Реестр^(Registry) Windows — это набор конфигураций, значений и свойств приложений Windows, а также операционной системы Windows, которые организованы и хранятся иерархическим образом в отдельном репозитории.

Всякий раз, когда новая программа устанавливается в системе Windows , в ^(Windows)реестре^{(Windows Registry)} Windows создается запись с такими атрибутами, как размер, версия, расположение в хранилище и т. д.

Поскольку эта информация хранится в базе данных, не только операционная система знает об используемых ресурсах, другие приложения также могут извлечь выгоду из этой информации, поскольку они знают о любых конфликтах, которые могут возникнуть, если определенные ресурсы или файлы будут использоваться совместно. существовать.

Что такое реестр Windows^{(Windows Registry)} и как^(How) он работает?

Реестр Windows^{(Windows Registry)} действительно является сердцем работы Windows . Это единственная операционная система, использующая такой подход к центральному реестру. Если представить себе, каждая часть операционной системы должна взаимодействовать с реестром Windows^{(Windows Registry)} , начиная с последовательности загрузки и заканчивая чем-то таким простым, как переименование имени файла.

Проще^(Simply) говоря, это просто база данных, похожая на базу данных библиотечного карточного каталога, где записи в реестре похожи на стопку карточек, хранящихся в карточном каталоге. Ключом реестра будет карта, а значением реестра будет важная информация, записанная на этой карте. Операционная система Windows использует реестр для хранения большого количества информации, используемой для контроля и управления нашей системой и программным обеспечением. Это может быть что угодно: от информации об оборудовании ПК до пользовательских настроек и типов файлов. Почти^(Almost) любая форма конфигурации, которую мы делаем с системой Windows , включает в себя редактирование реестра.

История реестра Windows

В начальных версиях Windows разработчикам приложений приходилось включать отдельное расширение файла .ini вместе с исполняемым файлом. Этот файл .ini содержал все настройки, свойства и конфигурацию, необходимые для правильной работы данной исполняемой программы. Однако это оказалось очень неэффективным из-за избыточности определенной информации, а также представляло угрозу безопасности исполняемой программы. В результате новая реализация стандартизированной, централизованной, а также безопасной технологии стала очевидной необходимостью.

С появлением Windows 3.1 упрощенная версия этого требования была удовлетворена с помощью центральной базы данных, общей для всех приложений и системы, называемой реестром Windows^{(Windows Registry)} .

Однако этот инструмент был очень ограничен, поскольку приложения могли хранить только определенную информацию о конфигурации исполняемого файла. С годами Windows 95 и Windows NT получили^{(Windows NT)} дальнейшее развитие на этом фундаменте и представили централизацию в качестве основной функции в более новой версии реестра Windows^{(Windows Registry)} .

Тем не менее, хранение информации в реестре Windows^{(Windows Registry)} — это вариант для разработчиков программного обеспечения. Таким образом, если разработчик программного приложения должен создать переносимое приложение, ему не требуется добавлять информацию в реестр, локальное хранилище с конфигурацией, свойствами и значениями может быть создано и успешно доставлено.

Актуальность реестра Windows^{(Windows Registry)} по отношению к другим операционным системам

Windows — единственная операционная система, использующая такой подход к центральному реестру. Если представить себе, каждая часть операционной системы должна взаимодействовать с реестром Windows^{(Windows Registry)} , начиная с последовательности загрузки и заканчивая переименованием имени файла.

Все другие операционные системы, такие как iOS, Mac OS , Android и Linux , продолжают использовать текстовые файлы как способ настройки операционной системы и изменения поведения операционной системы.

В большинстве вариантов Linux файлы конфигурации сохраняются в формате .txt , это становится проблемой, когда нам приходится работать с текстовыми файлами, поскольку все файлы .txt считаются критическими системными файлами. Поэтому, если мы попытаемся открыть текстовые файлы в этих операционных системах, мы не сможем их просмотреть. Эти операционные системы пытаются скрыть это в качестве меры безопасности, поскольку все системные файлы, такие как конфигурации сетевой карты, брандмауэра, операционной системы, графического пользовательского интерфейса, интерфейса видеокарты и т. д., сохраняются в формате ASCII.^{(ASCII format.)}

Чтобы обойти эту проблему, как macOS, так и iOS развернули совершенно другой подход к расширению текстового файла, реализовав расширение .plist^{(.plist extension)} , которое содержит всю информацию о системе, а также информацию о конфигурации приложения, но все еще далеко от преимуществ наличия единого реестра. перевешивают простое изменение расширения файла.

Каковы преимущества реестра Windows^{(Windows Registry)} ?

Поскольку каждая^(Every) часть операционной системы постоянно взаимодействует с реестром Windows^{(Windows Registry)} , она должна храниться в очень быстром хранилище. Следовательно^(Hence) , эта база данных была разработана для чрезвычайно быстрого чтения и записи, а также для эффективного хранения.

Если бы мы открыли и проверили размер базы данных реестра, он обычно колебался бы между 15-20 мегабайтами, что делает его достаточно маленьким, чтобы всегда загружаться в ОЗУ^(RAM) ( оперативное запоминающее устройство^{(Random Access Memory)} ), которое, кстати, является самым быстрым хранилищем, доступным для операционная система.

Поскольку реестр должен постоянно загружаться в память, если размер реестра велик, в нем не останется достаточно места для бесперебойной работы всех других приложений или вообще для их запуска. Это могло бы нанести ущерб производительности операционной системы, поэтому реестр Windows^{(Windows Registry)} разработан с основной целью - быть высокоэффективным.

Если есть несколько пользователей, взаимодействующих с одним и тем же устройством, и есть ряд приложений, которые они используют часто, повторная установка одних и тех же приложений дважды или несколько раз будет пустой тратой довольно дорогого хранилища. Реестр Windows^(Windows) превосходен в этих сценариях, когда конфигурация приложения используется несколькими пользователями.

Это не только уменьшает общий объем используемого хранилища, но также дает пользователям доступ для внесения изменений в конфигурацию приложения с одного единственного порта взаимодействия. Это также экономит время, поскольку пользователю не нужно вручную обращаться к каждому .ini - файлу локального хранилища.

Многопользовательские^(Multi-User) сценарии очень распространены в корпоративных установках, здесь существует острая необходимость в доступе с привилегиями пользователя. Поскольку не вся информация или ресурсы могут быть доступны всем, потребность в доступе пользователей на основе конфиденциальности была легко реализована через централизованный реестр Windows. Здесь сетевой администратор оставляет за собой право отказать или разрешить в зависимости от проделанной работы. Это сделало единую базу данных универсальной, а также сделало ее надежной, поскольку обновления могут выполняться одновременно с удаленным доступом ко всем реестрам нескольких устройств в сети.

Как работает реестр Windows?

Прежде чем запачкать руки , давайте изучим основные элементы реестра Windows .^{(Windows Registry)}

Реестр Windows^{(Windows Registry)} состоит из двух основных элементов, называемых ключом реестра^{(Registry Key)} , который представляет собой объект-контейнер или, проще говоря, похож на папку, в которой хранятся различные типы файлов, и значениями реестра^{(Registry Values)} , которые представляют собой неконтейнерные объекты, похожие на файлы, которые может быть любого формата.

Вы также должны знать: ^{(You should also know:)} Как получить полный контроль или право собственности на ключи реестра Windows^{(How to Take Full Control or Ownership of Windows Registry Keys)}

Как получить доступ к реестру Windows?

Мы можем получить доступ и настроить реестр Windows^{(Windows Registry)} с помощью инструмента редактора реестра^{(Registry Editor)} , Microsoft включает бесплатную утилиту редактирования реестра вместе с каждой версией своей операционной системы Windows^{(Windows Operating System)} .

Доступ к этому редактору реестра^{(Registry Editor)} можно получить, введя «Regedit» в командной строке^{(Command Prompt)} или просто введя «Regedit» в поле поиска или запуска в меню « Пуск^(Start) » . Этот редактор является порталом для доступа к реестру Windows и помогает нам исследовать реестр и вносить в него изменения. ^(Windows)Реестр — это общий термин, используемый для различных файлов базы данных, расположенных в каталоге установки Windows .

Безопасно ли редактировать редактор реестра?^{(Is it Safe to edit Registry Editor?)}

Если вы не знаете, что делаете, то играть с конфигурацией реестра опасно. ^(Registry)Всякий раз, когда вы редактируете реестр^(Registry) , убедитесь, что вы следуете правильным инструкциям и меняете только то, что вам указано.

Если вы намеренно или случайно удалите что-то в реестре Windows^{(Windows Registry)} , это может изменить конфигурацию вашей системы, что может привести либо к « синему ^(Death)экрану^{(Blue Screen)} смерти» , либо к тому, что Windows не загрузится.

Поэтому обычно рекомендуется сделать резервную копию реестра Windows^{(backup Windows Registry)} , прежде чем вносить в него какие-либо изменения. Вы также можете создать точку восстановления системы^{(create a system restore point)} (которая автоматически создает резервную копию реестра^(Registry) ), которую можно использовать, если вам когда-нибудь понадобится изменить настройки реестра^(Registry) на нормальные. Но если вы только то, что вам говорят, то это не должно быть никаких проблем. Если вам нужно знать, как восстановить реестр Windows, в этом руководстве^{(restore Windows Registry then this tutorial)} объясняется, как это сделать легко.

Давайте изучим структуру реестра Windows .^{(Windows Registry)}

Существует пользователь в недоступном месте хранения, которое существует только для доступа операционной системы.

Эти ключи^(Keys) загружаются в оперативную память^(RAM) на этапе загрузки системы и постоянно передаются в течение определенного интервала времени или при возникновении определенного события или событий системного уровня.

Определенная часть этих разделов реестра хранится на жестком диске. Эти ключи, хранящиеся на жестком диске, называются кустами. Этот раздел реестра содержит разделы реестра, подразделы реестра и значения реестра. В зависимости от уровня привилегий, предоставленных пользователю, он будет иметь доступ к определенным частям этих ключей.

Ключи, находящиеся на вершине иерархии в реестре, которая начинается с HKEY , считаются кустами.

В Редакторе^(Editor) ульи расположены в левой части экрана, когда все клавиши просматриваются без расширения. Это разделы реестра, которые отображаются в виде папок.

Давайте изучим структуру раздела реестра Windows и его подразделов:

Пример имени ключа — «HKEY_LOCAL_MACHINESYSTEMInputBreakloc_0804»

Здесь «loc_0804» относится к подразделу «Break» относится к подразделу «Input», который относится к подразделу «SYSTEM» корневого ключа HKEY_LOCAL_MACHINE .

Общие корневые ключи в реестре Windows^{(Common Root Keys in Windows Registry)}

Каждый из следующих ключей — это отдельный куст, который содержит больше ключей внутри ключа верхнего уровня.

я. HKEY_CLASSES_ROOT

Это куст реестра Windows^{(Windows Registry)} , который состоит из информации об ассоциации расширений файлов, программного идентификатора^{(programmatic identifier)} ( ProgID ), данных идентификатора интерфейса^{(Interface ID)} ( IID ) и идентификатора класса (CLSID)^{(Class ID (CLSID))} .

Этот куст реестра  HKEY_CLASSES_ROOT является шлюзом для любого действия или события, происходящего в операционной системе Windows . Предположим^(Suppose) , мы хотим получить доступ к некоторым файлам mp3 в папке « Загрузки^(Downloads) ». Операционная система запускает свой запрос через это, чтобы предпринять необходимые действия.

В тот момент, когда вы получаете доступ к кусту HKEY_CLASSES_ROOT^{(HKEY_CLASSES_ROOT)} , очень легко растеряться, глядя на такой огромный список файлов расширений. Однако именно эти ключи реестра обеспечивают бесперебойную работу Windows.

Ниже приведены некоторые примеры ключей реестра куста HKEY_CLASSES_ROOT .

HKEY_CLASSES_ROOT\.otf
HKEY_CLASSES_ROOT\.htc
HKEY_CLASSES_ROOT\.img
HKEY_CLASSES_ROOT\.mhtml
HKEY_CLASSES_ROOT\.png
HKEY_CLASSES_ROOT\.dll

Всякий раз, когда мы дважды щелкаем и открываем файл, скажем, фотографию, система отправляет запрос через HKEY_CLASSES_ROOT , где четко даны инструкции о том, что делать, когда запрашивается такой файл. Таким образом, система открывает средство просмотра фотографий, отображающее запрошенное изображение.

В приведенном выше примере реестр обращается к ключам, хранящимся в ключе HKEY_CLASSES_ROOT\.jpgКуст HKEY_CLASSES_ROOT — это коллективные данные, находящиеся как в кусте HKEY_LOCAL_MACHINE^{(HKEY_LOCAL_MACHINE)} ( HKEY_LOCAL_MACHINE\Software\Classes ), так и в  кусте HKEY_CURRENT_USER^{(HKEY_CURRENT_USER)} ( HKEY_CURRENT_USER\Software\Classes ). Поэтому, когда раздел реестра существует в двух местах, это создает конфликты. Таким образом, данные, найденные в HKEY_CURRENT_USER\Software\Classes , используются в HKEY_CLASSES_ROOT . Доступ к нему можно получить, открыв ключ HKEY_CLASSES в левой части экрана.

II. HKEY_LOCAL_MACHINE

Это один из нескольких кустов реестра, в котором хранятся все параметры, относящиеся к локальному компьютеру. Это глобальный ключ, в котором сохраненная информация не может быть изменена ни одним пользователем или программой. Из^(Due) -за глобального характера этого подраздела вся информация, хранящаяся в этом хранилище, находится в форме виртуального контейнера, постоянно работающего в оперативной памяти^(RAM) . Большая часть информации о конфигурации установленного пользователями программного обеспечения и самой операционной системы Windows находится в HKEY_LOCAL_MACHINE . Все обнаруженное в данный момент оборудование хранится в кусте HKEY_LOCAL_MACHINE^{(HKEY_LOCAL_MACHINE)} .

Также узнайте, как: ^{(Also know how to:)} исправить сбои Regedit.exe при поиске в реестре .^{(Fix Regedit.exe Crashes when searching through Registry)}

Этот раздел реестра далее делится на 7 подразделов:^{(This registry key is further divided into 7 sub-keys:)}

1. SAM ( менеджер учетных записей безопасности^{(Security Accounts Manager)} ) — это ключевой файл реестра, в котором хранятся пароли пользователей в защищенном формате (в хэше LM и хэше NTLM ). Хэш-функция — это форма шифрования, используемая для защиты информации учетной записи пользователя.

Это заблокированный файл, расположенный в системе по адресу C:WINDOWSsystem32config, который нельзя переместить или скопировать во время работы операционной системы.

Windows использует файл ключа реестра Security Accounts Manager для аутентификации пользователей при входе в свои учетные записи Windows . Всякий раз, когда пользователь входит в систему, Windows использует ряд хеш-алгоритмов для вычисления хеш-функции для введенного пароля. Если введенный хэш пароля равен хешу пароля в файле реестра SAM^{(SAM registry file)} , пользователям будет разрешен доступ к их учетной записи. Это также файл, на который нацелено большинство хакеров при выполнении атаки.

2. Безопасность^{(2. Security)} (доступен только администратору) — этот раздел реестра является локальным для учетной записи администратора, вошедшего в текущую систему. Если система управляется какой-либо организацией, пользователи не могут получить доступ к этому файлу, если пользователю явно не предоставлен административный доступ. Если бы мы открыли этот файл без прав администратора, он был бы пустым. Теперь, если наша система подключена к административной сети, этот ключ по умолчанию будет соответствовать профилю безопасности локальной системы, установленному и активно управляемому организацией. Этот ключ привязан к SAM , поэтому при успешной аутентификации в зависимости от уровня привилегий пользователя применяются различные локальные и групповые политики .^{(group policies)}

3. Система^{(3. System)} (критический процесс загрузки и другие функции ядра) — этот подраздел содержит важную информацию, относящуюся ко всей системе, такую ​​как имя компьютера, установленные в настоящее время аппаратные устройства, файловая система и какие автоматизированные действия могут быть предприняты в определенном событии, скажем, там Синий экран смерти^{(Blue screen of death)} из-за перегрева процессора^(CPU) , есть логическая процедура, что компьютер автоматически начнет принимать в таком случае. Этот файл доступен только пользователям с достаточными правами администратора. Когда система загружается, все журналы динамически сохраняются и читаются. Различные системные параметры, такие как альтернативные конфигурации, известные как наборы управления.

4. Программное обеспечение^{(4. Software )} Здесь хранятся все конфигурации стороннего программного обеспечения, такие как драйверы plug and play . ^{(Third-party)}Этот подраздел содержит настройки программного обеспечения и Windows , связанные с ранее существовавшим профилем оборудования, которые можно изменить с помощью различных приложений и системных установщиков. Разработчики программного обеспечения^(Software) могут ограничивать или разрешать, к какой информации пользователи получают доступ при использовании их программного обеспечения. Это можно установить с помощью подраздела «Политики», который обеспечивает соблюдение общих политик использования для приложений и системных служб, которые включают используемые системные сертификаты. для аутентификации, авторизации или запрета определенных систем или служб.

5. Оборудование^{(5. Hardware)} , представляющее собой подраздел, который создается динамически во время загрузки системы.

6. Компоненты^{(6. Components )} Информацию о конфигурации компонентов для всей системы можно найти здесь .

7. BCD.dat (в папке oot в системном разделе), критический файл, который система считывает и начинает выполнять во время последовательности загрузки системы, загружая реестр в ОЗУ^(RAM) .

III. HKEY_CURRENT_CONFIG

Основной причиной существования этого подраздела является хранение видео, а также сетевых настроек. Это может быть вся информация, относящаяся к видеокарте, такая как разрешение, частота обновления, соотношение сторон и т. д., а также сеть.

Это также куст реестра, часть реестра Windows^{(Windows Registry)} , в котором хранится информация об используемом в настоящее время профиле оборудования. HKEY_CURRENT_CONFIG на самом деле является указателем на ключ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles\Currentregistry . Это просто указатель на текущий активный профиль оборудования, указанный в ключе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles

Таким образом , HKEY_CURRENT_CONFIG помогает нам просматривать и изменять конфигурацию профиля оборудования текущего пользователя, что мы можем делать как администратор в любом из трех мест, перечисленных выше, поскольку все они одинаковы.

IV. HKEY_CURRENT_USER

Часть кустов реестра, содержащая параметры хранилища, а также информацию о конфигурации для Windows и программного обеспечения, характерную для текущего пользователя, вошедшего в систему. Например, различные значения реестра в разделах реестра находятся в параметрах пользовательского уровня управления кустом HKEY_CURRENT_USER^{(HKEY_CURRENT_USER)} , таких как раскладка клавиатуры, установленные принтеры, обои рабочего стола, параметры отображения, подключенные сетевые диски и многое другое.

Многие параметры, которые вы настраиваете в различных апплетах на панели управления^{(Control Panel)} , хранятся в  кусте реестра HKEY_CURRENT_USER . Поскольку куст HKEY_CURRENT_USER зависит от пользователя, на одном и том же компьютере содержащиеся в нем ключи и значения будут различаться от пользователя к пользователю. ^{(HKEY_CURRENT_USER)}Это отличается от большинства других кустов реестра, которые являются глобальными, то есть они сохраняют одну и ту же информацию для всех пользователей в Windows .

Щелчок в левой части экрана в редакторе реестра даст нам доступ к HKEY_CURRENT_USER . В качестве меры безопасности информация, хранящаяся в HKEY_CURRENT_USER , представляет собой просто указатель на ключ, расположенный в кусте HKEY_USERS^(HKEY_USERS) в качестве нашего идентификатора безопасности. Изменения, внесенные в любую из областей, вступят в силу немедленно.

против HKEY_USERS

Он содержит подразделы, соответствующие ключам HKEY_CURRENT_USER для каждого профиля пользователя. Это также один из многих кустов реестра, которые есть в реестре Windows^{(Windows Registry)} .

Здесь регистрируются все пользовательские данные конфигурации, для всех, кто активно использует устройство, такая информация хранится в разделе HKEY_USERS . Вся пользовательская информация, хранящаяся в системе, которая соответствует конкретному пользователю, хранится в кусте HKEY_USERS^(HKEY_USERS) , мы можем однозначно идентифицировать пользователей, используя идентификатор безопасности или SID^{(security identifier or the SID)} , который регистрирует все изменения конфигурации, сделанные пользователем.

Все эти активные пользователи, чья учетная запись существует в кусте HKEY_USERS^(HKEY_USERS) , в зависимости от привилегий, предоставленных системным администратором, смогут получить доступ к общим ресурсам, таким как принтеры, локальная сеть, локальные накопители, фон рабочего стола и т. д. Их учетная запись имеет определенный реестр. ключи и соответствующие значения реестра, хранящиеся под SID текущего пользователя .

С точки зрения криминалистической информации каждый SID хранит огромное количество данных о каждом пользователе, поскольку он ведет журнал каждого события и действия, предпринятого под учетной записью пользователя. Это включает имя пользователя ,^(Name) количество входов пользователя в систему, дату и время последнего входа в систему, дату и время последнего изменения пароля, количество неудачных входов в систему и т. д. Кроме того, он также содержит информацию реестра о том, когда Windows загружается и находится в приглашении для входа в систему.

Рекомендуется: ^{(Recommended:)} исправить Редактор реестра перестал работать.^{(Fix The Registry editor has stopped working)}

Ключи реестра для пользователя по умолчанию хранятся в файле ntuser.dat в профиле, который нам пришлось бы загружать как куст, используя regedit, чтобы добавить настройки для пользователя по умолчанию.

Типы данных, которые мы можем ожидать найти в реестре Windows^{(Types of data we can expect to find in the Windows Registry)}

Все обсуждаемые выше ключи и подразделы будут иметь конфигурации, значения и свойства, сохраненные в любом из следующих типов данных, обычно это комбинация следующих типов данных, которая составляет весь наш реестр Windows.

• Строковые значения, такие как Unicode, который^{(Unicode ​which)} является отраслевым стандартом вычислительной техники для согласованного кодирования, представления и обработки текста, выраженного в большинстве мировых систем письма.
• Двоичные данные
• Беззнаковые целые числа
• Символические ссылки
• Многострочные значения
• ^(Resource)Список ресурсов (оборудование Plug and Play )
• ^(Resource)Дескриптор ресурса (оборудование Plug and Play )
• 64-битные целые числа

Вывод^(Conclusion)

Реестр Windows^{(Windows Registry)} был не чем иным, как революцией, которая не только минимизировала угрозу безопасности, связанную с использованием текстовых файлов в качестве расширения файла для сохранения конфигурации системы и приложения, но также уменьшила количество файлов конфигурации или .ini, которые разработчики приложений должны были поставляться с их программным продуктом. Преимущества наличия централизованного репозитория для хранения часто используемых данных как системой, так и программным обеспечением, работающим в системе, очевидны.

Простота использования, а также доступ к различным настройкам и настройкам в одном центральном месте также сделали Windows предпочтительной платформой для настольных приложений различных разработчиков программного обеспечения. Это очень очевидно, если вы сравните огромный объем доступных настольных программных приложений для Windows с macOS от Apple. Подводя итог, мы обсудили, как работает реестр Windows^{(Windows Registry)} , его файловая структура и значение различных конфигураций ключей реестра, а также полное использование редактора реестра.

What is the Windows Registry & How it Works?

Windows Registry is а collection of configurations, values, and properties of windоwѕ applicationѕ as well as the windows operating system which is organized and stored in a hierarchiсal manner in a singυlаr repository.

Whenever a new program gets installed in the Windows system, an entry is made in the Windows Registry with its attributes such as size, version, location in the storage, etc.

Because, this information has been stored in the database, not only the operating system is aware of the resources utilized, other applications can also benefit from this information since they are aware of any conflicts that may arise if certain resources or files were to co-exist.

What is the Windows Registry & How it Works?

The Windows Registry is really the heart of the way Windows works. It is the only operating system that uses this approach of a central registry. If we were to visualize, every part of the operating system has to interact with the Windows Registry right from the booting sequence to something as simple as renaming the file’s name.

Simply put, it is just a database similar to that of a library card catalog, where the entries in the registry are like a stack of cards stored in the card catalog. A registry key would be a card and a registry value would be the important information written on that card. The Windows operating system uses the registry to store a bunch of information that’s used to control and manage our system and software. This can be anything from PC hardware information to user preferences and file types. Almost any form of configuration that we do to a Windows system involves editing the registry.

History of Windows Registry

In the initial versions of Windows, application developers had to include in a separate .ini file extension along with the executable file. This .ini file contained all the settings, properties and configuration required for the given executable program to function properly. However, this proved very inefficient due to the redundancy of certain information and it also posed a security threat to the executable program. As a result, a new implementation of standardized, centralized as well as secure technology was an apparent necessity.

With the advent of Windows 3.1, a bare-bones version of this demand was met with a central database common to all the applications and system called the Windows Registry.

This tool, however, was very limited, since the applications could only store certain configuration information of an executable. Over the years, Windows 95 and Windows NT further developed on this foundation, introduced centralization as the core feature in the newer version of Windows Registry.

That said, storing information in Windows Registry is an option for software developers. So, if a software application developer were to create a portable application, he is not required to add information to the registry, local storage with the configuration, properties, and values can be created and successfully shipped.

The relevance of Windows Registry with respect to other operating systems

Windows is the only operating system that uses this approach of a central registry. If we were to visualize, every part of the operating system has to interact with the Windows Registry right from the booting sequence to the renaming of a file name.

All other operating systems such as iOS, Mac OS, Android, and Linux continue to use text files as a way of configuring the operating system and modifying the operating system behavior.

In most of the Linux variants, the configuration files are saved in the .txt format, this becomes an issue when we have to work with the text files since all the .txt files are considered as critical system files. So if we try to open the text files in these operating systems, we wouldn’t be able to view it. These operating systems try to hide it as a security measure since all the system files such as configurations of the network card, firewall, operating system, graphical user interface, video cards interface, etc. are saved in the ASCII format.

To circumvent this issue both macOS, as well as iOS, deployed a completely different approach to the text file extension by implementing .plist extension, which contains all of the system as well as application configuration information but still the benefits of having a singular registry far outweigh the simple change of file extension.

What are the benefits of the Windows Registry?

Because Every part of the operating system continuously communicates with the Windows Registry, it must be stored in very fast storage. Hence, this database was designed for extremely fast reads and writes as well as efficient storage.

If we were to open and check the size of the registry database, it would typically hover between 15 – 20 megabytes which make it small enough to be always loaded into the RAM (Random Access Memory) that co-incidentally is the fastest storage available for the operating system.

Since the registry needs to be loaded in memory at all times, if the size of the registry is large it won’t leave enough room for all other applications to run smoothly or run at all. This would be detrimental to the performance of the operating system, hence the Windows Registry is designed with a core objective of being highly efficient.

If there are multiple users interacting with the same device and there are a number of applications that they use are common, the reinstallation of the same applications twice or multiple times would be a waste of rather expensive storage. Windows registry excels in these scenarios where the application configuration is shared among various users.

This not only reduces the total storage used but also gives its users access to make changes to the application’s configuration from one single interaction port. This also saves time since the user doesn’t have to manually go to every local storage .ini file.

Multi-User scenarios are very common in enterprise setups, here, there is a strong need for user privilege access. Since not all the information or resources can be shared with everyone, the need for privacy-based user access was easily implemented through the centralized windows registry. Here the network administrator reserves the right to withhold or allow based on the work undertaken. This made the singular database versatile as well made it robust since the updates can be undertaken simultaneously with remote access to all of the registries of multiple devices in the network.

How does Windows Registry Works?

Let’s explore the basics elements of the Windows Registry before we start getting our hands dirty.

The Windows Registry is made up of two basic elements called the Registry Key which is a container object or simply put they are like a folder that has various types of files stored in them and Registry Values which are non-container objects that are like files that could be of any format.

You should also know: How to Take Full Control or Ownership of Windows Registry Keys

How to access the Windows Registry?

We can access and configure the Windows Registry using a Registry Editor tool, Microsoft includes a free registry editing utility along with every version of its Windows Operating System.

This Registry Editor can be accessed by typing “Regedit” in the Command Prompt or by simply typing “Regedit” in the search or run box from the Start menu. This editor is the portal to access the Windows registry, and it helps us to explore and make changes to the registry. The registry is the umbrella term used by various database files located within the directory of the Windows installation.

Is it Safe to edit Registry Editor?

If you don’t know what you’re doing then it is dangerous to play around Registry configuration. Whenever you edit the Registry, make sure you follow the correct instructions and only change what you’re instructed to change.

If you knowingly or accidentally delete something in the Windows Registry then it could alter your system’s configuration which could either lead to Blue Screen of Death or Windows won’t boot.

So it is generally recommended to backup Windows Registry before making any changes to it. You can also create a system restore point (which automatically backup the Registry) that can be used if you ever need to alter the Registry settings back to normal. But if you only what you’re told then it shouldn’t be any problem. In case you need to know how to restore Windows Registry then this tutorial explains how to do so easily.

Let’s explore the structure of the Windows Registry

There is a user in an inaccessible storage location that exists for only the operating system’s access.

These Keys are loaded on to the RAM during the system boot stage and are constantly being communicated within a certain interval of time or when a certain system-level event or events take place.

A certain portion of these registry keys gets stored in the hard disk. These keys that are stored in the hard disk are called hives. This section of the registry contains registry keys, registry subkeys, and registry values. Depending on the level of the privilege a user has been granted, he would be to access certain parts of these keys.

The keys that are at the peak of the hierarchy in the registry that begins with HKEY are considered to be hives.

In the Editor, the hives are located on the left side of the screen when all the keys are viewed without expanding. These are the registry keys that appear as folders.

Let’s explore the structure of the windows registry key and its subkeys:

Example of a key name – “HKEY_LOCAL_MACHINE\SYSTEM\Input\Break\loc_0804”

Here the “loc_0804” refers to the subkey “Break” refers to the subkey “Input” which refers to the subkey “SYSTEM” of the HKEY_LOCAL_MACHINE root key.

Common Root Keys in Windows Registry

Each of the following keys is its own individual hive, which comprises more keys within the top-level key.

i. HKEY_CLASSES_ROOT

This is the registry hive of the Windows Registry which consists of file extension association information, programmatic identifier (ProgID), Interface ID (IID) data, and Class ID (CLSID).

This registry hive  HKEY_CLASSES_ROOT is the gateway for any action or event to take place in the Windows operating system. Suppose we want to access some mp3 files in the Downloads folder. The operating system runs its query through this to take the required actions.

The moment you access the HKEY_CLASSES_ROOT hive, it is really easy to get overwhelmed looking at such a massive list of extension files. However, these are the very registry keys that make windows function fluidly

Following are some of the examples of HKEY_CLASSES_ROOT hive registry keys,

HKEY_CLASSES_ROOT\.otf
HKEY_CLASSES_ROOT\.htc
HKEY_CLASSES_ROOT\.img
HKEY_CLASSES_ROOT\.mhtml
HKEY_CLASSES_ROOT\.png
HKEY_CLASSES_ROOT\.dll

Whenever we double-click and open a file lets say a photo, the system sends the query through the HKEY_CLASSES_ROOT where the instructions on what to do when such a file is requested are clearly given. So the system ends up opening a photo viewer displaying the requested image.

In the above example, the registry makes a call to the keys stored in the HKEY_CLASSES_ROOT\.jpg key. The HKEY_CLASSES_ROOT hive is a collective data found in both the HKEY_LOCAL_MACHINE hive (HKEY_LOCAL_MACHINE\Software\Classes) as well as the HKEY_CURRENT_USER hive (HKEY_CURRENT_USER\Software\Classes). So when the registry key exists in two locations it creates conflicts. So the data found in HKEY_CURRENT_USER\Software\Classes is used in HKEY_ CLASSES_ ROOT. It can be accessed by opening the HKEY_CLASSES key on the left side of the screen.

ii. HKEY_LOCAL_MACHINE

This is one of the several registry hives that stores all the settings that are specific to the local computer. This is a global key where the information stored cannot be edited by any user or program. Due to the global nature of this subkey, all the information stored in this storage is in the form of a virtual container running on the RAM continuously. The majority of the configuration information for the software users have installed and the Windows operating system itself is occupied in HKEY_LOCAL_MACHINE. All of the currently detected hardware is stored in the HKEY_LOCAL_MACHINE hive.

Also know how to: Fix Regedit.exe Crashes when searching through Registry

This registry key is further divided into 7 sub-keys:

1. SAM (Security Accounts Manager) – It is a registry key file that stores users’ passwords in a secured format (in LM hash and NTLM hash). A hash function is a form of encryption used to protect the users’ account information.

It is a locked file that is located in the system at C:\WINDOWS\system32\config, which cannot be moved or copied when the operating system is running.

Windows uses the Security Accounts Manager registry key file to authenticate users while they log into their Windows accounts. Whenever a user logs in, Windows uses a series of hash algorithms to calculate a hash for the password that has been entered. If the entered password’s hash is equal to the password hash inside the SAM registry file, users will be allowed to access their account. This also a file that most of the hackers target while performing an attack.

2. Security (not accessible except by administrator) – This registry key is local to the account of the administrative user who is logged in to the current system. If the system is managed by any organization the users cannot access this file unless administrative access has been explicitly given to a user. If we were to open this file without administrative privilege it would be blank. Now, if our system is connected to an administrative network, this key will default to the local system security profile established and actively managed by the organization. This key is linked to the SAM, so upon successful authentication, depending on the privilege level of the user, a variety of local and group policies are applied.

3. System (critical boot process and other kernel functions) –  This subkey contains important information related to the entire system such as computer name, currently mounted hardware devices, filesystem and what kind of automated actions can be taken in a certain event, say there is Blue screen of death due to CPU overheating, there is a logical procedure that the computer will automatically start taking in such an event. This file is only accessible by users with sufficient administrative privileges. When the system boots this is where all the logs get dynamically get saved and read upon. Various system parameters such as alternative configurations which are known as control sets.

4. Software All the Third-party software configurations such as plug and play drivers are stored here. This subkey contains software and Windows settings linked to the preexisting hardware profile that can be changed by various applications and system installers. Software developers get to limit or allow what information gets accessed by the users when their software is being used, this can be set using the “Policies” subkey that enforces the general usage policies on applications and system services that include the system certificates that is used to authenticate, authorize or disallow certain systems or services.

5. Hardware which is a subkey that is created dynamically during the system boot

6. Components system-wide device-specific component configuration information can be found here

7. BCD.dat (in the \boot folder in the system partition) which is a critical file that the system reads and starts executing during the system boot sequence by loading the registry to the RAM.

iii. HKEY_CURRENT_CONFIG

The main reason for the existence of this subkey is to store video as well as network settings. That could be all the information pertaining to the video card such as the resolution, refresh rate, aspect ratio, etc. as well as the network

It is also a registry hive, part of the Windows Registry, and which stores information about the hardware profile currently being used. HKEY_CURRENT_CONFIG is actually a pointer to the HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles\Currentregistry key, This is simply a pointer to the currently active hardware profile listed under the HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\HardwareProfiles key.

So HKEY_ CURRENT_CONFIG helps us to view and modify the configuration of the current user’s hardware profile, which we can do as an administrator in any of the three locations as listed above since they are all the same.

iv. HKEY_CURRENT_USER

Part of the registry hives that contains store settings as well as configuration information for Windows and software that are specific to the currently logged-in user. For example, a variety of registry values in the registry keys are located in the HKEY_CURRENT_USER hive control user-level settings such as the keyboard layout, printers installed, desktop wallpaper, display settings, mapped network drives, and more.

Many of the settings you configure within various applets in the Control Panel are stored in the HKEY_CURRENT_USER registry hive. Because the HKEY_CURRENT_USER hive is user-specific, on the same computer, the keys and values contained in it will differ from user to user. This is unlike most other registry hives that are global, meaning they retain the same information across all users in Windows.

Clicking on the left side of the screen on the registry editor will give us access to HKEY_CURRENT_USER. As a security measure, the information stored on HKEY_CURRENT_USER is just a pointer to key positioned under the HKEY_USERS hive as our security identifier. Changes made to either of the areas will take effect immediately.

v. HKEY_USERS

This contains subkeys corresponding to the HKEY_CURRENT_USER keys for each user profile. This is also one of many registry hives that we have in the Windows Registry.

All the user-specific configuration data is logged here, for everyone who is actively using the device that kind information is stored under HKEY_USERS. All the user-specific information stored on the system that corresponds to a particular user is stored under the HKEY_USERS hive, we can uniquely identify the users utilizing the security identifier or the SID that logs all the configuration changes made by the user.

All of these active users whose account exist in the HKEY_USERS hive depending on the privilege granted by the system administrator would be able to access the shared resources such as printers, local network, local storage drives, desktop background, etc.  Their account has certain registry keys and corresponding registry values stored under the current user’s SID.

In terms of forensic information each SID stores a huge amount of data on every user as it makes a log of every event and action get undertaken under the user’s account. This includes the User’s Name, the number of times the user logged onto the computer, the date and time of the last login, the date and time the last password was changed, number of failed logins, and so on. Additionally, it also contains the registry information for when Windows loads and sits at the login prompt.

Recommended: Fix The Registry editor has stopped working

The registry keys for the default user are stored in the file ntuser.dat within the profile, that we would have to load this as a hive using regedit to add settings for the default user.

Types of data we can expect to find in the Windows Registry

All of the above-discussed keys and subkeys will have the configurations, values, and properties saved in any of the following data types, usually, it is a combination of the following data types that makes up our entire windows registry.

• String values such as Unicode ​which is a computing industry standard for the consistent encoding, representation, and handling of text expressed in most of the world’s writing systems.
• Binary data
• Unsigned integers
• Symbolic links
• Multi-string values
• Resource list (Plug and Play hardware)
• Resource descriptor (Plug and Play hardware)
• 64-bit integers

Conclusion

Windows Registry has been nothing less of a revolution, which not only minimized the security risk that came by using text files as a file extension to save the system and application configuration but it also reduced the number of configuration or .ini files that the application developers had to ship with their software product. The benefits of having a centralized repository to store frequently accessed data by both the system as well as the software that runs on the system are very evident.

The ease of use as well as the access to various customizations and settings in one central place has also made windows the preferred platform for desktop applications by various software developers. This is very evident if you compare the sheer volume of available desktop software applications of windows to Apple’s macOS. To summarize, we discussed how the Windows Registry works and its file structure and the significance of various registry key configurations as well as to use the registry editor to the complete effect.

Related posts

• Regbak позволяет создавать резервные копии и восстанавливать Windows Registry легко

• Registry Live Watch будет отслеживать изменения в Windows Registry Live

• Бесплатный Registry Defragmenter для Defrag Windows Registry

• Prevent uninstallation расширений Chrome с использованием реестра Windows 10

• 3 способа отключить Windows Registry

• Как Delete Broken Entries в Windows Registry

• Registry Life - бесплатный Registry Cleaning & Optimization Tool для Windows

• Delete заблокирован Registry Keys с Registry DeleteEx для Windows 10

• Как настроить Windows 10 Sync Settings с использованием Registry Editor

• Как Backup and Restore Registry на Windows

• Ошибка предотвращает открытие этой клавиши в Windows 10

• Как отслеживать и отслеживать изменения Registry в Windows 11/10

• Список Startup Paths, Folders and Registry Settings в Windows 10

• Включить, отключить Autocorrect and Highlight Misspelled Words - Windows 10

• Regword: взять полный control & ownership ключей Windows registry

• Как восстановить Registry, используя Command Prompt в Windows 11/10

• Как compress Bloated Registry Windows Server

• Что такое реестр Windows (и что с ним можно делать)?

• Как выключить App Notifications, используя Registry Editor в Windows 10

• Как изменить мышь ClickLock time, используя Registry Editor в Windows 10