Warum ein eingeschränktes Konto benutzen?

[negaH]

Zitat:

Nunja, ich würde sagen, weil ein Virus mit eingeschränkten Rechten nicht alles das kann, was er mit Administratorrechten kann. Er kann also teilweise weniger Schaden anrichten

Das impliziert aber das ein Virus in jedem Falle immer abhängig von den eingestellten Zugriffsrechten ist. Nun, in jedem Betriebsystem wird und muß es aber Wege geben damit zb. die Hardware ohne diese Einschränkungen auf einem beliebigen Konto lauffähig ist. Damit diese Hardware Sinn macht benötigt man eine Software, ergo auch diese Software muß ohne Einschränkungen auf jedem Konto lauffähig sein.
Wie verhindert das Betriebsystem nun das sich eine unberechtigte Software wie ein Virus per Injection Zugriff auf solche Softwares verschafft und damit ebenfalls unbegrenzte Rechte erlangt ?
Ist sowas wirklich sicher realisierbar ? Wurde sows schon praktikabel in den heuten Betriebssystemen realisiert ?

Falls nicht, behaupte ich das es Viren geben wird die ohne weiteres jede beliebige Schranke der Benutzerkonten umgehen können.

Zitat:

Ansonsten: Regelmäßige Virenscannerupdates und Scans können hilfreich sein.

Wie arbeiten Virenscanner ? Ich denke mit Signaturen. Wenn man aber nun einen Spezial-Virus programmiert, mit unbekannter und neuer Signatur und diesen ausschließlich auf System X ansetzt, wie hoch wäre dann der Schutz eines eingeschränkten Benutzerkontos im Vergleich zu einem Admin Konto ?

Gruß Hagen

[negaH]

Zitat:

Zitat:

Warum soll das Arbeiten unter einem eingeschränktem Nutzerkonto sicherer vor Viren schützen als ein Administrator Konto ?

Es schützt vor größeren Auswirkungen, mehr nicht.

Aha, wir kommen der Sache näher. Die Kontoen reduzieren also nur die Auswirkungen aber nicht die Sichheit.

Wenn aber ein Virus in das System gelangt ist, und eh schon alle Zugriffsrechte/Einschränkungen umgangen hat, warum? sollte er dann nicht ein absolutes Zerstörungswerk anrichten können ? Er hat doch schon vollen Zugriff erlangt ?

Gruß Hagen

[Olli]

Zitat:

Zitat von negaH

Das impliziert aber das ein Virus in jedem Falle immer abhängig von den eingestellten Zugriffsrechten ist.

Nein!

Zitat:

Zitat von negaH

Nun, in jedem Betriebsystem wird und muß es aber Wege geben damit zb. die Hardware ohne diese Einschränkungen auf einem beliebigen Konto lauffähig ist.

Ja.

Zitat:

Zitat von negaH

Damit diese Hardware Sinn macht benötigt man eine Software, ergo auch diese Software muß ohne Einschränkungen auf jedem Konto lauffähig sein.

Ja.

Zitat:

Zitat von negaH

Wie verhindert das Betriebsystem nun das sich eine unberechtigte Software wie ein Virus per Injection Zugriff auf solche Softwares verschafft und damit ebenfalls unbegrenzte Rechte erlangt ?

ACLs!

Zitat:

Zitat von negaH

Ist sowas wirklich sicher realisierbar ? Wurde sows schon praktikabel in den heuten Betriebssystemen realisiert ?

Ja. Wäre schlimm, wenn jeder Gastprozeß auf jeden Adminprozeß zugreifen könnte.

Zitat:

Zitat von negaH

Wie arbeiten Virenscanner ? Ich denke mit Signaturen. Wenn man aber nun einen Spezial-Virus programmiert, mit unbekannter und neuer Signatur und diesen ausschließlich auf System X ansetzt, wie hoch wäre dann der Schutz eines eingeschränkten Benutzerkontos im Vergleich zu einem Admin Konto ?

Das kommt drauf an. Ein Virus im klassischen Sinne versucht Dateien zu infizieren. Wenn die Dateien jedoch per ACL vor Zugriff geschützt sind, kkann der Virus mich mal. Deswegen ist das Ausmaß der Zerstörung in einem beschränkten Konto im Ernstfall geringer. Dies ist der einzige Grund es zu tun.

[negaH]

Zitat:

Zitat:

Wie verhindert das Betriebsystem nun das sich eine unberechtigte Software wie ein Virus per Injection Zugriff auf solche Softwares verschafft und damit ebenfalls unbegrenzte Rechte erlangt ?

ACLs!

Ok, kannst du mir genauer erklären was ACL's sind ?
Das sind doch nur Zugriffs-Steuerungs-Listen, oder ?


Gruß Hagen

[negaH]

ACL = Access Control List (ACL) -> siehe http://de.wikipedia.org/wiki/Access_Control_List

So, es muß eine Software geben die diese ACL's verwaltet und die darin enthaltenen Rechte delegiert, logisch oder.
Diese Software wird mit aller Wahrscheinlichkeit selber von höchster Sicherheitsstufe sein, auch logisch oder ?

Wenn aber die CPU Hardware es denoch ermöglicht über Tricks einem Virus Code per Injektion in diese Software sich einzuschleusen, wie sollen dann ACL's nocht effektiv sein ?

Gruß Hagen

[Olli]

Zitat:

Zitat von negaH

Ok, kannst du mir genauer erklären was ACL's sind ?
Das sind doch nur Zugriffs-Steuerungs-Listen, oder ?

So ist es, besser ich lasse das erklären. Hier haben wir mal ein Buch, welches online verfügbar ist:
http://pluralsight.com/wiki/default....eBook.HomePage

Im Grunde enthalten ACLs erstmal ACEs (das ist der wichtige Teil). Diese sind aufgeteilt in Deny- und Allow-ACEs. Deny geht über Allow. Wenn kein Allow existiert, wird der Zugriff aber sowieso verweigert. Deny-ACEs dienen also nur der feinkörnigen Rechtevergabe. Jeder ACE enthält die Zugriffsrechte (Access Mask) und die SID der Entität, welche beschrieben wird - Gruppen, Benutzer, Computer ...
Dadurch kann man viel feiner als bspw. im klassischen Unix die Rechte verteilen. Allerdings gibt es auch für zB Linux Erweiterungen für ACLs.

[Olli]

Zitat:

Zitat von negaH

So, es muß eine Software geben die diese ACL's verwaltet und die darin enthaltenen Rechte delegiert, logisch oder.
Diese Software wird mit aller Wahrscheinlichkeit selber von höchster Sicherheitsstufe sein, auch logisch oder ?

Völlig korrekt. Diese Software nennt sich Kernel (+Treiber) und Dienste, kurz die TCB (Trusted Computing Base - es gibt ein gleichnamiges Privileg).

Zitat:

Zitat von negaH

Wenn aber die CPU Hardware es denoch ermöglicht über Tricks einem Virus Code per Injektion in diese Software sich einzuschleusen, wie sollen dann ACL's nocht effektiv sein ?

Die Diskussion ist müßig. Wenn ich an den geheimen Schlüssel von dir rankomme, kann ich deine Nachrichten auch entschlüsseln - das ist die Ebene auf der du gerade argumentierst.

Die Bezeichnung TCB kommt nicht von ungefähr. Diese Komponenten können a.) nur von Leuten mit den nötigen Privilegien installiert werden (zB Treiber), also nur von Entitäten, denen auch vertraut wird und b.) gibt es genügend Sicherheitschecks für Syscalls aus dem U-Mode - und nicht zuletzt auch für die im K-Mode. Treiber haben dafür zu sorgen, daß sie die Puffer, insbesondere die aus dem Usermode, validieren und sie erst dann beschreiben (oder eben lesen). Deine Argumentation läuft also ins Leere, wenn denn alles so funktioniert, genau wie ich deine Daten nicht entschlüsseln kann, wenn du deinen privaten Schlüssel sicher aufbewahrst. Und mit diesem "Wenn" argumentiert man nur dann, wenn man auch weiß, wie man ihm Leben einhaucht ;)

[Robert_G]

Zitat:

Zitat von Olli

Zitat:

Zitat von Robert_G

Wenn jetzt jemand mit einer Diskette daherkommen würde, würde ich die natürlich durch den Scanner scheuchen.

Das Kopieren einer Datei kann dich nicht infizieren und solche Viren wie ihn Hansa genannt hat funzen sowieso nur beim Booten - zumal die meisten BIOSse noch zusätzlich einen Schutz des Bootsektors eingebaut haben.

Ich meinte eher, falls darauf binaries sind, die bei mir ausgeführt werden sollten. Wobei mir das seit Jahren nicht untergekommen ist... Diskette... tsss...

[schöni]

Hallo!

Einige scheinen trotz Administratorkonto und mit selbigem ins Internet gehen noch nie Probleme gehabt zu haben. Ich schon, Vieren und Trojaner. Mein Traum wäre ein eingeschränktes Konto mit dem ich zwar im Internet surfen kann, aber nichts, wirklich gar nichts während der Sitzung auf meine Festplatte geschrieben werden kann. Nicht mal im Cache für soeben besuchte Seiten. Das heißt, wenn ich Downloads machen will, brauche ich halt ein weiteres eingeschränktes Konto, mit dem Download und Empfang von Email erlaubt sind. Gibt es für dieses Anliegen eine Lösung. Funktioniert sowas unter NTFS? Oder unter Linux? Oder geht das auch unter FAT32?

[OT]
Mein Problem ist, falls das unter NTFS machbar sein sollte, das ich, wenn ich Windows 2000 mit NTFS installiere, mein Windows 98 nicht mehr bootet. Wenn ich FAT32 einstelle kann ich zwischen beiden Systemen wählen. Inzwischen habe ich Windows XP, habe aber wegen besagter Erfahrung unter Windows 2000 wieder FAT32 sowohl für Windows 98 als auch für Windows XP.
[/OT]

schöni

[negaH]

@Olli,

Ok, ich versuche mal anders zu fragen, da mich das Thema eben brennend interessiert.

Du hast ja nun einiges an Wissen und Erfahrungen zb. über das Windows Betriebssystem. Wenn ich dich persönlich fragen würde ob du rein gefühlsmäßig glaubst das man einen Virus programmieren könnte der all diese Sicherheitsschranken umgehen könnte, was würdest du antworten ??

Gruß Hagen