Wieso braucht jedes kleines beschissene Programm Admin-Rechte ? [Archiv]

Knilch

2006-08-27, 16:58:50

jorge42

2006-08-27, 20:32:45

Ich arbeite auch schon lange ohne Admin-Rechte, und komm eigentlich ganz gut klar. Manche Programme sind aber wirklich ein "Pain in the ass" *g*

Hilfe gibts zum Beispiel hier: http://www.noadmin.de/

Von der c't gabs ein Script namens "MachMichAdmin" (Blöder Name *g*), welches eine Shell öffnet, die Admin-Rechte hat (ähnlich su bei Unix). Somit kann man ein bestimmtes Programm mit Admin-Rechten starten, während alle restlichen Prozesse weiterhin eingeschränkte Rechte haben.

Bei Windows XP erhält ein Programm die Rechte, welche der Benutzer zum Startzeitpunkt des Programms hatte. Mit dem Script wird der Benutzer kurz in die Admin-Gruppe geschoben (ein Admin-Konto-Passwort muss dafür eingegeben werden), dann das Programm gestartet, dann der Benutzer wieder in die eingeschränkte Gruppe verschoben.

Das ist echt praktisch, somit kann man z.B. auch einen Explorer mit Admin-Rechten starten, kurz eine Berechtigung ändern oder eine Datei kopieren etc., und dann den Explorer wieder schließen. Klar, potentiell ist das natürlich etwas gefährlicher, als immer in einen Admin-Account zu wechseln (Passwort könnte mitgelesen werden), aber ich denke immer noch ausreichend sicher, und auf jeden Fall sicherer als komplett als Admin arbeiten.

cu, Knilch

ein rechtsklick und "starten als" auswählen tut es auch. :biggrin: Einfacher gehts nun gar nicht.

in der kommandozeile geht es auch mit
runas /user:administrator programmname

Bei mir gibts eine Verknüpfung auf dem Desktop mit folgenden Ziel

%windir%\system32\runas.exe /user:administrator explorer.exe

Dies startet den Explorer im kontext des Admins, man muss nur einmal das Adminpasswort eingeben, dass ist alles. Und von dort kommt man per Maus in die Verwaltung, Systemsteuerung, Dateisystem, Sicherheit, etc.
Die einzige Vorbereitung ist, dass man sich einmal vorher als Admin einloggen muss und unter Extras/Ordneroptionen/Ansicht den Haken bei "Ordnerfenster in eigenem Prozess starten" den Haken gemacht haben muss.

Leider wird die Gruppenzugehörigkeit bei XP IMMER nur bei der Anmeldung überprüft, man kann also einen Benutzer nicht mal eben so zum admin machn OHNE ihn neu anzumelden. Aber runas reicht in 99,8% der Fälle aus.

Knilch

2006-08-28, 02:09:48

ein rechtsklick und "starten als" auswählen tut es auch. :biggrin: Einfacher gehts nun gar nicht.

in der kommandozeile geht es auch mit
runas /user:administrator programmname

Bei mir gibts eine Verknüpfung auf dem Desktop mit folgenden Ziel

%windir%\system32\runas.exe /user:administrator explorer.exe

Dies startet den Explorer im kontext des Admins, man muss nur einmal das Adminpasswort eingeben, dass ist alles. Und von dort kommt man per Maus in die Verwaltung, Systemsteuerung, Dateisystem, Sicherheit, etc.
Die einzige Vorbereitung ist, dass man sich einmal vorher als Admin einloggen muss und unter Extras/Ordneroptionen/Ansicht den Haken bei "Ordnerfenster in eigenem Prozess starten" den Haken gemacht haben muss.

Der große Nachteil hierbei ist aber, dass Du die Programme dann im Kontext des Users administrator ausführst. Zum Beispiel beim Installieren von Programmen kann das evtl. halt Probleme geben, oder wenn Du im Explorer dann für bestimmte Ordner keine Berechtigung hast, oder wenn Du den Besitzer einer Datei auf Dich ändern willst (kann der administrator nicht), oder ....

Mit dem c't-Script kannst Du das Programm im Kontext des aktuellen Users, aber mit Admin-Rechten ausführen.

Leider wird die Gruppenzugehörigkeit bei XP IMMER nur bei der Anmeldung überprüft, man kann also einen Benutzer nicht mal eben so zum admin machn OHNE ihn neu anzumelden. Aber runas reicht in 99,8% der Fälle aus.

Doch, geht eben schon. :)
Die Gruppenzugehörigkeit wird beim Start der jeweiligen Anwendung überprüft.
Somit hat man wie oben beschrieben einen als eingeschränkten User angemeldeten Benutzer, der lediglich ein Explorerfenster mit Admin-Rechten (aber in seinem User-Kontext) offen hat.

cu, Knilch

jorge42

2006-08-28, 08:15:01

Der große Nachteil hierbei ist aber, dass Du die Programme dann im Kontext des Users administrator ausführst. Zum Beispiel beim Installieren von Programmen kann das evtl. halt Probleme geben, oder wenn Du im Explorer dann für bestimmte Ordner keine Berechtigung hast, oder wenn Du den Besitzer einer Datei auf Dich ändern willst (kann der administrator nicht), oder ....

ich kenn das skript der c't nicht, brauchte es bisher aber nicht. Die meisten Programme lassen sich als Admin für den User installieren. Evtl. muss man dann noch ein paar Icons verschieben, also aus dem Admin Profilordner in den All Users Ordner-

Mit dem c't-Script kannst Du das Programm im Kontext des aktuellen Users, aber mit Admin-Rechten ausführen.

sollte ich mir mal angucken, hört sich interessant an.

Doch, geht eben schon. :)
Die Gruppenzugehörigkeit wird beim Start der jeweiligen Anwendung überprüft.
Somit hat man wie oben beschrieben einen als eingeschränkten User angemeldeten Benutzer, der lediglich ein Explorerfenster mit Admin-Rechten (aber in seinem User-Kontext) offen hat.
cu, Knilch

aber das ist dann eine Eigenschaft des C'T skriptes, denn es ist kein normales windows verhalten.

Aber ich bleibe dabei, solche Gimmicks (also extra tools die nicht in windows eingebaut sind) braucht man wirklich selten). Vor allem ist das kein Grund nicht mit eingeschränkten Benutzern zu arbeiten, Viele sind einfach zu faul mit den KLEINEN Einschränkungen zu leben. Und die Aussagen des Threadstarters zeigen mal wieder, wie wenig Bock die Leute haben, sich mit dem Sicherheitskonzept von Windows auseinander zu setzen und stattdessen lieber auf MS schimpfen.

gbm31

2006-08-28, 09:29:38

lustig wirds doch erst, wenn die drecksdinger ihre einstellungen in der reg. unter dem admin-zweig machen und nicht füe alle user...

oder noch besser, bei jedem start irgendwas in die reg schreiben möchten...

darf mich fast jeden tag mit messoftware rumschlagen, deren programmierer immer noch nicht mitgekriegt haben, daß größere rechnerverbände in sogenannten "domänen" organisiert sind, in denen user nicht alle rechte haben dürfen... ist ja auch was ganz neues... :rolleyes:

besonders schön auch: sowohl der battery maximiser als auch die access connections meines thinkpads lassen sich scheins nur als admin bedienen.

Gast

2006-08-28, 12:55:20

Microsoft klärt die Programmierer nicht gut genug auf wie man es richtig macht.

Gast

2006-08-28, 13:09:33

Microsoft klärt die Programmierer nicht gut genug auf wie man es richtig macht.
naja, microsoft hat die programmierer jahrelang dabei unterstützt es falsch zu machen ;)

jorge42

2006-08-28, 13:47:19

sorry die beiden letzten gast posts sind schwachsinn. SEIT Windows NT 4.0( Ende 1996, ältere lass ich mal weg) gibt es klare Vorgaben wie Programme entwickelt werden müssen, damit Sie mit eingeschränkten Rechten arbeiten können.

Leider kapieren es die Entwickler immer noch nicht, dass nicht nur 95/98/ME verwendet werden. Aber spätestens seit Windows XP (2001) sollte es der letzte faule Entwickler verstanden haben. Wenn nicht sollte er sich nen neuen Job suchen, denn fähig scheint er nicht zu sein, wenn er immer noch die selben fehler macht.

Was sich MS leider immer noch als Vorwurf gefallen lassen muss, dass die bei der Installation angelegte User immer noch Admins per default sind.

http://upload.wikimedia.org/wikipedia/de/timeline/715643b82c41dad5305fe77ca9cca96b.png

http://de.wikipedia.org/wiki/Microsoft_Windows

zu den Erscheinungsdaten

looking glass

2006-08-28, 15:06:49

Wobei MS ja vor ein paar Monaten selbst ein Entwicklertool rausgebracht hat, mit dem jeder Entwickler selbst nachsehen kann, ob das Verhalten seiner Software dem benutzen eines beschränkten Accounts zuwiderlaufen:

http://www.microsoft.com/downloads/details.aspx?FamilyID=df59b474-c0b7-4422-8c70-b0d9d3d2f575&DisplayLang=en

Jedem kann ja mal nen Fehler passieren beim rpoggen, aber leider sind die unbelehrbaren wirklich zahlreich und ständig selbst handanlegen müssen, mit Sonderrechten etc. ist doch einfach zum kotzen, grad wen es sich um Bezahlsoftware handelt.

HellHorse

2006-08-28, 15:14:41

Bei Micro$~1 arbeiten ja sogar die Entwickler mit vollen Admin Rechten. Soviel zu dem Thema.

jorge42

2006-08-28, 15:18:15

Bei Micro$~1 arbeiten ja sogar die Entwickler mit vollen Admin Rechten. Soviel zu dem Thema.

mag evtl ja sein, aber deren Programme laufen zumindest mit eingeschränkten Rechten :rolleyes:

Aber eigentlich müsste es gar nicht eingeschränkte rechte sondern benutzerrechte und adminrechte heissen damit nicht gleich jeer denkt, benutz ich nicht, da darf ich ja nichts.

Gast

2006-08-28, 19:21:13

Bei Micro$~1 arbeiten ja sogar die Entwickler mit vollen Admin Rechten. Soviel zu dem Thema.
das kannst du auch sicher belegen oder?

looking glass

2006-08-28, 19:49:39

Hat einer der MS Oberen vor ein paar Monaten in einem Interview rausgehauen das bei MS im Entwicklungsbereich sehr, sehr viele mit Adminrechten arbeiten, ist wirklich kein bashing...

Gast

2006-08-28, 19:52:15

SEIT Windows NT 4.0( Ende 1996, ältere lass ich mal weg) gibt es klare Vorgaben wie Programme entwickelt werden müssen, damit Sie mit eingeschränkten Rechten arbeiten können.

Wo kann man sich die Vorgaben denn runterladen?

jorge42

2006-08-28, 20:46:03

Wo kann man sich die Vorgaben denn runterladen?
alles was du suchst findest du im technet oder im msdn (ist bei visual studio dabei) kannst aber auch runterladen. wenn du unter windows programmieren willst ist das die quelle nr.1 .und hör auf hier rumzustänkern, wenn du auch der obere gast bist und deine frage ironisch meinst. jeder nicht-heimprogrammierer sollte wissen was er tut. in HKLM und Programfiles oder systemroot hat kein user was reinzuschreiben, das weiß sogar jeder nicht-progger. wieso kann sich jeder depp in linux dran halten, aber in windows immer gegen ms stänkern?

wenn deine frage ernst gemeint war, kannst du diese konkrete frage ja im programmier forum stellen.

looking glass

2006-08-28, 21:40:02

Mhhh jorge,

ich denke das liegt daran, das die meiste Linuxsoftware quelloffen ist, wen da jemand etwas versiebt, warum auch immer, ist die Behebung des Problems zumindest theoretisch sehr viel einfacher, als bei der meisten Windowssoftware die rumspackt und auf closed source beruht.

Es geht ja auch nicht unbedingt darum, wo man anleitungen findet, sodern, das immer noch Software rauskommt, die sich einfach nicht dran hält und so langsam sollte nach 5 Jahren XP doch wohl langsam der lernresistenteste z.B. spieleprogrammierer begriffen haben, wie es funktioniert (kann mich da an einen post im Spieleforum von heise.de erinnern, wo sich jemand beschwert hat, das einer der neueren NFS die Tastenbelegung in den DirectX Ordner speichern will, wo der Vorgänger es doch schon besser machte).

Grad in dem Bereich gibts einfach zuviel Crapsoftware - ich bin durchaus der Meinung das dieses Verhalten z.B. in Reviews abgestraft gehört mit Punktabzug, damit diese Branche es endlich mal lernt.

HellHorse

2006-08-28, 21:41:40

das kannst du auch sicher belegen oder?
Nein, ich bin ein doofer Gast, der keine Ahnung hat und einfach mal gerne rumtrollt.
http://www.theinquirer.net/default.aspx?article=31909
http://www.zdnet.com.au/news/security/soa/Microsoft_considers_taking_admin_rights_from_employees/0,2000061744,39257228,00.htm

Gast

2006-08-28, 23:06:01

nach belegen fragen ist also trollen? Danke du hast dir grade sämtliche Intelligenz abgesprochen

jorge42

2006-08-29, 07:54:17

Es geht ja auch nicht unbedingt darum, wo man anleitungen findet, sodern, das immer noch Software rauskommt, die sich einfach nicht dran hält und so langsam sollte nach 5 Jahren XP doch wohl langsam der lernresistenteste z.B. spieleprogrammierer begriffen haben, wie es funktioniert (kann mich da an einen post im Spieleforum von heise.de erinnern, wo sich jemand beschwert hat, das einer der neueren NFS die Tastenbelegung in den DirectX Ordner speichern will, wo der Vorgänger es doch schon besser machte).

Grad in dem Bereich gibts einfach zuviel Crapsoftware - ich bin durchaus der Meinung das dieses Verhalten z.B. in Reviews abgestraft gehört mit Punktabzug, damit diese Branche es endlich mal lernt.

AMEN, Bruder, AMEN.

Haarmann

2006-08-29, 09:18:27

Spiele zielen auf XP Home Rechner und dort läuft doch in der Realität wohl jeder als Admin drauf rum. Das Spiel wird also noch ne Weile weiter gehen...

jorge42

2006-08-29, 09:39:57

Spiele zielen auf XP Home Rechner und dort läuft doch in der Realität wohl jeder als Admin drauf rum. Das Spiel wird also noch ne Weile weiter gehen... ja aber es ist doch gar kein problem für die programmierer sich trotzdem an die regeln zu halten! wir reden hier von programmieren, es geht nicht um doktorarbeiten in quantenphysik aber progger sollten berufsbedingt ein mindestmaß an logischem denken vorweisen können. WARUM kapieren die das einfach nicht :confused: es macht KEINE mühe, die programmierung wird wohl kaum teurer werden, wenn ich den speicherort meiner konfigs und spielstände wenn nicht schon im userprofil dann zumindest im gameordner ablege. ich habe mittlerweile das gefühl, die machen das aus protest nicht.

leider ist lexware, ein hersteller von büro anwendungen für kleine und mittelständische unternehmen, genauso blöd und erwartet, dass ein user schreibrechte im systemroot hat.

gbm31

2006-08-29, 09:40:27

bei spielen ists mir herzlich egal. dazu hab ich extra eine maschine abgestellt, von mir aus kann da jeder drauf rumspionieren (offene ports für onlinegaming) oder sie plätten, da ist nix wichtiges drauf und die spielstände sicher ich des öfteren.

wer auf solchen rigs wichtige daten draufhat, ist selber schuld...

aber daß ich auf meinen produktivsystemen und während meiner tätigkeit als administrator eines untersuchungsamtes ständig damit konfrontiert werde, ist mehr als arm.

meist resultiert es sogar daraus, daß die leute alte programme nicht neu schreiben, sondern immer nur fürs nächste betriebssystem "anpassen" (installation ins root-verzeichnis, teilweise maximal 8.3 buchstaben für namen, usw :mad:).

wenn ich bedenke, daß manche "weltfirmen" (ich nenne mal einfach unsere größten, damit sich keiner benachteiligt fühlt: agilent, national instruments, perkin-elmer, hp, hab ich wen vergessen? :P ) unseren labors am liebsten win98-maschinen verkaufen würden... :eek:

Haarmann

2006-08-29, 11:01:54

jorge42

Gerade Progger scheinen sehr immun gegen logisches Denken zu sein. Wobei das vielleicht auch ein Führungsproblem bei den Projekten sein könnte. Und da geht M$ selbst mit leuchtendem Exempel voran, wie man es nicht tun sollt. Wer in Excel dem Druckertreiber sagt, er solle Seite 1 Aus Fach 1 nehmen und den Rest aus Fach 2, der bekommt das gewünschte Ergebnis und wer das Gleiche in Word versucht wird nur noch fluchen.
Selbstverständlich halten sich auch andere Hersteller hierbei nicht an die Fisch oder Vogel Regel...
Für mich ist sowas 10000 mal schlimmer, denn die Notwendigkeit bestimmter Rechte für User. Zur Not kann ich auch etwas nachhelfen mit der NTFS Rechteverwaltung.

Nebenher gibts ev auch Deadlines, die als wichtiger angesehen werden, denn der Rest. Da muss man sich dann wohl auch mal an die Konsumentenseite wenden, die so nen Schrott kauft.

Jetzt gerade zu Deinem Spieleproblem... ich persönlich mag Spiele, die ich bei nem Rechnerwechsel nicht inkl. allen Patches etc neu installieren muss. Regedit -> exportieren und kopieren des Verzeichnisses muss reichen. Eine Profilverwaltung bietet die Mehrzahl der Spiele sowieso, bei denen das relevant ist. Da doppelt gemoppelt sinnlos ist, schreiben die diese Daten irgendwo in ihr Verzeichnis und da brauchens halt nunmal auch Schreibrechte.

Ich kenne auch so kleinere Anwendungen, die einem zu Weissglut bringen können, aber das kriegens keineswegs nur mit den Adminrechten hin...
Wenn man dann aber sieht, dass da wohl Codeleichen von vor der Entdeckung Amerikas mitschwimmen, wird einem auch so einiges klarer. Es gab auch noch im Jahr 2000 neue SW im Win 3.1 Design...
Und die DB, die so manches Program nutzt entstammt oft auch noch der Zeit der Dinosaurier ;).

Fazit: Der Kunde beschwert sich nicht beim SW Hersteller, weil die IT Abteilungen einfach fixen, statt motzen.

jorge42

2006-08-29, 12:42:05

jorge42
Fazit: Der Kunde beschwert sich nicht beim SW Hersteller, weil die IT Abteilungen einfach fixen, statt motzen.

leider motzen die anwender bei mir. glücklicherweise kann ich häufig sagen, test nicht bestanden, sucht euch was neues aus, klappt aber nicht immer

Haarmann

2006-08-29, 14:09:56

jorge42

Das ist der schöne Teil, wenn man in der Mitte sitzt und von Oben und Unten angeschissen wird, weil etwas nicht geht ;).

Gibt aber auch Firmen, die fordern sowas geradezu heraus...

Knilch

2006-08-29, 14:19:46

(späte Antwort :) )

ich kenn das skript der c't nicht, brauchte es bisher aber nicht. Die meisten Programme lassen sich als Admin für den User installieren. Evtl. muss man dann noch ein paar Icons verschieben, also aus dem Admin Profilordner in den All Users Ordner-

sollte ich mir mal angucken, hört sich interessant an.

Ja, ist ehrlich toll, ich war auch skeptisch am Anfang, aber es ist im Alltag schon sehr praktisch.
Un, wie ein anderer Poster schon sagte, bei Einträgen in der Registry wirds dann halt schnell kompliziert, das von Hand zu korrigieren..
Leider weiss ich nich, ob man das Script bei heise.de runterladen kann, aber ich kann Dir mal die Adresse des Soft-Links raussuchen, von wo man das Script runterladen kann.

aber das ist dann eine Eigenschaft des C'T skriptes, denn es ist kein normales windows verhalten.

Also in dem ursprünglichen Artikel schrieb der Autor, dass es schon eine Windows-Eigenschaft ist. Die kommt aber normal nicht zum Tragen, weil man ja keine Möglichkeit hat, ohne An- und Abmelden dir Gruppenzugehörigkeit zu ändern.
Das c't-Script ändert über einen Admin-Account deine Gruppenzugehörigkeit und startet dann z.B. die Shell, und setzt dich sofort in den eingeschränkten Account zurück.
"Mehr" macht das Script gar nicht, muss also wirklich eine Windows-Funktionalität sein. :)

Aber ich bleibe dabei, solche Gimmicks (also extra tools die nicht in windows eingebaut sind) braucht man wirklich selten). Vor allem ist das kein Grund nicht mit eingeschränkten Benutzern zu arbeiten, Viele sind einfach zu faul mit den KLEINEN Einschränkungen zu leben. Und die Aussagen des Threadstarters zeigen mal wieder, wie wenig Bock die Leute haben, sich mit dem Sicherheitskonzept von Windows auseinander zu setzen und stattdessen lieber auf MS schimpfen.
Ja das stimmt schon. Es ist halt ein wenig komfortabler, als über runas oder "ausführen als" einen Admin-Explorer zu starten (was ja auch nicht so wirklich intuitiv ist für einen Standart-Anwender). :) Komfort ist ja nie wirklich "nötig".
Mit dem Sicherheitskonzept hast Du schon Recht, allerdings tut MS auch herzlich wenig, um den 0815-Anwender davon zu überzeugen, nicht mit Admin-Rechten zu arbeiten.. Was schon damit beginnt, das die bei der Installation angelegten Accounts Admins sind, und mehr werden normal ja nicht angelegt.. :)

naja, whatever :biggrin:

cu, Knilch

jorge42

2006-08-29, 14:35:37

(späte Antwort :) )

Mit dem Sicherheitskonzept hast Du schon Recht, allerdings tut MS auch herzlich wenig, um den 0815-Anwender davon zu überzeugen, nicht mit Admin-Rechten zu arbeiten.. Was schon damit beginnt, das die bei der Installation angelegten Accounts Admins sind, und mehr werden normal ja nicht angelegt.. :)

naja, whatever :biggrin:

cu, Knilch

das bemängel ich ja bei ms auch immer wieder. wie du evtl. an alten posts von mir erkennen kannst, bin ich hier immer wieder als prediger der eingeschränkten rechte unterwegs. aber selbst hier im forum, wo computertechnisch weit über dem normalen windows user interessierte leute unterwegs sind, ist das interesse an der nutzung von windows mit eingeschränkten rechten kaum vorhanden. gab sogar mal ein poll zu dieser frage, das ergebnis war echt ernüchternd.

ich argumentiere immer, dass es mit linux auxch geht und dort auch nicht angezweifelt wird, auf der anderen seite sind auch kaum DAUs mit linux unterwegs.

aber das geheule ist doch wieder groß wenn ms das ändert. in vista wird der user bei änderungen nach dem admin passwort gefragt. schon "fühlen" sich die ersten belästigt und fordern ms auf das abzustellen. Endlich erkennt windows selbstständig einigermaßen zuverlässig wann admin rechte erforderlich sind und erbittet diese, aber das ist auch wieder scheisse. also gehen die leute wieder mit adminrechten rein. und das höchste der gefühle, ist DANN den IE (und nur den) auf userrechte runterzuschrauben. das ist doch verkehrte welt.

Haarmann

2006-08-29, 16:19:13

jorge42

Zum Glück kann man diese nutzlose PW Abfrage auch bei Vista wieder deaktivieren... Melde ich mich etwa aus Spass als Administrator an mit nem 30-stelligen PW um die Scheisse im Laufe des Tages 100-mal einzutippen?

Es gibt nunmal auch Leute, die keinen Bedarf haben an verminderten Rechten. Da könnt ihr predigen bis ihr schwarz werdet. Daran ändert ihr nichts.

Wenn ich jeweils Viren/Würmer entsorgen darf, dann ist deren erstes Opfer doch eh der Virenwächter gewesen, der durch Richtlinien abgeschossen wird. Da diese sich über Systemfehler einschleichen hilft es auch nie, dass diese Leute gar nicht erst als Admins unterwegs waren. Und M$ kann stundenlang predigen, ihr neues Windows wird weniger Fehler haben - ich glaubs ihnen nicht.

jorge42

2006-08-29, 16:26:18

Wenn ich jeweils Viren/Würmer entsorgen darf, dann ist deren erstes Opfer doch eh der Virenwächter gewesen, der durch Richtlinien abgeschossen wird. Da diese sich über Systemfehler einschleichen hilft es auch nie, dass diese Leute gar nicht erst als Admins unterwegs waren.

sorry aber diese aussage ist falsch, fast alle würmer/trojaner/viren schleichen sich nicht ein über systemfehler ein, sondern werden vom user installiert und infzieren das system, weil die leute als admins unterwegs sind. die paar, die sich einfach so ohne zutun des benutzers einnisten (ja davon gabs echt ein paar hartnäckige) konnten durch patchen und PFW aber im vorraus abgehalten werden.

und was weinst du mit richtlinien? über richtlinien wird nichts abgeschossen, ich glaube du bekommst dort ein paar begriffe durcheinander.

Haarmann

2006-08-29, 17:32:16

jorge42

Ich sprach auch nur von den Würmern/Viren, die ich entsorgen muss... und das schliesst gewisse Typen von Würmern/Viren von vornherein aus. Alleine ein etwas "böse" konfigurierter SPAM-Filter killt doch die Mehrzahl davon schon.

Es gab schon öfters Vieher, die vor den Patches kamen...
Die Rechner hingen nebenher nicht "direkt" am Netz oder hatten gegen das Netz Ports offen.

Also ich hätte jetzt den guten alten "gpedit.msc" als Gruppenrichtlinien Editor übersetzt. Dessen wundervolle Vielfalt mein ich nun jedenfalls. Damit kann man schon ganz witzige Sachen anstellen ... alleine schon wie schön man sich selber aussperren kann ist doch ne wahre Freude.

Rooter

2006-08-29, 19:50:02

Wenn ich das richtig verstanden habe läuft das bei Vista andersrum : Weil eh jeder Admin ist und viele Progger wie oben schon gesagt wurde dafür sorgen das es auch nicht ohne geht soll AFAIK unter Vista der Admin-Account beschnitten werden. Z.B. habe ich gelesen das man auch als "Administrator" keinen Zugriff aufs Win-Verzeichniss hat. :O :|
Kann jemand dazu Genaueres sagen ?

MfG
Rooter

jorge42

2006-08-29, 20:09:52

so stimmt das auch nicht ganz. microsoft gibt den kampf gegen die admins nicht auf:biggrin: ich habe mit vista nicht wirklich viel gearbeitet, war mehr ein rumprobieren. da ich auch unter vista als benutzer gearbeiet habe ist mir aufgefallen, dass vista automatisch nach dem administrator passwort fragtm wenn ich wirklich adminrechte brauche. ich habe es genauso empfunden wie unter kde oder gnome bei aktuellen linux distris, da merkt das UI auch wenn ich die rootrechte benötige. kenn ich das passwort, dann kann ich weitermachen ansonsten nicht.

das funzt unter vista schon ganz gut, man erspart sich das häufige runas oder ausführen als aus dem kontext menü, man bekommt eben nicht mehr die dauernden xp meldungen, "sie verfügen nicht über die ausreichenden recht um..."

was ich selbst nicht ausprobiert habe ist die funktion unter vista, wichtige systembereich zu "spiegeln". sollte es mal software wirklich besondere rechte benötigen, wie z.B. schreibrechte unter systemroot, so wird dieser bereich einfach gespiegelt. die software "denkt" sie schreibe in systemroot aber das ist eben nicht wahr. ein grund weniger auf den admin zu switchen, weil vista selbst vor hartnäckiger software nicht kapitulieren muss. das ganze geht sogar soweit, dass diese methode auf die bereiche der registry angewendet wird, auf die ein user eigentlich gar nicht schreiben darf.

so kann software eben in ihr EIGENES HKLM schreiben ohne das system zu gefährden.

Also anstatt den Admin zu beschneiden gaukelt vista störrischer software einfach falsche tatsachen vor bzw. mehr rechte als der benutzer eigentlich hat.

Inwiefern der Admin doch beschnitten wird, kann ich nicht sagen. Solche Dinge wie nur zertifizierte/signierte Treiber und solche gimmicks reichen aber, oder sogar die Einschränkung von HD Medienwiedergabe nur unter 64 Bit stinken mir aber jetzt schon.

EDIT: Microsoft kehrt aber scheinbar nicht davon ab, neu angelegte User als Admins einzurichten. Dies sind dann zwar keine VOLLAdmins, eher HalbAdmins aber leider immer noch inkonsequent. Hier mal ein Heise-Artikel (http://www.heise.de/security/artikel/76372). Dort ist wieder ein englischsprachiger Artikel verlinkt (den ich mir morgen mal reinziehen werde, da steht wohl alles drin). Zudem läuft der IE mit weniger als Benutzerrechten und darf somit nur temp dateien schreiben, wenn der user ihn nicht berechtigt.

The Cell

2006-08-29, 20:23:54

Es gab schon öfters Vieher, die vor den Patches kamen...
Die Rechner hingen nebenher nicht "direkt" am Netz oder hatten gegen das Netz Ports offen.

Los, Hosen runter!
Welcher Wurm kam als Zero-Day? Ich will Namen!

Das Sicherheitskonzept von Vista ist leider in vielen Belangen total durch den Wind.
Es krankt zudem an einer sehr wichtigen Stelle: So lange man dem User Entscheidungsmöglichkeiten gibt, so lange wird er versuchen, den Weg des geringsten Widerstandes, sprich minimal effort zu gehen.
Wenn ich wegen einer right elevation erst enige Fenster schließen muss, dann wird der normale Enddau ebendies direkt deaktivieren, sich Superuser verpassen und das Unsicherheitsspiel beginnt von neuem.
Sicherheit wird nur dann akzeptiert, wenn sie für den User transparent, sprich nicht sichtbar ist. Und hier genau haut MS ziemlich daneben.

QFT

jorge42

2006-08-29, 20:31:25

The Cell

2006-08-29, 20:37:18

ja das problem sehe ich auch kommen. wenn was nervt, wird es abgestellt. und wenn es bedeutet ich arbeite als admin weiter, dann ist es eben so ;D

tja unter linux gibt es eben nur einen einzigen und wahren ROOT, das wars.:wink:

Dafür habe ich Default unter Linux nur kernel, root und Arschloch. Sonderlich geil fand ich das noch nie... ;)

jorge42

2006-08-29, 20:41:08

Dafür habe ich Default unter Linux nur kernel, root und Arschloch. Sonderlich geil fand ich das noch nie... ;)

deshalb ist mein beliebtester Befehl SU - :smile: auch ne Möglichkeit sich Gehör zu verschaffen.

Haarmann

2006-08-29, 22:20:10

Quantenfeldtheorie

Meinste ich merke mir diese kryptischen Bezeichnungen, die jeder Hersteller gleich neu vergibt (und das zudem später) und anders?
Ich glaub das ist das Unwichtigste zu der Zeit... ich kann mir versuchen das nächste Untier zu merken.

Das Einzige, was mir grad ganz sicher im Kopf herumgeistert ist etwas älter - der Bock im 445er Port - der wurde schon Monate vorher genutzt. Ich weiss nur nicht, wieso das unterm Tisch blieb.

Es krankt schon beim OS... es hat Löcher...
Sinnlos viele Löcher...

Gast

2006-08-29, 22:30:22

Ich bin so frei und korrigiere dich, Haarmann:

Es gab bisher keinen einzigen Wurm, der auf einem Zero-Day basierte.
Ein Blick ins MS Technet und auf Securityfocus bestätigen das.

Der Punkt, auf den es hier wirklich ankommt: Stets war der User in der MS Welt daran Schuld, wenn es zu Katastrophen kam.
SQL Slammer, Sasser, Blaster etc.
Alle Patches waren da, keiner spielte sie ein.

Man löst Sicherheitsprobleme wohl doch am besten, indem man den User erschießt.

Gruß,
QFT

Haarmann

2006-08-29, 22:48:35

Und ich bin so frei und frage Dich...

Wie hiess der Patch im IP Stack schon wieder, wecher wieder nen Angriff ala Teardrop oder sowas aus der Nostalgiekiste wieder öffnete?

Was genutzt wird weiss ich nicht und ich wette, dass zig Sachen genutzt werden und nicht publiziert werden...

Gast

2006-08-29, 23:04:42

Und ich bin so frei und frage Dich...

Wie hiess der Patch im IP Stack schon wieder, wecher wieder nen Angriff ala Teardrop oder sowas aus der Nostalgiekiste wieder öffnete?

Ich denke, du fragtest nach http://www.securityfocus.com/archive/1/392354

Auch hier wieder: Endanwendereingriff nötig.

Gruß,
QFT

Haarmann

2006-08-29, 23:25:25

QFT

Findest es nicht seltsam, wenn man nen alten und bekannten Bock schon wieder schiesst?

Also als ichs gelesen hab musst ich wirklich lachen.

Nebenher weiss ich nicht ob die FW, wenn die Ports offen sind natürlich, den blockte... ich sag mal nein.

Wer sowas offen braucht - das kanns ja geben - dem fällt die Wahl zwischen Scheisse und Scheisse echt schwer.

Der_Donnervogel

2006-08-29, 23:44:26

ja das problem sehe ich auch kommen. wenn was nervt, wird es abgestellt. und wenn es bedeutet ich arbeite als admin weiter, dann ist es eben so ;DExakt das hab ich vor und das obwohl ich genau weiß, wozu das ganze Sicherheitsbrimborium gut ist. Allerdings ist mir bei meinen privaten Rechnern Komfort wichtiger als Sicherheit. Ich bin mir aber im Gegensatz zu Otto-Normaluser der Risiken bewußt die daraus entstehen. Deswegen habe ich durch überlegten Umgang mit den Rechner (also Updates einspielen, alternativem Browser und überlegen was für .exe man runterlädt und startet) in den letzten 10 Jahren nur ein einziges Mal mit einer Virusinfektion zu kämpfen gehabt. Die ich aber schnell wieder beseitigen konnte.

Dabei verletzte ich so ziemlich jede Sicherheitsregel die es gibt. Ich habe kein Paßwort um mich einzuloggen (damit ich nichts eintippen muß, wenn der Computer neu startet), meine Rechner laufen als Admin und übers LAN hab ich bei den meisten Rechnern die kompletten Partitionen freigegeben um jederzeit bequem von jedem Rechner aus auf jede andere Platte zugreifen zu können. Daß ich keine Paßworte für die Freigaben habe und vollen Lese- und Schreibzugriff erlaube versteht sich von selber.

Rooter

2006-08-30, 02:02:52

Der Punkt, auf den es hier wirklich ankommt: Stets war der User in der MS Welt daran Schuld, wenn es zu Katastrophen kam.
SQL Slammer, Sasser, Blaster etc.
Alle Patches waren da, keiner spielte sie ein.Naja, immer ja nun nicht, was ist z.B. mit der WMF-Lücke (http://www.heise.de/security/news/meldung/67794) vom Anfang des Jahres ?

MfG
Rooter

Seraf

2006-08-30, 08:45:30

Naja, immer ja nun nicht, was ist z.B. mit der WMF-Lücke (http://www.heise.de/security/news/meldung/67794) vom Anfang des Jahres ?

MfG
Rooter

Unter Linux gab's auch ne PNG Lücke in irgendeiner lib. In vielen Programmen gab und gibt es auch ab und nutzbare Lücken wenn man präparierte Dateien öffnet (Adobe Reader, MS Office, Java VM, Firefox usw usw).

Die WMF Lücke war böse weil man sich glaub ich bereits infiziert hat wenn man mit dem Explorer einen Ordner mit infizierten wmf Dateien geöffnet hat.

The Cell

2006-08-30, 09:18:02

Naja, immer ja nun nicht, was ist z.B. mit der WMF-Lücke (http://www.heise.de/security/news/meldung/67794) vom Anfang des Jahres ?

MfG
Rooter

Das war dumm gelaufen für MS, aber eben kein Wurm.
Auch hier die Benutzerinteraktion nötig. Ich muss einen Webbrowser benutzen, von dem mir selbst der Nachbarsjunge erzählt, er ist unsicher. Diesen als lokal Admin, ansonsten ging da wenig, und dann auch noch auf Fickelseiten. :)

Knilch

2006-08-30, 15:00:55

Zum Glück kann man diese nutzlose PW Abfrage auch bei Vista wieder deaktivieren... Melde ich mich etwa aus Spass als Administrator an mit nem 30-stelligen PW um die Scheisse im Laufe des Tages 100-mal einzutippen?

Also korrigiert mich, wenn ich falsch liege.. Aber wenn ich mich unter Vista als Admin einlogge, kommt keine Passwort-Abfrage bei irgendwelchen Eingriffen. Statt dessen kommt ein Fenster, in dem die Aktion beschrieben ist, und man muss noch "ok" klicken.
(Gut, kann mir vorstellen dass das auf Dauer auch nervt, wenn es zu oft kommt).
Passwort eingeben muss man als eingeschränkter User, wenn man irgendwelche Eingriffe ins System machen muss/will.

Da diese sich über Systemfehler einschleichen hilft es auch nie, dass diese Leute gar nicht erst als Admins unterwegs waren. Und M$ kann stundenlang predigen, ihr neues Windows wird weniger Fehler haben - ich glaubs ihnen nicht.
Das is doch Schmarnn, da könntest Du auch sagen, Du brauchst Deine Haustür oder Dein Auto nicht zusperren, da das ja eh nie hilft, weil man die Schlösser auch knacken kann usw..
Fakt ist doch, dass es zumindest eine sehr große Hürde für jeden Schadcode ist, wenn er nur mit eingeschränkten Rechten arbeiten kann.

Was mich aber interessieren würde:
Das System von Vista, dass man das Admin-Passwort vor Systemeingriffen angeben muss, ist ja recht gut, und ersetzt das Verwenden von runas oder z.B. auch dem erwähnten c't-Script...
Aber reisst das nicht eine neue Sicherheitslücke, in der eine Schadsoftware nur bis zum nächsten Erscheinen einer solchen Hinweis-Box warten muss und dann das Passwort mitliest?
Oder ist dieses Eingabefenster durch irgendwelche Mittel geschützt, so dass das Passwort nicht/schwieriger ausgelesen werden kann?

cu, Knilch

jorge42

2006-08-30, 15:36:22

Was mich aber interessieren würde:
Das System von Vista, dass man das Admin-Passwort vor Systemeingriffen angeben muss, ist ja recht gut, und ersetzt das Verwenden von runas oder z.B. auch dem erwähnten c't-Script...
Aber reisst das nicht eine neue Sicherheitslücke, in der eine Schadsoftware nur bis zum nächsten Erscheinen einer solchen Hinweis-Box warten muss und dann das Passwort mitliest?
Oder ist dieses Eingabefenster durch irgendwelche Mittel geschützt, so dass das Passwort nicht/schwieriger ausgelesen werden kann?
cu, Knilch

wenn du einen keylogger installiert bekommen hast, dann ist es eh zu spät. dann hatte die software schon adminrechte und muss das passwort nicht mehr auslesen. Da müsstest du anfangen die tastatureingaben zu verschlüsseln (am besten mit 1024 Bit:biggrin:). ich denke nicht, dass da weitere sicherheitsmechanismen eingebaut werden.

Haarmann

2006-08-30, 17:27:52

Knilch

Ich schränk mich gar nicht ein... das ist mir lieber. Das ist keine Lösung für Jeden, aber wer mit den Risiken leben kann, den wird das nicht wirklich belasten.
Diese Abfragen sind so sinnlos wie das Generve, wenn man was in den Papierkorb wirft. Da man dies eh rückgängig machen kann, das ist der Sinn des Papierkorbs, brauchts die Abfrage definitiv nicht.

Man kann sein Mailtool auch so wählen, dass die Mehrzahl der Schädlingsarten schlicht nicht funktioniert...
Man muss auch nicht wirklich zwingend mit dem IE surfen wollen...

Quantenfeldtheorie

Ich sprach auch nicht von Würmern alleine soweit ich mich entsinne. Falls die in einem Text aus Versehen alleine stand, isses mein Fehler. Ich glaubs aber nicht.
Ich hätte ev noch besser den Begriff Schädlinge genutzt, wobei dann wohl auch Onkel Norton mit drin wär.

CannedCaptain

2006-08-30, 17:39:31

Hey Jungs, ich will nur einmal trollen, einmal bidde bidde bidde:

Mensch ist das ein Dreck mit dem Rechtemanagement unter Windows, wo doch NTFS mit ACLs und Quotas doch den restlichen Filesystems um Jahre vorraus ist, so sagen es zumindest immer die Windowsgurus.

Ich weiß nicht, wie es bei Vista aussieht, aber es ist schon bemerkenswert wie inkonsistent es von der Mehrheit der Programmierer gehalten wird. Was hilft es denn, wenn das OS sonstwas für Sicherheitsfeatures mitbringt, wenn es keine Software gibt, die diese nutzt?

jorge42

2006-08-30, 18:44:32

toller troll: es gibt welten, ausserhalb des kleinen troll-kinderzimmers. ich mache täglich gebrauch von den sicherheits features von windows, weil ich für einen teil der IT in meiner firma zuständig bin :P

also immer ein wenig weiterdenken als bis zum bescheidenen eigenen horizont :biggrin:

Rooter

2006-08-30, 20:01:42

@ QFT :
Ja okay, ein Wurm ist das nicht. Aber das mit dem Nachbarsjungen stimmt nur teilweise, mit anderen Browsern hat das auch funktioniert, bei denen aber wiederum nur mit Userunterstützung :
WMF-Exploit tarnt sich als Google-Grußkarte (http://www.heise.de/security/news/meldung/67814)

@ jorge42 :
Ich glaube der "Troll" meint das so das die Programmier von Software für Windows sich viel zu oft NICHT an die Sicherheitsfeatures halten, damit meine ich vor allem das Arbeiten mit eingeschränkten Rechten.
Hier noch ein sehr lesenswerter Beitrag zu dem Thema :
http://wiki.ubuntuusers.de/Sicherheitskonzepte

MfG
Rooter

Knilch

2006-08-30, 20:52:56

wenn du einen keylogger installiert bekommen hast, dann ist es eh zu spät. dann hatte die software schon adminrechte und muss das passwort nicht mehr auslesen. Da müsstest du anfangen die tastatureingaben zu verschlüsseln (am besten mit 1024 Bit:biggrin:). ich denke nicht, dass da weitere sicherheitsmechanismen eingebaut werden.
Naja nicht unbedingt, bei Vista könnte es ja ein Keylogger sein, der in Deinem Userkontext läuft, mit eingeschränkten Rechten? Oder bräuchte er zwingend Adminrechte?

Und da über die erwähnte Funktion von Vista ständig eine Abfrage des Admin-Passworts kommt (oder zumindest häufig), muss der Keylogger ja nur drauf warten, bis diese Box kommt und dann das Passwort mitloggen.

Das war mein Gedankengang. Und daher die Frage, ob das irgendwie verhindert wird? (evtl. indem die Abfragebox mit Adminrechten läuft oder so?)

cu, Knilch

Haarmann

2006-08-30, 21:11:15

jorge42

Es kommt mir vor, wie wenn mir M$ ne Rolle Pflaster und nen Salatsieb hinstellt, wenn ich ne Schüssel will ;).

jorge42

2006-08-30, 22:06:29

ich denke weiterhin, dass ms eine gratwanderung versucht. auf der einen seite wird denen vorgeworfen ihr os sei generell unsicher, auf der anderen seite will der user nicht mit so nem quatsch wie sicherheit belästigt werden und bloß keine unbequemen benutzerumeldungen haben. dann sind wieder die programmierer die sich nicht an die alten aber hinlänglich bekannten richtlinien zur verwendung mit eingeschränkten richtlinien halten.

also was soll ms nun konkret machen damit es allen gefällt? Das Problem Windows kommt aus nem Heimumfeld, linux kommt aus einem professionellen bereich. nun treffen beide sich in der mitte, windows versucht sicherer zu werden und vergrätzt die user. die leute die linux verwenden gehen einfach an die sache anders ran aber auch die programmierer unter linux beachten die simpelsten regeln.

es ist ein beschissenen problem und wenn ich ms wäre würd ich wieder ein dau system al la 95 anbieten für den heimbereich am besten ohne userverwaltung und ein separates sicheres für den professionellen bereich:biggrin:

Haarmann

2006-08-31, 00:24:43

jorge42

Vielleicht sind gewisse Programme auch für normale Nutzer nicht zu gebrauchen und fordern daher von Anfang an diese Rechte. Mag für Administratoren, welche als Nutzer arbeiten, eher nervend sein, aber das ist ja für diese angeblich nicht so schlimm...

Auch sehen paar Leute wohl wenig Sicherheit bei diesem Emmentaler Käse erreichbar und wünschten sich lieber mal dort Sicherheit durch M$ bei den Wurzeln des Übels.

Linux "Anwendungen" und Benutzerfreundlich - das ist dann auch nicht wirklich immer gegeben. Alleine die Existenz von vi spricht imho Bände. Es interessiert die User alle Sicherheit nicht, wenns unbrauchbar ist als Werkzeug. Hier gibts dann die Kompromisse.

M$ könnte es ja mal mit nem OS ohne Böcke versuchen...

jorge42

2006-08-31, 09:36:33

M$ könnte es ja mal mit nem OS ohne Böcke versuchen...

sorry aber du hast meine frage nicht beantwortet. Wie soll es microsoft denn deiner Meinung nach konkret anders machen? Und versuch mal nicht mit Sprüchen á la "Böcke" zu kommen. Du kommst immer mit Polemik und sagst eigentlich nichts konkretes aus "Emmentaler Käse" ist keine fachliche Auseinandersetzung mit dem Thema Sicherheit.

Wie schon hier im thread festgestellt wurde (nicht nur von mir) ist die größte Sicherheitslücke von windows der User (der dann noch als Admin unterwegs ist, und dadurch das GESAMTE System gefährdet). Ich wiederhole wieder die Aussage Anderer, es gab wenige Schädlinge die sich allein ohne zutun des User verbreitet haben und die meisten (heisst: nicht alle) Lücken wurden vorher schon lange gepathct, aber das Update-Unwillen der Benutzer (MS ist ja so böse und könnte meinen rechner ausspionieren) trägt weiter dazu bei.

Über die Benutzbarkeit von Tools unter Linux brauchen wir nicht zu diskutieren. Es gibt Menschen die sind froh, dass es solche Tools gibt. Wenn es auch nicht "normale" User sind.

Haarmann

2006-08-31, 11:53:33

jorge42

Microsoft sollte beim Fundament beginnen und nicht bei der Schadensbegrenzung. Ich erwarte diesen Schritt aber seitens M$ nicht wirklich. Dazu schieben die das zu lange vor sich hin. Nur steht und fällt imho alles mit dem Fundament. M$ könnte schon mal damit beginnen ehrlich zu sein und statt von Sicherheit einfach von Schadensbegrenzung sprechen. Ein Schaden entsteht ja zweifelsfrei auch wenn ein Schädling mit Benutzerrechten marodiert.

Das Wertvollste auf meinem System ist keineswegs das Betriebsystem und dessen Installation, sondern die von mir damit erzeugten und genutzten Daten. Da ich auf diese ja auch zugreiffen kann als Benutzer, sind die im Falle eines Befalles auch nicht geschützt.
Das System ist bei mir zudem so angelegt, dass OS und Programme innert 5 Minuten wieder da sind im Ernstfall. Das ist also mein Risiko, welches ich ehrlicherweise vertreten kann, denn die Daten riskiere ich ja als Benutzer genauso wie als Admin.
Selbst die 5 Minuten könnt ich mir durch den Einsatz einer sogenannten "Reborn" Festplatte auch noch ersparen. Erspart einem noch einige andere Probleme nebenher.

Ich verstehe den Updateunwillen der User durchaus. M$ hat schon zu oft mit Updates grossen Mist gebaut. Der User mag vielleicht nicht immer für M$ das Versuchkarnickel spielen... in produktiven Umgebungen ist es ja auch nicht der Hit bei jedem Patch als erstes dessen Kompatibilität zu allen Anwendungen testen zu müssen. Viele User empfinden dies als M$' Pflicht... das schliesst mich mit ein.
never touch a running machine heissts doch auch oft genug.

jorge42

2006-08-31, 12:09:49

du drehst dich im kreis und beantwortest meine frage nicht. Was ist denn - um bei deinen Worten zu bleiben - das Fundament? Ich will dich nicht anmachen, aber so wie du argumentieren Viele ohne wirklich Argumente zu haben. Das einzige Argument, was du (ihr) hast(habt) ist die nicht beweisbare Aussage: "Windows ist per se unsicher". Betonung auf "per se". Unsicherheiten gibt es in jedem OS auch in OsX oder Linux, schwachstellen werden immer wieder gefunden. Mehr als Stammtischparolen hat keiner drauf.

Ich bin wahrlich kein security Spezialist, aber Sicherheit wird heutzutage weniger auf OS Ebene Betrieben sondern schon viel früher, nämlich auf Netzwerkebene. Jetzt könnte man wieder argumentieren:"Wenn Windows sicher wäre bräuchte man das nicht". Aber Netzwerksicherheit wird überall betrieben, auch bei Windows-fremden Umgebungen.

Ich finde die Unterstellung die MS IMMER entgegenweht:"Die haben eh keine Ahnung was sie tun" anmaßend. Schließlich sind sie (ohne perfekt zu sein) Marktführer im Client Bereich und das mit weit über 90% und im Serverbereich schlagen Sie sich auch nicht sooo schlecht.

Haarmann

2006-08-31, 14:55:25

denn ich dachte das mit dem Fundament sei klar.

Vereinfacht kann man mal sagen, das Fundament ist alles mit Systemrechten. Wenn da auch nur ein einziges Loch drin ist, ist der Rest schlicht tot. Das betrifft natürlich nicht nur Windows. Das betrifft eigentlich alle zZ bekannteren OS für nen PC, wie auch Du erwähnt hast. M$ hat in dem Punkt aber einen ganz gewaltig schlechten Ruf und dies nicht ganz grundlos.
Über die Ursachen dieser Fehler/Löcher wird wohl jeder seine eigene Meinung haben. Das passte aber auch nicht wirklich zum Thema.

Ich sehe daher bei M$ in erster Linie schon keine Vertrauensbasis auf ihr Fundament gegeben. Und solange diesem Fundament kein Vertrauen entgegengebracht wird, kann M$ tun und lassen was sie wollen - es wird nichts ändern.

Wenn Betriebsysteme sauber gemacht wären, dann brauchte man das tatsächlich nicht. Sicherlich hat Windows die meissten Löcher gehabt und hat die wohl auch noch, aber das heisst nicht, dass der Rest keine hätte. Eines reicht bekanntlich...

Wenn ich nun die Probleme betrachte, die ich selber kenne, dann sehe ich, dass für diese Fälle, das betrifft also nicht die Allgemeinheit, es absolut sinnlos ist mit "Rechten"/"Berechtigungen" zu hantieren. Diese Zeit investierte ich lieber in andere Sachen, wo sie fruchtbareren Boden trafen.