Standardkonto wirklich sicherer als Adminkonto mit UAC auf höchster Stufe?
 

Hallo,

ich habe mir auf Basis der Empfehlungen hier im Forum gestern ein gesondertes Adminkonto eingerichtet und mein altes Konto mit Adminrechten auf ein Standardkonto herabgestuft. UAC hatte ich dort vorher auf der höchsten Stufe. Zwei Fragen habe ich und wäre für Meinungen/Infos dankbar:

1. Ich habe gerade Folgendes gelesen und bin jetzt verunsichert, ob der Schritt zu einer Umstellung Admin/Standard sinnvoll war:

"Die Eingabe des Passwortes zur Authentifizierung kann leicht selbst zur Sicherheitslücke werden. Mit einem vorgetäuschten Authentifizierungsdialog (sogenanntes Spoofing) könnten Angreifer in den Besitz Ihres Passwortes gelangen. Erfahrenen Nutzern raten wir daher dazu, bei der Standardeinstellung "Authentifizierung mit einem Klick auf OK" zu bleiben.", Quelle hxxp://www.chip.de/artikel/Windows-7-perfekt-absichern-Security-Guide-2_37971546.html (Mir ist es nicht gelungen, den Link über die Link Einfügen Funktion korrekt einzufügen. Keine Ahnung, was ich da falsch gemacht habe).
Jetzt stellt sich für mich die Frage, ob die Variante Admin/Standard wirklich sicherer ist oder ob das ständige Eingeben des Passwortes nicht auch eine gesonderte Gefahrenquelle darstellt?

2. Problematisch finde ich an dieser neuen Variante auch, dass der Rechner jetzt beständig das Admin-Passwort haben möchte. Beim Windowsstart lädt bei mir z.B. Crystal-Disk-Info und hierfür muss ich jetzt jedesmal das PW eingeben. Gibt es eine Möglichkeit, sofern ich bei der neuen Variante Admin/Standard bleibe, bestimmte Programme von der Eingabe des Admin-PW auszuschließen?

Grüße in den noch jungen Morgen

Als Ergänzung zu Frage 2: Ich wollte gerade eine Verknüpfung auf dem Desktop löschen und sollte dafür das Admin-PW eingeben! Auch solche Kleinigkeiten würde ich (natürlich) gerne ohne PW-Eingabe machen können.

Hallo nickcave,

grundsätzlich ist es so, dass die von dir erwähnte Variante sicherer ist - wenn auch nicht gerade komfortabel..... :crazy:
dass die Eingabe des Passwortes selbst dabei ein (eher geringes) Sicherheitsrisiko hinzufügt ändert nichts an dieser Tatsache!

Allerdings solltest du einen wesentlichen Denkfehler vermeiden:

In Wahrheit haben die Benutzerkonten inklusive UAC mit den tatsächlichen Rechten bei NTFS nur wenig zu tun - hier geht es schlicht und ergreifend darum, dich vor dir selbst zu schützen!
Wenn der Zugriff auf bestimmte Dienste, welche die Systemsicherheit und/oder -stabilität verwehrt wird, dann ist das eben "sicherer".

Hier gilt aber nicht wirklich eine echte Sicherheitsgrenze, denn aktuelle Malware verschafft sich die Adminrechte längst ganz einfach selbst - daher bleibt der Ball nach wie vor bei dir, deinem Sicherheitskonzept und damit deiner eigenen Konsequenz hängen.....

Um noch auf eine weitere Frage einzugehen:

Nein, eine "einfache" Lösung zwecks Programmausschlusses gibt es leider nicht - nur unbequeme, meist über die Registrierung.

Mein Rat: Wenn dich das Thema wirklich interessiert, dann solltest du dich mal über "Gruppenrichtlinien" belesen - möglichst mithilfe eines Buches, denn das Netz reicht maximal für einen (sehr) groben Überblick.

Liebe Grüße, Alois

Moinsen Alois,

vielen Dank für Deine ausführliche Antwort.

Was meinst Du mit, vor "Dir selbst schützen"? Ich muss gestehen, das ist mir nicht klar geworden. :confused:

Wenn ich das richtig verstehe, stellt die Konstellation Admin/Standardkonto+Passwort für Malware also kein größeres Problem dar, wie ich gehofft hatte? Gilt dies nur für den Fall, dass es einem solchen Schädling gelingt, das PW durch eine gefakte Eingabemaske o.ä. "abzugreifen" oder ist so etwas überhaupt nicht notwendig? In letzterem Fall würde ich bei den Einschränkungen, die diese Konstellation nach sich zieht, wohl darüber nachdenken, die Sache wieder rückgängig zu machen.

Grüße

Gern geschehen! :)

Vereinfacht ausgedrückt können all die obengenannten Beschränkungen lediglich verhindern, dass du selbst etwas "anstellst";
auf alles, was im System und seinen Bestandteilen selbst (auch der Browser gehört dazu) vor sich geht, haben diese Einstellungen keinen Einfluss.

Generell ist es daher schon sicherer, mit dieser Konstellation zu arbeiten -

aber am sichersten und besten ist es, wenn du dir dein eigenes Sicherheitskonzept erarbeitest - dann brauchst du diese Beschränkungen nicht mehr und bist ohne sie tatsächlich sicherer als je zuvor.

Vielleicht kann es dir aber auch jemand, der als Admin arbeitet, noch verständlicher erklären? :heilig:

Liebe Grüße, Alois

Die UAC ist doch nichts weiter als ein Kompromiss weil MS unter Windows seinen Kunden nie wirklich Systemsicherheit beibringen wollte, die haben doch erst für die breite Masse mit WinXP ein NT-Betriebssystem eingeführt, das eine Rechteverwaltung kannte...und dann wurde es halbherzig umgesetzt, der erste User war immer voller Admin ohne großartige Warnungen. Und viele ältere Anwendungen laufen nicht ohne Adminrechte, ja nichtmal mit aktiver UAC...aber das ist ne andere Geschichte, bei sowas sollte man mal überlegen diese Anwendungen auszulagern in ne VM oder so.

Mit der UAC ist man schlimmstenfalls nur ein Klick vom Unheil entfernt. Aber besser als nichts. Wer viel und oft administrative Rechte benötigt, für den mag es praktikabler sein, seinen Standard-Benutzer mit Adminrechten auszustatten aber dafür UAC aktiv. Wenn man ständig und tagtäglich sein Passwort wegen Adminrechte eingeben muss, hat hier nur etwas per "Fingerbewegungen", nachdenken was genau und warum eine Aktion plötzlich höhere Rechte muss (sollte) man eh immer.

Ich frag mich allerdings wer ständig Adminrechte braucht. Tut denn sowas not, dass sowas wie Crystal Disk Info im Autostart sein müssen :balla: ich bin der Meinung mal sollte den Autostart auf das allernötigste beschränken und wenn man es braucht => Rechtsklick auf die Programmverknüpfung => als anderer Benutzer ausführen

Ich bin da vielleicht etwas naiv, aber wenn man zur täglichen Arbeit ständig Admin Rechte benötigt- sehe ich das als Lücke im Sicherheitskonzept an.

(Es sei denn man arbeitet beruflich als Admin in einer Firma... )

Lieber Dackel, bei mir ist Theorie und Praxis vereint: UAC off und volle Adminrechte :D

"Brain turned on" fehlt noch, lieber "cosinus" :cool:

@Cosinus: seit wann verwendest du denn Puppy Linux ? Oder etwa Kali Linux ?

Brain.exe (bzw. brain.sh) sind natürlich wichtige Sicherheitsprogramme die auf keinem System fehlen sollten...

Auf der Arbeit verwende ich nur Microsoft Linux - the premier linux distro :blabla:

full adminrights plus deactivated UAC minus Brain = :crazy::kaffee::kaffee:

aus deinem Link:

:rofl: :huepp: :party:

Das hat schon was von Bullshit Bingo :blabla:

Und das tollste ist wenn man ein Problem hat kommt crapd zum Einsatz :lach:

Bullshit Bingo hin oder her - komischerweise erinnern mich diese Sprüche irgendwie an gewisse Werbeversprechen der IT-Branche..... :D

Vor ganz langer Zeit habe ich auch mal angefangen, mir ein eingeschränktes Konto einzurichten, hatte dabei aber irgendwelche allgemeinen Nutzungsprobleme.
Ist aber so lange her, das ich schon nicht mehr weiß, was es war.
Seitdem bin ich zwar mit allen möglichen Sicherheitsvorkehrungen, auch von hier, allerdings mit dem Adminkonto unterwegs.
Brain.exe 3.0 ist natürlich auch an.

Allerdings frage ich mich jetzt noch eins:
Wo ist bei der Sicherheit der Unterschied zwischen einem eingeschränkten Nutzerkonto und der grundsätzlichen Verwendung einer Sandbox im Adminkonto.
Wenn irgendetwas auf das System außerhalb der Sandbox zugreifen will, kommt ja auch stets eine Meldung, ob man das denn zulassen möchte.
Ist denn nicht die Sandbox mit einem eingeschränkten Nutzerkonto vergleichbar?

Und kann nicht Malware, die aus der SAndbox ausbrechen kann, genausgut auch aus dem eingeschränkten Konto ausbrechen?

Fragen über Fragen. :glaskugel:

Eine Infektion hatte ich in der gesamten Zeit noch keine, was doch wohl für meine Sicherheitsvorkehrungen spricht.

Hallo EmilioCarlo,

diese beiden Sicherheitsvorkehrungen sind grundsätzlich so verschieden, dass sie nicht direkt vergleichbar sind:

1) Ein Standardkonto hat eingeschränkte Systemberechtigungen, weshalb viele Schadprogramme keine tiefgreifenden Veränderungen am System vornehmen können. Dafür ist es - naja, manchmal etwas unbequem.....

2) Sandboxlösungen leiten (nahezu) sämtliche Datei- und Registryzugriffe virtuell um - also die aller Benutzerrechte.
Sie werden sozusagen in eine nachgebildete Umgebung geführt - das echte System bleibt unangetastet.

Beide Konzepte bieten als Teil eines Sicherheitskonzeptes ihre Vorteile und sind am stärksten, wenn sie miteinander kombiniert werden.

Liebe Grüße, Alois

Eigentlich ist der auf den ersten Blick recht deutlich.

Beim eingeschränkten Konto hagelt es bei Schreibzugriffen auf Systembereiche Verweigerungen, während bei der Sandbox die Schreibzugriffsversuche nicht verweigert, sondern in einen besonderen Bereich durchgeführt werden.

Das nennt sich dann privilege escalation, kann es geben, sollte aber nicht, v.a. nicht wenn man regelmäßig seine Updates einspielt. Im Prinzip bietet ein modernes Betriebssystem alles was man zu einem sicheren Umgang benötigt. Wäre da nicht das Problem, dass man unter Windows doch viel zuviel als Admin machen muss. Deswegen seh ich sowas UAC oder Sandboxie eher als Krücken an um ein an für sich kaputtgespieltes Konzept einigermaßen zu richten.

Guten Morgen,

ich bin immer noch etwas unentschlossen, ob ich bei der Kombination Admin/Standardkonto bleiben soll oder die Sache wieder rückgängig mache und auf mein bisheriges Sicherheitskonzept baue. Ich frage mich vor allem immer noch, ob ich mit der Eingabe des Passwortes bei "Admin-Aufgaben" nicht eventuellen Keyloggern die Arbeit erleichtern würde. Hierzu zwei Fragen:

1. Die Passwortabfrage für den Admin läuft in einem Dialog, bei dem der Hintergrund bis auf die Dialogbox dunkler wird. Das kenne ich nur von einer gesicherten Umgebung und somit, sofern ich diesen Begriff nicht falsch verstehe, einer Umgebung in einer Sandbox. Sprich: Ist diese Passwortabfrage durch Windows abgesichert? Wenn ja, dürfte das Abfangen des PW doch gar nicht so einfach sein, oder?

2. Ich nutze zur Verwaltung meiner PW Keepass und hier normalerweise nur für die PW, die im Browser genutzt werden. Könnte ich die Eingabe des AdminPW sicherer machen, wenn ich das PW in Keepass anlege und von dort per "Copy Password" in die Dialogbox für das AdminPW einfügen würde?

Was meint Ihr dazu?

Grüße

Auman, warum nicht gleich sagen kein Konto bekommt nen Passwort, denn es wäre ja möglich, dass ein Keylogger eh die Passwörter mitschneidet :headbang:

Ich find diese Argumentation etwas hanebüchen. Im Linux-Umfeld hat es sich für die Legitimation für Systemaufgaben ja auch durchgesetzt, sein Kennwort einzugeben. Nur bei Windows soll es sicherer sein einfach auf ok zu klicken anstatt sein Kennwort einzugeben?? :wtf:

Moinsen cosinus,

das war weniger eine 'Argumentation' als eine für mich offene Frage.

Welche Nachteile hat der 'Klick' denn gegenüber einem PW? Wenn ich von den beiden mir bisher bekannten Möglichkeiten für Malware ausgehe, auf dem Rechner Zugriff auf die Admin-Rechte zu bekommen, also über einen gefakten Dialog/Login oder per Keylogger, wäre doch das 'Klick'-Verfahren zumindest gegenüber dem Keylogger im Vorteil, oder nicht? Sollte es weitere Möglichkeiten für Malware geben, an die Admin-Rechte zu kommen, mag das schon wieder anders aussehen, aber soweit durchdringe ich das Thema nicht. Deshalb ja meine Fragen hier.

Wurde doch bereits erwähnt und liegt auf der hand. Ein Klick und das Unheil ist angerichtet.
Ok, wenn ich jeden Tag 100x mein Passwort eingeben muss mag bei manchen das Hirn auch irgendwann ausgeschaltet sein und man überlegt nicht mehr wirklich welche Konsequenz die nächste Aktion hat, aber ich bin der Meinung, dass die Hürde Passwortauthentifizierung viel größer ist als ein einfacher Klick auf Ok. Dass ein Keylogger involviert sein könnte ist ein Totschlagargument, damit könnte man wie schon erwähnt komplett auf Passwörter verzichten.

Wenn die Tür offen ist und der Schlüssel nie benutzt wird oder gar keiner vorhanden ist, kann auch nicht so leicht ein Einbrecher den Schlüssel klauen und/oder nachbauen. Ist es damit sicherer?

Das bedeutet also, sofern ich Dich richtig verstehe, dass die Eingabe des PW lediglich den Vorteil der 'Selbstkontrolle' hat und darüber hinaus keinen weiteren gegenüber Malware, die versucht das Admin-PW auszuspähen?

Immer vorausgesetzt ich verstehe die Argumentation von cosinus richtig, dürfte die Eingabe eines PW gegenüber dem 'Klick' nur den oben beschriebenen Vorteil der 'Selbstkontrolle' haben. Die Türen dürften also in beiden Fällen (PW/Klick) weitgehend offen sein.

Wie sieht es denn mit der Variante Keepass als 'Passwortlieferant' aus (siehe meinen Post heute 09:14). Wäre das eine Variante, mit der die Sicherheit (auch gegenüber Keyloggern) gesteigert werden könnte?

Das ist ein super zutreffendes Beispiel!

Ich sehe es nicht so, das die Türen in beiden Fällen offen sind.
Wenn ich das Passwort eingeben muss, schließe ich doch damit die Tür erst auf, weil sie vorher geschlossen war. Ansonsten komme ich nicht in die Wohnung (Adminbereich).

Kommt darauf an, wie du dein Masterpasswort für Keepass eingibst. Wenn du schon einen Keylogger auf dem Rechner hast und dein Masterpasswort per Tastatur eingibst, dürfte es das eh gewesen sein.

Mit dem Klick schließe ich die Tür doch auch erst auf. Erst nach dem 'Klick' komme ich in den Adminbereich.

Aber mit dem Klick kann da JEDER reinkommen, also auch der böse Bube. Mit Passwort nur DU.
Der Klick ist wie das einfache runterdrücken der Türklinke zum öffnen der Tür.
Wenn du aber Passwort und dann eben den Klick hast, ist das wie Schlüssel rein und drehen und dann erst die Klinke runterdrücken.
Es geht doch mit dem Passwort einfach nur darum, das kein unbefugter Zugriff auf den Adminbereich geschehen kann. Einen Klick kann jeder Malware, ein Passwort knacken aber nicht.

Nein, die Tür ist schon längst auf. Ohne Passwort (=Schlüssel) musst du nur noch die Klinke runterdrücken.

Also was chip da geschrieben hat klingt ein wenig nach: "Mach Sie Ihre Wohungstür nur zu und bauen Sie das Schloss aus. Mit einem Klick auf die Klinke kommt man so rein, bloß nicht ein Schloss und Schlüssel verwenden, da der Schlüssel ja geklaut werden könnte..." :stirn:

Das bedeutet, Malware kann den (von außen kommenden) 'Klick' einfach 'nachstellen'? Wenn das der Fall wäre, wäre die 'Klick'-Abfrage tatsächlich weniger sicher (außer gegen Keylogger), allerdings hatte ich cosinus und auch Alois S hier anders verstanden, die beide betont haben, es gehe vor allem um 'Selbstkontrolle', aber das jetzt beschriebene "offene Tür-Szenario" nicht einmal angedeutet haben.
Nachtrag: Den Beitrag von cosinus ein paar Minutzen zuvor habe ich wohl übersehen.

Immer noch würden mich Meinungen interessieren zu meiner Idee, Keepass als 'Lieferant' für die Eingabe des PW zu nutzen. Sicherer?

Es ist AUCH eine Selbstkontrolle, weil du ja dadurch aufmerksam gemacht wirst, dass da irgend etwas auf den Adminbereich zugreifen will. Aber doch nicht NUR!

Zu Keepass hatte ich oben schon geschrieben.
Wenn du bereits einen Keyöogger auf dem Rechner hast und gibst dann dein Masterpasswort per Tastatur ein, dann biste evtl. am Ar*****.
Ansonsten sehe ich das kopieren des Passwortes aus Keepass auch als sicherer an, wie das händische eintippen.
Ich handel meine Passworteingaben ebenso.
Und für das Masterpasswort nutze ich eine sicher Virtuelle Tastatur.
(Laut Aussagen des Herstellers Keylogger-sicher)

Das bedeutet, ein Angreifer kann leichter einen ‚Klick‘ nachstellen als ein PW abfangen?

Das habe ich wohl übersehen.

Das ist klar. Ich nutze den gesicherten Bildschirm von Keepass zur Eingabe des MasterPW und hoffe, damit Keyloggern ein Schnippchen zu schlagen.
Du schreibst, Du nutzt eine virtuelle Tastatur. Meinst Du damit den gesicherten Bildschirm von Keepass oder eine VT von einem anderen Anbieter?

Wer seinem System nicht traut, weil er glaubt er habe ein Keylogger drauf, der hat eh andere Probleme als auf einer kompromittierten Kiste ne Rechttrennung weiterzuleben...die bringt dann eh nüscht mehr egal ob UAC an/aus, mit/ohne Adminrechte oder mit/ohne Passwörtern.

"Klick nachstellen" kann bestimmt sogar ich, wenn ich mich ein bisschen einlese.
Passwörter auslesen oder umgehen mit Sicherheit nicht.

Ich traue meinem System durchaus, doch es gibt letztlich keine Garantie, dass ich mir nicht doch irgendwann einen solchen Mist einfange und dann möchte ich, dass ich so gut wie möglich dafür präpariert bin solange einen Schaden zu verhindern, bis meine Sicherheitsprogramme den Bock entdeckt haben.

Um das ganz klar zu verstehen: Wenn ich mir also einen Keylogger einfangen würde, wären die Sicherheitsvorkehrungen, die wir hier diskutieren, nach Deinen Worten hinfällig?

Also ich behaupte einfach mal, (im Falle einer Falschaussage mögen mich die Spezialisten hier berichtigen) das es einfacher ist, einen Code zu programmieren, der einen ButtonKlick aktiviert, als einen Code, der ein Passwort abfängt.
Wenn es bei einer angreifenden Malware vielleicht ein paar Zeilen Code sind, damit dadurch der sagen wir "OK" Button aktiviert wird, dann muss doch eine Malware, die erst dein Passwort abfängt und sich dann mit diesem Passwort in den Adminbereich einloggt, weitaus komplexer sein. Es müsste sich also um die Malware handeln, die das ausführt, wofür sie programmiert wurde, aber gleichzeitig auch noch einen Keylogger enthalten.

Ich nutze die VT von Kaspersky.
Gut, das ist kein Open Source, daher nicht wirklich kontrollierbar.
Aber ich habe mich mich Kaspersky-Forum überzeugen lassen, das die VT von denen sicher gegen Keylogger ist. Wie diese Absicherung allerdings genau funktioniert, weiß ich leider nicht.

Wenn man mal Keylogger oder Screenshot Tools auf dem Rechner hat ist der kompromittiert, dann ist auf diesem Rechner gar nichts mehr sicher.

Dass irgendein Programm- selbst wenn es von Kaspersky ist - effektiv gegen Schadsoftware schützt die mal auf dem Rechner ist bezweifle ich.

Da jegliche per Passwort geschützte Zugänge auf dem Rechner letztendlich per Software geschützt sind können sie letztendlich von einmal installierter (Schad)Software auch ausgehebelt werden.

Mit anderen Worten: wenn das System mal per Keylogger oder Screenshot Fern"wartungs"software kompromittiert ist ist man gekniffen sofern man das nicht merkt und schnell neu installiert.


Trotzdem halte ich den separaten Admin User mit dem separaten Passwort für eine weitere Sicherheitshürde: in dem Falle muss ein Stück Schadsoftware erst eine Lücke in einem Prozess mit Adminrechten finden und per "Privilege Escalation" ausnutzen- was auf einem aktuell gehaltenen System nicht so einfach ist.

Beim "OK" der UAC hat MS zwar Sicherungen eingebaut, aber wer CCC Vorträge auf Youtube sieht findet schnell Beispiele bei denen sie ausgehebelt wird.

Also: UAC ist besser als nichts, Adminkonto mit separatem Passwort ist besser als UAC. Sandbox mit separaten Admin Konto ist dann König (und dürfte in der Praxis sicher genug sein).

Man muss sein Fahrrad ja nicht im Tresor einschließen sondern nur so abschließen dass die Diebe das weniger stark gesicherte Nachbarfahrrad stehlen ;)

Eine Kombination aus Sandbox, Adminkonto, Skript+ Werbeblockern im Browser wäre z.B ein ziemlich gutes Sicherheitkonzept... dann noch Brain.exe dazu, dann ist die Wahrscheinlichkeit von Problemen mit Schadsoftware ziemlich gering... auch wenn es absolute Sicherheit nie geben kann.

Und für ganz wichtige brisante Sachen startet man den Rechner einfach von einem aktuellen Live-Linux... :heilig:

Das Sicherheitskonzept ist zwar super, mir aber schon wieder zu mühsam. Ich starte meinen Rechner einfach von einem auf der Festplatte aus installierten Linux... das ist auch schon ziemlich sicher da kein Schwein kommerzielle Schadprogramme für ein Betriebssystem schreibt das auf weniger als 2 % aller Desktoprechner benutzt wird....

Mühsam? Für die meisten Leute da draußen ist es schon eine Mammutaufgabe ein Betriebssystem zu installieren...

Diesen Code zu schreiben ist in beiden Fällen eine sehr leichte Übung - je nach verwendeter VB-Version lässt sich mit 5-8 Zeilen eine Tastaturabfrage schreiben, deren String regelmäßig in eine .txt kopiert wird. :kaffee:

Die Schwierigkeit liegt darin, den Code unbemerkt einzuschleusen und die Textdatei auch zu versenden - doch auch dieses Problem ist in beiden Fällen exakt gleich schwierig.....

Liebe Grüße, Alois

Dazu müsste aber dieses Script ständig bei Systemstart mitgeladen werden...und solche Standardsachen ohne große Verschleierungen sollte die Virenscanner eigentlich schnell erkennen :wtf:

1) Selbst einfachste Keylogger mit Windows Hooks setzen ihren Hook mittlerweile locker vor denen des AV und/oder FW (vor dem "Logon")

2) Etwas bessere laufen im Usermode

3) Und die besten auf tieferer Ebene im Kernelmode

und wenn gleich beim Start die System-dll´s in den RAM kopiert werden - dann laufen sie stets außerhalb jeder Sandbox..... :kaffee:

Liebe Grüße, Alois

Kannst du mal Punkt eins genauer erläutern...
Ich versteh ehrlich gesagt noch noch nicht wie sich Schädlinge ohne Adminrechte im Windows-Start manifestieren können und das bevor sogar die angeblich unverzichtbaren Virenscanner laden

Er wird praktisch als .dll in den RAM geladen, dynamisch verlinkt und dadurch zum systemübergreifenden Hook (etwas vereinfacht ausgedrückt).

Liebe Grüße, Alois

Und das geht alles ohne Adminrechte? Man kann das System ohne Adminrechte so richtig schön verbiegen?

Ja - ich versuche mal, es zu erklären:

Es gibt eine tiefere Registrierungsebene, deren dll´s schon vor dem eigentlichen Systemstart geladen werden;
welche das sind, steht im "CurrentControlSet" unterhalb der Anwendungsebene, die am ehesten noch mit der alten "config.ini" vergleichbar wäre.

Beispiel wäre die gesamte "zuletzt funktionierende Konfiguration", die stets vor dem Systemstart und immer mitgeladen wird - sie ist auch vor dem Start abrufbar, sonst würde dieser Punkt gar nicht funktionieren. - die Adminrechte greifen also erst hinterher.....

Der Clou ist nun der, dass man unter der normalen Oberfläche auch "private" dll´s erstellen und das Flag auf "per runtime" und nicht auf "per start" setzen kann (wie das geht, erklärt Microsoft sogar noch selbst.......)

Und genau das habe ich mit "der Code ist einfach, aber die Implementierung schwierig" gemeint - wobei das Wörtchen "schwierig" dabei sehr relativ ist.....

Liebe Grüße, Alois

Hm mag ja alles sein, aber ich versteh irgendwie immer noch nicht wie man diesen Bereich dahingehend verändert, dass das erreicht wird was man will mit dem Keylogger oder nennen wir es mal allgemein "hack". Man müsste ja im laufenden Windows etwas verbiegen damit es dann beim nächsten Start funktioniert mit dem "hack" oder? :wtf:

Es ist auch nicht gerade einfach, aber wie es prinzipiell funktioniert, beschreibt Microsoft hier:

http://support.microsoft.com/kb/815065/de


Interessant ist z.B. dieser Text:

Die englische Originalversion liest sich hier aber wie immer besser als die maschinelle Übersetzung.....

Liebe Grüße, Alois

Wenn du der Böse Bube wärst würdest du also einem Programm das im Userspace liegt und vom User regelmäßig benutzt wird eine "fiese" DLL unterjubeln ? (Um den Angriffsvektor zu verstehen den du damit meinst)

In das Home Verzeichnis eines Programms das mit Admin Rechten installiert wurde kämst du mit der DLL so nämlich nicht, da müsstest du irgendwie erst Admin werden...

Genau das ist ja auch mein gedankengang...um den Stein den Anstoß zu geben benötigt es doch einmalig Adminrechte oder nicht :wtf:

Wenn ich der böse Bube wäre, würde ich dll-sideloading verwenden - und zwar via Hardlink mit genau der Active-X-Api-Referenz, die Microsoft für seine Updates verwendet..... :pfui:


siehe auch hier:

http://www.fireeye.com/resources/pdf...ideloading.pdf

(Datei ist zu groß, um sie hochzuladen, auch komprimiert)


Liebe Grüße, Alois

Moinsen,

könnte ich mich vor einer solchen Bedrohungen überhaupt schützen (etwa durch Surfen mit Ubuntu o.ä. in VMaschine, worüber ich gerade nachdenke), oder bleibt am Ende nur zu hoffen, dass ein solcher Kelch an mir vorrübergeht?

Ja, schon, und zwar indem du dir dein eigenes Sicherheitskonzept überlegst. :)

Da es aber keine 100%ige Sicherheit gibt, halte ich persönlich ein regelmäßiges BACKUP für die wichtigste Maßnahme!

Und ach ja: Es gibt einen Unterschied zwischen einem Backup und einer Sicherheitskopie - eine davon sollte zumindest schreibgeschützt, am besten aber in einem Tresor aufbewahrt werden - kannst dir sicher denken, welche das ist, nicht wahr? :daumenhoc

Liebe Grüße, Alois

Post © Alois 2014 – Alle Rechte vorbehalten – kein Teil darf in irgendeiner Form ohne schriftliche Genehmigung des Autors kritisiert werden! :aufsmaul:

Unter Linux bist du vor kommerzieller Schadsoftware so gut wie sicher: da nur 2% der Desktop Benutzer Linux verwenden lohnt es sich nicht dafür Trojaner zu schreiben.

Nachteil: es ist ein ganz anderes Betriebssystem in das du dich komplett neu einarbeiten musst.

Hallo Ihr Beiden und danke für die Antworten!

Selbst wenn ich ein Linux-System in einer VirtualMaschine laufen lassen und nur zum Surfen nutzen würde, wäre eine Einarbeitung in ein solches System kompliziert?
Ich hatte an so etwas gedacht und angenommen, das wäre "selbsterklärend":
www.heise.de/ct/projekte/c-t-Surfix-Sicher-im-Web-1380126.html
https://solutionexchange.vmware.com/store/products/browser-appliance#.U11mBFeHy9I
Vielleicht ein bisschen naiv?

Nur mal nebenbei: Bei mir funktioniert das Setzen von Links hier nicht. Irgend etwas mache ich falsch. Ich klicke das "LInk-Zeichen" an, dann kommt der Dialog mit "Bitte geben Sie die URL ein", das mache ich per Copy&Paste, aber am Ende kommt immer nur so etwas raus:
hxxp://solutionexchange.vmware.com/store/products/browser-appliance#.U11mBFeHy9I
Kann mir mal jemand erklären,was ich hier falsch mache? :confused:

Grüße

Hallo nickcave,

Wenn du einen Beitrag schreibst, dann kannst du unter "zusätzliche Einstellungen" eigene und externe Links unkenntlich machen - oder auch nicht, wenn du den/die Haken rausnimmst.

Und das ist ungefähr genauso selbsterklärend wie dein Link über die Verwendung von Linux in einer VM - SCNR (= "sorry, could not resist"). :)

Liebe Grüße, Alois

Ich nutze Linux seit ca. 10 Jahren als Hauptsystem- und rege mich immer wieder über die diversen Konstruktionsfehler von Windows auf wenn ich mal wieder das Win 7 meiner Eltern aktualisiere.

Wie du also ahnen wirst bin ich von den Vorteilen von Linux überzeugt. Die Einarbeitung lohnt sicher, aber sie ist erforderlich, "selbsterklärend" gibt es nicht.

Wenn du also ohnehin vorhattest dich mal mit Linux zu beschäftigen wäre das Projekt ein Linux in einer VM zu betreiben sinnvoll. Wenn nicht: dann arbeite lieber die Sicherheitstipps hier im Forum ab, damit kannst du dein Windows schon ziemlich gut absichern.

Manche behaupten ja, man muss das Windows wegschmeißen und darf nur Linux installiert haben :D weil sonst nutzt man bei jedem noch so kleinen Problem wieder Windows und lernt nicht den Umgang mit Linux ;)

Ok, sagen wir mal, der Originalposter will auf keinen Fall auf Windows verzichten und Linux nur zum Surfen verwenden - dann frage ich mich aber, wieso das unbedingt in einer VM laufen soll. Ist da ein leichtes Linux Live-System (z.B. Puppy) nicht logischer?

Und nur um mal eben zu surfen muss man dann Windows runterfahren oder wie? Nee logischer ist dann eine VM.

Hallo Zusammen und danke für die Antworten!

Genau das wäre meine Idee: Ein kleines Linux-System ausschließlich zum surfen und erreichbar in Windows 7. Die von mir bereits genannten Systeme scheinen für ein solch puristisches Vorhaben ausgelegt zu sein:

www.heise.de/ct/projekte/c-t-Surfix-Sicher-im-Web-1380126.html
https://solutionexchange.vmware.com/store/products/browser-appliance#.U11mBFeHy9I

Auch nicht, wenn ich nur surfen möchte mit den genannten Systemen? Die Arbeit mit einem Browser dürfte doch unter Linux nicht so viel anders ausfallen, oder doch? Sollten solche Systeme tatsächlich eine größere Einarbeitungszeit erfordern, würde ich die Sache zurzeit zurückstellen, weil ich zu viel um die Ohren habe. Als Option finde ich solche Systeme auf alle Fälle sehr interessant, allerdings nur zur "Schadabwehr", da ich ansonsten mit Windows ganz zufrieden bin.

"Yop", das ist tatsächlich nicht selbsterklärend und wie Du oben begutachten kannst, ist es mir erneut nicht gelungen, einen "anklickbaren" Link zu erzeugen, obwohl ich die genannten Einstellungen durchprobiert habe.

Der Reihe nach:

Zu der Hardcore- Linuxfraktion die Interessenten rät Windows wegzuwerfen gehöre ich nicht da ich lieber selbst entscheide wann ich mich in irgendetwas einarbeite. Gerade am Anfang ist ein Windows wenn z.B. ein Drucker nicht geht sehr praktisch.

@Nickcave: wenn dir jemand anderer das Linux administriert musst du dich praktisch nicht einarbeiten- ein wenig im Verzeichnisbaum auskennen damit du Dateien die du heruntergeladen hast oder hochladen willst findest und gut ist.

Da du das Linux aber in einer VM installieren willst, Dateien zwischen Wirt und Gast austauschen, die Gasterweiterungen installieren und evtl. vom Linux aus auf USB Geräte / Sticks zugreifen willst wirst du wohl lernen müssen damit umzugehen.

Entgegen anderslautender Behauptungen ist Puppylinux nicht das einfachste Linux für Anfänger, ich würde mit einem Ubuntu oder einer OpenSuse anfangen.

Wer ein sehr schlankes Linux benötigt und akzeptiert dass er die Icons nicht platzieren kann wo er will kann ein Lubuntu oder Opensuse mit LXDE probieren.

Ein Linux Live System ist so nervig dass der Anwender dann am Schluss doch wieder mit Windows surft- Sicherheit muss einfach anzuwenden sein, sonst wird sie auf Dauer nicht praktiziert.

Nun, es gibt insgesamt 3 verschiedene Editoren hier - ich glaube, bei "direkt antworten" hast du nicht alle Auswahlmöglichkeiten.....aber unter "Hilfe" sollte eigentlich alles recht gut beschrieben sein.
Wie ich hier aber feststellen musste, haben diesbezüglich wohl mehrere User dieses Problem. :glaskugel:

Liebe Grüße, Alois