Knobelaufgabe: Berechtigungen unter XP

[nzc]

Hi Leute, ich habe eine kleine Knobelaufgabe für euch, bei der es um Dateiberechtigungen (Stichwort: Reiter "Sicherheit") geht.

Voraussetzungen:

- XP Pro oder XP home*

- Der Reiter Sicherheit im Eigenschaftendialog muss verfügbar sein.

(*In XP home ist dieser standardmäßig nur im abgesicherten Modus sichtbar. Am besten installiert man sich die FaJo XP File Security Extension, die diesen Reiter auch im Normalbetrieb sichtbar macht. Benutze ich seit mehr als 4 Jahren ohne Probleme)

- Auf dem Rechner sollte ein Account mit Adminrechten und mindestens ein weiterer (oder mehrere) mit eingeschränkten Benutzerrechten existieren.


Vorbereitungen:

Als Benutzer mit eingeschränkten Rechten erstellt ihr euch eine simple Batchdatei direkt auf dem Desktop. Schreibt dort am besten den Befehl "Pause" rein - das ist kurz und knapp, aber lauffähig.


Aufgabe

Ziel ist es mit Hilfe des Adminaccounts die Dateiberechtigungen der Batchdatei so einzurichten, dass der eingeschränkte Benutzer * die Datei lesen (z.B. in Notepad betrachten) und ausführen kann. Er darf die Datei aber weder verändern (z.B. Änderungen in Notepad abspeichern) oder vom Desktop löschen können.

----
EDIT: Aus dem obigen Absatz habe ich gerade den zuvor beim Sternchen (*) enthaltenen Teil

und auch alle anderen ev. vorhandenen oder später hinzugefügten Mitglieder der Gruppe "Benutzer"

gelöscht, da er die Aufgabe wohl unlösbar gemacht hätte. Sorry, war wohl doch gestern etwas spät...
-----


Regeln und Einschränkungen:
Die Datei selbst muss auf dem Desktop verbleiben, darf also nicht woanders hinkopiert und dann verlinkt werden o.ä.

Um es noch etwas schwieriger zu machen:
Die Dateiberechtigungen des Ordners "Desktop" und alle darüberliegenden Ordner dürfen nicht verändert werden.

EDIT: Aus Gründen der Chancengleichheit zwischen Home und Pro Usern, dürfen Gruppenrichtlinien nicht benutzt werden. (Änderung in Home nicht über GUI möglich)

Die Benutzung des Internets als Wissenquelle ist erlaubt, jedoch nicht das Posten dieser Aufgabe in einem anderen Forum, um anschließend die erhaltene Antwort hier hinein zu pasten.

Wichtig: Die gepostete Lösung sollte in der Praxis auch funktionieren, also bitte vorher ausprobieren. Keine theoretischen Lösungen (auch wenn man sich noch so sicher ist)!



Wenn einer bei dieser Aufgabe irgendwo partout nicht weiterkommen sollte, ruhig Bescheid posten, ich verteil dann so nach und nach 1 bis 3 Hinweise. (Glaube aber nicht, dass das nötig sein wird)

Wer diese Aufgabe gemeistert hat und die Lösung als erster hier reinpostet darf sich den Titel XP-Sicherheits-Reiter des Jahres 2009 in seine Signatur einfügen ( ist doch klasse, oder? ) ...

... und sich danach an die Beantwortung folgender Zusatzfrage machen:

Wie schafft man es, dass der Benutzer mit eingeschränkten Rechten die Datei zwar ausführen, aber sich nicht dessen Inhalt in einem geeigneten Programm (wie z.B. Notepad) ansehen kann?

Auf diese Frage gibt es tatsächlich eine Antwort!


Viel Spaß beim Tüfteln!

 

[gelöscht]

Das was hier im allgemeinen zum tragen kommt sind die effektiven Berechtigungen. Für einen "Ottonormalverbraucher" mag diese Aufgabe vielleicht ein Knobelspielchen sein, für andere "Experten" ist das keine anspruchsvolle Aufgabe.

Möchte nicht als Klugscheisser da stehen, wollte aber mal meinen Kommentar dazu abgeben

Grüße

Zephyros

 

[nzc]

Hi Zephyros!
Täusch dich bei der Sache nicht. So ganz trivial, wie man es sich in der Theorie vorstellt ist die Sache nicht, besonders nicht bei den Bedingungen die ich vorgegeben habe.
Es gibt einen Punkt, an dem ein Experte vielleicht vor lauter Fachwissen ev. doch ins taumeln gerät, weil er auf die an sich doch einfache Lösung an dieser Stelle nicht kommt.

Einsteiger werden in der Praxis tatsächlich am meisten mit dem Reiter Sicherheit zu kämpfen haben und eine vielleicht nicht ganz saubere Lösung hinkriegen. Dafür werden sie aber wahrscheinlich bei dem besagten Punkt sofort auf das richtige kommen.
Mit ein Grund, warum ich die Aufgabe an alle gerichtet und nicht Experten ausgeschlossen habe.

Außerdem gibt es für letztere ja auch noch die Zusatzfrage

Hast du die Aufgabe in der Praxis gelöst? Probiers sonst einfach mal aus, dann wirst du sehen, was ich meine.

 

[nzc]

WICHTIG: Ich habe gerade aus der Aufgabenstellung ein Teilstück entfernt, das die Aufgabe unlösbar gemacht hätte. Siehe EDIT!

 

[gelöscht]

Wenn ich dem Benutzer explizit in den effektiven Berechtigungen das Lesen erlaube und das Ändern verweigere, kann ich die Aufgabe ganz einfach lösen. Desweiteren kann ich Ihm die Rechte "verschieben" & "kopieren" entziehen.

Wobei man hierbei immer beachten sollte, dass das Recht "Verweigern" nur im äußersten gesetzt werden sollte, denn Verweigern geht über alles und es kann schnell zu unerwünschten Effekten führen.

Deshalb sollte die Aufgabe mit sehr viel Obacht "gemeistert" werden. Nicht das einer noch seinen administrativen Account auf verweigert stellt

Alles in allem kann ich die Aufgabe auch schneller lösen indem ich den Benutzern eine Gruppenrichtlinie drüber Bügel

Grüße

Zephyros

 

[Lesco]

Also ich würde cygwin installieren und dann einfach in einer Shell das ausführen:

chmod 750 datei.txt
chgrp Benutzer datei.txt

Dann klappt's auch mit deinem entfernten Zusatz.
*scnr*

 

[nzc]

Also ich würde cygwin installieren und dann einfach in einer Shell das ausführen:

chmod 750 datei.txt  
chgrp Benutzer datei.txt

Dann klappt's auch mit deinem entfernten Zusatz. *scnr*

Ich kenne mich mit Cygwin nicht aus und kann daher nicht sagen, wie sich diese Befehle tatsächlich auf die ACLs auswirken. Zudem sollte die Aufgabe schon mit Windows-Bordmitteln gelöst werden. Wenn du die Konsole nutzen willst, schlage ich "cacls" vor

Der Grund, warum ich den Zusatz entfernt habe ist der, dass unter Windows die Mitglieder der Gruppe Benutzer untereinander ihre eigenen Benutzerverzeichnisse nicht einsehen können und damit die vom in der Aufgabe erwähnten Benutzer auf dem Desktop erstellte Datei nie zu Gesicht bekommen würden.
Es sei denn man ändert die Rechte des Benutzerordners, was aber weder in der Aufgabe erlaubt ist noch besonders ratsam wäre. Soweit ich das einschätzen kann, ändern deine Befehle an dieser Tatsache nichts.

@Zephyros:
Aus Gründen der Chancengleichheit sollten Gruppenrichtlinien außen vor bleiben, denn die kann ein XP Home User nicht ändern. (Hab ich oben dann auch gleich rein editiert )

Zu deiner Lösung:
Ich glaube, du hast diesen Satz

Die Datei selbst muss auf dem Desktop verbleiben, darf also nicht woanders hinkopiert und dann verlinkt werden o.ä.

falsch verstanden.
Dieses gehört nicht mehr zur Aufgabe selbst (war etwas mißverständlich von mir strukturiert - habs oben verbessert)

Für den Testbenutzer gelten nur die Forderungen unter "Aufgabe".

Trotzdem, da es interessant ist:

Desweiteren kann ich Ihm die Rechte "verschieben" & "kopieren" entziehen.

Wie machst du das genau, in Berechtigungen ausgedrückt? (Berechtigungen, wie "Verschieben oder "kopieren" existieren ja im Reiter Sicherheit so nicht)

Deine Lösung verhindert nicht das Löschen der Datei vom Desktop (oder steckt das in dem Verbot des "Verschiebens" mit drin?)


Und ganz wichtig für alle: Bitte nach allen Änderungen an der Datei, hinterher als Benutzer mit eingeschränkten Rechten ausprobieren, ob auch wirklich alles so funktioniert, wie es die Aufgabe fordert!