Immer 2. Account ohne Admin-Rechte ??

[John_Carter]

Hallo zusammen !!!

Auch wenn ich schon seit einigen Monaten zufriedener Mac-User bin, bin ich letztens im Internet über die Info gestolpert, daß man neben dem ersten Account noch einen Weiteren einrichten sollte....wäre sicherer?

Wie habt ihr das Problem gelöst?
Ich habe derzeit lediglich einen Account eingerichtet und unter Systemeinstellungen steht eben, daß es sicher hierbei um einen Admin-Account handelt....
Es taucht noch ein weiterer sog. Gast-Account auf mit dem Zusatz "Nur Freigabe".

Ist also ein 2. Account ein Must-Have ???
Wie sind Eure Erfahrungen?

Gruß
John

 

[salome]

Der Gastaccount ist für Gäste, die nur ein Mal bei dir arbeiten wollen. Wenn dieser wieder abgemeldet wird, werden alle Dateien gelöscht und der Gastaccount ist wieder leer.
Ja, es ist sicherer nicht als Administrator sondern als normaler User zu arbeiten. Du legst einen 2. User an und gibst ihm auch Admin-Rechte. Dann meldest du dich mit diesem an und nimmst dem alten (mit deinem Namen) die Adminrechte und stellst die Anmelderechte auf diesen. Dann startest du immer mit dem Normal-User (deinem bisherigen Account ohnehin).
Du brauchst dann den Admin-Namen und das Admin-Kennwort, um heikle Prozesse, zum Baispiel Software laden, zu starten.
Bei MacMark oder hier kannst du dich über die Gründe informieren.
salome

 

[SilentCry]

Es gibt ein Paradigma: Niemals als Admin _arbeiten_. Immer einen Useraccount verwenden. Anders als bei W*dos ist OS X als Unix darauf ausgelegt, dass man sich nur selten als Admin identifizieren muss und das auch nur für eben systemadministrative Aufgaben. Für die normalen, alltäglichen Tätigkeiten sind Administratorenprivilegien nicht nötig und bergen zudem ein Risiko.

Die faktische Bedrohungslage auf OS X ist natürlich praktisch Null, auch wenn man Admin ist, dennoch ist es eine gute (und damit vor zu ziehende) Praxis, immer als User zu arbeiten.

Über die Gründe und auch die Risiken kann man kurz, lang, breit oder hochtrabend diskutieren, das will ich jetzt aber nicht. Das Konzept existiert aus gutem Grund und das kann man als Anwender gerne so glauben ohne dass man jetzt die Verzeichnisse auflistet in die ein Admin schreiben darf, die Probleme aus dem sudo-Privileg bei normaler Tätigkeit, etc. und das dann alles episch in ein Verhältnis mit der Bedrohungslage setzt. Dann mischen sich technische Details mit Spekulation und am Ende kommt auch nicht mehr raus als: Die sinnvolle weil sichere Variante ohne besondere Komforteinbuße ist, einen Admin-Account nur zum Administrieren zu verwenden und mit einem Useraccount zu arbeiten. Fertig.

 

[John_Carter]

Aha, hört sich soweit eigentlich ganz logisch an

Nachdem ich einen zweiten Account eingerichtet habe und ihm dann die Admin-Rechte übertragen habe, sollte ich denn meinen "normalen Account" als Standard oder Nur Freigabe definieren ???

Falls ich dann AdminRechte zum Einrichten jeglicher Sachen benötige, muß ich also dann das Passwort des 2.Accounts eingeben, oder?

DANKE
Gruß
John

 

[salome]

Als Standard.
Nur Freigabe haben bei mir die freigegebenen Ordner des anderen Mac im Netz.
Ja wenn Adminrechte verlangt werden gibst du den Namen und das Psswort des 2. Accounts ein.

 

[Lehas]

Und ist es sehr schlimm, wenn man nun schon ein halbes Jahr lang den Mac als Admin genutzt hat?

MfG Lehas

 

[salome]

Nein, wenn du nicht wahllos irgendwelche Software herunter geladen hast, sicher nicht. Wenn sich Maleware in dein System geschlichen hätte oder du schlecht programmierte Apps geladen hättest, würdest du das schon merken.
Es kann ja auch jahrelang nichts passieren, wenn du deine Wohnungstür nicht zu sperrst, aber sicherer ist es doch, den Schlüssel umzudrehen, damit das Schloss einschnappt und man es Einbrechern nicht allzu leicht macht.
Salome

 

[Brattwurst]

Kann man denn so einen halbes-Jahr-als-Admin User Problemlos zum einfachen User machen oder ist das mit Risiken verbunden?

 

[salome]

Nein überhaupt nicht, der Unterschied zwischen Administrator und gewöhnlichem User liegt nur in den Rechten für bestimmte Prozesse. Vor allem beim Runterladen von Programmen wirst du es merken: Als Admin gibst du nur das Passwort ein, als gewöhnlicher User, das Passwort und den Adminnamen. Als Admin kannst du Problem Terminalbefehle eingeben, auch völlig unsinnige oder zerstörerische. Als gewöhnlicher User musst du dich erst als Admin anmelden (identifizieren), das gibt immer eine Nachdenkpause.
Genaueres kannst du in den von mir angegebenen Links lesen.

Bei MacMark oder hier kannst du dich über die Gründe informieren.

)
Wen du dich als Admin anmeldest (einloggst), dann kannst du die Userrechte in Systemeinstellungen /Benutzer jederzeit ändern. Aber pass auf, dass du immer einen Admin hast. Also wenn nur ein Adminuser vorhanden ist: Zuerst Admin erstellen, dann mit diesem anmelden und dem alten Admin die Rechte entziehen. Du kannst dich aber trotzdem auch mit diesem gewöhnlichen User in jeder Form (automatisch, oder mit Kennwert, mit Liste oder nur ein Name) anmelden.
Im täglichen Betrieb wirst du kaum einen Unterschied merken. Ich nehme nicht an, dass du dich mit dem Terminal schon befasst hast. Das ist auch nicht notwendig, für die meisten Befehle gibt es Kürzel oder eine GUI.
Salome

 

[SilentCry]

Also, vorweg, für riskant halte ich es nicht.
Aber wenn man darüber nach denkt dann stellt sich schon die Frage nach der Gruppe.
Ein Admin ist Mitglied der Gruppe wheel.
Ein User Mitglied der Gruppe staff.
Wenn nun ein Adminaccount zum User gemacht wird und der Admin solange er Admin war eine ausführbare Datei mit setuid-Bit geschrieben hat (wodurch alle der Gruppe wheel execute auf diese Datei mit setuid-Fähigkeit bekommen haben), was passiert dann wenn er die Gruppenzugehörigkeit wechselt? Haben dann plötzlich (weil "execute" auf der Gruppe existiert der der User nun angehört) alle Mitglieder der Gruppe staff (also alle User) das Execute-Recht und damit setuid?

Ich werfe das mal in die Runde weil mir das gerade eingefallen ist dass man das überprüfen müsste, wenn man 100% sicher sein will. Detailliert durchdacht habe ich es jetzt nicht, dafür fehlt mir die Zeit und ehrlicherweise halte ich die Gefahr dadurch für vernachlässigbar, so sie überhaupt existiert.