Datei öffnen - Sicherheitswarnung

[_frank_]

Moin,
ich hab auf meinen neuen Rechner (asus P5E3,Intel Q9300,4GB Ram) Winxp Pro SP2 installiert + alle aktuellen Updates (kein Sp3,ohne IE7).
jetzt springt mich bei fast jeder Exe-Datei die ich starte eine Fehlermeldung wie im Bild an.

Bevor jetzt jemand auf google verweist...hab ich schon gemacht und auch einiges ausprobiert.
- IE7 hab ich ja nicht drauf
- im IE6 hab ich die option "Ausführung aktiver inhalte in Dateien auf dem lokalen Computer zulassen" schon aktiviert
- bei lokales intranet hab ich "Alle sites, die den Proxyserver umgehen einbeziehen" deaktiviert
- weiterhin hab ich meine lan-IP und localhost zu den vertrauenswürdigen sites hinzugefügt
- die DEP hab ich mittels /noexecute=alwaysoff in der boot.ini schon ausgeschaltet
- sicherheitscenter-dienst ist (wieder) aktiviert
- firewall-dienst ist deaktiviert, keine eigene firewall momentan

alle o.g. Einstellungen hab ich erst nach der Meldung erfolglos geändert. ich hoffe mal, ich hab jetzt alles aufgezählt, was ich so probiert habe...
die downloads (außer Firefox selbst) sind mittels Firefox 3.0 gemacht u.a. das aktuelle Openoffice-Packet.
die gleiche windows-version hab ich noch auf einem älteren PC (Pentium 4 Nothwood mit 533er Fsb+MSI Neo2 Platinum board) installiert, wo ich diese Meldung nicht hatte.
also langsam bin ich am verzweifeln und hoffe es hat noch jemand eine Idee.

Gruß Frank

[Assertor]

Hi Frank,

Zitat:

Zitat von _frank_

jetzt springt mich bei fast jeder Exe-Datei die ich starte eine Fehlermeldung wie im Bild an.

Das ist keine Fehlermeldung, sondern ein Warnhinweis.

Diese wird nicht über die o.g. Einstellungen geregelt, sondern afaik beim Download in einen seperaten NTFS-Stream der Datei geschrieben, damit das System erkennen kann, daß die ursprüngliche Quelle nicht in Deinem System liegt.

Kopierst Du die EXE auf ein FAT32 Laufwerk und zurück, ist die Meldung weg (Windows warnt dann aber, daß Informationen beim Kopieren auf FAT32 verloren gängen - was ja diesbezüglich auch stimmt).

Gibt es eigentlich einen vernünftigen Grund gegen SP3 und IE7? Was ich auch überlegen würde, ob es bei einem solchen System nicht Sinn ergibt (4 GB RAM) mal ein 64-bit System zu installieren...

Gruß Assertor

Nachtrag: Das ganze liegt am XP SP2 Attachment Manager, hier bei Microsoft beschrieben http://support.microsoft.com/?kbid=883260. Im Bereich OpenFile-Dialog, gilt aber nicht nur für VBScript etc.pp. Verwaltet wird das wohl über einen alternativen Filestream.

Will sagen: Ohne den alternativen Filestream zu löschen, bekommst Du immer die Meldung - der Stream ist ja schon da, egal was Du änderst. Änderungen beziehen sich nur auf neue Downloads...

[_frank_]

Zitat:

Zitat von Assertor

Hi Frank,
Das ist keine Fehlermeldung, sondern ein Warnhinweis.

*g* ich meinte ja warnung, siehe titel ;) aber es nervt halt...gerade, wenn man grade ein System neu aufgesetzt hat.

Zitat:

Zitat von Assertor

Diese wird nicht über die o.g. Einstellungen geregelt, sondern afaik beim Download in einen seperaten NTFS-Stream der Datei geschrieben, damit das System erkennen kann, daß die ursprüngliche Quelle nicht in Deinem System liegt.

dachte mir schon, dass irgendwas in Windows nach dem ADS sucht und anhand dessen diese Meldung bringt, aber erzeugt der Firefox diese meldung auch? warum kam die meldung nicht auf meinem anderen System? es ist ja die selbe windows-version, gleiche updates und sollten die gleichen einstellungen sein, vermute schon fast, dass mein alter prozessor/board das nicht unterstützt hat.dort habe ich ja genauso auf NTFS-Partitionen gedownloaded.

Zitat:

Zitat von Assertor

Kopierst Du die EXE auf ein FAT32 Laufwerk und zurück, ist die Meldung weg (Windows warnt dann aber, daß Informationen beim Kopieren auf FAT32 verloren gängen - was ja diesbezüglich auch stimmt).
Gibt es eigentlich einen vernünftigen Grund gegen SP3 und IE7? Was ich auch überlegen würde, ob es bei einem solchen System nicht Sinn ergibt (4 GB RAM) mal ein 64-bit System zu installieren...

IE7 => weil ich ihn eh nicht nutze spar ich mir den aufwand...greift mir zu sehr ins System ein, wie man das ja vom 6er schon kennt.
SP3 => wurde mir von einigen abgeraten, da es wohl langsamer läuft als SP2 (war bei Sp2 am Anfang ja auch so)

ansonsten hab ich die winXP (32 bit) original und muss nicht unbedingt jetzt schon ne 64bit-version kaufen, nur um an den restlichen ram ranzukommen. denke mal die anzeige ist auch falsch, da 32Bit ja bis 4GB addressieren kann...vermute mal der rest ist durch Hardware-Adressbereiche reserviert und geht somit nicht (ganz) verloren.

zu Vista sag ich nur, dass ich es mal bei nem Kumpel getested habe...das hat mir eindeutig gezeigt, dass ich es nicht kaufen werde. unabhängig von dessen Hardware-Konfiguation.

Es muss aber irgendeinen Grund geben, warum diese Meldung kommt und man muss sie lokal ausschalten können. wenn ich ne datei runterlade weis ich, dass diese von einer evtl. unsicheren Quelle kommt, da brauch ich diese Box nicht. das ist vielleicht bei 0815-Usern sinnvoll, damit diese nochmal drüber nachdenken, aber spätestens nach der 10 Meldung gehts denen auch auf den Geist.
Was sich MS dabei nur gedacht hat...das erinnert mich an "start-beenden-herunterfahren-sind sie sicher?-wirklich?-denken sie nochmal drüber nach..."
mit sowas erreicht man imho nur das gegenteil. nur weil es MS nicht hinbekommen hat wie unter Linux eine gescheite rechteverwaltung hinzubekommen und den user nicht standardmäßig eingeschränkt konfiguriert, wird der user mit solchen meldungen zugepflastert...z.b. gibts unter Windows noch keine (mir bekannte) Möglichkeit als Benutzer auf bestimmte Hardware zuzugreifen (z.b. TV-Karte) da muss man zu tools wie sudo greifen...

Gruß Frank

[Alter Mann]

Hi,

das Problem kenne ich irgendwo her :gruebel:

Überprüfe doch mal bitte Deine Netzwerkeinstellungen bezüglich der Namensauflösung, sprich DNS.
In der Regel hilf es den DNS-Server des Providers zusätzlich einzutragen.

Wenn es denn auch noch unbedingt die Sicherheitseinstellungen beim IE sein sollen,
dann 'Internetoptionen->Sicherheit' anklicken und 'Lokales Intranet' auswählen.
Anschließend die Schaltfläche 'Sites' betätigen und die Checkbox 'Intranetnetzwerk automatisch ermitteln'
deaktivieren. Die anderen drei Checkboxen ausgewählt lassen und 2x OK drücken.

Bei 'Sites' kann die lokale Maschine über den Button 'Erweitert' hinzugefügt werden, es werden dann aber
gleichlautende Einträge aus den anderen Sites in diese verschoben, dafür steht die Sicherheit 'nur' auf
'Niedrig' und nicht auf 'Niedrigste Stufe'. Somit bleibt ein wenig Sicherheit erhalten.

Persönlich würde ich im DNS-Bereich anfangen und die IE-Sache nur versuchen wenn die Namensauflösung
100% klappt. Kann mit (T-Online) nslookup überprüft werden, zB.:

Zitat:

nslookup www.heise.de
Server: h-lb-a01-isp.t-ipnet.de
Address: 217.237.149.142

Nicht autorisierte Antwort:
Name: www.heise.de
Addresse: 193.99.144.85

Ein 'nslookup 193.99.144.85' muss dann 'www.heise.de' ergeben.

Gruß

PS Assertor hat schon Recht, es ist nur eine Sicherheitswarnung, aber auch die kann Nerven.

[himitsu]

statt zu kopieren (NTFS > FAT/CDFS > FNFS) könntest du auch einfach nur die entsprechenden ADS löschen.

z.B. ADS > Alternate Data Stream Detektor

[Assertor]

Zitat:

Zitat von himitsu

statt zu kopieren (NTFS > FAT/CDFS > FNFS) könntest du auch einfach nur die entsprechenden ADS löschen.
z.B. ADS > Alternate Data Stream Detektor

Klar kann er das auch. War mir ebenso bekannt. Nur man weiß ja nicht, welches Wissen vorhanden ist. Gibt auch Tools zu den ADS von MS SysInternals dazu.

Gruß Assertor

[juergen]

Hallo Frank,

nachfolgendes sollte dir helfen:

"gpedit.msc" starten und unter Benutzerkonfiguration
Administrative Vorlagen - Windows Komponenten - Anlagen Manager - Aufnahmeliste für
Dateitypen mit niedrigem Risiko ".exe" eingetragen.

[hathor]

...und warum klickst Du nicht einfach auf die Checkbox links unten ???

[Assertor]

Zitat:

Zitat von hathor

...und warum klickst Du nicht einfach auf die Checkbox links unten ???

lol :thumb:

Das klingt ja fast wie "wieviele Programmier braucht man um eine Glühbirne einzudrehen" ;)

Recht hast Du, schönen Feierabend :cheers:

[juergen]

Ich meine, dass die Meldung bei JEDER Exe einmal kommt. Und dann jedesmal den Haken setzen zu müssen... :mrgreen:

[_frank_]

Zitat:

Zitat von juergen

Ich meine, dass die Meldung bei JEDER Exe einmal kommt. Und dann jedesmal den Haken setzen zu müssen... :mrgreen:

richtig, deswegen die frage nach etwas allgemeinem...das mit gpedit probier ich noch aus, auch wenns mich wundert, dass diese einstellung anders als bei meinem anderen System ist...

wegen dem ADS ist mir schon bekannt ;) auch das tool ken ich, jedoch bei jeder datei, die ich gedownloaded habe den ads löschen scheint mir nicht die ultimative lösung zu sein, genauso wie das verschieben auf ein Dateisystem, welches die funktion nicht bietet.

Gruß Frank

[Luckie]

Zitat:

Zitat von _frank_

nur weil es MS nicht hinbekommen hat wie unter Linux eine gescheite rechteverwaltung hinzubekommen

Windows hat sogar eine sehr gute Rechteverwaltung. Laut Aussage von Nico, der beide Systeme kennt, sogar eine wesentlich bessere mit mehr Möglichkeiten. Nur ist sie deswegen komplexer und somit schwerer zu verstehen und anzuwenden. Man muss sich eben mit beschäftigen, wie unter Linux auch. Allerdings denken wohl die meisten, nur weil Windows hauptsächlich über eine grafische Oberfläche mit der Muas konfiguriert wird, dass die nicht nötig sei.

[_frank_]

eins vorweg...das mit dem Gruppenrichtlinien hat funktioniert...danke für den Tip.aber es würde mich dennoch interessieren, warum es auf der neuen installation so ist und auf dem alten system nicht.

zum Thema Sicherheitskonzept:
wie gebe ich dann wie oben beschrieben, bestimmte Hardware für eingeschränkte Benutzer frei?
ich habs damals mit meiner TV-Karte nur mit sudo4win hinbekommen (wo wir wieder bei admin-rechten wären), aber das ist keine Rechtevergabe und schon gar nicht benutzerfreundlich...unter linux weise ich dem device ne eigene Gruppe zu (wenn nicht schon vorhanden) und haue die benutzer in die Gruppe, die entsprechend mit dem Gerät kommunizieren sollen.
wo kann ich sagen, dass ein benutzer bestimmte sachen, die normalerweise Adminrechte benötigen, in bestimmten Scripten (natürlich mit schreibschutz) trotzdem dürfen (suid-flag unter linux). gut, über die scripting-fähigkeiten von windows schweig ich jetzt mal...
also unter linux finde ich die rechteverwaltung ziemlich intuitiv und ausreichend, wüsste nicht, was ich mehr bräuchte.
unter windows werden einem benutzer mehrere Token zugewiesen, was er kann und was nicht...das finde ich nicht wirklich intiutiv, zumal der benutzer nicht direkt sehen kann, was er kann und was nicht (außer mit speziellen tools wie z.b. t'n't).
je verstrickter die ganze Sache wird, desto weniger nicht-programmierer werden sich windows antun...für normalbenutzer wirds einfach zu komplex. ich hab mir ja das Sicherheitskonzept schon bisschen genauer angeschaut, auch wenn ich nicht so tief drin bin wie z.b. Luckie

Ich bin der Meinung, dass genau dieses Rechteproblem mit verantwortlich ist, dass windows so anfällig ist. mal (von mir) grob geschätzt 90% aller windows-benutzer sind mit admin-rechten im Internet unterwegs, da als eingeschränkter Benutzer einfach zu wenig geht.andererseits kann man als eingeschränkter benutzer im allusers schreiben und in andere Benutzerprofile (außer admins) reinschauen (obwohl die benutzer nicht in der rechteliste auftauchen).das sind in meinen Augen grobe Sicherheitsverletzungen.z.b. mal haut eine batch-datei ins allusers, wo z.b. das userprofile geleert wird,oder man lässt nen admin danach anmelden und macht darüber in seinem Benutzerkontext was feines.

sicher ist es eine subjektive Betrachtung, aber gerade was administrative Aufgaben (z.b. server) angeht halte ich linux zweckmäßiger, wobei ich für normale Heimanwender Windows besser finde. aber selbst dieser status schwindet langsam...mittlerweile sind viele meiner Arbeitskollegen privat komplett auf Linux (ubuntu, gentoo,...) gewechselt und starten Windows nur noch zum spielen (wenns überhaupt installiert ist).
in windows gibts einfach so viel, wo der Benutzer absolut keinen Einblick hat (Rechte, SystemVolumeinformation,Security-Schlüssel der registry,ADS,hidden devices,...). gut, man kommt an alles genannte ran, wenn man weis wie, aber das ist mehr hacken als bedienen.
btw. wer schonmal windows über ein bestehendes (nicht mehr funktionierendes) System drüberinstallieren musste und versucht hat, auf die privaten Ordner (eigene Dateien) zuzugreifen (z.b. backup vergessen), weis, dass man da selbst mit admin-rechten nicht rankommt (da alle SIDs neu vergeben werden) :) ist nicht mir passiert, aber ich bin trotzdem mit bisschen arbeit an die Daten rangekommen.

den letzten Satz von Luckie verstehe ich nicht ganz...weil man windows mit der Maus konfiguriert, ist die (?) nicht nötig? meinst du damit die Maus? vielleicht meinst ja auch, dass man Windows nicht nur mit der Maus konfigurieren kann, sondern auch "versteckte einstellungen" vorhanden sind.

mir sind gpedit.msc (Gruppenrichtlinien),secpool.msc (lokale sicherheitsrichtlinien),registry und msconfig durchaus bekannt, auch wenn ich dort nicht alle Werte/Einstellungsmöglichkeiten kenne.
wenn ich in linux was einstellen will schaue ich nach /etc und finde dort im normalfall relativ schnell für alles eine einstellung (zur Not mit Internet). bei Windows gibt es dutzende Anlaufstellen und so wies bei dem Fall ist, mehrere Gründe, die eine solche Meldung verursachen.

Gruß Frank

[Luckie]

Ich meinte mit dem letzten Satz, dass wohl die meisten denken mit Windows müsste man sich nicht beschäftigen, weil es eben hauptsächlich mit der Maus konfiguriert wird. Und was deine TV-Karte angeht, unter Windows kann man Hardware nicht direkt ansprechen aus Sicherheitsgründen. Dazu ist immer ein Treiber notwendig. Wenn du also über den Treiber mit der TV-Karte kommunizierst, sollte das funktionieren.

[Captnemo]

Diese Thema ist zwar schon etwas älter, aber ich will das noch mal hervorkramen. Ich hab zur Zeit genau dieses Problem auch.

War kann man das auf die o.g. Art und Weise für sich lösen, aber da ich benötige noch eine andere Lösung.

Ich beschreib mal was ich mache:
Ein aktuelles Projekt macht es erforderlich, dass ein Kunde über das Internet ausführbare Dateien auf seinen Computer lädt. Diese hole ich mir über idhttp in einen filestream. Jetzt hab ich natürlich auch die information, dass es sich um eine heruntergeladene Datei handelt, im ADS. Wie kann ich die jetzt per Software entfernen? Ich kann ja nicht jedem Kunden zumuten, dass er mit gpedit usw. rumfummelt.

[Luckie]

http://www.michael-puff.de/Programmierung/Delphi/Units -> MpuADS.pas

[Captnemo]

Super, danke. Aber sag mal, was ist den das für eine Unit Exceptions von der mein D7 sagt, dass es das nicht kennt?

[Luckie]

Oh, das ist eine eigene Exceptions Unit ohne die VCL. Entweder baust du den Code entsprechend um, es könnte reichen, wenn du meine raus schmeißt und satt dessen SysUtils nimmst oder benutzt auch meine Exception Unit aus dem Anhang.

[Captnemo]

Alles klar. Dank dir.

[Captnemo]

Ich hab das mal ausprobiert und nach meinem Download folgenden code eingebaut:

Delphi-Quellcode:

  ads:=TMpuADS.Create(tmp+Datei);
  for i:=0 to length(ads.DataStreamNames)-1 do
    ShowMessage(ads.DataStreamNames[i].StreamName);

Müßte da nicht was bei rauskommen? Nur das Array DataStreamNames ist leer. Oder mach ich das falsch?

ich dachte mir, um den DataStream zu löschen muß ich ja erst mal seinen Namen kennen. Deswegen wollte ich mir erst mal zeigen lassen, welche DataStream überhaupt da sind.

[Luckie]

Hm, wenn es die Datei nicht gibt, müsstest du eine Exception bekommen. Hat die Datei denn alternative Datenströme?

[Captnemo]

Zitat:

Zitat von Luckie (Beitrag 1128766)

Hm, wenn es die Datei nicht gibt, müsstest du eine Exception bekommen.

Ist sie. Das hab ich schon überprüft.

Zitat:

Zitat von Luckie (Beitrag 1128766)

Hat die Datei denn alternative Datenströme?

Müßte sie ja haben. Wenn ich das richtig verstanden habe, kommt die "Sicherheitswarnung" ja nur, wenn die Datei aus dem Internet heruntergeladen wurde, was ja Windows wohl in den alternativen Datenströmen speichert, oder etwa nicht? Hatte ich jedenfalls beim Lesen dieses Threads so verstanden.

[Luckie]

Schreib mal überall wo bei mir in der Unit String steht AnsiString hin. Und geh doch mal schrittweisen den Code durch beim Ausführen, irgendwo wird da was nicht passen.

[Captnemo]

Ich muß mich korrigieren. Wenn ich die EXE direkt aus dem Explorer heraus start, tritt die Sicherheitwarnung nicht auf.

Ich lege aber Startmenu-Einträge an. Und wenn ich die aufrufe kommt die Sicherheitswarnung. Heißt das, dass der alternative Datenstrom auf der .lnk liegt? Oder was macht Windows da?