Admin oder nicht Admin

[raven]

Ein Jurist spricht von "Vorsatz". This is a feature, not a bug.

Und du es mir deshalb auch nicht erklären darfst. Nicht, nicht kann oder will, sondern darfst (eben nicht) Danke dir

 

[Rastafari]

Und du es mir deshalb auch nicht erklären darfst.

Wie meinen?
Ist halt einfach eine "historische Traditiion", mit der man zB in grossen Unternehmen das ausblenden kann, was dem "Otto Normaluser" nicht gezeigt werden muss. Der solls schön übersichtlich haben.
(Es hat natürlich auch Sicherheitsaspekte, dass sowas existiert. Ein traditioneller OS X Server bespielsweise erzwingt nicht ohne Grund die alleinige Texteingabe am Login-Screen. Dh der macht radikal alle seine eigenen lokalen Konten derart "unsichtbar", ohne Ausnahme.)

 

[raven]

Wie meinen?
Ist halt einfach eine "historische Traditiion", mit der man zB in grossen Unternehmen das ausblenden kann, was dem "Otto Normaluser" nicht gezeigt werden muss. Der solls schön übersichtlich haben.

Ich dachte du darfst es nicht erklären aus Gründen der Sicherheit. Und von Servern habe ich weniger Ahnung als Null.

 

[echo.park]

Das mit dem zusätzlichen, eingeschränkten Konto ist absolut empfehlenswert.
Entgegen der naiven Behauptungen so mancher Leute bedingt das Erledigen gewöhnlicher, alltäglicher Aufgaben als Admin ein durchaus ernst zu nehmendes, zusätzliches Risiko, zum Opfer von bösartiger Malware zu werden.
(Dass derartiges zumindest momentan nicht im Umlauf zu sein scheint, das ist *kein* akzeptables Argument.)

Wobei sich hier schon so einiges getan hat, mit den Upgrades von OSX, angefangen bei Mountain Lion, und zuletzt noch mal ein ganzes Stück mit El Capitan. Stichwort: rootless

Ein Admin unter Mountain Lion ist mittlerweile nicht mehr zu vergleichen mit einem Admin unter El Capitan.

 

[raven]

Ein Admin unter Mountain Lion ist mittlerweile nicht mehr zu vergleichen mit einem Admin unter El Capitan.

Und was darf man deinem Beitrag entnehmen? Es liesst sich, als ob man keinen separaten user mehr benötigt und nur mit dem Admin eingeloggt sein kann. Oder verstehe ich dich miss?

 

[echo.park]

Zumindest hat Apple in der Richtung Hand angelegt. Die "Gefahr" als Admin unterwegs zu sein und deshalb Opfer von Malware zu werden wurde deutlich gemindert.

Ob das nun ausreicht oder nicht, dazu kann ich nur spekulieren, wenn man das überhaupt sicher sagen kann.

Aber eben besonders mit El Capitan hat sich noch mal Einiges getan. Ich hatte mir dazu mal den Workshop der WWDC 2015 angesehen, hier bemerkte der Apple Ingenieur korrekt, dass die meisten Systeme als "Singe-User"-Systeme genutzt werden, sprich es wird nur ein Admin verwendet und kein weiterer Nutzer angelegt. Und genau deshalb wurde hier nachgebessert.

Allerdings habe ich auch nur die Hälfte des Beitrages verstanden, mangels Fachkenntnis. Aber das was ich gehört habe, erschien mir sinnvoll. Wer da genaueres Wissen will, sollte aber selbst mal danach googeln.

 

[raven]

@echo.park Wenn ich danach Google kommen mit Sicherheit einige Seiten die dann nur in Englisch sind. Und da fehlen mir schlicht und einfach die Kenntnisse dazu.

 

[Rastafari]

Stichwort: rootless

Ganz nett, aber für "Schadsoft in Kaliber .38" kein ernstzunehmender Gegner. Nicht mal ansatzweise.
Damit wird ein "Problem" besetigt, das ohnehin kaum jemand je in dieser Weise auszunutzen versucht hat.
Gewissermassen so, als ob du jetzt an der verstärkten Vordertür ein weiteres Schloss und eine Überwachungskamera angebracht hättest, während auf der Rückseite des Gebäudes weiterhin alles mit ganz billigen Glastüren total ungesichert bleibt.

Du solltest das nicht als Sicherheitsmassnahme missverstehen - das ist vielmehr als ein Holzhammer angedacht, der endlich dieses leidige "Reparieren der Zugriffsrechte" endgültig aus der Welt schaffen soll.
(Wo ein vermurkster Installer nichts mehr kaputt machen kann, da braucht man solche Schäden auch nicht mehr zu reparieren.)

Leider markiert sowas aber auch eine weitere abgeschnittene Scheibe der DRM-Salami, die von Version zu Version kleiner und kleiner wird. Und zwar eine von den dicksten Scheiben bisher.
Wenn die Wurst irgendwann ganz zu Ende aufgegessen ist, besonders viel ist davon sowieso nicht mehr übrig, dann bist du als Besitzer von deinem eigenen Rechner genauso rigoros ausgesperrt wie bei iOS. Nicht akzeptabel, diese Entwicklung.

Und nur damit du die "historische Bedeutung" dieses Features richtig einzuordnen weisst:
Ein guter Bekannter von mir ist gezwungen, in seinem Betrieb immer noch weiterhin einen ollen G4 mit Tiger zu betreiben, ein Ersatz mit was aktuellem ist dabei völlig indiskutabel.
Er hat mich schon vor Jahren gefragt ob das denn nicht hochgefährlich sei, was man denn nur machen könne und solle, um wenigstens das bestmögliche an Restsicherheit noch zu erhalten.
Ich hab ihm daraufhin das fast komplette System auf der HD (per "schg" FS-Flag) regelrecht "festgeschweisst" - das verhält sich jetzt in etwa so wie von einer DVD aus gebootet, endgültig und ultimativ lösch- und manipulationsgeschützt.
Sowas ähnliches wie "rootless" gab es in OS X nämlich schon von ganz zu Beginn an, schon seit "Cheetah" 10.0
Und sogar *sehr viel* härter in der Ausführung und Wirkung als die aktuelle Lösung.
Damit hatte auch jeder selbst in der Hand, was geschützt sein soll und was nicht, und das war auch nicht nur auf das Systemvolume begrenzt.
(Nur leider war das auch sehr viel schwieriger wieder aufzuheben, wenns unbedingt muss. Das war damals noch gar keine angedachte Situation.)
Mit der Einführung von "Boot Camp" in Leopard hat man dieses überaus mächtige Feature dann einfach sang- und klanglos im Nirwana der Geschichte versenkt. Und erst jetzt, mit etwas anderer Methode, einigermassen wiederbelebt.
So viel zum Thema "modernstes OS der Welt" --> Piffkas.

 

[raven]

Ich hab ihm daraufhin das fast komplette System auf der HD (per "schg" FS-Flag) regelrecht "festgeschweisst" -

Du hast was gemacht?

Aber ich nehme das Thema gerne auf. Nur umsetzen sollte ich es endlich. Und noch eine Frage, hast du selber auch schon El capitan auf einem deiner sicher zahlreichen Rechnern?

 

[KALLT]

System Integrity Protection ist die Kindersicherung für Erwachsene. Eigentlich kein verkehrter Ansatz für ein Betriebssystem welches Apple an den Normalanwender vermarktet. Mich selbst hatte das eigentlich nicht gestört, eben weil ich praktisch alles in Benutzerverzeichnissen ablege (Anwendungen in ~/Applications, CLI-Programme via Homebrew in /usr/local). System Integrity Protection umfasst auch mehr als den Schreibschutz, nämlich auch eine Einschränkung von reinen Entwicklerwerkzeugen wie DTrace oder Debugger und auch NVRAM-Änderungen. Da sich der Schutz komplett ausschalten lässt, finde ich das durchaus akzeptabel. Ob Apple nun bereit ist den Schalter ebenfalls zu entfernen, das ist natürlich nicht auszuschließen.

@Rastafari: Ich dachte, BSD-Securelevel und System Integrity Protection überlappen sich an einigen Stellen, aber umfassen einander nicht. Was hat denn Level 1 verhindert hinsichtlich Bootcamp?

Ich selbst liebäugle auch FreeBSD hin und wieder, seitdem ich es auf meinem ‘Miniserver’-Raspberry Pi betreibe. Die Jails und Kernelkonfigurationen sind jedenfalls sehr praktisch. Im Gegensatz zu Linux-Systemen wird dort, zum Beispiel, auch das /usr/local-Verzeichnis verwendet, statt alles in den Root-Verzeichnissen abzulegen. Leider bekomme ich den Dualboot einfach nicht zum Laufen.

 

[Rastafari]

Du hast was gemacht?

Das "superuser Immutable" Flag auf alle betroffenen Objekte gesetzt.
Das hat aus Benutzersicht gesehen die Wirkung des gewöhnlichen "immutable", also von "Finder -> Geschützt".
Kann (bzw besser: konnte) aber nur von root gesetzt werden, und nicht mal mehr von diesem selbst wieder entfernt werden.
War eine Art "Einbahnstrasse" - Die Entfernung war nur im "Single-User Mode" gebootet möglich, ansonsten durch nichts und niemanden. Kein Umgehungstrick, kein doppelter Boden. Knallhart, kompromisslos.

Und noch eine Frage, hast du selber auch schon El capitan auf einem deiner sicher zahlreichen Rechnern?

So zahlreich sind sie nun auch wieder nicht. Vor mir stehen drei, hinter mir einer, einer im Regal, einer im Zimmer nebenan und etwa drei bis fünfkommasieben unbenutzt eingelagert und/oder teilzerlegt im Keller. Also alles ganz normal eigentlich. Zumindest zuhause.

Und nein, den "Kopfschuss des Jahres" habe ich mir noch nicht mal fertig runtergeladen, wüsste auch gar nicht wozu. Mir wird schon jedesmal übel genug, wenn ich nur die Reklame dafür irgendwo sehe. Kommt mir nicht ins Haus, sowas.

 

[raven]

So zahlreich sind sie nun auch wieder nicht. Vor mir stehen drei, hinter mir einer, einer im Regal, einer im Zimmer nebenan und etwa drei bis fünfkommasieben unbenutzt eingelagert und/oder teilzerlegt im Keller. Also alles ganz normal eigentlich. Zumindest zuhause.

So in der Art hatte ich es mir vorgestellt.

Und nein, den "Kopfschuss des Jahres" habe ich mir noch nicht mal fertig runtergeladen, wüsste auch gar nicht wozu. Mir wird schon jedesmal übel genug, wenn ich nur die Reklame dafür irgendwo sehe. .../snip/....

Jo ich weiss, dass die El Cap nicht zusagt (Yosemite ja auch nicht). Aber du und dein Wissen, dann inkl dem Kapitän.....du weisst was ich damit sagen will. Es wäre sicher unschlagbar.

Wenn ich dich nun nett bitte, den *Kopfschuss* auf einer deiner doch recht umfangreichen Sammlung an Rechnern zu installieren, würdes du der Bitte nachkommen?

 

[Rastafari]

BSD-Securelevel und System Integrity Protection überlappen sich an einigen Stellen

Hmmm... Jein. Zielt eigentlich in eine ganz andere Ecke, aber gewisse Gemeinsamkeiten gibts tatsächlich.
Ist aber ganz sicher nicht so beabsichtigt, eher zufällig.

Was hat denn Level 1 verhindert hinsichtlich Bootcamp?

Die "Live" Repartitionierung der aktiven Systemfestplatte (ohne Start von einem anderen Medium aus) kam zusammen mit diesem "Straflager für Weicheier" (und dem GPT-Support) ins Haus. Um das ohne einen Neustart zu ermöglichen wurde Level 1 entsprechend aufgeweicht. Zeitgleich gabs noch ein paar weitere fundamental neue Paradigmen, zB in der Speicherverwaltung, aber das hatte nichts mit BC zu tun.

Level 0 ist der SingleUser-Modus (keine Benutzer, keine Prozesse, kein gar nichts ausser einer einzigen Shell)
Level 1 ist dann der ganz "normale" Betriebszustand, dh normalerweise die GUI.
(Multiuser, multiprocess, dynamisch verwaltete dev-Nodes etc pp, alles was das Herz begehrt...)
Dann gibts noch den Level 2, mit dem möchtest du nichts zu tun haben. Apple benutzt ihn auch gar nicht.
Da gehts zu wie in Fort Knox, für Normalanwender völlig ungeeignet. Da lassen sich keine externen Geräte mehr verbinden oder trennen, also weder DVDs noch Sticks noch Festplatten anschliessen, die Netzwerkkonfiguration wird ebenso irreversibel im momentanen Status eingefroren, also kein WLAN, auch kein Bluetooth möglich, usw usf...
Und ein Herunterschalten der Level ist gar nicht erst implementiert, nur die Erhöhung ist möglich. Willst du zurück in den Normalbetrieb, gibts nur den Neustart - und selbst der ist dann nur noch für den Systemgott erlaubt.
Nicht wirklich nützlich, dieses Extremfeature. Ist was nur für ganz spezielle Server im höchstmöglichen Sicherheitsbereich.

 

[Rastafari]

würdes du der Bitte nachkommen?

Nur gegen Bares.
Suche grade ein neues Handy, dem alten wurde vor ein paar Tagen die Schwerkraft auf der Erde zu gross. Hat den Widerstand dagegen aufgegeben und sich in Richtung Erdmittelpunkt auf die Reise begeben. Kam nur nicht besonders weit, der Gehweg hatte grade andere Pläne. Jetzt hat es sogar "Dual Display" (eine Hälfte geht, die andere....)
Hab da grade auf iihPay was schickes am köcheln, in genau 6 Minuten kann ich dir vllt schon sagen was dich diese Bitte kostet.

 

[raven]

Hab da grade auf iihPay was schickes am köcheln, in genau 6 Minuten kann ich dir vllt schon sagen was dich diese Bitte kostet.

Du kaufst das iPhone nicht bei Apple direkt? Mit barem wird es etwas schwer. Käme darauf an wie hoch der Betrag ist, und Voraussetzung Bares ist Wahres, müsstest du die CFR. abholen bei mir. Bar Kralle sagt man auch......

@Rastafari Die 6 Minuten sind rum. Und?

 

[Rastafari]

Alles klar, 31 Euro und 5 cent
Gut gelaufen, ich hätte auf 50 geschätzt.


Nein, war natürlich nicht ernst gemeint.
Ich hab da echt null Bock drauf, wozu sollte das gut sein? Ich weiss doch auch jetzt schon das meiste von dem, über das ich mich nur grün ärgern würde, ich brauche doch nur hier überall mitzulesen. Wenn ich mich schon in masochistischer Tradition selber fruste, dann will ich wenigstens dabei von total neuen Fehlern überrascht werden. Sonst macht die ganze Qual doch gar keinen richtigen Spass...

 

[raven]

Alles klar, 31 Euro und 5 cent
Gut gelaufen, ich hätte auf 50 geschätzt.


Nein, war natürlich nicht ernst gemeint.
Ich hab da echt null Bock drauf, wozu sollte das gut sein? Ich weiss doch auch jetzt schon das meiste von dem, über das ich mich nur grün ärgern würde, ich brauche doch nur hier überall mitzulesen. Wenn ich mich schon in masochistischer Tradition selber fruste, dann will ich wenigstens dabei von total neuen Fehlern überrascht werden. Sonst macht die ganze Qual doch gar keinen richtigen Spass...

@Rastafari Was wurde es? Ein iPhone? Darf man es wissen?
Dass du das nicht ernst gemeint hast war mir schon klar.
Aber die leise Hoffnung darf man ja haben nicht wahr

 

[Rastafari]

Ein iPhone?

Nein, wieder nur so ein ordinärer chinesischer Reiskocher. Genau das richtige zum Fliegen damit erschlagen. Oder zum Butterbrot streichen wenn mal wieder kein gespültes Geschirr übrig ist.

 

[raven]

Nein, wieder nur so ein ordinärer chinesischer Reiskocher. Genau das richtige zum Fliegen damit erschlagen. Oder zum Butterbrot streichen wenn mal wieder kein gespültes Geschirr übrig ist.

Dir ist was entgangen. Glaub es mir. Hier liegt ein iPhone 5 64 GB in schwarz mit allem Originalzubehör inkl. Der original Verpackung. Zusätzlich eine Hülle in schwarz. SiM und Netlock frei.

 

[Rastafari]

Dir ist was entgangen. Glaub es mir.

Höre ich damit bessere Musik in der S-Bahn?
Wird Tomb Raider, Batman Dark Knight oder Hitman auf einem iPhone etwa intessanter zu spielen?
Enthält eine neue Folge "Big Bang Theory" etwa mehr Sheldon-Kalauer pro Minute auf einem iPhone?
Wiegen 150 Gramm iPhone etwa weniger in meiner Hemdtasche als 150 Gramm grüne Männchen?
Dauern 4 Stunden iPhone-Akku wirklich länger als 4 Stunden Androiden-Akku?
Findet Google auf einem iPhone irgendwas schneller oder genauer?
Machen Websites in Safari mehr her als in Chrome, Dolphin oder Firefox?
Zeigen Apples Landkarten sauberere, geradere oder breitere Strassen als andere? Oder mehr? Oder übernimmt da das iPhone auch gleich noch das Laufen oder Fahren mit, geht an meiner Stelle in den Supermarkt einkaufen und verläuft sich nicht dabei? Im Gegensatz zu mir also?

Ach ja, die iPhones haben wirklich *tolle* Kameras. Darf man ja auch erwarten für das Geld...
Dumm nur, dass ich dafür eine ehemals ca 1,5 kDM teure "Yashica Speedflex Electro AX" mit drei Objektiven und und und... im Schrank liegen habe. Ganz andere Liga, ganz anderer Sport. (Ein Lexus unter den "Vintage" Spiegelschnappern.)
Und Videos zu drehen macht mit so einem dünnen Datenbierdeckel auch nichts wett, HD-Auflösung hin oder her.
Ich filme nur ungern und selten, und wenns doch mal sein muss, besuche ich kurz meinen Kumpel "Reinhard, the Beinhart".
Der ist professioneller Kameramann beim ÖR-TV mit so etwa 25 Jahren Berufserfahrung. Der kann das nun wirklich mit seiner absoluten Edelmaschine *weitaus* besser als ich.
Was war da sonst noch? Kaffee kochen, Wäsche waschen, staubsaugen?
Merkst du was?