User: 1x Admin, 1x Desktop - wie den Desktopuser einrichten ohne rechte?

[jimmy2times]

hallo,

Windows 7 Home Premium.

ich will einen adminaccount, der eben nur zu adminstrativen arbeiten genutzt werden soll und einen useraccount mit stark limitierten rechten (weniger weil ich dem user nicht traue, sondern mehr aus kompromitierungsgründen) aber da muss ich mich noch einlesen.

1.)
meine erste frage ist: kann ich dem desktopuser erstmal adminrechte geben und sie dann wieder abschalten - geht das, macht das probleme? oder muss ich mich mit "run as..." herummühen?

2.)
hmm, eigentlich schon in der ersten frage drinn... ahh doch jetzt weiss ichs wieder:
beim Desktopuser würde ich gern ein autologin machen (beide user haben passwörter) aber der dektopuser sollls halt simple haben. bringt das eine sicherheitsproblem in irgendeiner weise?

danke!

 

[dom0309]

1. du kannst jederzeit dem normalen User ohne adminrechte in die lokale Admingruppe aufnehmen und ihn dann auch entsprechend wieder rausnehmen. Erspart die "runas" Geschichte.

2. Autologin für den User kannst du natürlich auch machen wenn er ein Passwort hat. Sowas mache ich generell mit Powertoys.

 

[andy_0]

@ jimmy2times
Ab Windows Vista ist dies nicht mehr benötigt. Gib am besten beiden Usern Passwörter, zumindest aber den Administrator. Log dich nach der Installation nur noch mit dem regulären Benutzer ein und mache alles was du möchtest. Für alles, wofür du Administratorrechte benötigst, wird dich Windows Fragen, ob du dies als Administrator ausführen möchtest. Dafür musst du dann den jeweiligen Administratorkonto, falls es denn mehrere gibt, auswählen und das dazugehörige Passwort eingeben.

Der Autologin beim regulären User ist möglich. Ich kann dir jetzt jedoch nicht genau sagen wie es geht. Ich würde dir da mal Google anraten ;-). Es ist insofern unsicher, als das jeder auf die privaten Daten von dem Benutzer zugreifen kann, wenn er Zugriff auf den Rechner hat. Verfügt der Admin über kein Passwort, kann auißerdem jeder Änderungen am System vornehmen.

Kurz: Mindestens der Administrator sollte über ein Passwort verfügen.

@ dom0309
Wobei dies natürlich die Rechteunterscheidung eher sinnfrei macht. Dann läuft der reguläre Benutzer ja eine Weile mit Administratorrechten, das kann so nicht das Ziel sein, auch wenn es früher bzw. auch heute noch üblich bei Windows ist.

 

[werkam]

control userpasswords2
Als Admin unter ausführen starten, im Fenster einstellen wer automatisch angemeldet werden soll, das Passwort eingeben, fertig.

 

[dom0309]

andy_0

sicher tut er das. bin davon ausgegangen das er unter dem user sachen installiert und ihn dann wieder aus der gruppe nimmt um nicht bei jeder sache den "runas" befehl nutzen zu müssen. das das kein dauerzustand sein soll ist denke ich klar.

 

[jimmy2times]

danke mal an alle, kenn mich jetzt aus!

@werkam dich kenn ich aber schon lange, da war ich noch fast ein kind als ich dich da im forumherumgeistern gesehen habe. solltest eher schon eine halbe million beiträge haben. faul oder was?
aber du bist nicht älter geworden, noch immer so hübsch wie früher...

Ergänzung (4. Dezember 2011)

control userpasswords2
Als Admin unter ausführen starten, im Fenster einstellen wer automatisch angemeldet werden soll, das Passwort eingeben, fertig.

ich nehme mal an diese tools verwenden alle mehr oder weniger die gleiche methode, kann das passwort dann nicht auch irgendwie ausgelesen werden. ich red hier natürlich vom desktopuser.

ja das stimmt autologin hat dann jeder zugriff der an den PC kann. naja PC ist für meine mutter bestimmt und ich machs ihr eh schon so einfach wie möglich - dann hat sie wenigstens bissi was zu tun und kan den login zelebrieren...

Ergänzung (4. Dezember 2011)

1. du kannst jederzeit dem normalen User ohne adminrechte in die lokale Admingruppe aufnehmen und ihn dann auch entsprechend wieder rausnehmen. Erspart die "runas" Geschichte.

2. Autologin für den User kannst du natürlich auch machen wenn er ein Passwort hat. Sowas mache ich generell mit Powertoys.

diese temporäre rechte geschichte mag ich fast lieber, klar kann man mal runas machen - aber was wenn da schon ein keylogger mitklappert.

Ergänzung (4. Dezember 2011)

kann man es zb so machen, das der Desktopuser ein zweites passswort für admintasks hat, welches man dann per runas verwendet. so eine art "sudo" wie bei linux...

der vorteil wäre halt, dass das admin-passwort nie beim Desktopuser-bereich bekannt werden würde. und dieses nennen wir es mal "sudo" nach getaener arbeit wieder deaktiviert wird. also, keine adminrechte mehr ausser runas - welches aber von mir auch wieder deaktiviert wird...

na ich seh schon ich komm schon wieder in so eine hyperphase.... ojee

 

[andy_0]

@ jimmy2times
Die Windows Benuterkontensteuerung funktioniert so ähnlich wie das sudo in Windows. Es kommt halt immer mit der Aufforderung nach einem Administratorkennwort. Einem Benutzer mal eben als Admin zu schalten halte ich für eine schlechte Idee - egal wie kurzfristig das auch sein mag.

@ dom0309
Ok. Es ist dann zwar schon möglich. Es stellt sich mir jedoch die Frage: wozu? Wenn ich mal ein/zwei Sachen installieren, kann ich auch bei jeder Installation das Passwort eingeben. Das kann seine Mutter dann sogar selber machen. Den Benutzer erst in die Gruppe für Administratoren zu verschieben ist für sowas, in meinen Augen, zu aufwändig. Wie oft benötigt man schon voraussehend Administratorrechte für einen definierten Zeitrahmen?

 

[jimmy2times]

@ jimmy2times
Die Windows Benuterkontensteuerung funktioniert so ähnlich wie das sudo in Windows. Es kommt halt immer mit der Aufforderung nach einem Administratorkennwort. Einem Benutzer mal eben als Admin zu schalten halte ich für eine schlechte Idee - egal wie kurzfristig das auch sein mag.

die frage klingt vielleicht dumm, aber auch wenn ich mit den admin rechten offline gehe?
nah eigentlich kann ichs mir auch selber beantworten - böse software wartet ja nur darauf systemweit superuser zu sein. (mal angenommen ich hab sie im desktopaccount)...

aber was wenn ich einen keylogger im desktopaccount hätte, dann weiss der ja gleich auch das adminkennwort!?

oder?

 

[andy_0]

Software die einmal Adminrechte erlangt hat, kann sich z.B. selber ein User mit solchen Rechten erstellen (schon sehr exotisch, aber möglich), sich mit Rechten des Administrators in den Autostart setzen und damit als Administrator laufen etc. D.h. sie hat diese Rechte dann noch, nachdem du den User wieder auf regulären Benutzer heruntergestuft hast.

Diese Problematik ist der Grund, warum man in Linux sudo anstatt su root verwendet. Wenn ich etwas mit dem root (= Admin) starte, läuft die Schadsoftware dann immer mit dem Superuser, wenn es sich damit in den Autostart setzt. Starte ich sie mit sudo im eigenen User, läuft sie im Kontext des aktuellen Users. Lösche ich diesen, ist das Problem beseitigt.

Sudo ist natürlich nicht perfekt. Die Software kann sich z.B. dennoch in den Autostart mit dem User root einschreiben, das lässt sich nie verhindern. Jedoch müsste man die Software dann explizit mit sudo gestartet haben. Läuft der Anwender immer als Superuser, kann sich sie Anwendung "einfach so" starten.