[10.6 Snow Leopard] Vorteile beim arbeiten als Standardbenutzer?

[DeadEye]

Hallo...

habe mich gestern durch etliche Threads bezüglich zusätzliches Benutzerkonto ohne Adminrechte gelesen. Wirklich schlau bin ich dadurch allerdings nicht geworden (habe auch viele externe Links dabei gefunden und gelesen). Mir gehen die Meinungen zu diesem Thema einfach zu weit auseinander.

Wenn ich als Admin arbeite werde ich ja zur Eingabe des Passworts aufgefordert sollte ich z.B. irgendetwas aus dem Internet installieren wollen. Als Standardbenutzer muss ich zusätzlich den Namen des Admins eingeben. Es ändert sich also nicht viel, den Namen des Admins kenne ich ja.

Sollte ich mir also irgendwelchen Unfug aus dem Internet laden und mein iBrain abschalten, kann ich den Kram ja trotzdem installieren, die zusätzliche Eingabe des Adminnamens hat also keinen Sicherheitsvorteil.

Versteht mich nicht falsch, ich bin nicht zu faul zusätzlich den Namen einzugeben, ich will einfach nur wissen was der wirkliche Vorteil ist wenn ich als Standardbenutzer arbeite. Weil nur der Name zusätzlich kann es ja nicht sein, das hilft ja nur wenn jemand am Mac sitzt und den Adminnamen nicht kennt.

Haben installierte Programme die als Standardbenutzer ausgeführt werden "weniger" Rechte als wenn ich diese Programme als Admin ausführe? Weil das wäre ja dann wirklich ein Sicherheitsvorteil von dem ich als Standardbenutzer profitiere (das Prog ist zwar drauf, kann aber nichts "böses" anrichten weil ich ja nicht als Admin angemeldet bin).

Hier mal ein Zitat aus der Hilfe von MacMark

Die OS X Admins sind jedoch für die tägliche Arbeit gemacht. Der Sicherheitsgewinn, den ein normaler Benutzer bietet, ist bei anderen Systemen groß: Man fällt von root auf normal. Bei OS X ist man jedoch als Admin schon fast "normal", nur nicht ganz.

Ich hoffe ihr stört euch nicht am x-ten Thread zu diesem Thema, die anderen waren mir aber einfach nicht schlüssig genug, bzw. in der Hälfte der Threads sagen genauso viele Leute das es keinen Unterschied macht als Admin oder Standard zu arbeiten. Ich will einfach genau wissen was mein Vorteil ist, nicht einfach das tun was die meisten Leute vorschlagen, ohne zu wissen was/ warum.

Danke und einen schönen Sonntag...

 

[the_mike]

Der Admin-Benutzer ist ein gewöhnlicher Standardnutzer mit dem Unterschied, dass er berechtigt ist "sudo" (oder was vergleichbares) zu verwenden und sich so kurzzeitig durch erneutes Eingeben seines Kennwortes erhöhte Rechte zu verschaffen.
Wenn du einen "Standarduser" anlegst, hat dieser die gleichen Rechte, nur darf er kein "sudo" verwenden, sondern muss auf einen anderen User mit entsprechenden Rechten ausweichen (Daher auch die Angabe des Benutzernamens). Er kann also mit seinem Account niemals höhere Rechte erreichen und damit nichts am System ändern.

Ein Admin-Benutzer unter Windows entspricht auf Unix hingegen dem root Account, welcher permanent über uneingeschränkte Systemrechte verfügt.

 

[Kernelpanik]

Ich sehe auch nicht wirklich eine Nachteil darin als Admin zu arbeiten. Wenn ich ein Programm installiere, schaue ich mir sowieso immer erst die Paketinhalte an. Sollte sich das Programm tief in das System eingraben verzichte ich meist darauf und suche was anderes das das gleiche kann, ausser ich kenne das Programm bereits und weiss das es ok ist. Manchmal kommen Programme auch als Pakete und verlangen das Adminkennwort, installieren dann aber nur die Applikation in /Applications. Die extrahiere ich mit Pacifist auf das Desktop OHNE Adminkennwort. Wer runtergeladene Terminalshells ausführt ist e selber schuld.

 

[DeadEye]

Windows wird nicht benutzt! Aber da ich den Namen des Admins ja kenne ist es doch dann wurscht ob ich als Admin oder als Standard arbeite. Das liegt ja dann an mir zu erkennen was ich da gerade tue.

Was ist mit dem Absatz den ich fett markiert habe, bezüglich der Programmrechte? Gibt es dazu was? Das wäre sehr interessant zu wissen.

 

[JvW]

nun, ohne alles Wissen und ohne tiefschürfende Diskussionen zum Thema Systemsicherheit:

Einen "Zweit-Benutzer" anlegen ist schon allein deshalb sinnvoll, weil man sich schließlich einen Account "versaubeuteln" kann - mit irgendwelchen Einstellungen oder Software. dann hat man immer noch einen in Reserve, der problemlos funktioniert.
Und dann sage ich ganz dumm: Der Admin ist mein "Sonntags-Konto", der Standard ist zum Arbeiten. Weil so im Zweifel das mächtigere Konto unbeschadet bleibt, falls irgendwas nicht passt.
Ich habe den Admin im "Naturzustand", keine Plugins in Safari etc, Standard-Einstellungen. Und logge mich vielleicht alle Vierteljahr mal als Admin ein.

 

[Gokoana]

... Das liegt ja dann an mir zu erkennen was ich da gerade tue. ...

Genau so ist es.

Falls Du jedoch kein Vertrauen Dir gegenüber hast, ist ein Account mit weniger Rechten ganz bestimmt sinnvoll.

 

[DeadEye]

Falls Du jedoch kein Vertrauen Dir gegenüber hast, ist ein Account mit weniger Rechten ganz bestimmt sinnvoll.

HAHAHA, ich vertraue mir schon. Ich will einfach nur die Hintergründe wissen und es nicht nur machen weil 8/ 10 AT Usern es auch machen. Wirklich interessiert mich das mit den Programmrechten, kann dazu niemand was sagen?

Auf jeden Fall schon mal Danke für eure Antworten...

 

[Kernelpanik]

Einen "Zweit-Benutzer" anlegen ist schon allein deshalb sinnvoll, weil man sich schließlich einen Account "versaubeuteln" kann - mit irgendwelchen Einstellungen oder Software. dann hat man immer noch einen in Reserve, der problemlos funktioniert.
Und dann sage ich ganz dumm: Der Admin ist mein "Sonntags-Konto", der Standard ist zum Arbeiten. Weil so im Zweifel das mächtigere Konto unbeschadet bleibt, falls irgendwas nicht passt...

Habe schon lange zwei Benutzer angelegt genau aus dem Grund, dass man einen versaubeuteln kann. Hindert mich aber keiner daran das beide Admin Rechte haben. Wenn man den Programmen nicht mehr trauen kann, die man installiert, dann ist sowieso Feierabend. Dann kannst den Computer gleich ausgeschaltet lassen.
In meinen Augen das schlimmste was ein Programm auf meinem Computer machen kann, ist Daten ohne mein Wissen abzusenden. Dafür habe ich aber LittleSnitch installiert.

 

[Gokoana]

In manchen Agenturen wird es beispielsweise so gehandhabt, da so mancher Grafiker zwar gut gestalten kann, in Bezug auf den Umgang mit dem System eine komplette Niete ist.

Um damit verbundenen Risiken aus dem Weg zu gehen, bekommen solche Leute einen Account, mit dem sie spielen, aber nichts wichtiges zerstören können und eben keinen Zugriff auf Programme haben, mit denen sie Unheil anrichten könnten.

 

[DeadEye]

Ich halte mich für kompetent genug mit meinem eigenen System vernünftig umgehen zu können. Habe ja bisher auch immer nur das Adminkonto benutzt, mir jetzt zwar einen 2. Standardaccount angelegt, möchte aber eben wissen was genau ich davon habe.

 

[JvW]

Habe schon lange zwei Benutzer angelegt genau aus dem Grund, dass man einen versaubeuteln kann. Hindert mich aber keiner daran das beide Admin Rechte haben. Wenn man den Programmen nicht mehr trauen kann, die man installiert, dann ist sowieso Feierabend. Dann kannst den Computer gleich ausgeschaltet lassen.

Stimmt, da spricht nichts weiter dagegen. So im alltäglichen Privatbetrieb, wo der Mensch an den Tasten das Admin-Spasswort sowieso kennt. Mein "Arbeitskonto" ist trotzdem Standard, das von der Liebsten ebenfalls - und es gibt noch einen "Gast" für hereinschneiende Kinder (Papa, kann ich mal ins Netz?)
Dass Arbeiten als Standard ist ohne jeden Nachteil, soweit ich das beurteilen kann. Und zumindest Neuumsteigern anempfohlen, weil man eben doch ein paar Dosen-Gewohnheiten mitbringt.

 

[Gokoana]

Ich halte mich für kompetent genug mit meinem eigenen System vernünftig umgehen zu können. Habe ja bisher auch immer nur das Adminkonto benutzt, mir jetzt zwar einen 2. Standardaccount angelegt, möchte aber eben wissen was genau ich davon habe.

Du selbst hast nichts davon, aber wenn noch jemand den Computer benutzt, ist es eventuell sinnvoll, einen solchen Account einzurichten, den jeder Nutzer mit den Programmen bestückt, die er braucht und so weiter.

 

[the_mike]

HAHAHA, ich vertraue mir schon. Ich will einfach nur die Hintergründe wissen und es nicht nur machen weil 8/ 10 AT Usern es auch machen. Wirklich interessiert mich das mit den Programmrechten, kann dazu niemand was sagen?

Auf jeden Fall schon mal Danke für eure Antworten...

Das Programm hat genau die selben Rechte wie der Benutzer der es ausführt.

Sollte es draufkommen, dass es mehr Rechte braucht kann es ganz normal auf "sudo" zurückgreifen und du wirst nach dem Kennwort gefragt, oder wenn "sudo" nicht verfügbar ist, dann halt "su" und du wirst nach Username und Kennwort gefragt.
Die Installationsroutine und diverse Einstellungstools sind genauso Programme wie die Anwendungsprogramme die du jetzt meinst und die Fragen dich ja auch nach erhöhten Rechten weils sonst nix installieren können.

Der springende Punkt ist einfach, dass ein root Account IMMER und ohne zusätzliche Abfrage ALLES machen darf (wie auch der Windows-Adminaccount) und du mit sudo immer explizit gefragt wirst. Ob sudo ("Admin"-Benutzer) oder su (Standardnutzer) hängt genau wie in #9 erwähnt damit zusammen, dass gewisse Benutzer einfach am System nichts ändern dürfen sollen und nicht mehr Sicherheit.

 

[DeadEye]

Ok, also würde ein "böses" Programm wieder nach dem Adminkennwort fragen sollte es als Admin ausgeführt werden. Weil die Kennwortabfrage habe ich immer aktiv.

 

[Gokoana]

Also haben ausgeführte Programme immer die gleichen Rechte, egal ob als Admin oder als Standardbenutzer gestartet?

Die Programme selbst haben immer die gleichen Rechte, aber möglicherweise hat nicht jeder Benutzer das Recht, die gleichen Programme zu auszuführen.

 

[the_mike]

Ja denn der Account ansich hat die selben Rechte........bis auf einen kleinen Eintrag in der Konfiguration von "sudo".

Es sei kurz angemerkt, dass ich hier jetzt allgemein von unixoiden Systemen rede, da ich primär Linux verwende.

 

[DeadEye]

Die Programme selbst haben immer die gleichen Rechte, aber möglicherweise hat nicht jeder Benutzer das Recht, die gleichen Programme zu auszuführen.

Da ich der einzige Benutzer bin ist das nicht so tragisch. Wenn dann habe ich es selbst kaputt gemacht!

 

[Gokoana]

Da ich der einzige Benutzer bin ist das nicht so tragisch. Wenn dann habe ich es selbst kaputt gemacht!

Gut. Frage geklärt, Problem gelöst.

 

[DeadEye]

Danke an alle für die schnelle Hilfe...

 

[dynabyte]

[...] Sollte ich mir also irgendwelchen Unfug aus dem Internet laden und mein iBrain abschalten, kann ich den Kram ja trotzdem installieren, die zusätzliche Eingabe des Adminnamens hat also keinen Sicherheitsvorteil. [...]

Ja, gegen eine fahrlässige oder gar bewusste Installation von Malware hilft auch kein Standardaccount. Aber für Malware, die sich unbemerkt einnisten möchte, z. B. Keylogger, kann ein Standardaccount die rettende Hürde sein.