Benutzer-Sicherheitskonzept von MacOS

maceis schrieb:
oder ob er per schnellen Benutzerwechsel den zweiten Benutzer zusätzlich angemeldet hatte, was mE unter Sicherheitsaspekten sowieso nicht ratsam ist.
Zum Vergrößern anklicken....

Was ist denn unter Sicherheitsaspekten so gefährlich an dem schnellen Benutzerwechsel?
 
...

Hallo JochenN,

ich denke es geht um FileVault.

Text Systemeinstellungen>Sicherheit:

Mit FileVault wird Ihr Ordner "Privat" geschützt, indem der Inhalt verschlüsselt wir. Ihre Dateien werden automatisch verschlüsselt und entschlüsselt, während Sie diese verwenden.
Zum Vergrößern anklicken....

Tatsächlich liegen die Daten in einem verschlüsseltem Image und werden beim Anmelden entschlüsselt und beim Abmelden verschlüsselt.

Bist du nun angemeldet und das Image ist geöffnet, hast einen Ordner auf oberster Ebene erzeugt ohne die Rechte zu setzen und erlaubst den schnellen Benutzerwechsel, können die Daten in diesem Ordner vom anderen User eingesehen werden.

Noch missverständlicher als das Häuschen selbst weil ja ein Tresor in Häuschenform gezeigt wird.

Mit den verschlüsselten Images treten manchmal auch Probleme auf. Vermutlich durch Stromausfall oder "Stecker ziehen". Das Image ist geöffnet, der Rechner wird abgewürgt und dann lässt es sich nicht mehr öffnen und auch nicht reparieren. Das wäre fatal, wenn das der andere User verursachen würde...

Gruß Andi
 
Andi schrieb:
Hallo JochenN,

ich denke es geht um FileVault.
Zum Vergrößern anklicken....

Ah, OK, ich nutze FileVault ohnehin nicht, weil mir aus den von Dir genannten Gründen das Ganze einfach zu unsicher ist. Klar kann man jede Nacht automatisch von dem FileVault einen Backup machen, was aber ja wohl bedeuten würde:
a) Benutzer abmelden, damit das Vault geschlossen wird und als ganz normale Datei gebackupt werden kann.
b) Inkrementelle Backups wären dann nicht mehr sinnvoll möglich, da bei jeder kleinsten Änderung jede Nacht GBs im zweistelligen Bereich geschaufelt würden

Kann jemand diese Tücken von FileVault bestätigen? Benutzt jemand FileVault wirklich in einer Umgebung, die jede Nacht autom. gebackupt wird? Oder ist das hierzu das falsche Forum?
 
JochenN schrieb:
...GBs im zweistelligen Bereich...
Zum Vergrößern anklicken....

Wenn das Homeverzeichnis ein gewisses Volumen erreicht hat, taugt FV eh nicht mehr.
FV wird von Apple selbst nicht empfohlen für: "home folders with large amounts of data".

Grüße,
Flo
 
Das mit File-Vault ist ein Thema, es gibt aber auch noch ein ganz Banales Problem. Wenn der eine Benutzer den rechner ausschaltet, einen Systemabsturz provoziert oder sonst was Dummes macht, kann es bei ungesicherten Änderungen ind offenen Datein zum Datenverlust kommen
 
Sorry, ich muss zur Rechtevergabe nochmal was nachfragen: Hab ich das richtig verstanden?

Wenn ich also in meinem Homeverzeichnis einen Ordner anlege oder eine Datei speichere (selbst wenn ich etwas in den Documents-Ordner speichere/kopiere, der ja eigentlich standardmäßig den anderen Usern keinen Zugriff erlaubt), muss ich erst manuell die Rechte auf "No Access" setzen, damit andere User nicht darauf zugreifen können?

Ich habe das nämlich mal ausprobiert: Mein Documents-Ordner gibt anderen Usern keine Leserechte (No Access). Ich habe mal testweise ein txt-Dokument dort abgespeichert. Im Gegensatz zum oben genannten Ordner gestattet die Datei den anderen Usern aber Leserechte.

Andi schrieb:
Nur die Ordner Dokumente, Bilder, Filme, Musik, Schreibtisch, Library werden nicht indiziert und sind für die Gruppe und Andere gesperrt.
Zum Vergrößern anklicken....

Das hörte sich eigentlich so an, als würden alle Dateien, die ich in einen dieser Ordner (in diesem Fall: Dokumente) abspeichere, automatisch die selben Rechte bekommen, wie der Ordner, in den sie gespeichert werden (also: NO ACCESS). Dadurch dürften die Dateien eigentlich nicht indizierbar sein.

Dem ist wohl nicht so. Und der Sinn davon hat sich mir auch nach Durchlesen dieses Threads nicht erschlossen, aber nun gut... :cool:
 
Fabi schrieb:
...Das hörte sich eigentlich so an, als würden alle Dateien, die ich in einen dieser Ordner (in diesem Fall: Dokumente) abspeichere, automatisch die selben Rechte bekommen, wie der Ordner, in den sie gespeichert werden (also: NO ACCESS). Dadurch dürften die Dateien eigentlich nicht indizierbar sein...
Zum Vergrößern anklicken....

Sie bekommen nicht automatisch die selben Rechte wie der übergeordnete Ordner. Müssen Sie auch nicht. Denn ob ein anderer User in den Ordner "Dokumente" schauen will, oder der Spotlightprozess macht keinen Unterschied. Er/sie/es darf das einfach nicht, da der Ordner ja den Zugang verbietet. Möglich wäre jedoch dass ein User die Datei "test.txt" im Ordner "Dokumente" direkt aufruft, und dann auch lesen kann, falls die Rechte es erlauben. Aber wie soll der User wissen dass es die Datei gibt (die er lesen könnte), wenn er nicht in den Ordner sehen darf der die Datei enthält.

Grüße,
Flo
 
Ah, ok. Danke, habs verstanden :)
 
lengsel schrieb:
Aber wie soll der User wissen dass es die Datei gibt (die er lesen könnte), wenn er nicht in den Ordner sehen darf der die Datei enthält.
Zum Vergrößern anklicken....

Nun, Flo,

vielleicht bekommt ein hardliner das ja per Trial-And-Error heraus?!
Das ist ja möglich.

Von daher würde ich es ebenfalls begrüßen, hätten meine Dateien die gleichen Zugriffsrechte (oder eher: Zugriffsbeschränkungen) wie meine Ordner im Home-Verzeichnis.
Ob das klassische Rechtevergabesystem von UNIX das nun so will oder ich erst diese ominöse umasc änder muss, ist mir dabei herzlich egal.

Insofern begrüße ich das Script von Andi, das ich mir gern einmal ansehe.
Denn nicht jeder hat Zeit und Lust, sich mit Perl-Skripte oder Shell-Skripten herumzuschlagen, sondern nutzt eben einfache Dinge wie Automator oder AppleScript (dumm, aber efektiv).

Und da ich kein Blicki bin, aber trotzdem an Sicherheit in meinem System interessiert, würde ich mir einen eher praktischen Bezug in dieser Diskussion wünschen. Das verstehe ja keine Sau mehr! :confused:
 
...

Hallo lengsel,

lengsel schrieb:
... Möglich wäre jedoch dass ein User die Datei "test.txt" im Ordner "Dokumente" direkt aufruft, und dann auch lesen kann, falls die Rechte es erlauben. ...
Zum Vergrößern anklicken....

Das glaube ich nicht Tim... ;)

Ohne das jetzt zu versuchen, denke ich es kommt die Meldung "No such file: .../.../test.txt"

Gruß Andi
 
lengsel schrieb:
Möglich wäre jedoch dass ein User die Datei "test.txt" im Ordner "Dokumente" direkt aufruft, und dann auch lesen kann, falls die Rechte es erlauben. Aber wie soll der User wissen dass es die Datei gibt (die er lesen könnte), wenn er nicht in den Ordner sehen darf der die Datei enthält.
Zum Vergrößern anklicken....
Nein, das funktioniert nicht. Das habe ich bereits getestet. Du kannst auf Daten nichtt zugreifen in Ordnern, für welche Du keine Leserechte hast.
 
Andi schrieb:
...Das glaube ich nicht Tim... ;)...
Zum Vergrößern anklicken....

Hast Recht Al ;)

Hatte das mit Ordnern verwechselt, denn direkt in Unterordner springen ist kein Problem (gerade probiert).

Konstrukt:
Ordner /Desktop/test/ (root, wheel, 700)
Ordner /Desktop/test/neu/ (flo, flo, 755)
Datei /Desktop/test/neu/test.rtf (flo, flo, 644)

Ich kann den Ordner "neu" erreichen, obwohl ich nicht in den Ordner "test" komme. Die Datei "test.rtf" im Ordner "neu" darf ich nicht öffnen.

Grüße,
Flo
 
Zephyr82 schrieb:
Nun, Flo,...
Insofern begrüße ich das Script von Andi, das ich mir gern einmal ansehe.
Denn nicht jeder hat Zeit und Lust, sich mit Perl-Skripte oder Shell-Skripten herumzuschlagen, sondern nutzt eben einfache Dinge wie Automator oder AppleScript (dumm, aber efektiv).
Zum Vergrößern anklicken....

Nun, Zephyr,

da gebe ich Dir in allen Punkten Recht. Ich finde Andis Script auch saugut.

Zephyr82 schrieb:
Und da ich kein Blicki bin, aber trotzdem an Sicherheit in meinem System interessiert, würde ich mir einen eher praktischen Bezug in dieser Diskussion wünschen. Das verstehe ja keine Sau mehr! :confused:
Zum Vergrößern anklicken....

Und wie ich eben bewiesen habe bin ich auch kein Blicki, und finde es gerade deswegen gut dass hier mit sehr praktischem Bezug diskutiert wird.

Grüße,
Flo
 
...

Hallo Zephyr82,

Zephyr82 schrieb:
Und da ich kein Blicki bin, aber trotzdem an Sicherheit in meinem System interessiert, würde ich mir einen eher praktischen Bezug in dieser Diskussion wünschen. Das verstehe ja keine Sau mehr! :confused:
Zum Vergrößern anklicken....

Das Homeverzeichnis ist wie ein Sekretär (Schrank). Der Hausmeister (System) hat den für dich aufgestellt. Du kannst mit deinem Schlüssel eine Arbeitsfläche ausklappen (Schreibtisch). Im Sekretär sind fünf abgesperrte Schubladen (Dokumente, Bilder, Filme, Musik und Library) und oben drüber stehen 2 Vitrinen (Web-Sites, Öffentlich) In Vitrine Web-Sites stehen angebundene Leitz-Ordner, in die Blätter (Dateien) eingeheftet sind. Die Ringheftung kann nur von dir geöffnet werden. Keiner deiner Mitarbeiter (andere User) kann einen neuen Leitz-Ordner in die Vitrine anbinden. In Vitrine Öffentlich steht ein Kasten (Wahlurne). In den Kasten können die Mitarbeiter Blätter (Dateien) einwerfen. Sie können auch keinen weiteren Kasten oder Leitz-Ordner in die Vitrine hineinstellen.

FileVault ist deine Bürotür. Du kommst zur Arbeit (Anmeldung) und sperrst die Tür auf. Nach Feierabend (Abmeldung) sperrst du die Türe wieder zu.

Schneller Benutzerwechsel: Du gehst aus dem Büro (Toilette, Kantine usw.)
Ein Mitarbeiter (User) kann dein Büro betreten (Türe nicht abgesperrt) Die Arbeitsfläche klappt zu und springt ins Schloß.

Neuer Ordner: Du rufst den Hausmeister (System) an und sagst: "Ich möchte eine neue Schublade" Macht er auch und bringt eine Vitrine die auf den ersten Blick aussieht wie eine Schublade. Du legst ein Blatt hinein (KündigungMaier.doc)

Nach der Mittagspause spukt dir Maier ins Gesicht. Du siehst dir die vermeintliche Schublade an und stellst fest, es ist eine Vitrine.

Der Hausmeister kann nichts dafür, er sagt: "Ach, Sie wollten eine abschließbare Schublade? - Wenn sie mir das gesagt hätten, hätte ich die in Ihren Sekretär eingebaut."

Wenn du dir das in etwa so vorstellst, sieht man gleich warum der StruppiMac so sauer auf den Hausmeister ist...

Gruß Andi
 
Eine saugute Antwort, Andi, danke.
Allerdings hab ich das Problem mit den Zugriffsrechten schon verstanden, ich quälte mich doch auch mal mit Linux rum ;O)

Aber was ist denn jetzt die umasc und was genau hat die in dieser Diskussion zu suchen? :rolleyes:
 
...

lengsel schrieb:
Die umask legt fest welche Rechte ein neues Objekt bekommt dem keine expliziten Rechte zugewiesen wurden. Praktisch weil man sonst ständig Rechte vergeben müsste. Mehr Info u.a. hier: http://www.linux-praxis.de/lpic1/manpages/umask.html
Zum Vergrößern anklicken....

Stimmt. In dem Fall wäre umask die Firma Leitz, die Ordner/Vitrinen (Ein Ordner ist eine Vitrine wenn er auf oberster Ebene von Home liegt)
herstellt. Man kann der Firma auch sagen, sie soll Ordner herstellen, die nur der User öffnen darf (Schubladen). Werden diese dann in die Vitrine gestellt, können die Mitarbeiter diese zwar sehen, aber nicht damit arbeiten. Damit könnte man ja noch leben. Nur liefert dir die Firma Leitz auch gleichzeitig eine Art Geheimtinte. Die Briefe (Dateien) die du schreibst kannst nur du lesen.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten