Push-Nachrichten von MacTechNews.de
Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?
Forum>Software>Eingeloggt als Benutzer, Installationsfrage

Eingeloggt als Benutzer, Installationsfrage

daniellll
daniellll19.02.0906:13
hallo zusammen,

bin eingeloggt als benutzer. nun will ich etwas installieren, werde nach dem admin pw gefragt. wenn ich diesen eingebe, installiert er das programm dann auf der adminseite oder nachwievor auf der benutzerseite.

mhm, konnte es nicht besser formulieren, hoffe, man versteht meine frage.

lg daniel
0

Kommentare

Philundseincube
Philundseincube19.02.0906:23
Hallo,

Wenn du das Programm das du installierst in den "normalen Programme Ordner installierst, dann ist es auf dem System installiert. Das heißt es steht jedem Benutzer zur Verfügung.

Du kannst aber auch Programme nur in deinem Benutzerordner installieren. dann kannst auch nur du, die Programme verwenden.


Noch ein Tipp am Rande: Wenn du nur ein Admin Acount hast, dan lege dir in den Systemeinstellungen unter Benutzer noch ein Standardkonto an.
Diesem neuen Standardkonto gibst du dann Admin Rechte in dem du Den Hacken bei "Der Benutzer darf diesen Computer verwalten" setzt.
Danach entfernst du selbigen hacken bei deinem ersten Adminkonto und so ist es automatisch ein Standardkonto, mit diesem solltest du dann arbeiten.


„Wir sind die Architekten unseres eigenen Lebens.“
0
Garp200019.02.0906:57
Den Tipp mit dem zweiten Benutzer halte ich für totalen Quatsch. Was soll das bringen außer Mehrarbeit und Verwirrung? Wenn der User schon jetzt Fragen zu Plattenaufteilung hat, wie soll das mit zwei Usern werden?

Die eigenen Benutzerdaten - und das ist wohl das persönliche und im Zweifelsfalle schlimme wenn es gelöscht oder geklaut wird - wird nicht dadurch sicherer, dass man zwei Accounts verwendet. Auf HOME hat der User und somit jeder Trojaner VOLLZUGRIFF. Mal davon abgesehen, dass es am Mac momentan nur eine Möglichkeit gibt einen bekannten Trojaner einzufangen - man muss iWork in einer Tauschbörse klauen.

Dagegen ist es hilfreich sein System aktuell zu halten, ein gutes Kennwort zu wählen und ansonsten seinen Kopf einschalten wenn man surft oder Programme aus dem Internet lädt.

Also zusammengefasst: Der Tipp mit dem zweiten Benutzerkonto bringt überhaupt nichts - ich hätte mal gerne den einen Fall gehört, wo das was gebracht hatte. Oder wenn es den nicht gibt, dann die theoretische Begründung warum das mehr bringt als sich scheinbar in (falscher) Sicherheit wiegen.
„Star of CCTV“
0
Lord of the Macs
Lord of the Macs19.02.0909:37
Das (seit es UNIX gibt) bewährte Konzept bezüglich unterschiedlicher Rechte für System Administrator (root), Administratoren-Accounts und normalen Benutzern würde ich nicht als "totalen Quatsch" bezeichnen. Dabei geht es nämlich nicht nur um Zugriff auf Dateien (Lesen und Schreiben), sondern auch darum, welche Prozesse von wem ausgeführt werden dürfen - und das ist absolut KEIN Quatsch.

Dass es zur Zeit keine (bekannte) Bedrohung in dieser Richtung auf dem MAC OS X gibt, bedeutet keinesfalls, dass sich das immer so bleibt.

Natürlich ist es (für normale Benutzer) nicht leicht zu verstehen, wie das Ganze funktioniert. Wer aber hohen Wert auf die Sicherheit seiner Daten legt, der sollte sich die Mühe machen, sich damit zu befassen und tatsächlich den Rat von Philundseincube beherzigen. Das sollte jedem selbst überlassen bleiben und nicht mit "Mehrarbeit" und "Verwirrung" betitelt werden.
„Trust me, I am a professional...
0
Garp200019.02.0910:02
Lord of the Macs Es geht hier nicht um Root. Es geht um den normalen User und das Rechte anheben mit sudo o.ä. Das Konzept kommt sogar von Unix.

Ansonsten ist es auch Quatsch, ein Verhalten von einem Server-ADMIN unter Unix auf einen ANWENDER unter OS X übertragen zu wollen. Das macht keinen Sinn.

Der ADMIN unter Unix macht das um den SERVER nicht zu gefährden. Der ANWENDER interssiert sich aber in erster Linie für seine DATEN. Die Daten werden durch dieses Verhalten aber nicht geschützt.

Somit ist es egal in welchem Kontext ein Prozess ausgeführt wird, selbst wenn er nur in den Startobjekten des User hängt macht er alles platt wenn er will. Das passende Script ist drei Zeilen lang.

Lies mein erstes Posting nochmal durch und erkläre mir wie ich durch zwei User meine Benutzerdaten im Homeverzeichnis auch nur einen Milimeter sicherer mache. Auf Deine Antwort bin ich gespannt.

Insofern gebe ich Deinen Ratschlag "Wer aber hohen Wert auf die Sicherheit seiner Daten legt, der sollte sich die Mühe machen, sich damit zu befassen" gleich an Dich zurück und bitte ihn doch zu beherzigen. Das Nachplappern von irgendwelchen Pseudo-Sicherheitstipps oder Anwenden von Rezepten aus einem Szenario das ein ganz anderes Ziel verfolgt, sind nämlich nicht zielführend.
„Star of CCTV“
0
Lord of the Macs
Lord of the Macs19.02.0910:47
Garp2000
warum so aggressiv? Hab ich dich persönlich angegriffen? Das lag nicht in meinem Interesse.
Es geht hier nicht um Root
wo habe ich das geschrieben?
Es geht um den normalen User und das Rechte anheben mit sudo o.ä.
Eben. Und genau das ist zum Beispiel mit einem Standard User Account nicht möglich.
Der ADMIN unter Unix macht das um den SERVER nicht zu gefährden.
Warum sollte dann der ANWENDER das nicht auch machen, um seinen RECHNER nicht zu gefährden?
Die Daten werden durch dieses Verhalten aber nicht geschützt.
Absolut richtig. Es geht auch eher darum, dass Programme, die ja immer mit den Rechten des aktuell angemeldeten Benutzer arbeiten, nicht alles können sollen (insbesondere das System an sich zu manipulieren).
Somit ist es egal in welchem Kontext ein Prozess ausgeführt wird, selbst wenn er nur in den Startobjekten des User hängt macht er alles platt wenn er will.
Das stimmt für Standard-Benutzer für alles innerhalb des Benutzerordners (was natürlich eine Katastrophe wäre). Administratoren haben jedoch auch außerhalb des eigenen Benutzerordners umfassende Rechte. Dann geht es allerdings eher um Manipulation des eigentlichen Systems und nicht um das Löschen von Daten.
... meine Benutzerdaten im Homeverzeichnis auch nur einen Milimeter sicherer mache.
Das ist genau der Punkt. Darum geht es mir ja gar nicht. In diesem Punkt sind wir uns absolut einig.
Insofern gebe ich Deinen Ratschlag "Wer aber hohen Wert auf die Sicherheit seiner Daten legt, der sollte sich die Mühe machen, sich damit zu befassen" gleich an Dich zurück
Das ist wohl ein Missverständnis: das war absolut nicht auf dich gemünzt und ich ziehe mir diesen Schuh so auch nicht an. Gemeint war , dass der normalsterbliche Anwender Wert auf hohe Sicherheit legt, sich damit befassen sollte. Ich geh mal davon aus, dass du - ähnlich wie ich - täglich administrativ mit Mac OS X und anderen Betriebssystem zu tun hast und solche Ratschläge nicht brauchst.
Das Nachplappern von irgendwelchen Pseudo-Sicherheitstipps
Ich denke, DAS war unnötig!

Nichts für ungut.


„Trust me, I am a professional...
0
Garp200019.02.0911:55
Gut, der letzte Satz hätte nicht sein müssen.

Dir geht es ums Absichern des Systems. Sicher nicht schlecht, aber der Anwender will doch in erster Linie seine Daten sichern, also sie sollen nicht gelöscht werden, nicht manipuliert werden und nicht an Dritte versandt werden. All das kann man so nicht verhindern. Man kann's eh kaum verhindern außer durch aktives Mitdenken bei der Arbeit.

Das System selbst ist doch egal. Neu aufsetzen fertig.

Na egal, jetzt hat er genug Infos und kann schauen was er draus macht.
„Star of CCTV“
0
sierkb19.02.0913:01
Philundseincube,
Garp2000,
daniellll:

Standardmäßig sind zwei Konten sinnvoll und dringend empfohlen:
* 1 bei der Installation sofort und standardmäßig angelegtes Admin-Konto (z.B. auch mit dem Benutzernamen Admin oder admin) mit Administrator-Rechten (Haken bei "darf diesen Computer verwalten").
* 1 unmittelbar danach angelegtes Benutzerkonto (Standard-Account) mit einem Benutzernamen freier Wahl, dem die Admin-Rechte entzogen sind (Haken weg bei "darf diesen Computer verwalten").

Ersteres Konto nutzt man nur und ausschließlich zu dem, weshalb man da den Haken gesetzt hat: zur Computerverwaltung: Software systemweit installieren/deinstallieren, Updates einspielen, spezielle System-Tools zur Systemverwaltung oder System-Reparatur einsetzen.
In der Folge wird dieses Benutzer-Konto also eher selten bzw. unregelmäßig benutzt.
Wenn man es benutzt, dann von überall her via Terminal, indem man sich per su-Befehl als Admin-Nutzer auf der Unix-Ebene einloggt oder indem man in den Systemeinstellungen bei der Benutzerverwaltung unter den Anmeldeoptionen den "schnellen Benutzerwechesl ermöglichen" aktiviert hat. Dann geht's mit einem Klick oben in die Menüleiste über den Anmeldedialog auf den Desktop des Admins.
Der Admin bzw. das Benutzerkonto mit Admin-Rechten ("darf Computer verwalten") ist unter MacOSX standardmäßig in der von MacOSX verwalteten Unix-Gruppe wheel sowie Mitglied in der Gruppe admin. Und in der Gruppe staff. In der Gruppe staff sind unter MacOSX Leopard normalerweise alle diejenigen Nutzer eingetragen, die als reale Nutzer dem System bekannt sind (es gibt unter Unix bzw. MacOSX auch noch eine Anzahl virtueller bzw. nicht-realer Benutzer, die vor dem Auge des normalen Benutzers ausgeblendet sind und nur dem System zum sicheren und reibungslosen Betrieb bekannt sind). In der Gruppe Gruppe admin sind alle Benutzer drin, die den Computer verwalten dürfen. In der Gruppe wheel sind alle Benutzer, die root-Zugriff haben. root ist unter Unix der Superuser (das Passwort für den Superuser root ist in MacOSX standardmäßig deaktiviert, kann aber leicht aktiviert werden). root darf ALLES und ungefragt, der ist quasi Gott des Systems. Mit den Rechten von root ausgestattet finden zum Beispiel auch System-Updates von Apple via Software-Aktualisierung statt.
Alle Teilnehmer der Benutzergruppe wheel und folglich auch Benutzer mit Admin-Rechten bzw. Benutzergruppe admin sind also nur ein Passwort von dieser Allmächtigkeit entfernt. Für Schad-Programme klasse. Sie müssen im Zweifel geschickt nur eine Passwort-Abfrage

Zweites Konto, also das Konto ohne Adminrechte (darf den Computer nicht verwalten), wird als normales Standard-Konto verwendet. Als normaler Nutzer benötigt man im Alltag für seine alltäglichen Aufgaben keine Admin-Rechte.
Der normale Nutzer mit Standardaccount und ohne Admin-Rechte ist normalerweise Mitglied in der Gruppe staff, also in derjenigen Gruppe, in der alle realen im System eingetragenen Benutzer vorhanden sind. Das sind normalerweise der Superuser root, alle Nutzer mit Standardkonto (ohne Admin-Rechte) und der Admin-Nutzer mit Admin-Rechten.
Software unter Unix ist normalerweise so geschrieben, dass sie das respektiert und berücksichtigt. Software, die das nicht respektiert und sich kackfrech drüber hinwegsetzt, sollte man meiden bzw. den betreffenden Hersteller so lange nerven, das zu ändern, bis er es ändert.

Dieses Vorgehen funktioniert in der Praxis teilweise recht gut. Ansonsten gibt es für alle anfallenden Standard-Tätigkeiten eines normalen Nutzer keinerlei Anlass und Notwendigkeit, diese mit Admin-Rechten versehen, ausführen zu lassen. Im Gegenteil: je weniger Rechte der normale Nutzer hat (gerade mal soviel, wie er braucht, um seine notwendigen Arbeiten erledigen zu können), desto weniger kann passieren bzw. wenn Schadprogramme oder irgendjemand sich am System widerrechtlich versuchen sollte, scheitert er schon an den dazu nötigen Rechten bzw. der Schaden bleibt begrenzt und weitet sich nicht aufs System aus. Trifft ein Schadprogramm oder ein Angreifer auf eine Umgebung, die ihm weitgehende Handlungsfreiheit mittels Admin-Rechten einräumt bzw. ihm ermöglicht, root-rechte zu erlangen, so darf dieses Schadprogramm sich richtig freuen, weil ihm alles so schön auf dem Silbertablett präsentiert wird bzw. ihm sogar noch eine Einladung ausgesprochen wurde nach dem Motto: "Greif' zu, alles was meins ist, ist auch Deins!".

daniellll:
Du kannst Software mindestens auf dreierlei Arten installieren:
Entweder du loggst Dich als Admin ein bzw. wechselst auf den Desktop des Admin-Benutzers (also der Benutzer, dem Du Admin-Rechte zugestanden hast -- sinnigerweise bietet sich hier als Benutzername "Admin" oder "admin" an) und installierst die Software dann ganz normal. Einer guten Tradition unter Unix folgend, sollte das die bevorzugte Methode sein. Da sollte auch nichts schiefgehen.
Nach getaner Arbeit loggst Du Dich da wieder aus, meldest Dich dann wieder brav in Deinem Standard-Account (ohne Admin-Rechte!) an, und das war's. Aufgrund der Möglichkeit über den schnellen Benutzerwechsel ist sowas i.d.R. ratzfatz erledigt, zwischen den Benutzer-Desktops hin- und herzuspringen.
Software, die auf diese Weise installiert wird, wird i.d.R. entweder als Benutzer "admin" (oder welchen Admin-Namen Du auch vergeben haben magst), auf jeden Fall aber mit der Gruppenzugehörigkeit "admin" oder auch "wheel" (kommt auf die Software drauf an bzw. wie der Installer geschrieben ist) z.B. in den systemweiten /Applications-Ordner installiert. Das reicht i.d.R., denn in diesen Bereich dürfen keine Nutzer ohne Admin-Rechte schreiben. Ist auch gar nicht notwendig. Normale, andere Nutzer sollen die betreffenden Programm nur lesen und ausführen können. Mehr brauchen sie nicht.

Zweite Art ist, von Deinem Standardnutzer-Desktop aus (also ohne Adminrechte) die Installation vorzunehmen bzw. die Software in den systemweiten /Applications-Ordner packen. Da Du dort keine Schreibrechte hast, musst Du Dich authentifizieren.
Ist das erfolgt, wird die Software dort in das Verzeichnis gelegt, versehen mit dem Benutzer "admin", und (nun kommt der Unterschied zur vorherigen Methode!) mit der Gruppenzugehörigkeit staff. Denn Du tätigst das Ganze als Mitglied der Gruppe staff und nicht als Mitglied der Gruppe admin. Es ist wohl eher ein Gefühlssache bzw. eine philosophische Frage, ob man das mag oder nicht. Ich mag es zum Beispiel nicht. Ich möchte z.B. in meinen System-Ordnern kein Durcheinander haben von verschiedenen Gruppenzugehörigkeiten, wo sich dann zwischendurch ein staff tummelt. Deshalb wechsele ich immer schnell und sauber auf den Desktop des Admin-Nutzers und installiere meine systemweit wirkende Software dann sauber als Admin mit Admin-Rechten und als Zugehöriger der Admin-Gruppe. Dafür gibt es diese Admin-Gruppe. Damit hier administrative Aufgaben erledigt werden können und nur von Admins.
Abgesehen davon gibt es ja auch manchmal Pkg-Installer, die ihre Software auf mehrere Verzeichnisse verteilen und nicht allein ins /Applications-Verzeichnis. Und die brauchen in den meisten aller Fälle volle Admin-Rechte als Benutzer wie in der Gruppenzugehörigkeit.

Dritte Möglichkeit:
Du installierst Deine Software in Deinem Benutzerverzeichnis im Ordner ~/Applications. Der ist dafür vorgesehen, dass nur Du als dieser Benutzer darauf Zugriff hast und damit arbeiten kannst. Alle anderen Benutzer des Systems inkl. Admin-Nutzer, sehen diesen Ordner nicht, haben dort auch keinen Zugriff (außer der Admin verschafft sich via root einen solchen), können diese dort abgelegten Programme nicht nutzen. Diese Möglichkeit wird wohl eher seltener benutzt. Aber sie gibt es, und der Vollständigkeit halber habe ich sie genannt. Gleiche und sicher weiter verbreitete Situation ist bzgl. Fonts. benutzerspezifische Fonts installiert der Benutzer nicht selten bzw. ist dazu angehalten in seinem Benutzerverzeichnis unter ~/Library/Fonts. Auf diese Fonts haben keine anderen Nutzer Zugriff, sie sind nicht systemweit verfügbar, sondern nur für diesen einen Benutzer.

Zu dem Ganzen siehe auch folgende weiterhelfende Dokumente:
Apple Developer Connection: File-System Domains
Apple Developer Connection: Where to Put Application Files
0
Lord of the Macs
Lord of the Macs19.02.0913:16
sierkb
Klasse Erklärung, super ausführlich, dem ist wohl nichts hinzuzufügen.
„Trust me, I am a professional...
0
daniellll
daniellll19.02.0913:23
ganz meinerseits. vielen dank für die mühe. toll. ich bin jetzt schlauer und weiß schon, für welche installationsmethode ich mich entscheiden werde.

daniel
0
Garp200019.02.0913:28
Langes Posting, aber ich halte das Vorgehen weiterhin für in der Praxis sinnlos. Meine Daten in ~/ werden damit nicht sicherer. Nur der Hobby-Admin in mir hat dann was zum spielen.
„Star of CCTV“
0
sierkb19.02.0913:29
P.S.: wer meinen Ausführungen zu dieser strikten Benutzer-Aufteilung und Benutzer-Trennung nicht glauben mag, der kann ja mal einen Blick in Apples Mac OS X Security Configuration Guides werfen (PDF-Dokument, u.a. Kapitel 5, Securing Accounts). Da steht das alles auch genauso drin.

Irgendwo in den Untiefen von Apples sonstigen Support-Dokumenten, die via Browser und Web zu finden sind steht's so oder so ähnlich auch noch mal drin.
Ich kann nicht verstehen, dass Apple im Grunde dazu rät, das so zu machen, den Benutzer bei der Erstinstallation aber ins offene Messer laufen lässt und es ihm ermöglicht, Windows-gleich, ohne weitere Warnhinweise, standardmäßig ein einziges Konto einzurichten, dass dann auch noch standardmäßig mit Admin-Rechten ausgestattet ist. Ich hoffe inständig im Sinne der Sicherheit und des Rufes von MacOSX, dass das Apple spätestens mit Snow Leopard ändert. Diese jetzige Praxis ist eigentlich nicht hinnehmbar bzw. nur unter dem Gesichtspunkt noch mit großem Wohlwollen gerade noch tolerabel, weil die Mac-Plattform bisher kein bevorzugtes Ziel von irgendwelcher Schadsoftware gewesen ist. Der Wind kann sich jedoch schneller drehen, als Apple und die Mac-Benutzer gucken können, und die Leidtragenden sind am Ende dann die Benutzer, wenn der Schadensfall einmal eintritt. Das hat viel mit Kultur und Sicherheitskultur zu tun, die man am Besten von Anfang an mit auf den Weg bekommt bzw. unter die Leute bringt, statt zwangsweise aufs Auge gedrückt und zwangsgelernt, wenn der Schaden erstmal da ist. Microsoft ist da in diesem Punkt inzwischen lernfähig gewesen, Apple seinen Benutzern gegenüber leider noch nicht (obwohl Apple, obige Dokumente zeigen es ja, es eigentlich besser weiß). Apple weiß es besser. Und praktiziert es trotzdem wider aller Vernunft und wider eigener Einsicht dem normalen Benutzer (der obige Dokumente und Support-Dokumente i.d.R. ja nicht liest oder zu Gesicht bekommt) gegenüber anders bzw. suggeriert ihm, alles sei OK und so in Ordnung. Das hinterlässt einen unangenehmen Nachgeschmack, finde ich.
0
sierkb19.02.0913:32
Garp2000
aber ich halte das Vorgehen weiterhin für in der Praxis sinnlos. Meine Daten in ~/ werden damit nicht sicherer. Nur der Hobby-Admin in mir hat dann was zum spielen.

Apple, Microsoft, Unix-Experten, Sicherheitsexperten und schließlich der allgemeine gesunde Menschenverstand sehen das irgendwie anders als Du.
Du mit Deiner Sicht der Dinge also irgendwie gegen den Rest der Welt...

0
Garp200019.02.0913:47
sierkb Naja, klar weil Du die Meinung von Microsoft und Apple kennst. Das aufführen von Markennamen macht Deine Aussage nicht unbedingt richtiger.

Also bleiben wir doch bei den Fakten und der Technik. Du weisst weder was die Mehrheit des gesunden Menscheverstandes sagt (und die Masse hat's noch nie gemacht; was stand schon alles in der Mehrheit der PC-Zeitschriften...), noch was Apple und Microsoft sagen.


Ich würde mal fast sagen, wenn das der Weisheits letzer Schluss wäre, dann würden die Benutzerkonzepte so funktionieren.

Tun sie aber nicht. Denn, durch diese ganze Spieler wird keine einzige Datei im Home-Verzeichnis sicherer. Wenn doch, kannst Du ja mal erklären wie ein Loch in Safari sich davon beeidrucken lässt das es nicht mit Admin- sondern nur mit User-Rechten meine Dateien löschen/ändern/verschicken darf, oder wie ein Trojander der auf ~/ zugreift in irgend einer Weise dadurch gehemmt wird. Wir erinnern uns: Es reicht auch schon was in Deinem persönlichen Autostart.

„Star of CCTV“
0
sierkb19.02.0914:39
Garp2000
sierkb Naja, klar weil Du die Meinung von Microsoft und Apple kennst. Das aufführen von Markennamen macht Deine Aussage nicht unbedingt richtiger.

Dann suche Dir bitte selber die nötigen Grundlagen dazu zusammen.
Hinweis: was meinst Du, weswegen Google Chrome sich unter Windows zum Beispiel nicht unter C:/Programme installiert, sondern im Nutzer-Verzeichnis? Bestimmt nicht, weil Google das soviel Spaß macht. Sondern deswegen, weil sie (bisher als einziger Hersteller) einer neuen Sicherheitsrichtlinie von Microsoft gefolgt sind, die genau das empfiehlt... Nur mal so als EIN Beispiel. Desweiteren wäre bzgl. Microsoft der ganze Schlamassel rund um deren User Access Control (UAC) zu nennen. Grundsätzlich haben sie da was richtig gemacht, doch mangels fehlender Praxis-Erfahrung und Kultur im Umgang damit und in ständigem Bestreben, dem Benutzer, der sowas bisher ja nicht gewöhnt ist, bloß nix abzuverlangen oder ihm eine Umgewöhnung aufs Auge zu drücken, ist das Ganze unter Vista übertrieben worden und eben in die Hose gegangen. In Windows 7 soll man das besser und glatter hinbekommen haben, so man den einschlägigen Test-Urteilen Glauben schenken darf.

Bzgl. Apple weißt Du selber, wo es hakt und wo es nicht hakt und wie da die Fakten liegen... Und Du weißt auch selber, dass da Apple von Tiger auf Leopard einiges geändert hat, bzgl. der Benutzer und Gruppen sogar wieder heimlich zu dem Zustand zurückgekehrt ist, der vor Tiger schon praktiziert wurde und der in der restlichen Unix-Welt ebenfalls gang und gäbe ist (weil sinn- und wirkungsvoll). Dieses Hin- und Her seitens Apple hat so manches Problem bei der Migration von Tiger zu Leopard begründet bzw. begründet es noch.
Also bleiben wir doch bei den Fakten und der Technik.

Ich jedenfalls bemühe mich drum, ich denke, das dürfte unverkennbar sein. Oder?
noch was Apple und Microsoft sagen

Das weiß ich in dem Moment, wo ich mir deren Support-Dokumente wie zum Beispiel die obigen Mac OS X Security Configuration Guides vornehme, durchlese, zur Kenntnis nehme. Da habe ich es schwarz auf weiß. Äquivalent bei Microsoft.
Und dann vergleich ich mit dem, was sie dem Benutzer vorsetzen, der diese Dokumente bzw. deren Inhalt i.d.R. nicht kennt oder irgendwie ansatzweise angeraten/erklärt bekommt. Oder wirst Du bei der Erstinstallation von MacOSX darauf hingewiesen bzw. wird Dir mit gewissem Nachdruck angeraten, neben dem Admin-Konto noch ein weiteres Konto ohne Admin-Rechte anzulegen und fortan sämtliche alltäglichen Arbeiten von dort aus zu erledigen? Macht Apple das? Oder wie ist da die tatsächliche Praxis bisher?
Ich würde mal fast sagen, wenn das der Weisheits letzer Schluss wäre, dann würden die Benutzerkonzepte so funktionieren.

Sie funktionieren. Wenn man sich an die Konventionen hält. Wenn man es nicht tut, gibt es u.U. Schwierigkeiten. Das ist dann aber nicht Schuld des Systems, sondern Schuld desjenigen, der sich nicht an die Konventionen gehalten hat.

Tun sie aber nicht. Denn, durch diese ganze Spieler wird keine einzige Datei im Home-Verzeichnis sicherer.

Siehe zuvor Gesagtes. Wenn's nicht hinhaut: rüge die Richtigen: die Spiele-Hersteller, dass sie unsauber arbeiten bzw. sich über bestehende Konventionen des Betriebssystem-Herstellers einfach hinwegsetzen. Und meide sie, wenn sie Dich dadurch zwingen, von sinnvollen Konventionen zulasten der Sicherheit abzuweichen bzw. Dein System nach ihren vorgaben zu konfigurieren, nur weil sie unfähig oder nicht willens sind, sich an gegebene Konventionen zu halten. Es gibt Spiele-Hersteller, die halten sich an die Konventionen, und sie beweisen, dass es auch geht, Spiele herzustellen, die keinerlei Admin-Rechte brauchen. Wozu soll ein Spiel (ein Spiel!) Admin-Rechte benötigen müssen? Was hat ein Spiel (ein Spiel!) am System bzw. in den Untiefen des Systems herumzupfuschen bzw. wozu braucht es dort standardmäßig und ständig (also über die Installation hinausgehend) volle Schreib- und Leserechte?

Wie gesagt: es gibt ja auch Hersteller, die verstehen ihr Handwerk, und die halten sich an gegebene Konventionen. Und da klappt's auch, ohne diese Konventionen zu verletzen. Wer sich nicht an die Konventionen hält bzw. diese verletzt und von mir deshalb verlangt, meinen Rechner deshalb unsicherer zu machen als er eigentlich sein könnte, der wird von mir einfach gemieden. So einfach ist das. Und wenn noch mehr Nutzer so agieren würden, dann würde ein solcher Hersteller ganz schnell drüber nachdenken, was er evtl. falsch gemacht hat und seine Software entsprechend verbessern. Auch eigentlich eine ganz logische Sache.

Und weil genau in diesem Punkt kaum gewachsene Sicherheits-Kultur in den Köpfen vieler ist und es kaum einen bisher geschert hat, sich aber immer alle wundern, woher denn diese ganze Flut an Schadprogrammen kommt und warum deren System so anfällig dafür ist, ist die Situation besonders auf der Spiele-Plattform Nummer 1, nämlich Windows, so wie sie ist. Und nur sehr langsam (und nicht selten, nachdem sie mit dem Kopf draufgestoßen worden sind) beginnt es in den Köpfen der Leute zu dämmern und Klick zu machen, und sie verstehen, wo Ursachen und Wirkungen liegen bzw. wie sie verteilt sind...
Der Spiele-Industrie ist das alles weitgehend egal. Hauptsache, der Verkauf ihrer Software läuft und brummt...
Aber wie gesagt, es gibt ja auch noch Spiele-Hersteller, die verstehen ihr Handwerk, und denen ist das Thema Sicherheit eben nicht egal.
Wenn doch, kannst Du ja mal erklären wie ein Loch in Safari sich davon beeidrucken lässt das es nicht mit Admin- sondern nur mit User-Rechten meine Dateien löschen/ändern/verschicken darf, oder wie ein Trojander der auf ~/ zugreift in irgend einer Weise dadurch gehemmt wird. Wir erinnern uns: Es reicht auch schon was in Deinem persönlichen Autostart.

Ein Programm wie Safari läuft normalerweise in dem Benutzer-Kontext und mit den Benutzer-Rechten, in dem es gestartet/aktiviert wird. Das gilt auch für Schadprogramme. Geschieht dies in einer Umgebung, wo mindestens Admin-Rechte herrschen bzw. sich von dort aus leicht root-Rechte zu ergattern sind, ist der Weg nicht weit, ist das Risiko unvermeidbar, evtl. Schaden systemweit zu erlangen. Den Rest kannst Du Dir unter Zuhilfenahme bereits obig gegebener Informationen leicht selber ausmalen.
Ums noch sicherer zu machen, gibt es zumindest bei MacOSX das sogenannte Sandboxing. Mehr dazu zum Beispiel in diesem recht schlüssig geschriebenen Essay des früheren MTN-Nutzers MacMark bzw.

Google Chrome unter Windows Vista zum Beispiel läuft zum Beispiel in einer so ähnlich abgeschlossenen Sandbox bzw. das Prinzip dort ist ähnlich. Nicht nur, weil Google das so vorsieht, sondern auch deshalb weil Microsoft das so in seinen neuen Richtlinien so vorsieht und empfiehlt, siehe auch .
0
Garp200019.02.0915:10
Wo ist denn der Unterschied zwischen einem systemweiten und einem User-Schaden auf einem Privat-User-PC? Beides inkludiert die Benutzerdaten und das ist das einige schützenwerste. Es ist kein Fileserver- und es ist kein PC mit 20 Usern. Maximal werden dann die Briefe von Tante Erna verschont.

Ansonsten werden jetzt hier die Themen durcheinander geworfen und das wird mir dann zu anstrengend. Sandboxing hat mit all dem erst mal nix zu tun. Es ist was komplett anderes (und übrigens ein sinnvoller Ansatz im Gegensatz zu diesem 1-User-2-Accounts-System; das macht Sinn; dagegen sag ich gar nix, im Gegenteil).
„Star of CCTV“
0
Rs719.02.0915:51
Garp2000:

Ein Schadprogramm mit Systemrechten kann sich in ebendiesem auch wesentlich besser verstecken und z.B. Safari manipulieren, um Deine Bankdaten direkt an einen Bösewicht zu senden.

Es gibt deswegen doch noch einige Unterschiede, selbst wenn es einem "nur" um die Daten eines einzelnen Benutzers geht.


0
Digitalo
Digitalo19.02.0916:44
Mir ist jedenfals mit meinen beiden Accounts wohler als es mir zuvor mit lediglich einem gewsen ist.
0
rene204
rene20419.02.0917:06
Digitalo
Mir ist jedenfals mit meinen beiden Accounts wohler als es mir zuvor mit lediglich einem gewsen ist.

Das ist die Hauptsache... (ohne Ironie! )
„Gelassenheit und Gesundheit.. ist das wichtigste...“
0
Digitalo
Digitalo19.02.0918:49
rene204
Stimmt, ist schon viel.
0
Philundseincube
Philundseincube19.02.0921:10
sierkb

Ich habe gerade über 30 min. gebraucht deine Beiträge zu lesen. Guter Job
Du gibst dein Wissen gern weiter das find ich echt klasse.

Also grundsätzlich mache ich das seit Mac OS X mit den zwei Benutzerkonten. Und ich finde es absolute keinen totalen Quatsch wie es Garp2000 so beschreibt - warum siehe sierkb

Garp2000
Wenn der User schon jetzt Fragen zu Plattenaufteilung hat

Wo hat er (daniellll) was von Plattenaufteilung gesagt?
Also dein Beitrag ist schon irgendwie seltsam

Zum Thema Datensicherheit:

Ich hab mir meine Platte vom iMac in 3 Partitionen geteilt.

SYSTEM
DATEN
TEMPORÄR

Auf dem SYSTEM ist wie mans vermutet das System installiert. WOW

Auf DATEN habe ich

-Benutzer ( für alle Benutzer, Mein Benutzer usw...)

-Bibliothek (iTunes Mediathek, Dokumentationen, Software in Form von dmg Dateien, in einer entsprechenden Ordnerstruktur)

-Sicherungen (Adressbuch, iCal, Benutzersicherung usw)

TEMPORÄR

Dort landen zb. alle Safari Downloads, oder alle
Programme die was erzeugen also ein gerippter Film oder ein Film der umgewandelt wird.

Also wenn mein System mal abrauchen sollte dann komme ich immer noch an meine Daten, wenn die Festplatte nicht zerstört wurde versteht sich.


„Wir sind die Architekten unseres eigenen Lebens.“
0
fatdancer23.02.0918:46
Philundseincube, wo ist der Vorteil gegenüber einer normalen Installation? Ich arbeite mit Ordnern statt Partitionen, da ist man um einiges flexibler.
0
Too
Too23.02.0919:51
sierkb: wieder mal sehr ausführlich
sierkb und garp200: ich glaube ihr redet ein wenig aneinander vorbei. Ich versuche mal Licht ins Dunkel zu bringen: Die Sicherheitsempfehlungen, die sierkb macht, zielen darauf, Eindringlinge von der Manipulation des Systems abzuhalten, garp200 betont jedoch, dass auch wenn ein Eindringling es schafft, sich "nur" mit user rechten einzuklinken, die Daten des Privatnutzers nicht sicher sind. In diesem Punkt hat er recht. Grundsätzlich dürfte aber gerade dieses "Einklinken" schwerer sein, wenn der User eingeschränkte Rechte hat. Es geht faktisch nur, wenn eine Sicherheitslücke in Safari, Quicktime o.ä. ausgenutzt wird, die keine weitere Interaktion vom User erfordert (als einen Film, eine Webseite, o.ä.) zu öffnen. Wenn die Sicherheitsvorschläge von Sierkb nicht befolgt werden, dann kann eine Sicherheitslücke direkt zu einer Installation führen - und damit das System nicht einmalig angreifbar werden (in dem Moment, wo eine Schwachstelle ausgenutzt wird zur Ausführung von Schadcode), sondern ständig (da der Schadcode nicht nur ausgeführt wird, sondern sich auch "einnisten" kann.

Grundsätzlich halte ich die 2 Benutzerstrategie für sinnvoll, um den Schaden zu begrenzen - aber sie bietet selbstverständlich auch keine 100% Sicherheit, sondern nur eine zusätzliche. Aber dies ist mit eigentlich allen Vorkehrungen so - ausser man lässt den Computer aus...
0
Philundseincube
Philundseincube23.02.0920:04
fatdancer
ch arbeite mit Ordnern statt Partitionen, da ist man um einiges flexibler.

...Aber bei der Datensicherung ist man immer besser dran wenn Benutzerdaten vom SYSTEM getrennt sind. Und wieso bist du mit Ordnern flexibler.
Ich verstehe nicht genau wo du da flexibler bist?
„Wir sind die Architekten unseres eigenen Lebens.“
0

Kommentieren

Diese Diskussion ist bereits mehr als 3 Monate alt und kann daher nicht mehr kommentiert werden.