Sicherheit durch eingeschränktes Konto

[dmncstmpfl]

ein bisschen verrwirrend find ich, das ich mein Konto nicht auf eingeschränkt stellen kann.

Hab jetzt den Administrator und mich, den Hauptbenutzer mit Admin-Rechten. Nun kann ich mich aber nicht auf eingeschränkt setzen, es heisst da, das man einen Nutzer als Computeradministrtor braucht

soll das heissen das ich einen Administrator, einen Nutzer mit Admin-Rechten und dann mein eingeschränktes Konto brauche? das wäre dann ein bisschen blöde, da ich ja nicht 3 Konten brauche

 

[Wodka_Jelzin]

nAbend allerseits

meiner Meinung nach ist der genaue Sinn dieser Benutzerfunktion schon sehr gut gelungen, wenn ihr darüber diskutiert was man als Benutzer nicht oder nur eingeschränkt kann liegt auch der Sinn der Funktion schon auf der Hand.

Als eingeschränkter Benutzer kann und soll man ja keine Änderungen am System machen können (eben Updates durchführen, Programme instal., Konfiguration ändern, ...) und im Internet kann man durch falsche Konfiguration und ähnlichem schon unbemerkt etwas instal. als Admin und deswegen wird auch empfohlen diese Systemfunktion hier zu nutzen (ist ja eig. nicht ihr direkter Sinn).

der Vorteil ist einfach, daß man bei guter Einrichtung im Netz sein kann ohne großes Risiko wenn man die funktion etwas *zweckentfremdet* und man auch bei den noch kommenden viren und co. nicht viel zu befürchten hat weil sich ja nichts instal. läßt.

zusätzlich kann man bei XP die Funktion Übertragen von Dateien und Einstellungen sehr gut benutzen um auch bei den anderen Benutzern den gleichen Desktop zu haben (somit ist fast alles gleich bis auf den Vorteil das sich nichts instal. läßt)

hoffe das war nicht zu unverständlich



edit: hab so lang zum schreiben gebraucht ... du kannst doch einfach einen neuen Benutzer anlegen mit eingeschränkten Rechten und die *übertragung von Dateien und einstellungen* für den Benutzer ausführen (Start-Programme-Zubehör-Systemprogramme-Übertragung von ...) das dauert nicht lang und sollte gut funktionieren

 

[franzkat]

Natürlich ist es wesentlich vernünftiger, nicht dauerhaft als Admin zu arbeiten und insbesondere zu surfen. Für jeden, der schon mal mit Linux gearbeitet hat, weiß, dass es einer Todsünde gleichkäme, immer als root eingeloggt zu sein. Es gibt eine schöne Möglichkeit, auch als normaler User unter XP ad hoc mit Admin-Rechten zu arbeiten, ohne dass jedesmal das Admin-Kennwort eingegeben oder bekannt sein müßte. Es gibt ein Tool pcwrunas.exe, von der PC-Welt entwickelt, welches die Möglichkeit bietet, das Passwort als Parameter für den pcwrunas-Befehl mitzugeben. Wenn man nun eine Anwendung über eine Verknüpfung aufruft, kann man sie als Admin ausführen und muss nicht extra das Admin-Kennwort eingeben. Wenn man nun einwendet, dass dann natürlich das Kennwort im Klartext in der Verknüpfung einzusehen wäre, ist das prinzipiell richtig, ließe sich aber dadurch vermeiden, dass der Aufruf der Anwendung mit einem vbs-Script erfolgt, welches mit screnc verschlüsselt wurde, so dass das Kennwort nicht meht im Klartext zu sehen ist, wenn man sich die Eigenschaftern der Verknüpfung anschaut.

 

[dmncstmpfl]

hab jetzt das noch einmal ausprobiert. Diesmal hab ich aber gleich meinen Account auf eingeschränkt gesetzt. Nicht erst einen Testuser gemacht.

Bis jetzt funktionierts prächtig. Programme und Spiele arbeiten normal. Und die "Ausführen als..."-Option scheint auch zu funktionieren. Kann installieren etc.

Jetzt muss ich nur noch herausfinden wie ich in die Systemsteuerung/Verwaltung komme. Werde dann mal runas und diese Batchdatei ausprobieren.

 

[franzkat]

Wie das geht, erfährst du hier :

http://www.microsoft.com/windows200...onal/help/windows_security_runas_shortcut.htm

 

[Bates83]

ich wollte auch schon einen thread dazu starten.ich habe die erfahrung gemacht, dass ein vernünftiges arbeiten mit eingeschränkten benutzerrechten (zumindest für mich) nicht möglich ist. Es sei denn man startet jeden tag eh nur die textverarbeitung.

Es ist leider Fakt, dass die meisten Programme mit eingeschränkten Rechten auch nur eingeschränkt (bzw. garnicht) laufen. Wenn ich schon lese dass sogar Programme von Microsoft auf Anhieb nicht unter einem normalen Konto laufen, dann ist das für mich ein Grund auf die so gewonnene Sicherheit zu verzichten um normal mit meinem System arbeiten zu können.


ich benutze mozilla, habe eine antivirensoftware und klicke und gucke mir online nicht jeden mist an, dass muss reichen.

 

[Morgoth]

ich wollte auch schon einen thread dazu starten.ich habe die erfahrung gemacht, dass ein vernünftiges arbeiten mit eingeschränkten benutzerrechten (zumindest für mich) nicht möglich ist. Es sei denn man startet jeden tag eh nur die textverarbeitung.

Das stimmt nicht. Man muss nur ab und zu ein bisschen Arbeit investieren, aber das bringt der Job als Systemadministrator eben mit sich.

Es ist leider Fakt, dass die meisten Programme mit eingeschränkten Rechten auch nur eingeschränkt (bzw. garnicht) laufen. Wenn ich schon lese dass sogar Programme von Microsoft auf Anhieb nicht unter einem normalen Konto laufen, dann ist das für mich ein Grund auf die so gewonnene Sicherheit zu verzichten um normal mit meinem System arbeiten zu können.

Es ist eben nicht Fakt, sondern ein sich hartnäckig haltendes Gerücht. Wie ich schon erwähnte, arbeiten bei mir nur wenige Programme mit Problemen. Und diese MS Sidewinder Software ist für Win9x geschrieben, der mache ich keinen Vorwurf dass sie unter XP nicht einwandfrei arbeitet. Ansonsten kenn ich kein aktuelles MS Programm, dass nicht anstandslos unter einer Mehrbenutzerumgebung arbeitet.

Gruß
Morgoth

 

[marcelcedric]

Es ist eben nicht Fakt, sondern ein sich hartnäckig haltendes Gerücht. Wie ich schon erwähnte, arbeiten bei mir nur wenige Programme mit Problemen. Und diese MS Sidewinder Software ist für Win9x geschrieben, der mache ich keinen Vorwurf dass sie unter XP nicht einwandfrei arbeitet. Ansonsten kenn ich kein aktuelles MS Programm, dass nicht anstandslos unter einer Mehrbenutzerumgebung arbeitet.

Wer gleich sagt, dass Nero ohne Admin-Rechte nicht laeuft liegt falsch. Dafuer gibt es NeroBurnRights.
Ich, wenn ich unter Windows arbeite, arbeite auch nur mit eingeschraenkten Rechten. Fuehl ich mich gleich sicherer bei.


mfg

 

[Blutschlumpf]

Wer gleich sagt, dass Nero ohne Admin-Rechte nicht laeuft liegt falsch. Dafuer gibt es NeroBurnRights.

Was aber vorraussetzt, dass Nero Burn Rights sich starten bzw. installieren lässt , was nicht der Fall war.

 

[marcelcedric]

Was aber vorraussetzt, dass Nero Burn Rights sich starten bzw. installieren lässt , was nicht der Fall war.

Dafuer ist der Administrator dann zustaendig.

mfg

 

[Blutschlumpf]

Da wär ich jetzt nicht drauf gekommen, aber danke für diesen hilfreichen Tip

 

[marcelcedric]

Da wär ich jetzt nicht drauf gekommen, aber danke für diesen hilfreichen Tip

PPP - Du hast die Ironie-Tags vergessen. ^_^

mfg

 

[franzkat]

Nochmal einen Vorschlag zur Güte : Das von mir oben empfohlene PC-Welt-Tool bietet auch die interessante Möglichkeit des umgekehrten Weges. Das heißt, ich arbeite mit Admin-Rechten, verwende abert dann, wenn es um sicherheitskritische Anwendungeen geht, automatisch ohne Benutzerwechsel oder Kennworteingabe einen normalen Benutzeraccount mit eigeschränkten Rechten, z.B. wenn ich den Internet Explorer aufrufe. Dann bin ich einerseits nicht durch beschränkte Rechte bei wichtigen Arbeiten eingeschränkt, geniEße aber bei sensiblen Anwendungren trotzdem den Schutz der eingeschränkten Rechte( insbesondere beim Surfen ).

 

[Bates83]

hier festigen sich wieder zwei standpunkte. eigentlich ist es ganz klar: wenn alles läuft standardbenutzer konfigurieren und das system ist deutlich sicherer.

nur bei mir läuft nie alles, ständig wird etwas deinstalliert und etwas neues installiert, und da ist sind mir die adminrechte eine klare erleichterung.

 

[dmncstmpfl]

@franzkat
Und das ist dann sicher? Ich mein, ausserhalb des ie hat ja dann ein eingeschlichener Virus dann doch Adminrechte? Sollte es nicht gleich umgekehrt sein? das man per Knopfdruck aus seinen eingeschränkten Rechten, Admin-Rechte machen kann?

Ich bin jetzt wieder an einen Stolperstein gestossen, vllt auch nicht. Man wird sehen: Habe seit kurzem einen Apache Webserver bei mir am laufen, unter anderem mit MySQL. Bin noch nicht sehr erfahren damit, aber einfache Konsolenbefehle wie das Starten oder Beenden des MySQL-Servers sind als eingeschränkter User nicht mehr möglich.

Denke aber das es etwas mit der Authentifizierung zu tun hat. Bin halt neu in dem Gebiet. Müsst euch nicht die mühe machen, mich jetzt in all diese Befehle einzuführen, aber ist das Betreiben, Konfigurieren, Verwalten etc eines Webservers als eingeschränkter User möglich?

 

[franzkat]

Und das ist dann sicher? Ich mein, ausserhalb des ie hat ja dann ein eingeschlichener Virus dann doch Adminrechte? Sollte es nicht gleich umgekehrt sein? das man per Knopfdruck aus seinen eingeschränkten Rechten, Admin-Rechte machen kann?

Das muss man selbst entscheiden. Wenn ich mit dem IE mit eingeschränkten Rechten surfe, können Active-X- Elememte nicht ohne weiteres Zugriff auf das System erlangen ; Browser-Hijacker haben keinen Chance. Wenn ich aber eine ausführbare Dateri herunterlade und doppelklicke, dann würde sie als Admin ausgeführt. Das heißt, welche Vorgehensweise ich wähle, richtet sich nach meinen Sicherheitsbedürfnissen.Anwendungen enthalten in ihren Programmierungen eventuelle Privilegien; das heißt, es ist nicht vom Typ der Anwendung abhängig. Z.B. verlangt Nero an sich Admin-Rechte; es gibt aber das Tool Nero Rights, welches Nero auch für den normalen User freischaltet. Eine solche Funktion kann man sich eben mit pcwrunas.exe selbst basteln.

 

[Madnex]

Ich surfe seit langem unter WinXP mit einem eingeschränkten Benutzerkonto. Und bisher hat alles so funktioniert, wie ich es wollte. Zum Installieren oder Starten eines Programms, das Admin Rechte benötigt, kann man den runas-Befehl nehmen, oder Ausführen als... benutzen. So kann man auf alle Systemeinstellung auch von diesem Konto aus zugreifen. Zu diesem Zweck gibt es nämlich verschiedene MSC und CONTROL.EXE Befehle, die man mit dem runas-Befehl kombinieren kann.

@Blutschlumpf
Ich würde sagen, mit deinem System stimmt was generell nicht.

Edit:
Wer einen Router davor sitzen hat, braucht nicht unbedingt eine Personal Firewall. Auch ansonsten ist der Nutzen einer PFW stark umstritten. AntiVirenprogramme können niemals alle Viren kennen. Auch nicht, wenn die Signaturen aktuell sind. Es ist also töricht sich allein auf solche Schutzprogramme zu verlassen. Andererseits ist es durchaus möglich das System, indem man es vernünftig konfiguriert, auch ohne Antivirenprogramm und PFW recht sicher zu bekommen. Das schließt allerdings ein vernünftiges Surf-Verhalten des Users mit ein, was im Übrigen aber auch mit installierer PFW und installiertem Antivierenprogramm gilt.

 

[franzkat]

Dass man den runas-Befehl nutzen kann, ist ja klar. Es ging hier ja unter anderem auch um die Vereinfachung, nicht mehr jedesmal das Admin-Kennwort beim runas-Befehl eingeben zu müssen und mit direkten Verknüpfungen arbeiten zu können. Was die Firewall anbetrifft : Man sollte sich bei einer Router-Firewall klarmachern, dass sie nur den Incomimg-Trffic kontrolliert. Wenn du z.B. einen aktiven Trojaner auf deinem Rechner hast, der nur Daten nach außen weitergeben möchte, dann wird die Hardware-Firewall ihn nicht daran hindern, Kontakt aufzunehmen.

 

[Madnex]

@franzkat
Ich hab mich mit meinem Beitrag nicht versucht in eure Diskussion einzuklinken . Ich habe nur von meinem Standpunkt aus über dieses Thema berichtet. Für den ein oder anderen ist die Auflistung der Befehle vielleicht hilfreich.

Und was die Router-Firewall betrifft, so hast du zweifelsohne recht. Nur sollte man auch bedenken, dass es auch Maleware gibt, die, gerade wenn man als Admin angemeldet ist und surft, die Firewall beenden oder in irgendeiner Weise umgehen können. Sicherlich gilt dies nicht für jede Maleware, aber zukünftige werden vermehrt an diesem Punkt ansetzen und versuchen Antivirenprogramme und PFWs auszuhebeln. Und das ist, wenn Maleware und PFW auf der selben Ebene laufen, nicht besonders schwierig.

Wenn man sich allerdings bei der Internetnutzung an gewisse Verhaltensregeln hält und sein System sowie gewisse Programme (Browser, E-Mail Client u.a.) vernünftig konfiguriert, ist eine Kompromitierung des Systems durch das Internet nahezu ausgeschlossen, was eine PFW im Grunde überflüssig macht. Wie gesagt, der Nutzen einer PFW ist stark umstritten. Und ich möchte da jetzt aber keine Grundsatzdiskussion lostreten. Es sollte sich nur jeder mal darüber Gedanken machen und sich dabei seine eigene Meinung bilden.

 

[dmncstmpfl]

Also mir hat die Tabelle von Madnex geholfen. Weiss nämlich nicht all die Namen dieser Snap-Ins.

@Madnex
noch n Tipp: Denk an die Member mit einem etwas kleineren Bildschirm und häng das nächst mal das Bild an.

Die Diskussion über Firewall und Antivirenprogramme ist endlos. Jeder empfindet das anders. Der eine findet es überflüssig, der andere braucht es.

Ich benutze die Firewall und das Antivirenprogramm als Rückendeckung. Die grösste Sicherheit bringt der Verstand. Also wie man sein System konfiguriert und wie man sich in seinem System verhält. So könnte man schon mit einem guten Gewissen im Netz surfen, ohne gross Angst vor irgendwelchen Schädlingen haben zu müssen. Die Firewall und das AV-Prog dient dann, wenn überhaupt, noch als zusätzlicher Schutz.

Nicht sehr ratsam wäre es, eine Firewall und ein AV-Prog zu installieren, keine Einstellungen am System vorzunehmen, und sich dann entspannt zurückzulehnen.

--> Brain 1.0 ist der beste Schutz