News „Low Rights Internet Explorer“ nur für Longhorn

[weltweit]

@Siberian..Husky
Nunja, vage Meldungen Lassen eben viel Platz für Spekulationen , ich hab das halt so verstanden wie ich es geschrieben habe.

Heise schreibt da auch nichts wirklich greifbares.

Auch der Internet Explorer 7 soll unter Longhorn mit weniger Rechten arbeiten, unklar ist aber noch, an welchen Stellen Rechte entzogen werden -- der Vorgänger Internet Explorer 6 arbeitet bereits problemlos mit eingeschränkten Benutzerrechten. Wer es ausprobieren will, ohne gleich seinem Konto den Administrator-Status zu entziehen, kann sich ein eingeschränktes Konto beispielsweise mit dem Namen "Darfnix" anlegen und dann den IE durch den Kommandozeilen-Aufruf runas /userarfnix "c:\programme\Internet Explorer\iexplore.exe" starten.

Der "Low-Rights-IE" bleibt im Übrigen Longhorn vorbehalten. Zwar wird der IE 7 auch für Windows XP mit SP2 erscheinen, doch zum Entzug der Rechte soll der IE 7 Longhorn-Funktionen nutzen, die unter XP nicht zur Verfügung stehen.

Vollständige Heise Meldung

Runas:
/env verwendet die Umgebung des Aufrufenden Benutzers. Also wird NTUSER.DAT etc. nicht geladen.

Heise verwendet im Beispiel den /profile -Parameter (wird per Default verwendet wenn nichts anderes angegeben wird), also mit der Umgebung des Aufgerufenen Benutzers. Beides hat vor und Nachteile.

Beim Zugriff auf das Dateisystem gelten in beiden Fällen die Effektiven Berechtigungen des Aufgerufenen Benutzers.

 

[Siberian..Husky]

dann hab ich dich nicht verstanden. ich sehe immernoch keinen unterschied zwischen dem was du so toll an dem "neuen" konzept findest und sudo/runas.

 

[weltweit]

dann hab ich dich nicht verstanden. ich sehe immernoch keinen unterschied zwischen dem was du so toll an dem "neuen" konzept findest und sudo/runas.

Ok, den Angefangen Gedanken mal zuendegesponnen:

Reine Spekulation

Das Admin / User Modell wird abgeschafft, die Rechte werden je nach Anwendungsgruppe erteilt.
- Eine Textverarbeitung braucht keinen Zugriff auf -> Autostarts, Treiberkonfiguration etc.
- Ein Webbrowser -> soll Internetseiten anzeigen und bestenfalls noch Dateien in ein Explizit Festgelegtes Verzeichnis speichern dürfen

Das läßt sich wohl beliebig feinfühlig Einstellen. Die Anwendung muss dem OS nur Mitteilen in welche Gruppe sie denn gehört.

Wie diese Anwendungsgruppeneinteilung funktionieren soll? - ich hab keine Ahnung.
Ein Virus wird sich wohl kaum als solcher beim OS anmelden, er wird wohl eher Behaupten er sei das Neue Systemverwaltungsprogramm

 

[Siberian..Husky]

naja aber wo soll da der vorteil sein? im grunde ist der unterschied nur das rechte nichtmehr mit benutzernamen sondern dafür direkt mit programmen verknüpft werden.

das aktuelle system kann das ganz genauso(wenn man andere rechte für ein programm will benutzt man einfach einenj extre benutzer für das programm, zumindest unter unixen ist das üblich.), dafür kann man mit diesem system das du vorschlägst kein ordentliches multi-user bs auf die beine stellen.

also ich wäre da doch eher für das wesentlich flexiblere system das wir derzeit haben .

 

[The_Jackal]

Der Vorteil steht doch doch schon in der News drin.

Wenn der Trojaner oder was dir da schaden will keine Admin Rechte mehr hat, dann kann er nicht viel anstellen. Damit bist du sicherer.

Das Konzept ist bei Linux zwar schon die ganze Zeit, aber die Einsicht dauert eben.

 

[MountWalker]

Der Vorteil steht doch doch schon in der News drin.

Wenn der Trojaner oder was dir da schaden will keine Admin Rechte mehr hat, dann kann er nicht viel anstellen. Damit bist du sicherer.

Das Konzept ist bei Linux zwar schon die ganze Zeit, aber die Einsicht dauert eben.

Nein, wenn du als eingeschränkter Benutzer IE startest hat er sowieso nur deine eingeschränkten Rechte, hier in der News geht es darum, dass du mit Adminrechten eingeloggt sein kannst und der IE trotzdem keine Adminrechte hat - imho irgendwo nur eine Unsinnsmaßnahme die wieder millionen Anwender dazu bewegt ständig als Admin eingeloggt zu sein, was insgesamt potentiell gefährlich ist.

MS hat Sudo da falsch herum verstanden, bei Sudo auf Linux oder Mac OS X (beim Mac ist Sudo standard) ist man stets als Eingeschränkter Benutzer drin und kann bestimmte Programme mithilfe des Sudo-Commands und dem Root-Passwort mit Adminrechten starten, kein großes Thema, bei Windows darfst du jetzt stets als "root" eingeloggt sein und Programme dabei auch mal ohne Adminrechte starten, halt irgendwie falsch rum.

 

[pinglord]

Programme bekommen einen eigenen Rechtekontext, weil man einem Programm nicht so viel Vertrauen entgegenbringt wie einem Benutzer. Die bisher übliche Verfahrensweise, dass ein Programm alle Rechte hat, die ein User hat, der es ausführt, ist nämlich die eigentlich nicht ganz korrekte.

Korrekt müsste es so lauten: Ein Programm hat maximal alle Rechte, die der User hat - wenn der User dies will. Nichts ist naheliegender, als Programme, die nicht aus vertrauenswürdigen Quellen stammen, zuerst in einer eingeschränkten Rolle zu starten. Und das ist nicht nur dann sinnvoll, wenn der User als Administrator unterwegs ist. Auch wenn Du unter deinem normalen Account eingeloggt bist, würden Dich z.B. Datenverlust oder Passwort-Leaks sehr schmerzen.

Daher ist die Kontra-Position, die hier viele beziehen, falsch.

 

[rkinet]

Ich werde wohl nie begreifen weshalb der IE von Microsoft Rechte bekommt um Software zu installieren
oder die Festplatte zu formatieren.

Pure Designfehler bei Microsoft, entstanden mit der Intergration möglichst vieler kritischer Komponeten
in das OS um Netscape oder sonstige platt zu machen.

Wie PC-User müßen heute Mist mit uns schleifen, die Billy M$ um Milliarden reicher gemacht haben.

 

[onlyJR]

Frag mich was es da schon wieder zum Aufregen gibt. Ich finds gut. Der IE braucht nicht die vollen Rechte, also kriegt er sie nicht. Und gut ist. Das hat doch mit der ganzen Admin/User Problematik nichts zu tun.

 

[The_Jackal]

Manche müssen halt immer meckern.

Es ist einfach Tatsache, dass das Windows-Konzept ziemlich für die Katz ist. Mit Linux bist du auch nicht als Root als Standard unterwegs. Bei Windows aber als Admin.

In Longhorn werden es Trojaner & Co. definitiv schwer haben, weil es diese neue eingeschränkte Benutzerkonten geben wird statt standardmäßig als Admin unterwegs zu sein.

Finde ich auf jeden Fall gut und Programme niedrigere Berechtigungen zu geben ist auch gut.

Ich kann nicht nachvollziehen, wie manche hier wieder meckern. Naja, wenn ihr meint, dass Anti-M$ in ist, dann habt Spaß daran. Vielleicht sollten manche erst lesen, was überhaupt M$ macht und nicht direkt die Anti-M$-Keule auspacken.

 

[Siberian..Husky]

Manche müssen halt immer meckern.

Es ist einfach Tatsache, dass das Windows-Konzept ziemlich für die Katz ist. Mit Linux bist du auch nicht als Root als Standard unterwegs. Bei Windows aber als Admin.

In Longhorn werden es Trojaner & Co. definitiv schwer haben, weil es diese neue eingeschränkte Benutzerkonten geben wird statt standardmäßig als Admin unterwegs zu sein.

Finde ich auf jeden Fall gut und Programme niedrigere Berechtigungen zu geben ist auch gut.

Ich kann nicht nachvollziehen, wie manche hier wieder meckern. Naja, wenn ihr meint, dass Anti-M$ in ist, dann habt Spaß daran. Vielleicht sollten manche erst lesen, was überhaupt M$ macht und nicht direkt die Anti-M$-Keule auspacken.

du solltst die mecker posts auch mal lesen...

diese funktion ist mit sicherheit für administratoren gedacht, da ein normaler benutzer eigentlich kaum mehr rechte hat als daten auf die platte zu schreibe´n und programme zu starten.

wenn das ding also für normale user gedacht wäre dann könnten diese wieder etwas downloaden noch ein video direkt in einem externen player anzeigen lassen - so stellt sich das microsoft sicher nicht vor.

also was kann man daraus entnehmen? die eingeschränkten user accounts die für longhorn geplant waren werden als letzte sicherheitsmaßnahjme eingestampft. der normale longhorn benutzer wird genauso wie bei xp wieder als admin eingelogt sein.


abgesehen davon wird es mal wieder als total inovativ verkauft, dabei gibt es diese möglichkeiten schon längst....
mal sehen wann das patent dafür angemeldet wird.