Ordner vor Benutzerzugriffen schützen

[vitali 10]

Also ich habe folgendes Problem:

 

Der angemeldete Benutzer soll auf Dateien in einem Ordner nicht zugreifen dürfen, weil dort sicherheitskritische Daten abgelegt sind.

 

Gleichzeitig muss aber eine Anwendung, die dieser Benutzer startet, zur Laufzeit diese sicherheitskritische Daten lesen können.

 

Mir ist schon klar, dass ich für die Anwendung einen Extra-Benutzer anlegen kann und unter Sicherheitseinstellungen nur diesem Extra-Benutzer den Zugriff auf den Orner erlauben könnte. Dann würde das Ganze mit "Ausführen als..." (oder sog. RUNAS TOOLS wie NetExec) funktionieren.

 

Jedoch hat diese Lösung ein Schwäche: Der Benutzer kann auch ein Administrator sein und damit durch Übernahme des Besitzes des Ordners die Zugriffsrechte erlangen und damit auf die Daten zugreifen. Von einem Domänen-Administrator ganz zu schweigen.

 

Hat vielleicht jemand Idee?

 

Ich denke solche Software wie CryptIt, Steganos Safe würde sich nicht eignen, da der Datenzugriff von der Anwendung zur Laufzeit stattfinden soll.

[kangoroo 10]

Hallo.

 

 

Darf der Benutzer die Dateien auch nicht einsehen (Excel Tabelle oder so)?

 

Bei XP und 2000 kannst Du jedem Ordner spezifische Rechte zuweisen. Dort musst Du nur schauen, dass der benötigte Ordner nicht die Rechte vom darüberliegenden übernimmt (Erben) und dann bestimmst Du, welche Benutzer Vollzugriff und welche nur lesen dürfen. Normalerweise befindet sich auch noch einen Benutzer "System" dort.

Weiss nicht wie Deine Applikation aussieht (und sich verhaltet), aber vielleicht reicht es, wenn Du nur dem "System- User" zugriff auf den Ordner und die Dateien gewährst. Dies geht jedoch nur, wenn die Applikation selber auf die Daten zugreift und nicht vom Benutzer indiziert werden muss.

Probiers mal aus.

 

Gruss Kangoroo

 

P.s. pass nur auf, dass Du Dich nicht mit allen Usern aussperrst, sonst gute Nacht.

[vitali 10]

Der Benutzer soll keinen Zugriff auf die Daten haben.

Die Anwendung sollte aber Daten lesen/schreiben können.

 

Mir ist auch die Sache mit spezifischen Benutzerechten klar: Ich erteile der Anwendung (für die existiert ja ein eigener Benutzer) ALLE Rechte für den Ordner. Und wenn der Benutzer diese Anwendung mit "Ausführen als..." startet, hat die Anwendung die Rechte zum Zugriff auf den Ordner, der Benutzer nicht.

 

Aber ein Benutzer mit ADMIN-RECHTEN kann den BESITZ des Ordners übernehmen und damit ZUGRIFF ERLANGEN.

 

KANN ICH EINEM ADMIN VERBIETEN DEN BESITZ EINER DATEI ZU ÜBERNEHMEN???

[kangoroo 10]

Vitali.

 

So weit ich weiss, kannst Du unter "Sicherheit" dem Administrator verbieten, dass er die Besitzrechte übernehmen kann: (unter "Sicherheit"--> Erweitert --> dann den Administratoren markieren, --> unter"Bearbeiten" findest Du die Checkbox "Besitzrechte übernehmen" ganz unten).

 

 

Ich hoffe, das bringt Dich nen Schritt weiter.

 

Gruss

[kangoroo 10]

Kleiner Nachtrag noch:

 

Wenn Du die Gruppe "Administratoren" aus der Liste verbannst, hat auch der Administrator (Egal ob Domain- oder Lokal) keinen Zugriff auf die Datei und somit sollte auch die Übernahme ausgeschlossen sein.

 

 

 

gruss

[grizzly999 11]

Ein Mitglied der lokalen Administratorengruppe kann IMMER den Besitz an einem NTFS-Objekt übernehmen, selbst wenn man der Administratorengruppe den Zugriff explizit verweigert! Das ist im OS verankert -> C2 Sicherheit, und ich kenne keinen Weg, das zu entfernen (wenn doch, bitte mir mitteilen).

 

Einer Applikation über "runas" den Zugriff gewähren, heißt aber, das ganze in einer Batchdatei unterzubringen, bei der bei jedem Aufruf die Eingabe des Kennworts eingegeben werden muss. Das bedeutet: der Anwender kennt den Benutzernamen und das Kennwort von jemand, der zumindest in diesem Verzeichnis lesen darf -> Ziel nicht erreicht.

 

Es geht schlicht nicht, was Vitali vorhat, es sei denn, es wäre eine Applikation, die von sich aus einen Benutzer anlegt und den Zugriff steuert.

 

grizzly999

[kangoroo 10]

Hallo Grizzly.

 

Danke für den Hinweis- wusste ich nicht.

 

 

Gruss Kangoroo

[vitali 10]

Original geschrieben von grizzly999

Ein Mitglied der lokalen Administratorengruppe kann IMMER den Besitz an einem NTFS-Objekt übernehmen, selbst wenn man der Administratorengruppe den Zugriff explizit verweigert!

Da stimme ich dir zu. Ich habe noch keine Lösung gefunden und werde wohl auch KEINE finden, wie ich Admin verbiete den Besitz zu übernehmen.

 

Original geschrieben von grizzly999

Einer Applikation über "runas" den Zugriff gewähren, heißt aber, das ganze in einer Batchdatei unterzubringen, bei der bei jedem Aufruf die Eingabe des Kennworts eingegeben werden muss.

Nein, es muss keine Eingabe des Passworts erfolgen , wenn ich so genannte RUNAS Tools verwende. Dann liegt das Benutzer-Passwort und der Benutzername verschlüsselt in einer Datei.

Zum Beispiel:

„CustomClient Creator“ von http://www.netexec.de/ ,

„TqcRunAs“ von Quimeras http://www.quimeras.com/,

„RunAs Professional“ von http://www.mast-computer.de.

[grizzly999 11]

O.k., in diesem Fall schon. Ich dachte du meinst den Befehl runas.exe, der seit W2k mit dem OS zusammen installiert wird.

 

grizzly999