Warum ein eingeschränktes Konto benutzen?

[Olli]

Zitat:

Zitat von schöni

Gibt es für dieses Anliegen eine Lösung.

Mir ist keine bekannt. Diese Funktionalität müßte auch das Programm implementieren, nicht Windows oder das Dateisystem ;)

Es gibt allerdings Software, welche sich vor den Kernel schiebt und Ring 1 im PM nutzt. Dadurch kann es veranlassen, daß alle Prozesse einzeln quasi in virtuellen Maschinen laufen. Sehr beeindruckende Technik und auch zum Patent angemeldet. Hat mir jemand auf einer geschlossenen Sicherheitsmailingliste mal gezeigt - er sagte er arbeite für die Firma. Wenn du willst, kann ich es nochmal raussuchen, dann hast du den Link und kannst mal anfragen!

Zitat:

Zitat von negaH

Wenn ich dich persönlich fragen würde ob du rein gefühlsmäßig glaubst das man einen Virus programmieren könnte der all diese Sicherheitsschranken umgehen könnte, was würdest du antworten ??

Nein. Unter den von dir geforderten Bedingungen natürlich immer. Unter normalen Bedingungen jedoch nicht.
Es ist ein Fakt, daß das Debug-Privileg ausreicht Systemrechte und damit ultimative Kontrolle zu erlangen - also sollte ein eingeschränkter Account dieses Privileg nicht haben. Gleiches gilt für alle relevanten Rechte. Der Admin ist eben eine TCB-Entität, der Gast oder ein Normalnutzer nicht. Kannst du einen Treiber installieren, so wird es dir möglich sein ein Rootkit o.ä. zu installieren -> wieder ultimative Kontrolle. Also wieder ein Privileg, welches der eingeschränkte Benutzer nicht haben darf.

Damit wären wir auch bei der Sinnlosigkeit der obigen Argumentation des Themenerstellers vorgedrungen: Software entwickeln ohne zu debuggen ist reichlich hirnrissig - Debugrechte an einen eingeschränkten Account zu vergeben aber ebenfalls. Also kann man es gleich lassen und zB umgekehrt den Browser mit eingeschränkten Rechten laufen lassen, statt interaktiv mit eingeschränkten Rechten zu laufen.

[tommie-lie]

Zitat:

Zitat von schöni

Funktioniert sowas unter NTFS?

Ich bin mir nicht sicher, ich denke ja

Zitat:

Zitat von schöni

Oder unter Linux?

Ja.
Du richtest einen Benutzer ein, und entziehst ihm überall die Schreibrechte. Unter Linux geht das sehr einfach, indem du ihm nicht die Möglichkeit gibst, mit sudo oder su an SU-Rechte zu kommen und ihn keiner Gruppe hinzufügst, die irgendwo Schreibrechte hat. Dann entziehst du ihm noch im eigenen Home-verzeichnis die Schreibrechte und fertig. Ob dann allerdings Browser und Rest noch geht, ist fraglich, Cookies wollen auch irgendwo untergebracht werden, und ich weiß nicht, ob ein Browser es gerne mit sich machen lässt, wenn er keinen Cache hat. Ich habe nie versucht, ein Firefox-Profil zu öffnen, in dem ich keine lock-Datei anlegen darf, vielleicht geht es, falls nicht brauchst du mindestens Schreibrechte im Firefox-Profilverzeichnis.
Dein "Traum" ist an sich schon weitestgehend die Standardeinstellung unter einem Debian-System, sobald du einen neuen Benutzer anlegst. Es fehlt nur das Home-Verzeichnis und einen kompatiblen Browser, um deinen Traum wahr werden zu lassen.

Mit FAT32 wird es definitiv nicht gehen.

[negaH]

Zitat:

Einige scheinen trotz Administratorkonto und mit selbigem ins Internet gehen noch nie Probleme gehabt zu haben.

Ja, ich. Mein Win2k habe ich vor 5 Jahren aufgesetzt, bisher keinen einzigsten Virus gehabt, (neuste Virensoftware ist installiert), obwohl ich am Tag bestimmt 30 EMails mit Viren Attachments bekomme.

Aber, ich führe niemals irgendwelche Software von unbekannten Quellen aus. Oder anders ausgedrückt, bis auf meine Arbeit nutze ich im Grunde nur gekaufte Software, meistens von großen Kompanies.

Gruß Hagen

[Olli]

Zitat:

Zitat von negaH

Ja, ich. Mein Win2k habe ich vor 5 Jahren aufgesetzt, bisher keinen einzigsten Virus gehabt, (neuste Virensoftware ist installiert), obwohl ich am Tag bestimmt 30 EMails mit Viren Attachments bekomme.

Geil. Wenn mal wieder was neues rauskommt, kannst du es mir forwarden! :thumb: GMX ist aktuell etwas knausrig :mrgreen:

Zitat:

Zitat von negaH

Aber, ich führe niemals irgendwelche Software von unbekannten Quellen aus. Oder anders ausgedrückt, bis auf meine Arbeit nutze ich im Grunde nur gekaufte Software, meistens von großen Kompanies.

Vertrauen - Sicherheit basiert immer auf Vertrauen!

[negaH]

Zitat:

Geil. Wenn mal wieder was neues rauskommt, kannst du es mir forwarden!

Du willst meine verseuchten EMails haben ? Ein Scherz oder ? Ich forwarde es dir gerne, aber denke das du einen Scherz mit mir treibst ;)

Die Logik der EMails ist immer gleich: gefakte T-Online Supports (auf english wohlgemerkt), oder irgendwelche gefakten Provider Meldung das eine Nachticht von mir nicht weitergeleitet werden konnte, an eine Addresse die ich nie im Leben angemailt habe. Im Attachment immer, und zwar immer, eine ca. 13-30 Kb große Datei, mit entsprechender Endungen wie Message.txt.pif oder so ähnlich. Ein simpler HEX Editor entlarvt diese Teile ziemlich schnell.

Wie du es oben schon sagtest: auch ich habe in den letzten Jahren nur Viren gesehen die aus Baukästen zu stammen scheinen.

Das ändert aber nichts an der Tatsache das ich persönlich die Meinung vertrete das man einen Virus programmieren könnte der das heutige Windows, ohne sichere Hardware, aber egal mit welchen Konteneinstellungen, in jedem Falle kompromittieren könnte. Nur scheint das Wissen der heutigen Virenprogrammierer eben nicht mehr ausreichend zu sein.

Gruß Hagen

[delphifan2004]

Hallo Hagen!

Zitat:

... bis auf meine Arbeit nutze ich im Grunde nur gekaufte Software, meistens von großen Kompanies.

Dazu 2 Fragen:

1. Was heißt "bis auf meine Arbeit"? Wo hast Du die Software dafür her?

2. Nehmen wir an schöni hat Windows zum Computerkauf dazugekrigt. Wie ist "gekaufte Software"
Deins Kommentars zu Verstehen? Was ist mit Open Source Software? Kann die auch gefährlich
sein? Schließlich sind heutige Programme recht komplex. Da steigt nicht mehr jeder durch.
Was ist dann, wenn ein bösartiger Programmierer, der trotz der Komplexität das Programm
versteht, da ne Schadfunktion einbaut. So wie der Sicherheitsexperte hat doch auch der
Virenprogrammierer Zugang zu den Quellen bei Open Source.

Das Du nur Softwre von zuverlässigen Quellen verwendest ist OK, das mache auch ich so. Wie
ist das mit Erotikseiten. Können sich das Vieren einschleichen? Wohl dem der das nicht
nötig hat, weil lebende Freundin oder Gattin zuhause. Aber wie groß ist die
Wahrscheinlichkeit einer Infektion? Mal beim Antivieren-Update geschlampt, und dann?

Ich habe auch den aktuellen Virenscanner, hatte aber auch schon Zeugs drauf.

MfG

Delphifan2004

[Olli]

Zitat:

Zitat von negaH

Du willst meine verseuchten EMails haben ? Ein Scherz oder ? Ich forwarde es dir gerne, aber denke das du einen Scherz mit mir treibst ;)

Nö, ist ernstgemeint. Aber nur wenn du mal was ganz aktuelles hast. Wie gesagt mache ich mich mit meiner Freundin IDA dann daran zu schaffen.

Zitat:

Zitat von negaH

Das ändert aber nichts an der Tatsache das ich persönlich die Meinung vertrete das man einen Virus programmieren könnte der das heutige Windows, ohne sichere Hardware, aber egal mit welchen Konteneinstellungen, in jedem Falle kompromittieren könnte. Nur scheint das Wissen der heutigen Virenprogrammierer eben nicht mehr ausreichend zu sein.

Das Wissen wäre Wissen um Sicherheitslücken. Das System an sich ist vom Konzept her wasserdicht. Daher mein "Nein" oben.

[Olli]

Zitat:

Zitat von delphifan2004

So wie der Sicherheitsexperte hat doch auch der Virenprogrammierer Zugang zu den Quellen bei Open Source.

Aber nicht zwangsläufig zum CVS oder FTP-Server. Er muß seine modifizierte Version aber unter die Leute bringen. Dein Argument läuft also ins Leere. Es gab einmal ein Beispiel mit Apache (AFAIK), aber das war schnell bekannt, da die Checksummen nicht stimmten.

Zitat:

Zitat von delphifan2004

Können sich das Vieren einschleichen? Wohl dem der das nicht nötig hat, weil lebende Freundin oder Gattin zuhause. Aber wie groß ist die Wahrscheinlichkeit einer Infektion? Mal beim Antivieren-Update geschlampt, und dann?

Benutze Software, die keine Sachen ohne dein Wissen tut - zB keinen IE. Das ist mein vollster Ernst. Ich kann anhand von Logs nachweisen, daß nächtens bei uns im PC-Pool oft solche Seiten angesurft werden, aber seitdem DAUs den IE nicht mehr ausführen dürfen, gibt's auch keine Dialer usw. mehr (obwohl die im LAN sowieso nix machen).

[negaH]

Zitat:

1. Was heißt "bis auf meine Arbeit"? Wo hast Du die Software dafür her?

Damit meine ich unsere selbst-programmierte Software, ich bin ja professioneller Entwickler, ok das konntest du nicht wissen.

Ich muß ja mit meinen Kollegen und Auftraggebern ebenfalls unsere Software austauschen und mich darauf verlassen können das diese wiederum ebenfalls so penibel sind wie ich. Mehr als vertrauen kann ich in diesem Moment auch nicht.

Öfters bekam ich das Angebot eines Kunden mal schnell seinen Kopie per Netz zu ziehen und bei mir zu testen. Das kommt in der "Verzweifelung" eines Kunden schon häufiger vor. Wir handeln es dann meistens so das wir per Terminal Software beim Kunden einloggen und dort das Problem beobachten.

Im schlechtesten Falle testen wir in der Firma solche Software ;)

Zitat:

2.)

Gute Fragen, die ich selber ganz gerne beantwortet hätte ;) Ich bin selber Laie in diesen Sicherheitsfragen, deshalb stelle ich ja meine auch hier !

Zitat:

ist das mit Erotikseiten. Können sich das Vieren einschleichen? Wohl dem der das nicht
nötig hat, weil lebende Freundin oder Gattin zuhause. Aber wie groß ist die
Wahrscheinlichkeit einer Infektion? Mal beim Antivieren-Update geschlampt, und dann?

Dann musste eben Sex mit der Freundin machen, halte ich auch so. Mal ehrlich: Erotik-Seiten hat wohl schon jeder durchstöbert, aber nach 2 Wochen sollte doch wohl jeder normal-sex-Mensch sehr schnell die Schnauze voll haben und auf diese Abzocke verzichten können. Man schaut sich dies an bis man alle Arten von verkaufbaren Sex gesehen hat, je länger man auf Suche ist um so mehr sollte man feststellen können was für einen Shit die zu Geld machen.
Also, man muß wohl schon ein echter Fetischist sein um sich im WEB auf SEX Seiten rumzudrücken, meine Meinung.


Die Freundin ! die bekommt das korrekte Verhalten eingehämmert undinteressiert sich zum Glück eh nur für ebay,das wetter und Online Banking. Falls dies bei deiner Freundin nicht der Fall ist, dann suche dir ne neue. MIr reicht es schon wenn meine Sonntags morgen von meiner Rechenzeit 6 Stunden verbraucht ;)

Sorry, mitlesende Mädels, obige Worte sind eher als witzig zu betrachten.

Gruß Hagen

PS: Manu meine Liebste, solltest du irgendwanneinmal auf diese Worte stoßen, ICH wars nicht, das ist eine anderer Hagen, nicht ICH !

[negaH]

@Olli:

Zitat:

Nö, ist ernstgemeint. Aber nur wenn du mal was ganz aktuelles hast. Wie gesagt mache ich mich mit meiner Freundin IDA dann daran zu schaffen.

Ich maile sie dir gerne, vorher solltest du mir aber PN deine Adresse mitteilen, das wäre hilfreich ;)
Schade habe gerade mal reingeguckt, sind nur 2 Sex-Mails drinnen.

Achso: ich bekomme auch öfters gute Angebote vielleicht interessieren diese Dich und Ida ebenfalls. Zb. Penisverlängerungen und damit der verlängerte Penis auch länger steht gibts Viagra/Cialis Angebote noch dazu ;)

Gruß Hagen