Admin oder eingeschränkter User unter XP?

[Olli]

Zitat von Luckie:

Punkt zwei und drei bei Kontra sind hinfällig. Das Admin-Konto sollte ja sowieso nur zum Administrieren verwendet werden, also wird damit ja sowieso nicht richtig mit gearbeitet.

Wie programmierst (debuggst) du? Und bitte sage mir nicht, dass du die Privilegien des "unprivilegierten Kontos" dazu angepasst hast. Da kannst du naemlich auch gleich als Admin arbeiten

Debugrechte erlauben es dir (und konsequenterweise Malware), dich in privilegierte Prozesse einzuklinken - bspw. in Services. Sobald du dort unter den entsprechenden Rechten Code ausfuehren kannst, koenntest du bspw. eine eigene DLL laden oder aehnliches. "Eigene" koennte natuerlich auch die zu einer Malware gehoerende DLL sein.

Nachdem man in einem SYSTEM-Prozess gelandet ist, kann man sich dann seine eigenen Token basteln und prinzipiell auf alles zugreifen, auch wenn das erstmal alles nciht sooo trivial ist

Zitat von Christian Seehase:

Bei Grundinstallationen kann man das so lösen, dass man alles gewünschte mit einem entsprechend berechtigten Installtionsaccount (z.B., auch lokaler Administrator) installiert, und dann einfach das Profil dieses User in das Default-User-Profil kopiert.
Dann würde jeder, der sich erstmalig auf dem Rechner anmeldet, diese Einstellugen in sein persönliches Profil bekommen, da dieses ja initial aus dem Default-User-Profil gebildet wird.

Jupp, stimme ich zu. Im Zweifelsfall muessen dort aber noch die Rechte auf den Hive-Schluesseln des Profils angepasst werden. Kann aber sein, dass das inzwischen automatisch geschieht. Bei NT4 und W2K mussten wir es damals noch teilweise machen.


Aber:
IMO haengt das alles ganz von der Nutzung des Rechners ab, weshalb man weder pauschale Ratschlaege geben kann noch sollte.
NetEXEC ist ein durchaus respektables Produkt und mag eventuell das Problem beheben, indem du mehrere Desktops auf verschiedenen Privilegstufen laufen laesst.

Zu der Gechichte mit den Profilen, kann ich Reparse-Points empfehlen. Mit einer klitzekleinen Modifikation in der GINA koennte dann die GINA jeweils die Profilrechte (Verzeichnis/Hive) anpassen oder noch besser eine Kopie anlegen bevor der Profil-Hive geladen wird. Damit waere dann auch das Problem geloest, dass man Einstellungen hin- und herkopieren muss. Allerdings nur solange, wie nicht beide Benutzer gleichzeitig (Schnelle Benutzerumschaltung/TS) angemeldet sind. Dafuer ginge dann wohl nur noch eine Loesung mit Treiber (zumindest ab XP).