiju Windows Registra^{(backup Windows Registry)} prije bilo kakvih promjena u njemu. Također možete stvoriti točku vraćanja sustava^{(create a system restore point)} (koja automatski sigurnosno kopira registar^(Registry) ) koja se može koristiti ako ikada trebate promijeniti postavke registra^(Registry) u normalu. Ali ako samo ono što vam se kaže onda ne bi trebao biti problem. U slučaju da trebate znati kako vratiti Windows Registry, ovaj vodič^{(restore Windows Registry then this tutorial)} objašnjava kako to jednostavno učiniti.

Istražimo strukturu Windows Registry

Postoji korisnik na nedostupnoj lokaciji za pohranu koja postoji samo za pristup operativnom sustavu.

Ovi ključevi^(Keys) se učitavaju u RAM tijekom faze pokretanja sustava i stalno se komuniciraju unutar određenog vremenskog intervala ili kada se dogodi određeni događaj ili događaji na razini sustava.

Određeni dio ovih ključeva registra pohranjuje se na tvrdi disk. Ovi ključevi koji su pohranjeni na tvrdom disku nazivaju se košnicama. Ovaj odjeljak registra sadrži ključeve registra, potključeve registra i vrijednosti registra. Ovisno o razini povlastice koju korisnik ima, on bi trebao pristupiti određenim dijelovima ovih ključeva.

Ključevi koji se nalaze na vrhu hijerarhije u registru koji počinje s HKEY smatraju se košnicama.

U Editoru^(Editor) , košnice se nalaze na lijevoj strani zaslona kada se sve tipke pregledavaju bez proširenja. Ovo su ključevi registra koji se pojavljuju kao mape.

Istražimo strukturu ključa registra sustava Windows i njegovih potključeva:

Primjer naziva ključa – “HKEY_LOCAL_MACHINESYSTEMINputBreakloc_0804”

Ovdje se "loc_0804" odnosi na potključ "Break" se odnosi na potključ "Input" koji se odnosi na potključ "SYSTEM" korijenskog ključa HKEY_LOCAL_MACHINE .

Uobičajeni korijenski ključevi u registru sustava Windows^{(Common Root Keys in Windows Registry)}

Svaki od sljedećih ključeva je vlastita pojedinačna košnica, koja sadrži više ključeva unutar ključa najviše razine.

i. HKEY_CLASSES_ROOT

Ovo je košnica registra Windows Registry koja se sastoji od informacija o pridruživanju ekstenzija datoteka, programskog identifikatora^{(programmatic identifier)} ( ProgID ), podataka ID-a sučelja^{(Interface ID)} ( IID ) i ID-a klase (CLSID)^{(Class ID (CLSID))} .

Ova košnica registra  HKEY_CLASSES_ROOT je pristupnik za bilo koju radnju ili događaj koji se odvija u operacijskom sustavu Windows . Pretpostavimo^(Suppose) da želimo pristupiti nekim mp3 datotekama u mapi Preuzimanja . ^(Downloads)Operativni sustav pokreće svoj upit kroz to kako bi poduzeo potrebne radnje.

U trenutku kada pristupite HKEY_CLASSES_ROOT košnici, vrlo je lako biti preopterećen gledajući tako ogroman popis datoteka proširenja. Međutim, to su sami ključevi registra koji čine da Windows funkcionira fluidno

Slijede neki od primjera ključeva registra HKEY_CLASSES_ROOT košnice,^{(HKEY_CLASSES_ROOT)}

HKEY_CLASSES_ROOT\.otf
HKEY_CLASSES_ROOT\.htc
HKEY_CLASSES_ROOT\.img
HKEY_CLASSES_ROOT\.mhtml
HKEY_CLASSES_ROOT\.png
HKEY_CLASSES_ROOT\.dll

Kad god dvaput kliknemo i otvorimo datoteku, recimo fotografiju, sustav šalje upit kroz HKEY_CLASSES_ROOT gdje su jasno navedene upute što učiniti kada se takva datoteka traži. Tako sustav na kraju otvara preglednik fotografija koji prikazuje traženu sliku.

U gornjem primjeru, registar poziva ključeve pohranjene u ključu HKEY_CLASSES_ROOT\.jpgHKEY_CLASSES_ROOT košnica je skupni podatak koji se nalazi u košnici HKEY_LOCAL_MACHINE ( HKEY_LOCAL_MACHINE\Software\Classes ) kao i u  košnici HKEY_CURRENT_USER ( HKEY_CURRENT_USERSoftwareClasses ^{(HKEY_CURRENT_USER)}HKEY_CURRENT_USER\Software\Classes . Dakle, kada ključ registra postoji na dva mjesta, on stvara sukobe. Dakle, podaci pronađeni u HKEY_CURRENT_USER\Software\Classes se koriste u HKEY_ CLASSES_ ROOT . Može se pristupiti otvaranjem tipke HKEY_CLASSES na lijevoj strani zaslona.

ii. HKEY_LOCAL_MACHINE

Ovo je jedna od nekoliko košnica registra koja pohranjuje sve postavke specifične za lokalno računalo. Ovo je globalni ključ u kojem nijedan korisnik ili program ne može uređivati ​​pohranjene informacije. Zbog^(Due) globalne prirode ovog potključa, sve informacije pohranjene u ovoj pohrani su u obliku virtualnog spremnika koji kontinuirano radi na RAM- u. ^(RAM)Većina konfiguracijskih informacija za softver koji su korisnici instalirali, a sam operacijski sustav Windows je zauzet u HKEY_LOCAL_MACHINE . Sav trenutno otkriveni hardver pohranjen je u HKEY_LOCAL_MACHINE košnici.

Također znate kako: ^{(Also know how to:)} popraviti Regedit.exe rušenja prilikom pretraživanja kroz Registry^{(Fix Regedit.exe Crashes when searching through Registry)}

Ovaj ključ registra dalje je podijeljen u 7 potključeva:^{(This registry key is further divided into 7 sub-keys:)}

1. SAM ( Upravitelj sigurnosnih računa^{(Security Accounts Manager)} ) – To je datoteka ključa registra koja pohranjuje korisničke lozinke u zaštićenom formatu (u LM hash i NTLM hash). Hash funkcija je oblik šifriranja koji se koristi za zaštitu podataka o korisničkom računu.

To je zaključana datoteka koja se nalazi u sustavu na adresi C:WINDOWSsystem32config, koja se ne može premjestiti ili kopirati dok je operativni sustav pokrenut.

Windows koristi datoteku ključa registra Upravitelja sigurnosnih računa za provjeru autentičnosti korisnika dok se prijavljuju na svoje ^{(Security Accounts Manager)}Windows račune. Kad god se korisnik prijavi, Windows koristi niz hash algoritama za izračunavanje hash za unesenu lozinku. Ako je hash unesene lozinke jednak hashu lozinke unutar datoteke SAM registra^{(SAM registry file)} , korisnicima će biti dopušten pristup svom računu. Ovo je također datoteka koju većina hakera cilja tijekom napada.

2. Sigurnost^{(2. Security)} (ne može pristupiti osim administratoru) – Ovaj ključ registra je lokalni za račun administrativnog korisnika koji je prijavljen na trenutni sustav. Ako sustavom upravlja bilo koja organizacija, korisnici ne mogu pristupiti ovoj datoteci osim ako korisniku nije izričito dat administrativni pristup. Ako bismo ovu datoteku otvorili bez administrativnih privilegija, ona bi bila prazna. Sada, ako je naš sustav povezan s administrativnom mrežom, ovaj ključ će prema zadanim postavkama postaviti sigurnosni profil lokalnog sustava koji je uspostavila organizacija i kojom aktivno upravlja. Ovaj ključ je povezan sa SAM -om , pa se nakon uspješne autentifikacije, ovisno o razini privilegija korisnika, primjenjuju različita lokalna i grupna pravila^{(group policies)} .

3. Sustav^{(3. System)} (kritični proces pokretanja i druge funkcije kernela) – Ovaj potključ sadrži važne informacije vezane uz cijeli sustav kao što su naziv računala, trenutno montirani hardverski uređaji, datotečni sustav i kakve se automatizirane radnje mogu poduzeti u određenom događaju, recimo tamo je Plavi ekran smrti^{(Blue screen of death)} zbog pregrijavanja CPU -a , postoji logična procedura koju će računalo automatski početi prihvaćati u takvom događaju. Ovoj datoteci mogu pristupiti samo korisnici s dovoljnim administrativnim privilegijama. Kada se sustav pokrene, to je mjesto gdje se svi zapisi dinamički spremaju i čitaju. Različiti parametri sustava kao što su alternativne konfiguracije koje su poznate kao kontrolni skupovi.

4. Softver^{(4. Software )} Ovdje su pohranjene sve konfiguracije softvera treće strane^{(Third-party)} , kao što su plug and play drajveri. Ovaj potključ sadrži softverske i Windows postavke povezane s već postojećim hardverskim profilom koje mogu mijenjati razne aplikacije i instalateri sustava. Programeri softvera^(Software) mogu ograničiti ili dopustiti kojim informacijama pristupaju korisnici kada se njihov softver koristi, to se može postaviti pomoću potključa "Politike" koji provodi opća pravila upotrebe na aplikacijama i uslugama sustava koje uključuju certifikate sustava koji se koriste za provjeru autentičnosti, autorizaciju ili zabranu određenih sustava ili usluga.

5. Hardver^{(5. Hardware)} koji je potključ koji se stvara dinamički tijekom pokretanja sustava

6. Komponente^{(6. Components )} Informacije o konfiguraciji komponenti koje se odnose na uređaj za cijeli sustav možete pronaći ovdje

7. BCD.dat (u mapi oot na sistemskoj particiji) koja je kritična datoteka koju sustav čita i počinje izvršavati tijekom slijeda pokretanja sustava učitavanjem registra u RAM .

iii. HKEY_CURRENT_CONFIG

Glavni razlog postojanja ovog potključa je pohranjivanje video zapisa kao i mrežnih postavki. To bi mogle biti sve informacije koje se odnose na video karticu kao što su razlučivost, brzina osvježavanja, omjer slike itd. kao i mreža

To je također košnica registra, dio Windows Registry , i koja pohranjuje informacije o hardverskom profilu koji se trenutno koristi. HKEY_CURRENT_CONFIG je zapravo pokazivač na HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles\Currentregistry ključ, Ovo je jednostavno pokazivač na trenutno aktivni hardverski profil naveden pod ključem HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles

Dakle , HKEY_ CURRENT_CONFIG nam pomaže vidjeti i modificirati konfiguraciju hardverskog profila trenutnog korisnika, što možemo učiniti kao administrator na bilo kojoj od tri gore navedene lokacije budući da su sve iste.

iv. HKEY_CURRENT_USER

Dio košnica registra koji sadrži postavke pohrane, kao i informacije o konfiguraciji za Windows i softver koji su specifični za trenutno prijavljenog korisnika. Na primjer, razne vrijednosti registra u ključevima registra nalaze se u postavkama na korisničkoj razini košnice HKEY_CURRENT_USER , kao što su raspored tipkovnice, instalirani pisači, pozadina radne površine, postavke zaslona, ​​mapirani mrežni pogoni i još mnogo toga.

Mnoge postavke koje konfigurirate unutar raznih apleta na upravljačkoj ploči^{(Control Panel)} pohranjene su u  košnici registra HKEY_CURRENT_USER . Budući da je košnica HKEY_CURRENT_USER specifična za korisnika, na istom računalu, ključevi i vrijednosti sadržani u njemu će se razlikovati od korisnika do korisnika. Ovo je za razliku od većine drugih košnica registra koje su globalne, što znači da zadržavaju iste informacije za sve korisnike u sustavu Windows^(Windows) .

Klikom na lijevu stranu zaslona uređivača registra dat će nam pristup HKEY_CURRENT_USER . Kao sigurnosna mjera, informacije pohranjene na HKEY_CURRENT_USER samo su pokazivač na ključ smješten ispod HKEY_USERS košnice kao naš sigurnosni identifikator. Promjene napravljene u bilo kojem od područja odmah će stupiti na snagu.

v. HKEY_USERS

Ovo sadrži potključeve koji odgovaraju ključevima HKEY_CURRENT_USER za svaki korisnički profil. Ovo je također jedna od mnogih košnica registra koje imamo u registru sustava Windows^{(Windows Registry)} .

Ovdje se bilježe svi konfiguracijski podaci specifični za korisnika, za sve koji aktivno koriste uređaj te se informacije pohranjuju pod HKEY_USERS . Sve informacije specifične za korisnika pohranjene na sustavu koje odgovaraju određenom korisniku pohranjuju se u košnici HKEY_USERS , možemo jedinstveno identificirati korisnike koristeći sigurnosni identifikator ili SID^{(security identifier or the SID)} koji bilježi sve promjene konfiguracije koje je napravio korisnik.

Svi ovi aktivni korisnici čiji račun postoji u košnici HKEY_USERS , ovisno o privilegiji koju dodjeljuje administrator sustava, mogli bi pristupiti zajedničkim resursima kao što su pisači, lokalna mreža, lokalni pogoni za pohranu, pozadina radne površine itd. Njihov račun ima određeni registar ključeve i odgovarajuće vrijednosti registra pohranjene pod SID -om trenutnog korisnika .

Što se tiče forenzičkih informacija, svaki SID pohranjuje ogromnu količinu podataka o svakom korisniku jer bilježi svaki događaj i radnju koja se poduzima pod korisničkim računom. To uključuje korisničko ime^(Name) , broj puta kada se korisnik prijavio na računalo, datum i vrijeme posljednje prijave, datum i vrijeme zadnje promjene lozinke, broj neuspjelih prijava i tako dalje. Osim toga, sadrži i informacije o registru kada se Windows učitava i sjedne na upit za prijavu.

Preporučeno: ^{(Recommended:)} popravi Uređivač registra je prestao raditi^{(Fix The Registry editor has stopped working)}

Ključevi registra za zadanog korisnika pohranjeni su u datoteci ntuser.dat unutar profila, da bismo to morali učitati kao košnicu koristeći regedit da bismo dodali postavke za zadanog korisnika.

Vrste podataka koje možemo očekivati ​​u Windows Registry^{(Types of data we can expect to find in the Windows Registry)}

Svi gore navedeni ključevi i potključevi imat će konfiguracije, vrijednosti i svojstva spremljene u bilo kojoj od sljedećih vrsta podataka, obično je kombinacija sljedećih tipova podataka koja čini cijeli naš Windows registar.

• Vrijednosti niza kao što je Unicode ​koji^{(Unicode ​which)} je standard računalne industrije za dosljedno kodiranje, predstavljanje i rukovanje tekstom izraženim u većini svjetskih sustava pisanja.
• Binarni podaci
• Neoznačeni cijeli brojevi
• Simboličke veze
• Višestruke vrijednosti
• Popis resursa^(Resource) ( Plug and Play hardver)
• ^(Resource)Deskriptor resursa ( Plug and Play hardver)
• 64-bitni cijeli brojevi

Zaključak^(Conclusion)

Registar sustava Windows^{(Windows Registry)} nije bio ništa manje od revolucije, koji ne samo da je smanjio sigurnosni rizik koji je proizašao korištenjem tekstualnih datoteka kao proširenja datoteke za spremanje konfiguracije sustava i aplikacije, već je također smanjio broj konfiguracijskih ili .ini datoteka koje su programeri aplikacije morali isporučiti sa svojim softverskim proizvodom. Prednosti centraliziranog spremišta za pohranjivanje podataka kojima se često pristupa kako od strane sustava tako i od softvera koji radi na sustavu vrlo su očite.

Jednostavnost korištenja kao i pristup raznim prilagodbama i postavkama na jednom središnjem mjestu također je učinila Windows preferiranom platformom za desktop aplikacije od strane raznih programera. To je vrlo očito ako usporedite veliku količinu dostupnih desktop softverskih aplikacija za Windows s Appleovim macOS-om. Ukratko, raspravljali smo o tome kako funkcionira Windows Registry i njegovoj strukturi datoteka i značaju različitih konfiguracija ključeva registra, kao i o potpunom korištenju uređivača registra.

What is the Windows Registry & How it Works?

Windows Registry is a cоllection of cоnfigυrаtions, values, and prоperties of windоwѕ aрplications as well as the windows operating systеm which is organized and stored in a hierarchical manner in a singular repository.

Whenever a new program gets installed in the Windows system, an entry is made in the Windows Registry with its attributes such as size, version, location in the storage, etc.

Because, this information has been stored in the database, not only the operating system is aware of the resources utilized, other applications can also benefit from this information since they are aware of any conflicts that may arise if certain resources or files were to co-exist.

What is the Windows Registry & How it Works?

The Windows Registry is really the heart of the way Windows works. It is the only operating system that uses this approach of a central registry. If we were to visualize, every part of the operating system has to interact with the Windows Registry right from the booting sequence to something as simple as renaming the file’s name.

Simply put, it is just a database similar to that of a library card catalog, where the entries in the registry are like a stack of cards stored in the card catalog. A registry key would be a card and a registry value would be the important information written on that card. The Windows operating system uses the registry to store a bunch of information that’s used to control and manage our system and software. This can be anything from PC hardware information to user preferences and file types. Almost any form of configuration that we do to a Windows system involves editing the registry.

History of Windows Registry

In the initial versions of Windows, application developers had to include in a separate .ini file extension along with the executable file. This .ini file contained all the settings, properties and configuration required for the given executable program to function properly. However, this proved very inefficient due to the redundancy of certain information and it also posed a security threat to the executable program. As a result, a new implementation of standardized, centralized as well as secure technology was an apparent necessity.

With the advent of Windows 3.1, a bare-bones version of this demand was met with a central database common to all the applications and system called the Windows Registry.

This tool, however, was very limited, since the applications could only store certain configuration information of an executable. Over the years, Windows 95 and Windows NT further developed on this foundation, introduced centralization as the core feature in the newer version of Windows Registry.

That said, storing information in Windows Registry is an option for software developers. So, if a software application developer were to create a portable application, he is not required to add information to the registry, local storage with the configuration, properties, and values can be created and successfully shipped.

The relevance of Windows Registry with respect to other operating systems

Windows is the only operating system that uses this approach of a central registry. If we were to visualize, every part of the operating system has to interact with the Windows Registry right from the booting sequence to the renaming of a file name.

All other operating systems such as iOS, Mac OS, Android, and Linux continue to use text files as a way of configuring the operating system and modifying the operating system behavior.

In most of the Linux variants, the configuration files are saved in the .txt format, this becomes an issue when we have to work with the text files since all the .txt files are considered as critical system files. So if we try to open the text files in these operating systems, we wouldn’t be able to view it. These operating systems try to hide it as a security measure since all the system files such as configurations of the network card, firewall, operating system, graphical user interface, video cards interface, etc. are saved in the ASCII format.

To circumvent this issue both macOS, as well as iOS, deployed a completely different approach to the text file extension by implementing .plist extension, which contains all of the system as well as application configuration information but still the benefits of having a singular registry far outweigh the simple change of file extension.

What are the benefits of the Windows Registry?

Because Every part of the operating system continuously communicates with the Windows Registry, it must be stored in very fast storage. Hence, this database was designed for extremely fast reads and writes as well as efficient storage.

If we were to open and check the size of the registry database, it would typically hover between 15 – 20 megabytes which make it small enough to be always loaded into the RAM (Random Access Memory) that co-incidentally is the fastest storage available for the operating system.

Since the registry needs to be loaded in memory at all times, if the size of the registry is large it won’t leave enough room for all other applications to run smoothly or run at all. This would be detrimental to the performance of the operating system, hence the Windows Registry is designed with a core objective of being highly efficient.

If there are multiple users interacting with the same device and there are a number of applications that they use are common, the reinstallation of the same applications twice or multiple times would be a waste of rather expensive storage. Windows registry excels in these scenarios where the application configuration is shared among various users.

This not only reduces the total storage used but also gives its users access to make changes to the application’s configuration from one single interaction port. This also saves time since the user doesn’t have to manually go to every local storage .ini file.

Multi-User scenarios are very common in enterprise setups, here, there is a strong need for user privilege access. Since not all the information or resources can be shared with everyone, the need for privacy-based user access was easily implemented through the centralized windows registry. Here the network administrator reserves the right to withhold or allow based on the work undertaken. This made the singular database versatile as well made it robust since the updates can be undertaken simultaneously with remote access to all of the registries of multiple devices in the network.

How does Windows Registry Works?

Let’s explore the basics elements of the Windows Registry before we start getting our hands dirty.

The Windows Registry is made up of two basic elements called the Registry Key which is a container object or simply put they are like a folder that has various types of files stored in them and Registry Values which are non-container objects that are like files that could be of any format.

You should also know: How to Take Full Control or Ownership of Windows Registry Keys

How to access the Windows Registry?

We can access and configure the Windows Registry using a Registry Editor tool, Microsoft includes a free registry editing utility along with every version of its Windows Operating System.

This Registry Editor can be accessed by typing “Regedit” in the Command Prompt or by simply typing “Regedit” in the search or run box from the Start menu. This editor is the portal to access the Windows registry, and it helps us to explore and make changes to the registry. The registry is the umbrella term used by various database files located within the directory of the Windows installation.

Is it Safe to edit Registry Editor?

If you don’t know what you’re doing then it is dangerous to play around Registry configuration. Whenever you edit the Registry, make sure you follow the correct instructions and only change what you’re instructed to change.

If you knowingly or accidentally delete something in the Windows Registry then it could alter your system’s configuration which could either lead to Blue Screen of Death or Windows won’t boot.

So it is generally recommended to backup Windows Registry before making any changes to it. You can also create a system restore point (which automatically backup the Registry) that can be used if you ever need to alter the Registry settings back to normal. But if you only what you’re told then it shouldn’t be any problem. In case you need to know how to restore Windows Registry then this tutorial explains how to do so easily.

Let’s explore the structure of the Windows Registry

There is a user in an inaccessible storage location that exists for only the operating system’s access.

These Keys are loaded on to the RAM during the system boot stage and are constantly being communicated within a certain interval of time or when a certain system-level event or events take place.

A certain portion of these registry keys gets stored in the hard disk. These keys that are stored in the hard disk are called hives. This section of the registry contains registry keys, registry subkeys, and registry values. Depending on the level of the privilege a user has been granted, he would be to access certain parts of these keys.

The keys that are at the peak of the hierarchy in the registry that begins with HKEY are considered to be hives.

In the Editor, the hives are located on the left side of the screen when all the keys are viewed without expanding. These are the registry keys that appear as folders.

Let’s explore the structure of the windows registry key and its subkeys:

Example of a key name – “HKEY_LOCAL_MACHINE\SYSTEM\Input\Break\loc_0804”

Here the “loc_0804” refers to the subkey “Break” refers to the subkey “Input” which refers to the subkey “SYSTEM” of the HKEY_LOCAL_MACHINE root key.

Common Root Keys in Windows Registry

Each of the following keys is its own individual hive, which comprises more keys within the top-level key.

i. HKEY_CLASSES_ROOT

This is the registry hive of the Windows Registry which consists of file extension association information, programmatic identifier (ProgID), Interface ID (IID) data, and Class ID (CLSID).

This registry hive  HKEY_CLASSES_ROOT is the gateway for any action or event to take place in the Windows operating system. Suppose we want to access some mp3 files in the Downloads folder. The operating system runs its query through this to take the required actions.

The moment you access the HKEY_CLASSES_ROOT hive, it is really easy to get overwhelmed looking at such a massive list of extension files. However, these are the very registry keys that make windows function fluidly

Following are some of the examples of HKEY_CLASSES_ROOT hive registry keys,

HKEY_CLASSES_ROOT\.otf
HKEY_CLASSES_ROOT\.htc
HKEY_CLASSES_ROOT\.img
HKEY_CLASSES_ROOT\.mhtml
HKEY_CLASSES_ROOT\.png
HKEY_CLASSES_ROOT\.dll

Whenever we double-click and open a file lets say a photo, the system sends the query through the HKEY_CLASSES_ROOT where the instructions on what to do when such a file is requested are clearly given. So the system ends up opening a photo viewer displaying the requested image.

In the above example, the registry makes a call to the keys stored in the HKEY_CLASSES_ROOT\.jpg key. The HKEY_CLASSES_ROOT hive is a collective data found in both the HKEY_LOCAL_MACHINE hive (HKEY_LOCAL_MACHINE\Software\Classes) as well as the HKEY_CURRENT_USER hive (HKEY_CURRENT_USER\Software\Classes). So when the registry key exists in two locations it creates conflicts. So the data found in HKEY_CURRENT_USER\Software\Classes is used in HKEY_ CLASSES_ ROOT. It can be accessed by opening the HKEY_CLASSES key on the left side of the screen.

ii. HKEY_LOCAL_MACHINE

This is one of the several registry hives that stores all the settings that are specific to the local computer. This is a global key where the information stored cannot be edited by any user or program. Due to the global nature of this subkey, all the information stored in this storage is in the form of a virtual container running on the RAM continuously. The majority of the configuration information for the software users have installed and the Windows operating system itself is occupied in HKEY_LOCAL_MACHINE. All of the currently detected hardware is stored in the HKEY_LOCAL_MACHINE hive.

Also know how to: Fix Regedit.exe Crashes when searching through Registry

This registry key is further divided into 7 sub-keys:

1. SAM (Security Accounts Manager) – It is a registry key file that stores users’ passwords in a secured format (in LM hash and NTLM hash). A hash function is a form of encryption used to protect the users’ account information.

It is a locked file that is located in the system at C:\WINDOWS\system32\config, which cannot be moved or copied when the operating system is running.

Windows uses the Security Accounts Manager registry key file to authenticate users while they log into their Windows accounts. Whenever a user logs in, Windows uses a series of hash algorithms to calculate a hash for the password that has been entered. If the entered password’s hash is equal to the password hash inside the SAM registry file, users will be allowed to access their account. This also a file that most of the hackers target while performing an attack.

2. Security (not accessible except by administrator) – This registry key is local to the account of the administrative user who is logged in to the current system. If the system is managed by any organization the users cannot access this file unless administrative access has been explicitly given to a user. If we were to open this file without administrative privilege it would be blank. Now, if our system is connected to an administrative network, this key will default to the local system security profile established and actively managed by the organization. This key is linked to the SAM, so upon successful authentication, depending on the privilege level of the user, a variety of local and group policies are applied.

3. System (critical boot process and other kernel functions) –  This subkey contains important information related to the entire system such as computer name, currently mounted hardware devices, filesystem and what kind of automated actions can be taken in a certain event, say there is Blue screen of death due to CPU overheating, there is a logical procedure that the computer will automatically start taking in such an event. This file is only accessible by users with sufficient administrative privileges. When the system boots this is where all the logs get dynamically get saved and read upon. Various system parameters such as alternative configurations which are known as control sets.

4. Software All the Third-party software configurations such as plug and play drivers are stored here. This subkey contains software and Windows settings linked to the preexisting hardware profile that can be changed by various applications and system installers. Software developers get to limit or allow what information gets accessed by the users when their software is being used, this can be set using the “Policies” subkey that enforces the general usage policies on applications and system services that include the system certificates that is used to authenticate, authorize or disallow certain systems or services.

5. Hardware which is a subkey that is created dynamically during the system boot

6. Components system-wide device-specific component configuration information can be found here

7. BCD.dat (in the \boot folder in the system partition) which is a critical file that the system reads and starts executing during the system boot sequence by loading the registry to the RAM.

iii. HKEY_CURRENT_CONFIG

The main reason for the existence of this subkey is to store video as well as network settings. That could be all the information pertaining to the video card such as the resolution, refresh rate, aspect ratio, etc. as well as the network

It is also a registry hive, part of the Windows Registry, and which stores information about the hardware profile currently being used. HKEY_CURRENT_CONFIG is actually a pointer to the HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles\Currentregistry key, This is simply a pointer to the currently active hardware profile listed under the HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles key.

So HKEY_ CURRENT_CONFIG helps us to view and modify the configuration of the current user’s hardware profile, which we can do as an administrator in any of the three locations as listed above since they are all the same.

iv. HKEY_CURRENT_USER

Part of the registry hives that contains store settings as well as configuration information for Windows and software that are specific to the currently logged-in user. For example, a variety of registry values in the registry keys are located in the HKEY_CURRENT_USER hive control user-level settings such as the keyboard layout, printers installed, desktop wallpaper, display settings, mapped network drives, and more.

Many of the settings you configure within various applets in the Control Panel are stored in the HKEY_CURRENT_USER registry hive. Because the HKEY_CURRENT_USER hive is user-specific, on the same computer, the keys and values contained in it will differ from user to user. This is unlike most other registry hives that are global, meaning they retain the same information across all users in Windows.

Clicking on the left side of the screen on the registry editor will give us access to HKEY_CURRENT_USER. As a security measure, the information stored on HKEY_CURRENT_USER is just a pointer to key positioned under the HKEY_USERS hive as our security identifier. Changes made to either of the areas will take effect immediately.

v. HKEY_USERS

This contains subkeys corresponding to the HKEY_CURRENT_USER keys for each user profile. This is also one of many registry hives that we have in the Windows Registry.

All the user-specific configuration data is logged here, for everyone who is actively using the device that kind information is stored under HKEY_USERS. All the user-specific information stored on the system that corresponds to a particular user is stored under the HKEY_USERS hive, we can uniquely identify the users utilizing the security identifier or the SID that logs all the configuration changes made by the user.

All of these active users whose account exist in the HKEY_USERS hive depending on the privilege granted by the system administrator would be able to access the shared resources such as printers, local network, local storage drives, desktop background, etc.  Their account has certain registry keys and corresponding registry values stored under the current user’s SID.

In terms of forensic information each SID stores a huge amount of data on every user as it makes a log of every event and action get undertaken under the user’s account. This includes the User’s Name, the number of times the user logged onto the computer, the date and time of the last login, the date and time the last password was changed, number of failed logins, and so on. Additionally, it also contains the registry information for when Windows loads and sits at the login prompt.

Recommended: Fix The Registry editor has stopped working

The registry keys for the default user are stored in the file ntuser.dat within the profile, that we would have to load this as a hive using regedit to add settings for the default user.

Types of data we can expect to find in the Windows Registry

All of the above-discussed keys and subkeys will have the configurations, values, and properties saved in any of the following data types, usually, it is a combination of the following data types that makes up our entire windows registry.

• String values such as Unicode ​which is a computing industry standard for the consistent encoding, representation, and handling of text expressed in most of the world’s writing systems.
• Binary data
• Unsigned integers
• Symbolic links
• Multi-string values
• Resource list (Plug and Play hardware)
• Resource descriptor (Plug and Play hardware)
• 64-bit integers

Conclusion

Windows Registry has been nothing less of a revolution, which not only minimized the security risk that came by using text files as a file extension to save the system and application configuration but it also reduced the number of configuration or .ini files that the application developers had to ship with their software product. The benefits of having a centralized repository to store frequently accessed data by both the system as well as the software that runs on the system are very evident.

The ease of use as well as the access to various customizations and settings in one central place has also made windows the preferred platform for desktop applications by various software developers. This is very evident if you compare the sheer volume of available desktop software applications of windows to Apple’s macOS. To summarize, we discussed how the Windows Registry works and its file structure and the significance of various registry key configurations as well as to use the registry editor to the complete effect.

Related posts

• Regbak vam omogućuje jednostavno sigurnosno kopiranje i vraćanje Windows Registry

• Registry Live Watch prati promjene u Windows Registry uživo

• Besplatni program za defragmentaciju registra za defragmentaciju Windows Registra

• Spriječite deinstalaciju Chromeovih proširenja pomoću registra sustava Windows

• 3 načina da onemogućite Windows Registry -

• Problem s curenjem memorije u usluzi Remote Registry Service uzrokuje da Windows visi

• Kako promijeniti vrijeme za zaključavanje miša pomoću uređivača registra u sustavu Windows

• Kako komprimirati napuhane košnice registra u Windows Serveru

• Kako pregledavati i uređivati ​​registar iz Explorera u sustavu Windows

• Registry Life je besplatan alat za čišćenje i optimizaciju registra za Windows

• Kako pratiti i pratiti promjene registra u sustavu Windows 11/10

• Onemogućite odgodu pokretanja sustava Windows pomoću ključa registra StartupDelayInMSec

• Popis putova za pokretanje, mapa i postavki registra u sustavu Windows 11/10

• Što je Windows registar (i što možete učiniti s njim)?

• Popravi Windows nije mogao učitati pogrešku registra

• RegCool je napredni softver za uređivanje registra za Windows 11/10

• Kako provjeriti ima li u registru zlonamjernog softvera u sustavu Windows 11/10

• Kako onemogućiti opciju prijave zaporkom slike u sustavu Windows 11/10

• Kako preuzeti vlasništvo i potpunu kontrolu nad ključevima registra u sustavu Windows 11/10

• Kako vratiti REGEDIT na zadane postavke u sustavu Windows 11/10