Virenangriffe für Mac unterschätzt?

Ein OS X-Admin hat nie die Rechte auf andere User- oder System-Verzeichnisse.

Und das ist definitiv falsch. Auf Verzeichnisse des Benutzerordners meiner Freundin z.B. kann ich standardmäßig nicht zugreifen, richtig. Aber ich kann mir als Admin selbst die Rechte dazu geben, dass ich auf die Verzeichnisse zugreifen kann.
 
wollte den Thread nur mal abonnieren, da extrem interessant. :)
 
… Auf Verzeichnisse des Benutzerordners meiner Freundin z.B. kann ich standardmäßig nicht zugreifen, richtig. Aber ich kann mir als Admin selbst die Rechte dazu geben, dass ich auf die Verzeichnisse zugreifen kann.

Nein, diese Rechte kann Dir nur Root geben. Lies meine Beiträge oben. Du bist ein Brain-Clone von andi42.
 
Nein. Ein OS X-Admin hat keine Rootrechte. Er wird auch nicht zu Root. Die Admin-Gruppe ist berechtigt auf den Root-User zu wechseln. Benutzerwechsel. Usergrenzen. Windows: Nix Usergrenze zwischen Root und Normal.
Sag mal, liest du eigentlich meine Posts bevor du darauf antwortest?
Und du kannst dir ja auch unter Win einen Adminbenutzer Root einrichten, deinem Benutzer Benutzerrechte statt Admin geben und die UAC auf Passwort stellen, dann hast du im Endeffekt deine hochgelobte Benutzertrennung.
Und du hast immer noch kein Beispiel gebracht, wie du die UAC aushebelst. Übers Netz ist hinfällig, da dazu der Malware dein Passwort bekannt sein müsste.
 
Ja und durch die Gruppenmitgliedschaft in Admin kannst du zu root wechseln, du hast also defacto (nicht technisch aber vom Ergebnis her) root-Rechte!
 
Achja und wenn du vernünfig diskutieren willst, ändere nich ständig im nachhinein deine Beiträge, sondern antworte in neuen Posts!!!
 
… auch unter Win … deinem Benutzer Benutzerrechte statt Admin geben und … dann hast du im Endeffekt deine hochgelobte Benutzertrennung.
Korrekt. So steht es ja auch in meinem Artikel ganz unten:
http://www.macmark.de/windows_uac_security_placebo.php

Und du hast immer noch kein Beispiel gebracht, wie du die UAC aushebelst. Übers Netz ist hinfällig, da dazu der Malware dein Passwort bekannt sein müsste.
Das Beispiel "Anmeldung übers Netz" hebelt die UAC komplett aus. Der User hat, wenn er sich direkt anmeldet, die UAC aktiv. Meldet er sich aber übers Netz an, ist sie nicht aktiv. Man würde erwarten, daß sie auch nach Netzanmeldung wirksam wäre: http://www.macmark.de/windows_uac_security_placebo.php#not_for_network
Wenn Dir das nicht reicht, nutze die Whitelists und es gibt noch mehr Wege.
 
Dann mal anders (wenns dir nur ums korinthenk***** geht): DU (macmark) hast de facto rootrechte am Rechner, wenn dein Benutzer in der Gruppe admin ist. Zufrieden?
 
Zuletzt bearbeitet:
… DU (macmark) hast de facto rootrechte am Rechner, wenn dein Benutzer in der Gruppe admin ist. Zufrieden?
Nein. Die Admin-Gruppe unter OS X hat keine Rootrechte. Die primäre Gruppe von Root ist Wheel. In Wheel ist jedoch nur Root. Die Admin-Gruppe ist nicht die Root-Gruppe in OS X.
Die Admin-Gruppe unter Windows ist jedoch die "Root"-Gruppe.
 
Sudo macht (auch mit -s) einen Benutzerwechsel.


Nur Root kann in andere User-Session eingreifen. Kein OS X Admin. Usergrenze => Kein Zugriff möglich.
Bei Windows ist der Admin jedoch ein "Root" und seine Root-Token-Prozesse laufen mit seinen Normal-Token-Prozessen in der Session in dem User. Keine Usergrenze => Zugriff möglich.
Soweit richtig, nur, dass es in der gleichen Session läuft. Wenn du ein Terminal mit Root-Rechten offen hast, läuft dies auf dem gleichen Desktop wie die anderen Programme. Das gleiche bemängelst du auf deiner Homepage bei Windows:
...
Wie würde ein Benutzer reagieren, wenn Kopieren und Einfügen nicht mehr funktioniert zwischen seinen normalen und erhöhten Programmen? ...

Nein. Die Admin-Gruppe unter OS X hat keine Rootrechte. Die primäre Gruppe von Root ist Wheel. In Wheel ist jedoch nur Root. Die Admin-Gruppe ist nicht die Root-Gruppe in OS X.
Klar, aber das ändert nichts an der Tatsache, dass ein Benutzer der Gruppe admin mit dem sudo-Mechanismus zum Benutzer root wechseln kann.
Somit ist der Inhaber dieses Benutzeraccounts de facto am Rechner root.

Die Admin-Gruppe unter Windows ist jedoch die "Root"-Gruppe.
Fast richtig. Die Gruppe "Administrators" hat (bei UAC nur mit dem freigegebenen Token) ziemlich weitgehende Rechte. Die "root"-Gruppe von Windows wäre aber SYSTEM, ähnlich wheel bei OS X.

Nein.
Code:
touch hallo
chown <irgendein anderer user> hallo
chown: hallo: Operation not permitted
Oh, da hast Recht danke für deinen Hinweis. Unter BSD-artigen ist es anscheinend immer so implementiert:
http://www.xs4all.nl/~sjoel/the-networking-cd-bookshelf/puis/ch05_07.htm
Bei einigen anderen Unices ist es nämlich so, da kann man seine Dateien "verschenken" aber dann nicht mehr zurückholen.
 
Zuletzt bearbeitet:
… Wenn du ein Terminal mit Root-Rechten offen hast, läuft dies auf dem gleichen Desktop wie die anderen Programme. … Das gleiche bemängelst du … bei Windows
Du siehst: Man muß OS X erst manuell unsicher machen, um vergleichbar unsicher zu sein wie Windows.

Klar, aber das ändert nichts an der Tatsache, dass ein Benutzer der Gruppe admin mit dem sudo-Mechanismus zum Benutzer root wechseln kann.
Somit ist der Inhaber dieses Benutzeraccounts de facto am Rechner root.
Du wechselst zwischen einem unprivilegierten Account und einem privilegierten Account. Bei Windows-Admins hast Du privilegiert und unprivilegiert immer in einem Account.

Die Gruppe "Administrators" hat (bei UAC nur mit dem freigegebenen Token) ziemlich weitgehende Rechte.
Jeder Win-Admin hat in seinem Admin-Token die Rechte an Systemdateien und an anderen Userdateien. OS X-Admins haben das nicht.
 
Nein, diese Rechte kann Dir nur Root geben. Lies meine Beiträge oben. Du bist ein Brain-Clone von andi42.

Ich bin kein Brain-Clone von andi42, solche Anspielungen kannst du dir schenken. Sie zeugen nicht unbedingt von deiner Kompetenz, eher das Gegenteil ist der Fall. Ich weiß nur was ICH mit meinem Account machen kann und was ICH mit meinem Account machen kann kann auch jeder Virus/ jede Schadsoftware damit machen. Wenn also ICH MIR Rechte über fremde Verzeichnisse geben lassen kann dann kann sich das auch ein Virus/Schadsoftware geben lassen der in MEINEM Account stolz rumspringt.
 
  • Gefällt mir
Reaktionen: maba_de und andi42
Du siehst: Man muß OS X erst manuell unsicher machen, um vergleichbar unsicher zu sein wie Windows.
Was ist daran "manuell unsicher machen"?
Du wechselst zwischen einem unprivilegierten Account und einem privilegierten Account. Bei Windows-Admins hast Du privilegiert und unprivilegiert immer in einem Account.
Richtig, und der Wechsel von unprivilegiert auf privilegiert muss mittels UAC-Consent bestätigt werden. Du hast mir immer noch nicht gezeigt, wie man ohne den auf privilegiert wechselt, es gibt mwn auch keine Methode dazu.
Dass die Standardeinstellungen für UAC unter Win7 nicht auf voller Sicherheit stehen, ist wieder eine andere Sache. Das ist, weil sich bei Vista, bei dem standardmäßig die UAC auf Maximum war, damals sehr viele Benutzer beschwert haben.

Übers Netz ist die Eingabe des Passworts notwendig, das Malware nicht hat. Wenn doch, kann es auch unter OS X einfach selber den Benutzerwechsel zu root durchführen.

Ich wette mit dir, dass du (abgesehen von Exploits) keine Möglichkeit finden wirst, ein voll scharf geschaltetes UAC ohne das Passwort zu kennen zu umgehen.

Jeder Win-Admin hat in seinem Admin-Token die Rechte an Systemdateien und an anderen Userdateien. OS X-Admins haben das nicht.
Jap, deshalb heißt er auch Admin. Sobald er dieses Privileg auch nutzen will, kommt dann je nach Sicherheitseinstellungen die UAC-Meldung.

Übrigens haben beide Systeme ihre Vor- und Nachteile.
Beispiel: du hast eine Software, die nur als admin/root läuft und eine GUI mit diversen Einstellmöglichkeiten mitbringt. Diese Software soll von mehreren Benutzern mit jeweils eigenen Einstellungen verwendet werden.
Unter Windows hast du mehrere wirkliche admin-Benutzer mit jeweils eigenem Profil für Einstellungen etc.
Unter unixoiden arbeiten alle mit den Einstellungen von Root, es sei denn du passt das Design der Software so an, dass die Einstellungen von den normalen Usern gelesen werden, aber die Core-Software zb per setuid als root läuft.
 
Zuletzt bearbeitet:
… Wenn also ICH MIR Rechte über fremde Verzeichnisse geben lassen kann …
Kannst Du nicht. Kann nur root.

Was ist daran "manuell unsicher machen"?
Privilegiert und unprivilegiert in einer Session laufen zu lassen. Das ist normal unter Windows, aber eine wissentlich, manuell herbeizuführende, unnormale Situation unter OS X.

Ich wette mit dir, dass du (abgesehen von Exploits) keine Möglichkeit finden wirst, ein voll scharf geschaltetes UAC ohne das Passwort zu kennen zu umgehen
Ich habe es scherzhaft "Exploit" genannt, es ist aber "by design":
http://www.macmark.de/windows_uac_security_placebo.php#auto_elevation
 
Kannst Du nicht. Kann nur root.


Privilegiert und unprivilegiert in einer Session laufen zu lassen. Das ist normal unter Windows, aber eine wissentlich, manuell herbeizuführende, unnormale Situation unter OS X.
Es ist eine unnormale Situation, Administrative Sachen zu machen (Programminstallation, Root-Terminal, Systemeinstellungen)? Dann bist du mit einem Adminbenutzer falsch am Weg, egal bei welchem System.

Ich habe es scherzhaft "Exploit" genannt, es ist aber "by design":
http://www.macmark.de/windows_uac_security_placebo.php#auto_elevation
Unter der höchsten UAC-Sicherheitsstufe? Sicher?
Ich weiß, dass MS nach den ganzen Beschwerden bei Vista die Standardeinstellungen nach unten geschraubt hat. Aber bei der höchsten Einstellung sollte dies nicht der Fall sein.

Und wenn du glaubst doch, bitte schreib mir doch ein Beispielprogram das sagen wir mal die Datei C:\Windows\System32\calc.exe löscht ohne einen UAC-Consent zu verlangen. Wenn du dich so super mit der Windows-API auskennst sollte das ja für dich ein Dreizeiler sein ;)

Übrigens, von deiner Homepage:
...Schädlinge konnten ebenfalls bisher davon ausgehen, direkt im System herumpfuschen zu können, weil in der Regel jedes Programm vor Vista Systemrechte hatte.
Nein, es hat nicht jedes Programm Systemrechte, sondern genau die Rechte des angemeldeten Benutzers. Liege ich richtig wenn ich behaupte, dass du noch nie mit größeren Windows-Netzen zu tun hattest? Sonst wüsstest du, dass dort die Leute üblicherweise mit Benutzer- und nicht mit Adminrechten arbeiten.
 
Zuletzt bearbeitet:
Es ist eine unnormale Situation, Administrative Sachen zu machen (Programminstallation, Root-Terminal, Systemeinstellungen)?
Sofern Rootrechte für Programminstallationen oder Systemeinstellungen nötig sind, laufen diese nicht in der Session des Admin-Users. Die Paßworteingabe dient hier nicht dem User-Wechsel, sondern der Erlaubnis. Kein sudo/su. Die Arbeit übernimmt danach ein anderer Prozeß unter einem anderen User (Root) in einer anderen Session. Was Du siehst, sind nur die Dialoge des Security-Agents. Die Arbeit macht der Security-Server gänzlich unabhängig von der Session des Admin-Users.

Eine Root-Shell aufzumachen ist natürlich fahrlässig und im Alltag unnötig. Um die Gefahr zu minimieren, setzt man einen einzelnen Befehl per sudo ab. Aber auch das ist für den Alltag des normalen Benutzers nie nötig.

Unter der höchsten UAC-Sicherheitsstufe? Sicher?
Ja. Es ist "by design".

… größeren Windows-Netzen zu tun hattest? Sonst wüsstest du, dass dort die Leute üblicherweise mit Benutzer- und nicht mit Adminrechten arbeiten.
In der Software-Branche arbeiten sämtliche Entwickler als Admin unter Windows. Auch bei den größten. Meine Erfahrung.
 
Sofern Rootrechte für Programminstallationen oder Systemeinstellungen nötig sind, laufen diese nicht in der Session des Admin-Users. Die Paßworteingabe dient hier nicht dem User-Wechsel, sondern der Erlaubnis. Kein sudo/su. Die Arbeit übernimmt danach ein anderer Prozeß unter einem anderen User (Root) in einer anderen Session. Was Du siehst, sind nur die Dialoge des Security-Agents. Die Arbeit macht der Security-Server gänzlich unabhängig von der Session des Admin-Users.
Bei Win7 laufen die Installationen auch überhaupt über einen eigenen Systembenutzer, "TrustedInstaller". Trotzdem werden die Installationen bei beiden Systemen von einem Benutzer mit Adminrechten initiiert. Aber auf was willst du hinaus?
Interessehalber: wie läuft das mit den Systemeinstellungen ab? Egal mit welchem Account die Aktion dann ausgeführt wird, der Befehl kommt vom Benutzer und wird von diesem mit seinem Passwort bestätigt?!

Eine Root-Shell aufzumachen ist natürlich fahrlässig und im Alltag unnötig. Um die Gefahr zu minimieren, setzt man einen einzelnen Befehl per sudo ab. Aber auch das ist für den Alltag des normalen Benutzers nie nötig.
Naja fahrlässig vielleicht nicht (außer man hat schon Malware auf dem System, aber dann ist es eh komprimittiert) aber grundsätzlich hast du natürlich Recht, es ist sicherer root-Rechte nur so kurz wie nötig zu haben.




In der Software-Branche arbeiten sämtliche Entwickler als Admin unter Windows. Auch bei den größten. Meine Erfahrung.
Dann wiederhol ichs mal mit deinen Worten:

für den Alltag des normalen Benutzers nie nötig
Und nun kommst du mir mit Entwickler-PCs?


Ja. Es ist "by design".
Wir drehen uns wohl im Kreis. Fakt ist, wenn jemand das Passwort des Admin-Benutzers hat, kann er damit auf dem System alles machen, unter Linux, Windows und Mac OS!

Wie schätzt du nun die Gefahr für einen Windows-Entwickler ein? Kann sich Malware (bei sinnvollen UAC-Einstellungen) wirklich über den UAC-Consent hinwegsetzen? Ich glaube das ehrlich gesagt nicht, solange du mir nicht stichhaltige Beweise lieferst. Ich kann die Windows-API im Gegensatz zu dir nicht im Schlaf, deshalb bitte ich dich um ein praktisches Beispiel.
 
Zum Thema arbeiten als Admin bei Windows kann ich auch noch meinen Senf dazugeben.+

Also bei uns in der Firma war und ist es so das eigentlich alle Benutzer als Administrator angelegt sind da sonst leider einige Programme (z.B. CorelDraw, CatiaV5, Warenwirtschaftsprogramm und noch einige mehr) nicht ausgeführt werden können bzw. nicht richtig funktionieren.
Betriebssystem ist bis auf 2-3 Rechner Win XP. Bei den anderen ist es Win 7, hier bin ich mir aber nicht sicher ob da auch auf Admin eingestellt ist.

Wir sind zwar nur ein ca. 100 Mann betrieb (davon ungefähr 25 - 30 PC Arbeitsplätze) aber hier geht's nicht anders.
 
  • Gefällt mir
Reaktionen: MacMark
… wie läuft das mit den Systemeinstellungen ab? Egal mit welchem Account die Aktion dann ausgeführt wird, der Befehl kommt vom Benutzer und wird von diesem mit seinem Passwort bestätigt?!
Die Systemeinstellungen haben verschiedene Sicherheitslevel. Manche harmlose darf jeder für sich ändern. Für die kritischeren muß man sich als Admin ausweisen. Manche davon kann man auch "aufschliessen", so daß man sich nicht immer als Admin für diese (nicht die anderen) ausweisen muß. Die ganz kritischen erfordern jedes Mal eine Authentifizierung als Admin. Man sagt praktisch dem System: Ich hätte gerne xy. Dann prüft das System, ob Du einer von denen bist, die sich xy überhaupt wünschen dürfen. Wenn das ok ist, dann sagt das System zu sich selbst: Mach mal xy. Es wird kein Befehl des Users ausgeführt.

Und nun kommst du mir mit Entwickler-PCs?
Das ist "mein Alltag". Und die mir bekannten Privat-PCs laufen natürlich alle mit Win-Admin, allein schon weil die UAC als Normalo noch nerviger ist.

Wie schätzt du nun die Gefahr für einen Windows-Entwickler ein? Kann sich Malware (bei sinnvollen UAC-Einstellungen) wirklich über den UAC-Consent hinwegsetzen? Ich glaube das ehrlich gesagt nicht, solange du mir nicht stichhaltige Beweise lieferst. Ich kann die Windows-API im Gegensatz zu dir nicht im Schlaf, deshalb bitte ich dich um ein praktisches Beispiel.

Ich habe dies http://forums.techarena.in/guides-tutorials/1099030.htm gerade mal unter Vista mit aktiver UAC ausprobiert. Ich hatte damit einen Link auf dem Desktop erstellt, der mir eine "volle" Admin-Shell auf Vista aufmacht, ohne daß ein UAC-Prompt für dieses Öffnen kommt. Mit der Admin-Shell kann ich fremde User-Verzeichnisse beispielsweise nach Belieben ändern: Dateien anlegen, vorhandene löschen, alles.

Und hier http://www.pretentiousname.com/misc/win7_uac_whitelist2.html gibt es Sourcen und lauffähigen Code und ausführliche Doku, der unter Win 7 (früher hatte er auch eine Version für Vista) mit Hilfe einer der Whitelist-Apps von Windows die UAC umgeht. (Wie auch von mir und Mark R. dokumentiert.) Die UAC ist laut ihm (und da stimme ich zu) nur Security-Theater. Show.
 
  • Gefällt mir
Reaktionen: Bruny und andi42
Zurück
Oben Unten