Datei- und Registryberechtigungen

[twam]

Hallo,

wie kann ich mit Delphi Datei und Registryberechtigungen ändern? z.B. als Admin allen Benutzererlauben eine bestimmten Schlüssel in der Reg zu ändern oder eine Datei zu löschen.

Grüße

[Luckie]

Gar nicht, wenn es per WinAPI Funktionen möglich wäre die Berechtigungen zu ändern, dann wäre ja das gesamte Sicherheitskonzept für den Popo.

[Christian Seehase]

Moin Luckie,

Zitat:

Zitat von Luckie

Gar nicht, wenn es per WinAPI Funktionen möglich wäre die Berechtigungen zu ändern, dann wäre ja das gesamte Sicherheitskonzept für den Popo.

Wenn der angemeldete User bzw. der in dessen Kontext das das Programm läuft, die Berechtigung hat die Änderungen vorzunehmen, z.b. als Admin, kann man das machen. Programme aus dem Resource Kit wie REGINI für die Registry bzw. XCACLS (für Dateien, CACLS gehört ganz normal zu Windows) erledigen dass z.b. auch per Batch.

Leider hab' ich das selber noch nicht per Programm erledigt, kenne aber ein wenig die in Frage kommenden Begriffe.
Kernstück sowohl bei der Registry als auch bei Dateien sind die ACLs (Access Control List) bzw. die darin enthaltenen ACEs (Access Control Entrys), und natürlich die zugehörigen Funktionen.
RegSetKeySecurity bzw. SetFileSecurity wären dann die API Funktionen in denen es, nach einiger Vorarbeit, mündet.

Ich bin mir allerdings sicher, dass sich hier noch jemand finden wird, der das näher erläutern kann (hoffenlich ;-) )

[sakura]

@Luckie: Wenn der User als Admin angemeldet ist, geht es durchaus. Nur wie ist die Frage ;-)

...:cat:...

[Luckie]

Zitat:

Zitat von sakura

@Luckie: Wenn der User als Admin angemeldet ist, geht es durchaus. Nur wie ist die Frage ;-)

Das ist klar. Aber einem normalen Benutzer wird man nie Admin-Rechte geben können.

[Christian Seehase]

Moin Luckie,

Zitat:

Zitat von Luckie

Aber einem normalen Benutzer wird man nie Admin-Rechte geben können.

Also wenn der Satz jetzt gelautet hätte:
"Also einem normalen Benutzer sollte man nie Admin-Rechte geben."

würden Dir wohl viele zustimmen, aber gehen tut's.
Du musst halt nur den Account der Gruppe der Administratoren hinzufügen, oder in Einzelfällen (Dateien/Keys) die Zugriffsrechte hochschrauben.

[Luckie]

Zitat:

Zitat von Christian Seehase

Du musst halt nur den Account der Gruppe der Administratoren hinzufügen,

Und das kannst du nur, wenn du das Programm als Admin ausführst. Wäre ja schlimm, wenn sich ein normaler benutzer mittels meines Usermagers (du erinnerst dich) zum Admin machen könnte.

Zitat:

oder in Einzelfällen (Dateien/Keys) die Zugriffsrechte hochschrauben.

Wie es damit aussieht, weiß ich jetzt nicht.

[Sanchez]

Zitat:

Zitat von twam

Hallo,

wie kann ich mit Delphi Datei und Registryberechtigungen ändern? z.B. als Admin allen Benutzererlauben eine bestimmten Schlüssel in der Reg zu ändern oder eine Datei zu löschen.

Grüße

Es soll doch der Admin dem Benutzer die Rechte geben.

mfg Daniel

[APP]

Hallo, vielleicht OT,
aber immerhin ein Weg wie es (theoretisch) gehen könnte...

Zitat:

iDEFENSE hat in einem White Paper (Win32 Message Vulnerabilities Redux) untersucht, was es mit der ursprünglich von Chris Paget entdeckten Sicherheitslücke in Windows-Diensten auf sich hat. Paget hat seinerzeit herausgefunden, dass ein Programm darüber mehr Rechte erlangen kann, als einem Benutzer womöglich zustehen. Das Papier informiert darüber, dass die Lücke noch immer existiert, und zeigt Wege auf, sie zu schließen

http://www.heise.de/security/artikel/38552

[twam]

Vielleicht ist auch mein Ansatz einfach falsch. Ich möchte in der Registry meine Programmeinstellungen speichern. Alle Benutzer sollen die selben Einstellungen haben (Daher speicher ich in HKEY_LOCAL_MASCHINE) und alle sollen sie ändern können! (daher die Berechtigungen).

Außerdem sollen alle Benutzer per Autoupdate die Programm-EXE überschreiben können. Daher müssen auch alle Schreibrechte darauf haben.

Gibts dafür andere (gute) Lösungen oder komme ich um die Berechtigungsprobleme nicht drumrum?

[Luckie]

Da sehe ich keine Lösung. Programme installieren und einrichten kann und sollte eigentlich nur der Administrator können. Alles andere wäre unverantwortlich. Und auf jedem gescheit eingerichtete4n System wird das auch so sein, sonst wäre der Administrator sein Geld nicht wert.

[Tom]

Der Sinn von eingeschränkten Rechten besteht darin, dass Hinz und Kunz nicht alles können.

1) Programmeinstellungen: Speicher diese in einer INI-Datei und verweise darauf, dass alle User Schreibrecht auf diese haben müssen.

2) AutoUpdate für Jedermann: Vergiss es. Dieses wird kein Admin, der nur halbwegs bei Verstand ist, zulassen.

[twam]

Hi,

Mit der INI-Datei hab ich ja das Problem mit den rechten wieder. Und was das Autoupdate angeht: Der Admin bin ich selber und ich möchte halt nicht auf allen 300 PCs die Software neuinstallieren wenn ich was geändert habe...

[Tom]

Zitat:

Zitat von twam

Der Admin bin ich selber und ich möchte halt nicht auf allen 300 PCs die Software neuinstallieren wenn ich was geändert habe...

1) Na bitte: Dann stößt Du mit der INI auch nicht auf Rechte-Probleme.
2) Ich pflege Programme so zu schreiben, dass diese einfach auf einer Netzwerkplatte installiert werden. Jeder PC bekommt bei Bedarf sein Desktop-Icon und bei Bedarf seine Basis-Reg-Daten (Dateiverknüpfungen etc.). Änderungen am Programm selber werden an einer Stelle durchführt.
3) Wenn Du schon Admin bist: Gebe doch einfach die Rechte an der Registry für alle User frei. Damit wäre Dein Problem auch gelöst.

[Christian Seehase]

Moin twam,

Zitat:

Zitat von twam

Mit der INI-Datei hab ich ja das Problem mit den rechten wieder.

Kaum.
Bei der Grundinstallation werden die Rechte auf die Datei vergeben (z.B. mit CACLS, was NT 4 und W2K auf jeden Fall mit dabei ist, bei XP weiss ich es nicht).

Zitat:

Zitat von twam

und ich möchte halt nicht auf allen 300 PCs die Software neuinstallieren wenn ich was geändert habe...

Bei der Grössenordnung wäre vielleicht mal über die Anschaffung eines Softwareverteilungssystems nachzudenken (z.B. SMS, NetInstall usw.)