[Info] Ohne Admin Rechte Arbeiten/Spielen.

[*BlackJack*]

0

Ich wollte mal wissen wer mit Windows arbeitet und nur als Eingeschränkter Benutzer arbeitet.

Nachdem mein Pc endlich repariert ist hab ich mich mal dran gemacht und nen älteren c't Artikel rausgekrammt und Arbeite/Zocke jetzt am Rechner ohne Admin Rechte. Und ich muß sagen es geht besser als ich erwartet habe.

Es kommt zwar nicht ganz das Linux Feeling auf. Aber nichts desto Trotz ist es noch machbar. Da man ja nur etwas hin und her machen muß wenn man mal was installieren will wenn man was installieren will bzw nen Treiber installieren will oder sonstiges.

DAS NTSF DATEISYSTEM IST VORRAUSSETZUNG!!!

Das ganze beruht auf ner kleinen Batch datei und 2 Konten. Das erste Konto ist das Arebitskonto welchem man die Rechte entzieht und das 2te Konto ist ein Admin Konto.

Ich schreib hier mal ne kleine Zusammfassung aus dem c't Artikel zum nachmachen.

Zuerst das hier runterladen: Mach mich Admin

Ich geh mal davon aus das es zur Zeit nur 2 Konten gibt das erste ist das Admin Konto was Windows einrichtet es lautet Administrator. Dieses bitte in Ruhe lassen. Das 2te ist das Konto mit dem ihr Arbeitet/Spielt. Ihr müßt nun ein drittes Konto mit beliebigen Namen wählen was ebenfalls Admin Rechte bekommt.

GANZ WICHTIG NACH DEM ERSTELLEN DES NEUEN ADMIN KONTO'S UNBEDINGT EINMAL MIT DEM KONTO ANMELDEN DAMIT DIE REGISTRY ETC GESCHRIEBEN WERDEN. ANDERNFALLS KANN ES ZU PROBLEMEN KOMMEN!!!

Im folgenden nenne ich die Konten Einfach nur noch A, B und C. Spar ich mir etwas Tipparbeit.

Konto A= Das "Administrator Konto"
Konto B= Arbeitskonto
Konto C= Admin Konto

So nun melden wir uns mit unserem Konto B an und entziehen uns die eigenen Admin Rechte. Das geht ganz einfach unter der Kontenverwaltung einfach alle Gruppen rauswerfen und nur Benutzer hinzufügen. Bei XP Bitte ich glaub es ist Verwaltung>ComputerVerwaltung>Konten sich die Rechte wie beschrieben entziehen und nur Benutzer hinzufügen. Aus dem einfachen Grund weil wen man bei XP auif Kontenverwaltung geht nur 2 Punkte zur Auswahl stehen und ich nicht weiß wieviele Rechte der eingeschränkte XP User hat und wir ja das Minimum wollen bitte wie beschrieben vorgehen.

Nachdem die Rechte entzogen wurden bitte einmal neustarten. Und sich jetzt mit Konto B anmelden. Nun schauen wir uns das Skript an was wir heruntergeladen haben. Dieses müssen wir noch etwas verändern. Dies ist relativ einfach und es ist eine Anleitung vorhanden. Einfach an diese halten und das Konto C im Skript eintragen und Speichern.

Jetzt verbauen wir noch jeder Software die Möglichkeit Autostart einträge anzulegen. Dies geht ganz einfach. Ihr startet nun das Skript "Machmich Admin". Dieses fragt nun zuerst nach dem Passwort von Konto C und anschließend von Konto B. Nach Korrekter eingabe beider Passwörter speichert XP eins oder beide Passwörter Win2000 Nutzer wie ich müssen immer beide angeben aber das ist kein Beinbruch.

Es startet nun eine Eingabeaufforderung die Rot hinterlegt ist und als Namen Konto B mit Admin Rechten heißt. Dort zieht ihr per drag & Drop das Programm Kafu hinein. Anschließend ausführen und keine Software kann mehr Autostart einträge anlegen.

So nun könnt ihr noch für den Komfort eine Verknüpfung des Skriptes in den Ordner SendTo setzen. Er befindet sich in \\Dokumente und Einstellungen\\Benutzer\\SendTo. Der Ordner ist versteckt also einfach in der Adresszeile eingeben oder Versteckte Datein anzeigen einstellen.

So ihr Arbeit nun ohne Admin Rechte. Den Unterschied merkt man eigentlich erst wenn man etwas installieren möchte. Hierzu mal ein paar Beispiele.

Command & Conquer Tiberium Sun:

Das Setup wird mit Admin Rechten ausgeführt das kann man ganz einfach machen. Einfach Rechte Maustaste auf's Setup dann Senden an>MachmichAdmin. Natürlich nur wenn ihr auch eine Verknüpfung im sendto Ordner wie beschrieben angelegt habt. Es erscheint eine Eingabe Aufforderung wo das/die Pasw(ö)rt(er) eingegeben werden. Nach Korrekter eingabe Startet das Setup. Es wird ganz Normal installiert. Im Anschluß müßt ihr C&C einmal mit Admin Rechten Starten. Das liegt höchstwahrscheinlich daran das beim ersten Start noch Registry Einträge geschrieben werden die der Normale Nutzer ja nicht machen darf. Im Anschluß könnt ihr C&C ohne Admin Rechte Spielen.

Jetzt mal ein Kniffligeres Beispiel. Das Dosbox Fronted D-Fend. Als erstes Versuchen wir es wie bei C&C und starten es einmal mit Admin Rechten und danach ohne. Wir bekommen Fehlermeldungen. Was machen wir nun? Ganz einfach ihr Braucht die beiden Programme Filemon und Regmon. Beide sind von Sysinternals zu beziehen oder einfach hier klicken.

Regmon
Filemon

Ihr startet nun beide Programme mit Adminrechten wie beschrieben mit dem Skript. Dies ist notwendig da die Programme Admin Rechte benötigen.

Wenn beide Programme laufen D-Fend starten und nachdem die Fehlermeldung erscheinen schnell das Capturen der beiden Programme abschalten. Da die Listen sonst ellen lang werden. Beide Programme sind nun überflutet mit Einträgen. Aber keine Angst beide Programme haben einen Filter. Es sind nur die Einträge mit ACCES DENIED interessant also schreiben wir das ins Feld Highlight und alle Einträge die diesem Kriterium entsprechen schenken wir unsere Aufmerksamkeit.

Uns interessieren nur die ACCES DENIED Meldungen die auch wirklich von D-Fend Stammen also nicht die Vom Explorer oder sontigem die sind egal. Filemon zeigt uns eine Meldung im bezug auf eine Datei Im D-Fend Verzeichnis. Nun verändern wir die Rechte Der datei oder des ganzen D-Fend Ordners. Ich persöhnlich hab einfach Vollzugriff genehmigt das es sich ja nur auf's D-Fend Verzeichnis bezieht und so Vertretbar ist. Damit wäre ein Stein aus dem Weg geräumt nun wenden wir uns Regmon zu.

Dort wird gemekert das im Schlüssel Software/D-Fend Rechte fehlen und Somit der Zugriff verweigert wurde mit dem begriff ACCES DENIED. Win2000 Nutzer starten nun "regedt32!!!" XP Nutzer können direkt einen Doppelklick machen. Und landen somit sofort im besagten Schlüssel Software/D-Fend hier vergeben wir nun immer mehr Rechte bis keine Fehlermeldung mehr erscheint.

NATÜRLICH NUR DIE RECHTE DES SCHLÜSSEL'S SOFTWARE D-FEND!!! AUF KEINEN FALL DER GANZEN REGISTRY ODER EINEM GRÖßEREM ZWEIG WIRKLICH NUR DIESEM EINEM SCHLÜSSEL!!!!!

Der Registry Fehler macht sich erst bemerkbar wenn man den Wizard nutzt um ein Spiel in D-Fend einträgt und es am Ende Speichern möchte.

Ist beides geschafft läuft D-Fend auch mit eingeschränkten Rechten. Dies kann man mit allen Prgrammen und Spielen so machen. Auf den ersten Blick erschlägt einen jetzt diese Anleitung aber wenn man es 1-2 mal gemacht hat ist es ne Arbeit von 2 Minuten und man hat dafür den Vorteil des Eingeschränkten Benutzers der das System nicht zerschießen kann und Viren Trojaner haben es sehr schwer ohne Zugriff auf's Windows Verzeichnis.

Ich hoffe ich hab es ausfürlich genug geschrieben. Wenn da nach Fragen bestehen einfach Fragen dann probier ich's noch ausführlicher zu machen.

Das schöne an dem Skript ist das alle Software die so installiert wird unter Konto B installiert wird. Da das Skript das Konto B von Konto C mit Admin Rechte ausstattet um die Installation durchzuführen und im Anschluß sofort wieder aus der Admin Gruppe wirft. Ähnlich dem sudo/su Befehl von Linux wobei es bei Linux natürlich viel besser umgesetzt wurde. Die Dateien haben also alle schon den Richtigen Eigentümer es mangelt nun immer nur an Rechten de man wie beschreiben nachrüsten muß.

Ich Perönlich find es super so.

Zu guter letzt noch ein paar Tips:

1. Im Explorer unter Extras>Ordneroptionen>Ansicht den Punkt Ordnerfenster in eigem Prozeß starten aktivieren. Damit man ein Explorer Fenster mit Admin Rechten ausstatten kann.

2. In der Systemsteurung kann man alles per Skript mit Admin Rechten starten einfach Rechtsklcik Senden an>MachmichAdmin.

Weitere fallen mir grad nicht ein aber wenn noch was ist einfach Fragen.

[TheCyberDruid]

0

Ich kenne das Tool und es ist echt nicht verkehrt. Allerdings würde ich es einfacher handhaben, indem ich mit Admin Rechten installiere und manche Games zocke (die neueren). Sonst (surfen, Emu oder Oldgames zocken) benutze ich einen eingeschränkten Benutzer. Das An-/Abmelden geht schnell genug, aber wer natürlich auf Nummer sicher gehen will, sollte die Lösung von *BlackJack* bevorzugen.

[XqWyZ]

0

Naja....
Also eigentlich habt ihr ja Recht das macht durchaus Sinn.
Aber ich sag mir immer:
Für mich lohnts sichs ned

[gremlin31]

0

ich habs mal ne zeitlang probiert, aber zu viel software benutzt einfach nicht windows installer oder halt keine gescheite installationsroutine, und verlangt oft admin rechte und reboots, wo gar keine nötig wären. selbst wenn man sich die mühe macht, verhalten sich viele programme so, dass sie z.b. startmenüeinträge usw. nur für den installierenden account (also admin) machen. und das nervt gewaltig.

ich meine, sogar VMWARE lässt sich OHNE reboot installieren und sofort starten, aber fast jedes game und alle möglichen pipifaxprogramme fordern dazu im setup auf, weil die leute einfach zu faul sind, sich darüber gedanken zu machen und was dran zu verbessern.

bis vor kurzem hatten übrigens alle microsoft mitarbeiter lokale administratorrechte, also kein wunder, dass es nie so wirklich funktioniert hat... jetzt am ende der entwicklungsphase von vista fangen sie damit an. s

schätze mal, dass es bei vista zwar grundlegend funktionieren wird, aber nicht-ms anwendungen müssen sich eben dran halten, was sie notorisch nicht tun, und daher wirds auch oft ned so sicher wie es ms eigentlich mit vista möglich macht.

da ich mit opera unterwegs bin und sonst auch recht vorsichtig bei der windows benutzung, ists auch ned so schlimm, mit admin rechten zu arbeiten. mein netzwerk is gut abgesichert, und wenn irgendein programm mucken macht, nach hause telefoniert, oder auf nem port lauschen will, wirds geblockt und es trällern die alarmglocken.

so oder so ist die sicherheit an der netzwerkgrenze sehr viel interessanter, da weniger komplex und daher weniger anfällig als so ein überladener clientrechner. ein guter layer 7 filter kann wunder wirken sag ich euch. da juckt es ned, wenn ein trojaner installiert wird. das ding öffnet nen port, dens ned öffnen darf und wird vom netzwerk isoliert. so kann man das ding in ruhe entfernen, ohne dass es überhaupt was gesendet hat.

[*BlackJack*]

0

TheCyberDruid Also wenn du dann immer wieder zeitweise mit Admin Rechten unterwegs biste untergräbste ja den Schutz vom eingeschränkten Nutzer.

XqWyZ
So kannste das nicht sagen lohnen tut sich das sicher immer.

gr3ml1n

Also es wird ja alles für den richtigen Account installiert da dem Account für das starten des Setup's Adminrechte gegeben werden und sofort wieder entzogen werden.

Ich hab schon nen Paar Spiele installiert meißt hat es bis jetzt genügt sie einmal mit Admin Rechten zu starten. Im Anschluß liefen sie einwandfrei.

Installieren tu ich auch nicht jeden Tag 100 Spiele und Programme da ist das nicht so tragisch.

Nach hause Telefonieren können Programme auch mit Firewall etc. Nen Trojaner Virus muß ja nur den Browser mißbrauchen. Den dieser hat eh ne Freigabe ins Internet.

[TheCyberDruid]

0

Original von *BlackJack*
TheCyberDruid Also wenn du dann immer wieder zeitweise mit Admin Rechten unterwegs biste untergräbste ja den Schutz vom eingeschränkten Nutzer.

Inwiefern? Wenn ich das Kabel für's Internet ziehe, ist der Admin nicht vom Internet erreichbar. Vor Viren/Trojanern schützt deine Methode auch nicht 100%, denn du startest die Exen ja auch mit Admin-Rechten. Das Tool gibt den Programmen vollständigen Admin-Zugriff, ob ich jetzt das Tool nutze oder diese Programme als Admin starte (natürlich mit gezogenem Kabel ) ist letztlich dasselbe.

[gremlin31]

0

Original von *BlackJack*
Nach hause Telefonieren können Programme auch mit Firewall etc. Nen Trojaner Virus muß ja nur den Browser mißbrauchen. Den dieser hat eh ne Freigabe ins Internet.

http://www.microsoft.com/isaserver/prodi...tures.mspx

noch fragen? *g*

[*BlackJack*]

0

Ne Fragenlos Glücklich.

[*BlackJack*]

0

So mein Erster Beitrag hier hatte sich auf 2000 bezogen bin aber jetzt auf Xp Pro umgestiegen. Was das ganze Managment sehr vereinfacht oder kompliziert jenachdem ob man bereit ist bei ner installation ne Minute mehr Zeit einzuplanen bereit ist.

Die XP Installation von mir besitzt nun 4 Konten:

Administrator : Das TABU Konto die rettung wenn nix mehr geht
Admin: Wenn mal nen Admin gebraucht wird.
Installieren: Nur zum installieren meist mit dem c't skript mach mich admin
Zaradur: Das eigentliche Arbeitskonto

Das Administrator Konto sollte man tunlichst nicht benutzen da dies sich von den selbst erstellten Admin Konten unterscheidet.

95-99% Der Zeit bin ich mit Zaradur eingeloggt was wie das Installieren Konto nur eingeschränkte Rechte hat. Angenommen ich will nen Spiel installieren mache ich nen schnellen Benutzerwechsel oder wechsel Komplett auf das Installieren Konto und installiere das Spiel. Testen ob das Spiel läuft auch das Installieren Konto hat nur eingeschränkte Rechte wenn's läuft wunderbar dann einfach nur noch Abmelden und auf Zaradur ummelden und zocken.

Sollte es nicht mit eingeschränkten Rechten laufen hilft es oft einfach kurz als Admin einloggen und im Gruppenrichtlieneneditor nen neuen Regelsatz mit Hashwert zu erstellen und den Zugriff zu erlauben.

Das Sicherheitsrisiko ist relativ das Risiko das ne Exe von nem Orginal Spiel schon von anfang an versuecht ist ist sehr gering und die Freigabe gilt auch nur für die unveränderte datei. Wenn z.b Das Spiel gepatcht wird ist die freigabe wieder ungültig oder falls sich nen Virus dranzuschaffen gemacht hat. Und es sit generell vernachlässigbar wenn man bedenkt das die andere Möglichkeit wäre direkt mit dem admin Konto zu arbeiten wo ja dann wirklich alles geht und nciht nur das eine Freigegeben Programm.

Wenn das mit dem editor immer noch net hinhaut hat man 2 Möglichkeiten entweder mit Regmon Filemon gucken wo es hackt oder eben jenen Spiel mit Adminrechten starten.

Grob genommen wird dann der schutz wieder teilweise ausgehebelt aber es ist trotzdem sicherer als mit dem echten admin Konto zu zocken. Könnnen ja in der zwischenzeit eventueeel Würmer per internet auf den rEchner kommen und mit Admin Rechten hätten die leichtes Spiel.

Hört sich alles nach viel Arbeit an ist es aber net.

Um zumindest den Schutz etwas zu erhöhen kann man Trotzdem mit eingeschränkten Rechten Arbeiten und den Komfort nur unwesentlich beschneiden und jedes Programm was net mit eingeschränkten Rechten starten will mit Ausführen als Starten. Wie schon angesprochen wird der schutz wieder ausgeheblt aber es sit trotzdem noch sicherer als ständig als Admin rum zu eieern.

[memphis]

0

also ich weiß nicht, ich arbeite mit admin-rechten...ich installier täglich neue progs, deinstalliere, schmeiße das spiel runter, jenes kommt drauf...

bislang gab es keine probleme, von daher halt ich es bei mir im moment für sinnlos...und umständlich ^^

im moment läuft bei mir vieles sowie auf nem virtual pc, von daher...damit kann ich mir recht wenig zerschroten wenn man genug ressourcen hat kann man eben nen sauberes xp haben und eins virtuell verhunzen ^^

die lücke internet bleibt halt, obwohl firewall, tägliche antivir-updates und spybot sowie adaware da nen bisschen gegensteuern...

[10-4-11]

0

Gurk jetzt schon seit Xp Sp1 ist mit meinem Adminkonto rum, ich hab nie geupdatet oder sonstwas und hab nur nen billig Viren Schutz. Nen guter Router erspart mir ne Menge Ärger, abgesehen davon surf ich net auf billig Pornohps rum, was mir auch einen sehr großen Vorteil bringt.

[*BlackJack*]

0

Klar nen Virtuelles Windows ist schon net schlecht sozusagen Windows in der Sandbox.

Jan willste andeuten das ich da immer rumsurfe wegen den Sicherungsvorkehrungen. *GGG*

Ist ja nicht nur die Sicherheit, das System bleibt auch Schlanker das Installieren Konto nimmt zwar zu aber im Arbeitskonto wird ja nix installiert also startet es auf dauer immer gleichlang.