6. Zugriffsschutzmechanismen

Größe: px
Ab Seite anzeigen:

Download "6. Zugriffsschutzmechanismen"

Transkript

1 6. Zugriffsschutzmechanismen 1

2 6. Zugriffsschutzmechanismen Mechanismen zum Zugriffsschutz werden auf verschiedenen Ebenen realisiert Hardware (Speicherschutz) Betriebssystem Programmiersprache Datenbank Middleware Mechanismen und Verfahren zur Rechteverwaltung und zur Zugriffskontrolle werden auf verschiedenen Ebenen realisiert. Angefangen mit hardwarebasierten Mechanismen über softwarebasierte Kontrollmechanismen in Betriebssystemen, sprachbasierten Mechanismen in Programmiersprachen, in Datenbanken bis zu Kontrollmechanismen in der Middleware. Nur wenn der Zugriffsschutz in allen Ebenen korrekt durchgesetzt wird, erhält man ein sicheres System. Über ungeschützte Ebenen kann ein Angreifer die Kontrolle über das gesamte System bekommen. 2

3 6.1 Speicherschutz Stellt sicher, dass ein Prozessor/Prozess als Subjekt z.b. nicht unerwünschterweise aus einer Speicherzelle lesen kann den Inhalt einer Speicherzelle ändern kann auf ein Peripheriegerät zugreifen kann Nutzt Speichermanagementmechanismen Die Aufgaben des Speicherschutzes bestehen beispielsweise darin, sicherzustellen, dass ein Prozess nicht unerwünschterweise Speicherzellen lesen oder deren Inhalt ändern kann. Außerdem muss dafür gesorgt werden, dass nicht unerlaubt auf Peripheriegeräte zugegriffen werden kann. Die Mechanismen für den Speicherschutz sind eng gekoppelt mit dem Speichermanagement für die effiziente Nutzung des Speichers, wodurch Sicherheit ohne zusätzliche Hardware zu realisieren ist. 3

4 6.1 Speicherschutz Prozessor arbeitet normalerweise im virtuellen Adressraum mit Segmentierung. Memory Management Unit (MMU) übernimmt Adressabbildung auf den physikalischen Speicher. Zugriff grundsätzlich nicht außerhalb der Segmente. Virtueller Speicher Segment Segment MMU Physikalischer Speicher Segment Ein Prozessor arbeitet normalerweise im virtuellen Adressraum, der segmentiert wird. Die Segmentierung des virtuellen Adressraums ist die Unterteilung in logisch zusammenhängende Blöcke (Segmente) beliebiger Größe. Die Speicherverwaltungseinheit (memory management unit, MMU) des Prozessors rechnet die virtuellen Adressen der Segmente auf die physikalischen Adressen im Hauptspeicher um. 4

5 6.1 Speicherschutz Segmentdeskriptoren in der MMU enthalten je ein Bit für R (read) Leserecht W (write) Schreibrecht X (execute) Ausführungsrecht Bei jedem Speicherzugriff überprüft die Hardware, ob im Deskriptor des Segments, das für den Zugriff erforderliche Rechte- Bit gesetzt ist. Segmentlänge R W X physikalische Adresse (base) MMU Ein Eintrag in der MMU für ein Segment (der Segmentdeskriptor) enthält die physische Anfangsadresse des Segments im Hauptspeicher, die Länge des Segments und Zugriffsrechte. Die Zugriffsrechte in den Segmentdeskriptoren haben je ein Bit für das Leserecht, Schreibrecht und Ausführungsrecht. Die MMU prüft die Zugriffsrechte und erzeugt gegebenenfalls eine Ausnahme. 5

6 6.1 Speicherschutz Jeder Prozess besitzt eine Segmentliste für die Segmente des Prozesses. Die Prozess-Segmentliste verweist auf die globale Segmenttabelle aller Segmente im System. R W X Segmenttabelle Physikalischer Speicher Prozess- Segmentliste physikalische Adresse (base) Länge Die Segmentliste (memory map) eines Prozesses enthält für jedes Segment des Prozesses einen Verweis in die globale Segmenttabelle. Die Segmenttabelle enthält die Deskriptoren aller Segmente im System. Solch ein Deskriptor beinhaltet wieder die Adresse des Segments im Hauptspeicher und die Segmentlänge. Darüber hinaus gibt es noch weitere Einträge, jedoch nicht die Zugriffsrechte. 6

7 6.1 Speicherschutz Beim Prozesswechsel wird die MMU gemäß der Segmentliste neu geladen (nur im privilegierten Modus möglich!) Prozess-Segmentlisten P A R W X Segmenttabelle R W X base Länge R W X MMU P B Bei einem Prozesswechsel, wird die MMU gemäß der Segmentliste neu geladen. Dies ist nur im privilegierten Modus möglich. 7

8 6.1 Speicherschutz Prozesse können in verschiedenen Betriebsmodi laufen. Systemmodus (privilegierter Modus) Privilegierte Hardwarebefehle können ausgeführt werden. Betriebssystemkern läuft im Systemmodus und verwaltet Hardware. Benutzermodus (nicht privilegierter Modus) Privilegierte Hardwarebefehle können nicht ausgeführt werden. Versuch erzeugt eine Unterbrechung (interrupt). Hardware-Architekturen bieten zur Realisierung der verschiedenen Berechtigungsstufen zum Zugriff auf Hardware-Ressourcen unterschiedliche Betriebsmodi. Meistens sind wenigstens zwei Modi realisiert, nämlich ein Systemmodus und ein Benutzermodus. Benutzerprozesse werden in der Regel im nicht privilegierten Modus ausgeführt, so dass sie keine privilegierten Hardwarebefehle ausführen können. Entsprechende Versuche lösen aufgrund der Privilegienverletzung eine Unterbrechung (interrupt) aus, die vom Betriebssystem behandelt wird. Die Verwaltung der Hardware ist Aufgabe des Betriebsystemkerns, der im privilegierten Modus läuft. 8

9 6.1 Speicherschutz Systemaufruf erzeugt eine kontrollierte Änderung der Modi durch Unterbrechung (interrupt) 1. Adressraumwechsel 2. Wechsel des Modus (privilegiert <-> nichtprivilegiert) 3. weitere Befehlsausführung an geplanter Stelle Zwischen den Modi kann durch Systemaufrufe gewechselt werden. Ein Systemaufruf eines Benutzerprozesses bewirkt eine Unterbrechung (interrupt) des Benutzerprozesses, gefolgt von einem Adressraumwechsel, einem Einsprung in den Betriebssystemkern, der mit einem Moduswechsel einhergeht. Ein Wechsel zurück in den nichtprivilegierten Modus verläuft analog. 9

10 6.1 Speicherschutz Ringschutz bietet weitere Unterteilung der Betriebsmodi Innerster Ring hat die höchsten Privilegien Äußerster Ring hat die niedrigsten Privilegien Jeder Ring hat die Privilegien der äußeren Ringe Beispiel: Pentium-Architektur hat 4 Ringe Man kann eine weitere Differenzierung zwischen den Betriebsmodi vornehmen, die über Benutzer- und Systemmodus hinausgeht. Beim Ringschutz werden die Modi ringförmig angeordnet, wobei der innerste Ring die meisten Privilegien hat und der äußerste Ring die geringsten. Jeder Ring hat Zugriff auf die Ringe mit geringeren Privilegien. 10

11 6.1 Speicherschutz Jeder Prozess läuft mit einer bestimmten Ringnummer. Jedes Segment ist mit einem Tripel (i,j,k) mit i <= j < k assoziiert. Das Intervall [i,j] gibt die Ringnummer der Prozesse an, die frei auf das Segment zugreifen können. Das Intervall [j+1,k] gibt die Ringnummer der Prozesse an, die nur über bestimmte Eintrittspunkte auf das Segment zugreifen können. Jeder Prozess im System besitzt eine Ringnummer und jedes Segment ist einem Tripel (i,j,k) zugeordnet, wobei i <= j < k. Ein Prozess darf auf ein Segment frei zugreifen, wenn seine Ringnummer im Intervall [i,j] liegt. Ein Prozess darf nur über bestimmte Eintrittspunkte auf ein Segment zugreifen, wenn seine Ringnummer im Intervall [j+1,k] liegt. 11

12 6.2 Betriebssystemschutz Für bestimmte Dateioperationen überprüft das Zugriffschutzsystem des Betriebssystems beim Zugriffswunsch eines Prozesses die Autorisierung des Prozesses den Schutzstatus der Datei die Operation und ihre Argumente und entscheidet, ob der Zugriff erlaubt wird. Beim Betriebssystemschutz wird beim Zugriff auf Dateien vom Betriebssystem überprüft, ob die gewünschte Operation auf der Datei zulässig ist oder nicht. In die Zugriffsschutzentscheidung geht die Autorisierung des Prozesses (z.b. die Benutzernummer, Rollen etc.), der Schutzstatus der Datei (z.b. Lesezugriff nur für Rolle A oder Gruppe B etc.) und die auszuführende Operation mit ihren Argumenten ein. 12

13 6.2 Betriebssystemschutz Autorisierung des Prozesses Gehört zu den Attributen eines Prozesses Steuert die Zulässigkeit von Systemaufrufen und damit den Zugriff auf Systemobjekte (z.b. Dateien). Besteht typischerweise aus Benutzernummer, Gruppennummer, Rolle... Die Autorisierung eines Prozesses ist in den Attributen des Prozesses enthalten. Diese Autorisierungsattribute entscheiden, ob Systemaufrufe und damit der Zugriff auf Systemobjekte vom Betriebssystem erlaubt wird. Typische Beispiele solche Autorisierungsattribute sind die Benutzernummer, die Gruppennummer, Rollen usw. 13

14 6.2 Betriebssystemschutz Schutzstatus von Dateien Schutzsystem kennt Menge von Rechten R Menge von Operationen O Abbildung g: O 2 R, die jeder Operation o die für die Ausführung erforderlichen Rechte g(o) zuordnet Der Schutzstatus einer Datei bestimmt, welche Autorisierungsattribute von einem Prozess verlangt werden, damit der Prozess eine Operation auf der Datei ausführen kann. Dazu hat das Schutzsystem eine Menge von Rechten, die Operationen zugewiesen werden: die Abbildung g: O 2 R weist jeder Operation o die für die Ausführung erforderlichen Rechte g(o) (required rights) zu (z.b. update erfordert Rechte read und write). 14

15 6.2 Betriebssystemschutz Das Schutzsystem enthält eine Abbildung f: A 2 R, die festlegt, welche Rechte ein Prozess mit gegebener Autorisierung a aus der Menge der Autorisierungen A der Datei hat, und damit, welche Operationen er auf der Datei ausführen darf. Ausführung von Operation o durch Prozess mit Autorisierung a erlaubt, wenn der Prozess die für o erforderlichen Rechte hat: g(o) Teilmenge von f(a) Jedem Autorisierungsattribut (z.b. einer Rolle) werden Rechte zugeordnet. Dies kann man durch eine Abbildung f: A 2 R modellieren, wobei A die Menge aller Autorisierungen ist. Ein Prozess mit einer Autorisierung a darf dann eine Operation o auf einer Datei ausführen, wenn die zum Ausführen der Operationen erforderlichen Rechte g(o) von der Autorisierung a besessen werden, d.h. wenn die Menge der erforderlichen Rechte g(o) eine Teilmenge der Rechte f(a) ist. 15

16 6.2 Betriebssystemschutz Beispiel UNIX Rechte: R ={read,write,execute} Operationen: O={ open, creat, exec, chmod, chown,...} Autorisierung: Schutzstatus einer Datei: Beispiel Windows XP Rechte R={ read, write, apend, execute,delete,...} Operationen O={ Lesen, ausführen, Ordner erstellen, Dateien erstellen,..} Autorisierung: Schutzstatus einer Datei: Im folgenden wollen wir die Betriebssysteme UNIX und Windows XP bzgl. Des Schutzsystems genauer ansehen. 16

17 UNIX Autorisierung Jeder Benutzer hat einen Namen und ist in einer benannten Benutzergruppe zugeordnet. Systemintern werden Benutzer und Gruppen durch Nummern identifiziert: UID user identifier (z.b. 0 für root) GID group identifier Prozessen und Dateien des Benutzers ist die UID zugeordnet. In UNIX besitzt jeder Benutzer einen Benutzernamen, der bis zu 8 Zeichen lang ist. Systemintern werden Benutzer über eine eindeutige 16-Bit Zahl, die user id (uid), identifiziert. Zusätzlich ist jeder Benutzer einer Gruppe zugeordnet, die mittels der group id (gid) gekennzeichnet ist. Jedem vom Benutzer gestarteten Prozess und jeder Datei, deren Eigentümer der Benutzer ist, wird dessen uid zugeordnet. Die uid des Benutzers kennzeichnet den Benutzer, in dessen Auftrag der Prozess im System aktiv ist. 17

18 UNIX Autorisierung Die UID und GID eines Benutzers werden im Eintrag des Benutzers in der /etc/passwd verwaltet. dante:x4scwh/da%pt2:123:97:dante Alighieri:/usr/dante:/bin/csh dante Benutzername X4sCwh/Da%pt2 verschlüsseltes Passwort 123 user ID 97 group ID Dante Alighieri vollständiger Benutzername /usr/dante home-verzeichnis des Benutzers /bin/sh die Shell des Benutzers UNIX verwaltet die Abbildung zwischen Benutzernamen und UIDs bzw. GIDs in der /etc/passwd Datei. Die UID ist die aktuelle Information, die das Betriebssystem zur Identifizierung eines Benutzers nutzt. 18

19 UNIX Autorisierung Zugriffsschutzentscheidungen basieren auf UID und GID, nicht auf dem Benutzernamen. root mit UID 1005 hat keine besonderen Rechte mortimer mit UID 0 hat Superuser-Rechte Benutzer sollten eine eindeutige UID haben hans:u7hj(jhx8z1zu:123:... dante:x4scwh/da%pt2:123:... hans und dante haben dieselben Rechte. Die Zugriffsschutzentscheidung in UNIX beruht auf der UID und der GID und nicht (direkt) auf dem Benutzernamen. Ein Benutzerkonto mit Benutzernamen root und UID 1005 würde keine speziellen Rechte haben, aber ein Benutzerkonto mit Benutzernamen mortimer mit UID 0 würde Superuser-Rechte besitzen. Wenn zwei Benutzer mit unterschiedlichem Benutzernamen (und unterschiedlichen Passwörtern) dieselbe UID haben, betrachtet UNIX diese als gleich. Damit können die Benutzer alle Daten des anderen lesen und manipulieren. Deshalb sollten die UIDs eindeutig für einen Benutzer sein. 19

20 UNIX Autorisierung Die Datei /etc/group enthält die Gruppen des Systems wheel: * : 0 : root, rachel users: * : 100 : vision: * : 101 : keith, melanie, janice wheel Gruppenname * Gruppen-Passwort 0 GID root,rachel Benutzer in der Gruppe Die Datei /etc/group enthält alle Gruppen des Systems mit den entsprechenden GIDs. Ein Eintrag zeigt den Gruppennamen, das Gruppenpasswort, die GID und die Benutzer in der Gruppe. Nicht alle UNIX-Versionen unterstützen Gruppenpassworte (z.b. AIX). Die users Gruppe listet nicht explizit alle Benutzer auf, da jeder Benutzer des Systems in dieser Gruppe ist. Es muss jedoch nicht notwendigerweise für jede Gruppe im System einen Eintrag in der Datei /etc/group existieren. 20

21 UNIX Autorisierung Gruppen in /etc/group sind neben der in /etc/passwd angegebenen Gruppe zusätzliche Gruppen des Benutzers /etc/passwd rachel:hzg6767&g67er:671:100:... /etc/group wheel: * : 0 : root, rachel users: * : 100 : Die Gruppen eines Benutzers in der Datei /etc/group sind neben der in /etc/passwd angegebenen Gruppe zusätzliche Gruppen des Benutzers. So ist Rachel in der Gruppe users, obwohl sie nicht als Gruppenmitglied in der /etc/group Datei auftaucht, da ihre GID den Wert 100 (d.h. den Wert für Gruppe users) hat. 21

22 UNIX Autorisierung Die Dateien /etc/passwd und /etc/group sind sicherheitsrelevant, da Zugriff auf /etc/passwd erlaubt Ändern von Passwörtern oder der GID. Zugriff auf /etc/group erlaubt Eintragen in eine Gruppe, die Zugriff auf /etc/passwd hat. Aus dem Blickwinkel der Systemsicherheit, sind die Dateien /etc/passwd und /etc/group besonders zu schützen. Wenn ein Angreifer es schafft, die /etc/passwd zu ändern, kann das Passwort jedes Benutzers geändert werden oder der Angreifer macht sich selbst zum Superuser durch Ändern der GID zu 0. Die Datei /etc/group ist ebenfalls sehr wichtig. Wenn sich ein Angreifer in die richtige Gruppe einträgt, kann er einen Zugriff auf die /etc/passwd Datei bekommen. 22

23 UNIX Autorisierung Die Identität (und somit die UID) kann gewechselt werden. Beispiel: su (substitute user) % whoami tim % su john password: ****** % whoami john Nach dem Kommando kann auf die Dateien von John zugegriffen werden, aber nicht mehr auf die von Tim. In manchen Fällen ist es sinnvoll, wenn ein Benutzer die Identität eines anderen Benutzers annimmt, d.h. die UID gewechselt wird. Wenn ich beispielsweise vor dem Rechner eines Freundes sitze und auf eine meiner Dateien zugreifen möchte, dann möchte ich lieber temporär von der Identität meines Freundes zu meiner Identität wechseln, als dass sich mein Freund erst ausloggen muss, ich mich wieder einloggen und ausloggen und mein Freund sich wieder einloggt. UNIX bietet das Wechseln der UID mit dem Kommando su. Das Kommando su erfordert das Passwort des Benutzers, zu dem man wechselt. 23

24 UNIX Autorisierung Kommando su wechselt UID (erfordert Passwort). Ändern der UID zu root für einen Passwortwechsel mit passwd (benötigt Schreibzugriff auf /etc/passwd)? Unterteilung der Benutzer-IDs in real user ID (RUID) und effective user ID (EUID). Prozesse können die EUID wechseln. Beim Kommando su wird die UID des Benutzers angenommen, zu dem gewechselt wird. Für diesen Wechsel ist das Passwort des Benutzers erforderlich. Dieses Vorgehen ist jedoch nicht immer sinnvoll. Nehmen wir als Beispiel das passwd-programm, welches die Änderung des Passwortes erlaubt. Die Änderung des Passwortes modifiziert die Datei /etc/passwd und man sollte Benutzern nicht direkten Zugriff auf diese Datei geben, da dann nicht nur das eigene Passwort geändert werden kann. Außerdem ist es, wie im Falle des Kommandos su, nicht sinnvoll, zur UID von root zu Wechseln und das root-passwort freizugeben. Daher erlaubt UNIX Programmen unter einer anderen UID zu laufen. UNIX unterteilt die UIDs daher in real user ID und effective user ID. 24

25 UNIX Autorisierung Der Kern führt für jeden Prozess zwei Benutzer-IDs: RUID (real user id) UID des Prozesserzeugers EUID (effective user id) oder setuid (set user id) UID für Zuweisen der Eigentümerschaft an neu erzeugten Dateien, UID für Schutzentscheidungen Die RUID und die EUID eines Prozesses kann durch den Aufruf eines setuid-programms gewechselt werden. Der Kern führt für jeden Prozess zwei Benuter-IDs: die reale Benutzer-ID (real user id) RUID und die effektive Benutzer-ID (effective user id bzw. setuid) EUID. Die RUID gibt den Benutzer an, der für den Ablauf des Prozesses verantwortlich ist. Die EUID wird zum Zuweisen der Eigentümerschaft an neu erzeugten Dateien, zum Prüfen von Dateizugriffsrechten und zum Prüfen auf die Berechtigung zum Senden von Signalen an Prozesse über den Systemaufruf kill verwendet. Der Kern gestattet es einem Prozess, durch Ausführen eines setuid-programmes oder durch expliziten Aufruf von setuid, seine EUID zu ändern. 25

26 UNIX Autorisierung RGID (real group id) GID des Prozesserzeugers EGID (effective group id) GID für Schutzentscheidungen Variante Solaris: zusätzlich saved -Versionen Saved UID/ Saved GID Analog gibt es eine Unterscheidung in reale Gruppen-ID und effektive Gruppen-ID. In Solaris gibt es eine dritte Form einer UID (bzw. GID): die saved UID (bzw. saved GID). In diesem Fall kann ein setuid-programm die EUID ändern, wobei sich der alte Wert in der saved UID gemerkt wird. Dies erlaubt dem System, die EUID des Benutzers zurück auf den alten Wert zu setzen. 26

27 UNIX Autorisierung setuid(uid) setgid(gid) RUID und EUID auf uid setzen Vor.: uid = RUID oder uid = EUID oder EUID = 0 RGID und EGID auf gid setzen Vor.: gid = RGID oder gid = EGID oder EUID = 0 Zugehörige (ungeschützte) Abfragen: getuid(), getgid(),... Die Funktion setuid(uid) wechselt die reale und effektive Benutzer-ID des aufrufenden Prozesses zu uid. Voraussetzung für einen Wechsel ist, dass die RUID oder die EUID des Aufrufers der als Parameter angegebenen uid entspricht oder der Aufrufer der Superuser ist. In diesem Fall werden RUID und EUID auf den Wert uid gesetzt. Setgid arbeitet in der gleichen Weise mit der RGID und EGID. 27

28 UNIX Autorisierung Variante in Solaris: Prozess hat zusätzlich saved-versionen SUID/SGID setuid(uid) EUID auf uid setzen ebenfalls RUID auf uid setzen, wenn EUID = 0 Vor.: uid = RUID oder uid = SUID oder EUID = 0 setgid(gid) EGID auf gid setzen ebenfalls RGID auf gid setzen, wenn EUID = 0 Vor.: gid = RGID oder gid = SGID oder EUID = 0 In Solaris werden zusätzlich gesicherte Versionen der UID betrachtet. Die Funktion setuid(uid) wechselt die EUID des Prozesses auf uid, wenn die RUID oder die saved UID (SUID) dem Parameter uid entspricht. Sollte der Superuser die Funktion ausführen, so wird auch die RUID auf uid gesetzt. Analog gilt gleiches für die Funktion setgid(gid) zum Wechseln der Gruppen ID. 28

29 Unix - Dateischutz Beispiel ls -l -rwxr-x x 1 mkoch inst 4711 Feb 29 12:34 test drwxr-xr-x 1 mkoch inst 505 Feb 9 13:20 Bilder r o w o x o read bit write bit execute bit r g w g x g read bit write bit execute bit r w w w x w read bit write bit execute bit für Eigner (owner) für Eignergruppe (group) für alle anderen (other, world) Der Befehl ls zeigt die Zugriffsschutzrechte (neben anderen Informationen) einer Datei an. Das erste Zeichen einer Zeile zeigt den Typ der Datei an (z.b. für normale Dateien, d für Verzeichnisse). Die nächsten 9 Zeichen eingeteilt in Gruppen von drei Zeichen geben an, wer was mit der Datei tun darf. Es gibt drei Arten von Zugriffsrechten: r ist das Recht zum Lesen, w das Recht zum Schreiben und x das Recht zum Ausführen der Datei. Die drei Gruppen stehen von links nach rechts für den Eigner der Datei, die Eignergruppe und alle anderen Benutzer im System. 29

30 Unix - Dateischutz Zeichen r w x Recht read write execute Bedeutung Die Datei kann mit dem Systemaufruf open() geöffnet werden und mit dem Systemaufruf read() gelesen werden. Die Datei kann durch eine neue überschrieben werden oder der Inhalt kann geändert werden. Es kann der Systemaufruf write() benutzt werden. Nur für Programme sinnvoll. Wenn gesetzt, kann das Programm ausgeführt werden. Wie das Programm ausgeführt wird, hängt von den ersten zwei Bytes der Datei ab (z.b.!# für ausführbare Skripte). Die genaue Bedeutung der read, write und execute Rechte für den Fall von Dateien zeigt die Tabelle der Folie. 30

31 Unix - Dateischutz Beispiel: r x franz user Mar 6 09:23 test Franz darf auf die Datei test nicht zugreifen. Mitglieder der Gruppe user dürfen nicht zugreifen. Andere Benutzer dürfen lesen und ausführen. Im obigen Beispiel ist Franz der Eigner der Datei test, aber er kann nicht auf die Datei zugreifen. Mitglieder der Gruppe user haben ebenfalls keinen Zugriff. Aber jeder andere Benutzer, der nicht Franz ist und nicht in der Gruppe user, kann die Datei lesen und ausführen. Wenn man Eigner einer Datei ist und die Zugriffrechte für den Eigner verwehren den Zugriff, ist es egal, ob man in einer Gruppe ist oder ob für den Rest der Welt der Zugriff erlaubt ist. 31

32 Unix - Dateischutz Ändern der Zugriffsrechte mit chmod chmod a+r file gibt Leserecht für alle chmod 750 file gibt die Rechte rwxr-x- - - chmod(path,mode). Vor: EUID = 0 oder EUID = uid Effekt: neuer Schutzstatus gemäß mode Die Zugriffsrechte einer Datei können durch das Kommando chmod oder den Systemaufruf chmod() geändert werden. Die Zugriffsrechte können nur vom Eigner der Datei oder vom Superuser geändert werden. 32

33 Unix - Dateischutz Oktale Zugriffsrechte Oktalzahl Zugriffsrecht Binärzahl 400 r w r w x r - x r w r - - r Mit chmod können die Zugriffsrechte auch oktal angegeben werden. Die Folie zeigt einige Beispiele. Ein Oktalwert von 400 entspricht beispielsweise der Binärzahl , da die 4 binär als 100 und die 0 binär als 000 dargestellt werden kann. Ist das Bit in der Binärzahl gesetzt, so ist das entsprechende Recht gesetzt. Im Beispiel von 400 bedeutet das die Zugriffsrechte r , d.h. Leserecht für den Eigner. 33

34 Unix - Dateischutz umask (user file-creation mode mask) zur Initialisierung des Schutzstatus bei Dateierzeugung Standardmäßig haben neue Dateien den Oktalwert 666, Programme den Oktalwert 777. umask ist eine Oktalzahl und spezifiziert die Rechte, die nicht gegeben werden sollen. Berechnung des Schutzstatus einer neu erzeugten Datei: bitweises AND aus Standdardwert und umask- Komplement. Die umask (user file-creation mode mask) ist eine vierstellige oktale Zahl, die UNIX zur Initialisierung des Schutzstatus für neu erzeugte Dateien benutzt. Jeder Prozess hat seine eigne umask, geerbt vom Vaterprozess. Die umask spezifiziert die Rechte, die nicht standarmässig gegeben werden sollen, d.h. Bits die in der umask gesetzt werden entsprechen Rechten die nicht automatisch der neuen Datei zugewiesen werden. Standardmäßig erzeugen die meisten UNIX-Versionen einen Oktalwert von 666 für neue Dateien (jeder kann die Datei lesen und schreiben). Programme werden mit 777 erzeugt (jeder kann das Programm lesen, schreiben und ausführen). Bei der Erzeugung einer Datei werden dann diese Standardwerte bzgl. des Wertes von umask modifiziert. Der Schutzstatus der neu erzeugten Datei wird dann durch ein bitweises AND vom bitweisen Komplement von umask mit dem Standardunixwert berechnet. 34

35 Unix - Dateischutz Einige Beispiele: Standardeinstellung für neue Dateien 666 umask Standardeinstellung für neue Dateien 666 umask Standardeinstellung für neue Dateien 666 umask Hat man beispielsweise eine umask mit dem Wert 022, was binär dargestellt entspricht, so ist deren bitweises Komplement die Dieses Komplement wird nun AND-veknüpft mit dem Standardwert 666, d.h , und es ergibt sich als Ergebnis , d.h Die neu erzeugte Datei hat also Lese- und Schreibrecht für den Eigner und Leserechte für die Gruppe und den Rest der Welt. 35

36 Unix - Dateischutz Der Wert für umask ist spezifiziert in.login oder.cshrc oder.profile umask Eigner Gruppe andere 000 alle alle alle 002 alle alle read, execute 007 alle alle keine 022 alle read, execute read, execute 027 alle read, execute keine 077 alle keine keine Der Wert für umask ist üblicherweise in den Dateien.login,.cshrc oder.profile gesetzt. Der Wert sollte als einer der ersten gesetzt werden, da alles vorher ausgeführte mit den Standardwerten behandelt wird. Typische Werte für umask zeigt die Tabelle. 36

37 Unix - Dateischutz Rechte auf Verzeichnissen werden etwas anders interpretiert. Zeichen r w x Recht read write execute Bedeutung Es können die Funktionen opendir() und readdir() (oder das ls-kommando) benutzt werden, um sich die Dateien im Verzeichnis anzusehen. Es können Dateien zum Verzeichnis zugefügt, entfernt und umbenannt werden. Man kann Informationen der Dateien innerhalb im Verzeichnis abfragen (mit Kommando stat), z.b. Eigner oder Dateigröße. Man kann das Verzeichnis zum aktuellen Verzeichnis machen (mit cd). Verzeichnisse werden in UNIX wie Dateien behandelt, d.h. sie haben ebenfalls die Zugriffsrechte für den Eigner, die Gruppe und den Rest. Da Verzeichnisse vom Betriebssystem jedoch etwas anders interpretiert werden, haben die Rechte eine spezielle Bedeutung, die in der obigen Tabelle gezeigt ist. 37

38 Unix - Dateischutz Um in ein Verzeichnis zu wechseln (mit cd oder chdir) braucht man das execute-recht auf dem Verzeichnis Hat man kein execute-recht, kann man auf die Dateien im Verzeichnis nicht zugreifen, selbst wenn man deren Eigner ist. Hat man das execute-recht, aber kein read-recht, so kann der Inhalt im Verzeichnis nicht angesehen werden, aber man kann Programme ausführen oder Dateien öffnen. Diese Folie zeigt einige Beispiele, die bei den Rechten für Verzeichnisse zu beachten sind. 38

39 Unix - Dateischutz Hat man das read-recht aber kein execute-recht, kann man eine Liste der Namen der Dateien im Verzeichnis erhalten, aber keine Informationen über die Dateien (z.b. Größe, Eigner etc.) % ls l conv dr franz 1024 Jul 6 04:34 conv/ % ls conv 3ps.prn bizcard.ps letter.eps % ls l conv conv/3ps.prn not found conv/bizcard.ps not found conv/letter.ps not found total 0 39

40 UNIX Dateischutz Erinnerung: Programmen kann erlaubt werden, unter einer anderen UID bzw. GID zu laufen. Ein Programm, dass seine UID ändert nennt sich Setuid-Programm, ein Prgramm, das seine GID ändert nennt sich Setgid-Programm. Jedes Programm kann Setuid- bzw. Setgid-Programm werden, indem die entsprechenden Bits für die Programmdatei gesetzt sind. Setzen der Bits: chmod 4000 file chmod 2000 file chmod 1000 file Programm ist setuid-programm Programm ist getuid-programm sticky-bit Programmen kann erlaubt werden, unter einer anderen EUID oder EGID zu laufen. Ein Programm, welches seine EUID ändert, nennt sich setuid-programm. Ein Programm, dass seine EGID ändert, nennt sich setgid-programm. Wenn ein setuid-programm ausgeführt wird, wird die EUID auf die UID des Programm-Eigners gesetzt, und benutzt nicht die UID desjenigen, der das Programm ausführt. Jedes Programm kann setuid-programm bzw. setgid- Programm werden, indem das entsprechende Bit gesetzt wird. Das Setzen der Bits kann zum Beispiel mit chmod passieren, wobei ein Oktalwert von 4xxx das setuid-bit setzt, ein Wert 2xxx das getuid-bit und 1xxx das sticky-bit (auf das wir später bei Verzeichnissen zurückkommen). 40

41 UNIX Dateischutz Zugriffsmaske s s t Recht SUID SGID sticky Bedeutung Ein Prozess, der ein setuid-programm ausführt hat die EUID des Eigners der Datei. Ein Prozess, der ein setgid-programm ausführt hat die EGID des Eigners der Datei. Vom Prozess erzeugte Dateien können die EGID-Gruppe haben. Gilt nur für Verzeichnisse. Bei der Anzeige der Datei mittels ls l sieht man dann beim execute-recht bei setuid bzw. setgid-programmen ein s anstelle eines x. Beim sticky-bit wird ein t angezeigt. Die Bedeutung der gesetzten Bits für die Datei zeigt die Tabelle. 41

42 UNIX Dateischutz Beipsiel-Ausgabe bei ls l - r w s r s r t setuid-, setgid- und sticky-bit sind gesetzt execute-rechte sind gesetzt - r w s r S - - T setuid-, setgid- und sticky-bit sind gesetzt execute-recht ist gesetzt für Eigner, aber nicht für die Gruppe und die anderen Benutzer Da das s bzw. t an der Stelle des x steht, lässt sich nicht mehr erkennen, ob das execute-recht gesetzt wurde. Deshalb unterscheidet man Groß- und Kleinbuchstaben. Verwendet man ein kleines s bzw. t, so ist das execute-recht an dieser Stelle gesetzt. Verwendet man ein großes S bzw. T, so ist das execute-recht nicht gesetzt. 42

43 UNIX Dateischutz exec(prog,...) gemäß den Dateiattributen der Programmdatei prog suid (setuid bit) sgid (setgid bit) uid (= UID des Datei-Eigners) gid (= GID einer Eigner-Gruppe) wie folgt wenn suid, dann EUID auf uid setzen wenn guid, dann EGID auf gid setzen Mit dem Systemaufruf exec können Programme ausgeführt werden. Abhängig davon, ob bei dem auszuführenden Programm das setuid- bzw. setgid-bit gesetzt wird, läuft das Programm mit der EUID (bzw. EGID) des Prozesses, der exec aufruft, oder mit der EUID (bzw. EGID) des Programm-Eigners. Ist das suid-bit gesetzt, so wird die EUID des Programm-Eigners genommen (analog für das guid-bit). 43

44 UNIX Dateischutz Beispiel ls l /bin/su -r-sr-xr-x 1 root sys Apr su Beispiel ls l /usr/bin/passwd -r-sr-sr-x 1 root sys Apr passwd Beispiele für setuid-programme sind die Kommandos su und passwd. Bei beiden ist das setuid-bit gesetzt (d.h. es gibt ein s in der Zugriffsmaske). Somit laufen die Programme bei ihrer Ausführung mit der EUID des Programmeigners, d.h. mit der EUID von root. 44

45 int main( int argc, char ** argv ) { int uid, euid, fdmjb, fdmaury; uid = getuid(); euid = geteuid(); printf("uid %d euid %d\n", uid, euid); Beispiel fdmjb = open("mjb", O_RDONLY); fdmaury = open("maury", O_RDONLY); printf("fdmjb %d fdmaury %d\n", fdmjb, fdmaury); setuid(uid); printf("after setuid(%d): uid %d euid %d\n", uid, getuid(),geteuid()); fdmjb = open("mjb", O_RDONLY); fdmaury = open("maury", O_RDONLY); printf("fdmjb %d fdmaury %d\n", fdmjb, fdmaury); setuid(euid); printf("after setuid(%d): uid %d euid %d\n", euid, getuid(), geteuid()); } Hier ein kleines C-Programm, welches die EUID mittels Systemaufruf setuid() ändert (wir benutzen die Solaris-Version mit saved UIDs). Wir nehmen an, die durch Übersetzen des Programms erzeugte ausführbare Datei hat den Besitzer maury (BenutzerID 8319) und ihr setuid-bit ist gesetzt. Ausserdem haben alle anderen Benutzer Ausführungsrecht auf der Datei. Darüberhinaus hat der Benutzer mjb (Benutzer-ID 5088) eine Datei mjb und der Benutzer maury eine Datei maury. In beiden Fällen haben die Dateien nur Leserechte für den Besitzer. Wenn mjb die Datei ausführt, gibt es etwa folgende Ausgabe: uid 5088 euid 8319 fdmjb -1 fdmaury 3 after setuid(5088): uid 5088 euid 5088 fdmjb 4 fdmaury -1 after setuid(8319): uid 5088 euid 8319 Wenn maury die Datei ausführt, sind uid und euid immer

46 UNIX Dateischutz Beispiele für Programme mit setuid-aufruf login läuft mit UID von root erfragt Benutzername und Passwort setuid-aufruf auf RUID und EUID des Benutzers ruft Shell auf, die dann unter Benutzer-UIDs läuft mkdir Nur root darf Verzeichnisse erstellen Benutzer führen Programm mkdir auf mkdir läuft mit root-rechten mkdir erzeugt Verzeichnis und ändert Eigentümer und Zugriffrechte Das login-programm, das von Benutzern beim Einloggen ins System ausgeführt wird, ist ein Beispiel eines Programms mit setuid-aufruf. Login ist ein setuid auf den Superuser und läuft daher mit der EUID des Superusers. Es erfragt vom Benutzer Name und Passwort und ruft nach entsprechenden Antworten setuid auf, um seine RUID und EUID auf die des im Login befindlichen Benutzers zu setzen. Login ruft abschließend die Shell auf, die dann mit entsprechend dem Benutzer gesetzten RUID und EUID läuft. Nur der Superuser kann ein Verzeichnis erzeugen. Um auch normalen Benutzern das Erzeugen von Verzeichnissen zu gestatten, ist das mkdir-programm ein zum Superuser gehörendes setuid-programm. Bei der Ausführung von mkdir läuft der Prozess mit den Zugriffsrechten des Superusers. Es wird ein Verzeichnis für den Benutzer erstellt und der Eigentümer und die Zugriffsrechte für den tatsächlichen Benutzer erstellt. 46

47 UNIX Dateischutz Achtung: Ein Angreifer kann unbemerkt folgende zwei Kommandos an einem unbeaufsichtigten Rechner ausführen, an dem Franz eingeloggt ist. % cp /bin/sh /tmp/break-acct % chmod 4755 /tmp/break-acct Erzeugt eine setuid-version der Shell, die mit der EUID von Franz läuft. Man sollte mit setuid-programmen jedoch vorsichtig sein, da sie einem Angreifer erlauben, auf die Dateien des Programm-Eigners zuzugreifen. Nehmen wir zum Beispiel an, Franz hat sich an einem Rechner eingeloggt und geht zum Kaffee trinken. Dann kann ein Angreifer unbemerkt die Shell von Franz in das öffentliche Temp-Verzeichnis kopieren und die Shell durch Ändern der Rechte zu einem setuid-programm machen. Danach kann sich der Angreifer an einem anderen Rechner unter seinem Namen einloggen und die Datei im Temp-Verzeichnis ausführen. Diese Datei ist dann eine Shell, die mit der EUID von Franz läuft, d.h. der Angreifer kann auf alle Dateien von Franz zugreifen. 47

48 UNIX Dateischutz SGID- und Sticky-Bit für Verzeichnisse z.b. drwxrwxrwt 34 root sys 4193 Jun 3 17:22 tmp Bit SGID sticky Effekt Wenn das SGID-Bit für das Verzeichnis gesetzt ist, haben darin erzeugte Dateien die Gruppe des Verzeichnisses, wenn der erzeugende Prozess ebenfalls diese Gruppe hat. Ist das Bit nicht gesetzt oder der Prozess ist nicht in derselben Gruppe, hat die neue Datei die EGID. Wenn das sticky-bit gesetzt ist, können Dateien nur vom Eigner der Dateien, des Eigners des Verzeichnisses oder dem Superuser umbenannt und entfernt werden. Die SGID- und Sticky-Bits haben eine besondere Bedeutung bei Verzeichnissen, wie die Folie zeigt. Ein Beispiel für ein Verzeichnis mit sticky-bit ist das tmp-verzeichnis. 48

49 Windows XP - Autorisierung Jeder Anwender bekommt bei jeder Anmeldung ein Access Token, dass für eine Session gültig ist. Access Token Enthält die Benutzer-SID und alle Gruppen-SIDs für die Gruppen des Benutzers und eine Liste von Rechten. Security Identifier (SID) Identifiziert eindeutig einen Benutzer oder eine Gruppe Die folgenden Folien zeigen den Betriebssystemschutz in Windows XP Professional. Der Anmeldeprozesses wird durch Winlogon.exe gesteuert. Winlogon.exe weist ein initiales Access Token zum Shell-Prozess des angemeldeten Benutzers zu, welches für die gesamte Session gültig ist. Alle weiteren vom Benutzer erzeugten Prozesse erben eine Kopie dieses initialen Access Tokens. Bestandteil des Access Token sind Security Identifier (SID). Ein Security Identifier ist eine Windows-interne Datenstruktur, die für die eindeutige Identifizierung von Benutzerkonten und Gruppen notwendig ist. Ein Access Token ist eine Datenstruktur, die die Benutzer-SID, SIDs für die Gruppen des Benutzers und eine Liste von Rechten auf dem lokalen Rechner enthält. Ein Access Token wird für jeden Benutzer erzeugt, der sich lokal oder entfernt auf dem Rechner einloggt. Jeder Prozess hat ein primäres Access Token (primary access token). Das Access Token repräsentiert den Sicherheitskontext für die Aktionen des Benutzers auf dem Rechner. 49

50 Windows XP - Autorisierung Prozesse und Threads benutzen Access Token zur Autorisierung. Wird das Access Token modifiziert, so muss sich der Benutzer neu einloggen, um die Änderungen wirksam zu machen. Prozesse und Threads, die für einen Benutzer laufen, benutzen das ihnen zugewiesene Access Token zur Autorisierung. Wenn ein Benutzer eine Gruppe zum Access Token hinzufügt oder Rechte (priviledges) ändert oder das Access Token in sonst einer Weise ändert, muss der Benutzer sich ausloggen und wieder einloggen, um die Änderung des Access Tokens zu aktivieren. 50

51 Windows XP - Autorisierung Access Token Struktur (vereinfacht) Token ID eindeutige Identifikation des Tokens Impersonation type ( Nachahmungs - oder Imitationstyp ) Primary oder Impersonation Token Token ID Impersonation type Impersonation level Default DACL Default Owner User SID Group SID 1 Group SID N Priviledge 1 Priviledge M Restricted SID 1 Restricted SID K Im folgenden wollen wir uns die Struktur eines Access Token genauer ansehen. Zunächst gibt es eine Token ID, welche das Access Token eindeutig identifiziert. Der Impersonation Type gibt an, ob es sich um ein Primäres Access Token oder ein Impersonation Token handelt. Impersonation Token werden verwendet, wenn Threads unter einer anderen Identität als die des Thread erzeugenden Prozesses laufen sollen. Impersonation werden wir auf einer der späteren Folien noch genauer betrachten. 51

52 Windows XP - Autorisierung Impersonation level Wert, der anzeigt, inwieweit der Sicherheitskontext des Clienten angenommen werden kann. User SID User ID des Prozesses. Die User SID wird beim Einloggen des Benutzers vom Security Account Manager (SAM) aus der Benutzerdatenbank gelesen. Group SID 1...Group SID N Gruppen-SIDs der Gruppen, zu dem der Benutzer gehört. Impersonation wird häufig in Client/Server-Szenarien angewendet, in denen der Server die Identität des Clienten übernimmt. Das Impersonation Level ist ein Wert, welcher anzeigt, in wieweit ein Server bzw. Service den Sicherheitskontext des Clienten übernehmen kann, der durch das Access Token repräsentiert ist. Der Eintrag für User ID enthält die Benutzer-SID des Benutzers, für den der Prozess läuft. Wenn sich ein Benutzer einloggt, wird die Benutzer-SID vom Security Account Manager (SAM) aus der Benutzerdatenbank geladen. Das Access Token kann eine Menge von Gruppen SIDs besitzen, in denen der Benutzer Mitglied ist. 52

53 Windows XP - Autorisierung SID Attribute Benutzer- und Gruppen-SIDs können eines der zwei Attribute haben: SE_GROUP_ENABLED: SID wird zur Zugriffsschutzentscheidung verwendet. SE_GROUP_USE_FOR_DENY_ONLY System sucht nach Einträgen, die den Zugriff verbieten. Ignoriert Einträge, die den Zugriff erlauben. Attribute schließen sich gegenseitig aus. Ist keins der beiden Attribute gesetzt, wird die SID ignoriert. Jede Benutzer- oder Gruppen-SID im Access Token kann eine der folgenden zwei Attribute haben, die kontrollieren, wie das System die SID bei der Zugriffsschutzentscheidung verwendet. SE_GROUP_ENABLED: Eine SID mit diesem Attribut wir für die Zugriffsschutzentscheidung verwendet. Wenn das System eine Zugriffsschutzentscheidung durchführt, so wird nach Access Control Entries (ACEs) für diese SID gesucht. SE_GROUP_USE_FOR_DENY_ONLY: Wenn das System eine Zugriffsüberprüfung durchführt, sucht das System nach ACEs, die den Zugriff verbieten und ignoriert ACEs, die den Zugriff für die SID erlauben. Die beiden Attribute schließen sich gegenseitig aus, d.h. nur eins kann gesetzt sein. Ist keines der beiden Attribute gesetzt, wird die SID für die Zugriffsschutzentscheidung ignoriert. 53

54 Windows XP - Autorisierung Default DACL (siehe ) Vordefinierte DACL für Objekte, falls der Benutzer nicht explizite Zugriffsschutzinformationen angibt. Gibt vollen Zugriff für den Eigner und das System. Default Owner Benutzer- oder Gruppen-SID die standardmäßig für neu erzeugte Dateien benutzt wird. Restricted SID 1...Restricted SID K SIDs zur Konstruktion von Restricted Tokens. Restricted SIDs werden zusätzlich zur Zugriffsentscheidung betrachtet. Die Default DACL (Discretionary Access Control List) spezifiziert eine Menge von Zugriffsrechten, die das System allen vom Benutzer erzeugten Objekten zuweist, wenn keine anderen Zugriffsschutzinformationen vorhanden sind. Die Default DACL gibt volle Zugriffrechte für den Eigner des Objektes und das System. Der Eintrag für Default Owner enthält die SID des Benutzers oder der Gruppe, die standardmäßig für neu erzeugte Dateien verwendet wird. Die Restricted SIDs sind eine optionale Liste von SIDs, die zum Erzeugen eines eingeschränkten Access Token benutzt werden können. Restricted SIDs schränken die Zugriffsmöglichkeiten auf ein Maß ein, welches schwächer als die Zugriffsmöglichkeiten des Benutzers sind. 54

55 Windows XP - Autorisierung Priviledge (Privilegien, Rechte) Sind eine Autorisierung zur Ausführung einer Operation auf Objekten. Standardmäßig ist jedem Prozess das Privileg zugeordnet, den Zugriff auf seine Objekte zu erlauben oder zu verbieten. Alle anderen Privilegien müssen zugewiesen werden und können wieder entzogen werden. Zum Zugriff auf Objekte (wie Dateien) betrachtet Windows Rechte (rights oder priviledges). Ein Recht ist eine Autorisierung eines Prozesses zur Ausführung einer Operation. In Windows XP ist nur ein Recht standardmäßig jedem Prozess zugeordnet: das Recht den Zugriff auf Ressourcen zu erlauben oder zu verbieten, die einem gehören. Alle anderen Rechte müssen zugewiesen werden und dürfen auch wieder entzogen werden. 55

56 Windows XP - Autorisierung Beispiele von Privilegien SeTcbPrivilege Erlaubt einem Prozess die Identität jedes Benutzers anzunehmen und somit Zugriff auf dessen Ressourcen zu bekommen. SeBackupPrivilege Erlaubt einem Benutzer ein Backup von Daten, selbst wenn der Benutzer keine Zugriffrechte auf die Daten hat. SeChangeNotifyPrivilege Erlaubt einem Benutzer die Navigation durch Verzeichnisse, selbst wenn er keinen Zugriff auf alle Pfadobjekte hat. Erlaubt jedoch nicht das Anzeigen der Verzeichnisse. Um die Sicherheitsadministration zu erleichtern, sollten Privilegien eher an Gruppen als an einzelne Benutzer vergeben werden. Die Privilegien einer Gruppe werden automatisch an alle Mitglieder der Gruppe vergeben. Mögliche Privilegien mit entsprechender Beschreibung zeigen die folgenden Folien. 56

57 Windows XP - Autorisierung SeCreateTokenPrivilege Erlaubt einem Prozess ein Access Token zu erstellen (z.b. mit NtCreateToken()) SeDebugPrivilege Erlaubt einem Benutzer einen Debugger für Prozesse zu nehmen. Dies ermöglicht den Zugriff auf Betriebssystemkomponenten. SeRemoteShutdownPrivilege Erlaubt einem Benutzer, den Rechner entfernt herunterzufahren. 57

58 Windows XP - Autorisierung SeSystemEnvironmentPrivilege Erlaubt die Modifikation von Systemvariablen durch einen Prozess durch Nutzen der API oder durch den Benutzer über System Properties. SeAssignPrimaryTokenPrivilege Erlaubt einem Vaterprozess das Access Token von Kindprozessen zu wechseln. SeShutdownPrivilege Erlaubt den Rechner lokal herunterzufahren 58

59 Windows XP - Autorisierung SeSynchAgentPrivilege Erlaubt einem Prozess alle Dateien eines Verzeichnisses und die Verzeichniseigenschaften zu lesen, unabhängig vom Schutzzustand. SeTakeOwnershipPrivilege Erlaubt einem Benutzer Eigner jedes Systemobjekts zu werden (z.b. NTFS-Dateien und -Verzeichnisse, Drucker, Registry Keys, Prozesse, Threads) 59

60 Windows XP - Autorisierung Impersonation (Nachahmung, Imitation) Erlaubt Servern unter dem Sicherheitskontext von Clienten zu agieren, um Sicherheitsüberprüfungen bzgl. des Clienten zu treffen. Erlaubt Threads in einem anderen Sicherheitskontext zu laufen, als der Prozess, zu dem der Thread gehört. Beispiel: Ein File-Server schützt die Dateien mit einer Access Control List. Um zu verhindern, das Clienten unautorisiert auf Dateien zugreifen, nimmt der Server die Identität des Clienten an, bevor auf die Dateien zugegriffen wird. Es gibt zwei Arten von Access Tokens: Primary Access Token und Impersonation Access Token. Jeder Prozess hat ein primäres Access Token welches den Sicherheitskontext des Benutzers beschreibt, dem der Prozess zugeordnet ist. Access Token sind typischerweise Prozessen zugeordnet. Impersonation Access Token werden typischerweise in Client/Server- Szenarien angewendet. Impersonation Access Token erlauben einem Thread in einem anderen Sicherheitskontext zu laufen, als der Sicherheitskontext des Prozesses, zu dem der Thread gehört. Impersonation erlaubt einem Prozess somit seinen Sicherheitskontext (seine Rechte, Benutzer-SID und Gruppen-IDs) zu wechseln, z.b. wenn ein Server auf Ressourcen im Auftrag eines Clienten zugreift. In diesem Fall erlaubt der Impersonation-Mechanismus dem Server-Prozess den Sicherheitskontext des Clienten zu benutzen, der die entsprechende Operation aufgerufen hat. 60

61 Windows XP - Autorisierung Server erzeugt Thread, um Client- Anfrage zu bearbeiten. Thread wird ein Impersonation Access Token zugeordnet, welches den Clienten identifiziert. Impersonation Token hat die SID des Clienten, dessen Gruppen und Rechte. Impersonation Token wird zur Zugriffsentscheidung verwendet. Der Ablauf des Impersonation-Mechanismus ist wie folgt: Wenn der Server einen Clienten akzeptiert hat, erzeugt er einen Thread, um den Service für die Client-Anfrage zu bearbeiten. Diesem Thread wird das Client Access Token zugeordnet. Das Client Access Token ist ein Impersonation Token, welches den Clienten identifiziert, seine Gruppen und seine Rechte/Privilegien enthält. Die Informationen im Impersonation Token werden vom System für die Zugriffsschutzentscheidung herangezogen, wenn der Thread auf Ressourcen zugreifen will. 61

62 Windows XP - Autorisierung Impersonation Level Client bestimmt beim Aufruf des Service, inwieweit der Server unter seiner Identität agieren darf. Impersonation Level Anonymous Identify Beschreibung Der Client ist für den Server anonym. Der Server kann unter der Identität des Clienten laufen, aber das Impersonation Token enthält keine Informationen über den Clienten. Der Server kann die Identität des Clienten erfahren und kann diese Information in eigenen Sicherheitsmechanismen benutzen. Der Server kann jedoch nicht unter der Identität des Clienten agieren. Ein Client kann bestimmen, inwieweit es einem Server möglich ist, unter der Identität des Clienten zu agieren, indem der Client ein Impersonation Level wählt, wenn der Client den Service aufruft. Das Impersonation Level sagt also, inwieweit es der Client dem Server erlaubt, der Client zu sein. Die Tabelle der Folie (und der nächsten Folie) zeigt die verschiedenen Level. 62

63 Windows XP - Autorisierung Impersonation Level Impersonate Delegate Beschreibung Der Server kann unter der Identität des Clienten laufen. Der Service kann unter der Identität des Clienten auf dem Rechner agieren, auf dem der Service läuft und ebenfalls wenn der Service auf Ressourcen anderer Rechner zugreift. 63

64 Windows XP - Autorisierung Das Impersonation Level Delegate ist nur möglich, wenn 1. Client, Service und mögliche Backend-Services laufen mit Windows-Versionen, die Kerberos- Authentifizierung unterstützen. 2. Der Client erlaubt Delegation. 3. Der Service erlaubt Delegation. Impersonation für das Level Delegate ist nur unter folgenden Bedingungen möglich: Die Rechner, auf denen der Client, der Service und alle Prozesse für Backend-Services laufen, müssen eine Windows-Version laufen haben, die Kerberos-Authentifizierung unterstützt (z.b. Windows 2000, XP). Der Client muss Delegation erlauben. Der Service muss Delegation erlauben. 64

65 Windows XP - Autorisierung Restricted Token Primary oder Impersonation Access Token, welches mit der Funktion CreateRestrictedToken modifiziert wurde. Kann dazu benutzt werden, einen Kindprozess mit eingeschränkten Rechten laufen zu lassen. Beispiel: Web-Client führt Code von nicht vertrauenswürdiger Web-Seite nur mit eingeschränkten Rechten aus (nicht möglich im MS IE 5.0 und älter) Ein Restricted Token ist ein Primary oder Impersonation Token, welches mittels der Funktion CreateRestrictedToken modifiziert wurde. Ein Prozess oder Thread, welcher im Sicherheitskontext eines Restricted Token läuft, ist in seiner Möglichkeit auf Objekte zuzugreifen eingeschränkt. Eine Anwendung kann einen Kindprozess in einem eingeschränkten Sicherheitskontext starten, so dass der Kindprozess einen eingeschränkten Zugriff auf Ressourcen hat. Ein Beispiel sind Web Clienten, die eine Web Seite in einer nicht vertrauenswürdigen Umgebung anzeigen und mit dieser Web Seite assoziierten Code mit geringeren Rechten ablaufen lassen können, als der Benutzer eigentlich hat (diese Möglichkeit wird vom Microsoft Internet Explorer Version 5.0 und älter jedoch nicht benutzt). 65

66 Windows XP - Autorisierung Restricted Token werden erzeugt durch - entfernen von Privilegien - setzen des deny-only-attributes - hinzufügen von Restricted SIDs Restricted Token werden erzeugt durch das Entfernen von Privilegien, durch Setzen des denyonly Attributes für die SIDs oder durch Hinzufügen einer Liste von eingeschränkten SIDs (restricted SIDs) zum Access Token. 66

67 Windows XP - Dateischutz Schutzstatus von Dateien wird durch Security Descriptor beschrieben. Security Descriptor Wird einem Objekt (z.b. Datei) zugeordnet. Identifiziert den Eigner des Objekts durch Benutzer-SID. Kann Discretionary Access Control List (DACL) mit SIDs der Benutzer und Gruppen enthalten, für die Zugriff erlaubt oder verboten wird (ausgedrückt durch Permissions). Der Schutzstatus einer Datei in Windows XP wird mittels eines Security Descriptors beschrieben. Ein Security Descriptor ist eine Datenstruktur, die einem zu schützenden Objekt zugeordnet ist. Der Security Descriptor identifiziert den Eigner eines Objekts durch die SID. Wenn für das Objekt Zugriffsrechte definiert sind, enthält der Security Descriptor eine Discretionary Access Control List (DACL) mit SIDs für die Benutzer und Gruppen für die der Zugriff geregelt wird. 67

4 Zugriffsschutz. soll unerwünschte Zugriffe von Subjekten auf Objekte verhindern. (access protection, access control) Beispiele:

4 Zugriffsschutz. soll unerwünschte Zugriffe von Subjekten auf Objekte verhindern. (access protection, access control) Beispiele: 4 Zugriffsschutz (access protection, access control) soll unerwünschte Zugriffe von Subjekten auf Objekte verhindern Beispiele: Prozessor überschreibt Speicherzelle: CLEAR 0 Benutzer erweitert Paßwortdatei:

Mehr

4.2 Autorisierung eines Prozesses

4.2 Autorisierung eines Prozesses 4.2 Autorisierung eines Prozesses - auch Sicherheitsprofil, Autorisierungsprofil, Privilegierung - (authorization, privileges, credentials)! Autorisierung nicht mit Authentisierung verwechseln! gehört

Mehr

Benutzer- und Rechte-Verwaltung Teil 3

Benutzer- und Rechte-Verwaltung Teil 3 Benutzer- und Rechte-Verwaltung Teil 3 Linux-Kurs der Unix-AG Benjamin Eberle 09. Juni 2015 Datei- und Verzeichnis-Besitzer Dateien und Verzeichnisse gehören einem Benutzer und einer Gruppe Besitzer wird

Mehr

Step by Step Webserver unter Windows Server 2003. von Christian Bartl

Step by Step Webserver unter Windows Server 2003. von Christian Bartl Step by Step Webserver unter Windows Server 2003 von Webserver unter Windows Server 2003 Um den WWW-Server-Dienst IIS (Internet Information Service) zu nutzen muss dieser zunächst installiert werden (wird

Mehr

Gibt Daten im erweiterten Format aus. Dies beinhaltet die Angabe von Zugriffsrechten, Besitzer, Länge, Zeitpunkt der letzten Änderung und mehr.

Gibt Daten im erweiterten Format aus. Dies beinhaltet die Angabe von Zugriffsrechten, Besitzer, Länge, Zeitpunkt der letzten Änderung und mehr. ls [optionen] [namen]: ls zeigt den Inhalt von Verzeichnissen. Sind keine namen angegeben, werden die Dateien im aktuellen Verzeichnis aufgelistet. Sind eine oder mehrere namen angegeben, werden entweder

Mehr

Benutzer- und Rechte-Verwaltung Teil 3

Benutzer- und Rechte-Verwaltung Teil 3 Benutzer- und Rechte-Verwaltung Teil 3 Linux-Kurs der Unix-AG Sebastian Weber 20. Dezember 2013 Datei- und Verzeichnis-Besitzer jeder Datei und jedem Verzeichnis ist ein Besitzer und eine Gruppe zugeordnet

Mehr

Benutzer und Rechte Teil 1

Benutzer und Rechte Teil 1 Benutzer und Rechte Teil 1 Linux-Kurs der Unix-AG Zinching Dang 19. November 2012 Wozu verschiedene Benutzer? (1) Datenschutz mehrere Benutzer pro Rechner, insbesondere auf Server-Systemen unterschiedliche

Mehr

Benutzer, Gruppen, Zugriffsrechte

Benutzer, Gruppen, Zugriffsrechte Benutzer, Gruppen, Zugriffsrechte Einschränkungen von Rechten an Dateien für bestimmte Benutzer oder Gruppen hat den Vorteil, dass das die entsprechenden Daten viel stärker vor unbefugtem Zugriff geschützt

Mehr

UNIX Dateirechte. Michael Hartmann. 7. Oktober 2015. Linux User Group Augsburg

UNIX Dateirechte. Michael Hartmann. 7. Oktober 2015. Linux User Group Augsburg UNIX Dateirechte Michael Hartmann Linux User Group Augsburg 7. Oktober 2015 Sicherheitskonzept Wie funktioniert eigentlich Sicherheit auf Computern? Sicherheitskonzept https://de.wikipedia.org/wiki/ring_%28cpu%29

Mehr

SFTP SCP - Synology Wiki

SFTP SCP - Synology Wiki 1 of 6 25.07.2009 07:43 SFTP SCP Aus Synology Wiki Inhaltsverzeichnis 1 Einleitung 1.1 Grundsätzliches 2 Voraussetzungen 2.1 Allgemein 2.2 für SFTP und SCP 3 Installation 3.1 Welche openssl Version 3.2

Mehr

Ordner Berechtigung vergeben Zugriffsrechte unter Windows einrichten

Ordner Berechtigung vergeben Zugriffsrechte unter Windows einrichten Ordner Berechtigung vergeben Zugriffsrechte unter Windows einrichten Was sind Berechtigungen? Unter Berechtigungen werden ganz allgemein die Zugriffsrechte auf Dateien und Verzeichnisse (Ordner) verstanden.

Mehr

Tutorial - www.root13.de

Tutorial - www.root13.de Tutorial - www.root13.de Netzwerk unter Linux einrichten (SuSE 7.0 oder höher) Inhaltsverzeichnis: - Netzwerk einrichten - Apache einrichten - einfaches FTP einrichten - GRUB einrichten Seite 1 Netzwerk

Mehr

INDEX. Öffentliche Ordner erstellen Seite 2. Offline verfügbar einrichten Seite 3. Berechtigungen setzen Seite 7. Öffentliche Ordner Offline

INDEX. Öffentliche Ordner erstellen Seite 2. Offline verfügbar einrichten Seite 3. Berechtigungen setzen Seite 7. Öffentliche Ordner Offline Öffentliche Ordner Offline INDEX Öffentliche Ordner erstellen Seite 2 Offline verfügbar einrichten Seite 3 Berechtigungen setzen Seite 7 Erstelldatum 12.08.05 Version 1.1 Öffentliche Ordner Im Microsoft

Mehr

4D Server v12 64-bit Version BETA VERSION

4D Server v12 64-bit Version BETA VERSION 4D Server v12 64-bit Version BETA VERSION 4D Server v12 unterstützt jetzt das Windows 64-bit Betriebssystem. Hauptvorteil der 64-bit Technologie ist die rundum verbesserte Performance der Anwendungen und

Mehr

Folgende Einstellungen sind notwendig, damit die Kommunikation zwischen Server und Client funktioniert:

Folgende Einstellungen sind notwendig, damit die Kommunikation zwischen Server und Client funktioniert: Firewall für Lexware professional konfigurieren Inhaltsverzeichnis: 1. Allgemein... 1 2. Einstellungen... 1 3. Windows XP SP2 und Windows 2003 Server SP1 Firewall...1 4. Bitdefender 9... 5 5. Norton Personal

Mehr

.htaccess HOWTO. zum Schutz von Dateien und Verzeichnissen mittels Passwortabfrage

.htaccess HOWTO. zum Schutz von Dateien und Verzeichnissen mittels Passwortabfrage .htaccess HOWTO zum Schutz von Dateien und Verzeichnissen mittels Passwortabfrage Stand: 21.06.2015 Inhaltsverzeichnis 1. Vorwort...3 2. Verwendung...4 2.1 Allgemeines...4 2.1 Das Aussehen der.htaccess

Mehr

Adminer: Installationsanleitung

Adminer: Installationsanleitung Adminer: Installationsanleitung phpmyadmin ist bei uns mit dem Kundenmenüpasswort geschützt. Wer einer dritten Person Zugriff auf die Datenbankverwaltung, aber nicht auf das Kundenmenü geben möchte, kann

Mehr

Er musste so eingerichtet werden, dass das D-Laufwerk auf das E-Laufwerk gespiegelt

Er musste so eingerichtet werden, dass das D-Laufwerk auf das E-Laufwerk gespiegelt Inhaltsverzeichnis Aufgabe... 1 Allgemein... 1 Active Directory... 1 Konfiguration... 2 Benutzer erstellen... 3 Eigenes Verzeichnis erstellen... 3 Benutzerkonto erstellen... 3 Profil einrichten... 5 Berechtigungen

Mehr

Kleines Handbuch zur Fotogalerie der Pixel AG

Kleines Handbuch zur Fotogalerie der Pixel AG 1 1. Anmelden an der Galerie Um mit der Galerie arbeiten zu können muss man sich zuerst anmelden. Aufrufen der Galerie entweder über die Homepage (www.pixel-ag-bottwartal.de) oder über den direkten Link

Mehr

Universal Dashboard auf ewon Alarmübersicht auf ewon eigener HTML Seite.

Universal Dashboard auf ewon Alarmübersicht auf ewon eigener HTML Seite. ewon - Technical Note Nr. 003 Version 1.2 Universal Dashboard auf ewon Alarmübersicht auf ewon eigener HTML Seite. Übersicht 1. Thema 2. Benötigte Komponenten 3. Downloaden der Seiten und aufspielen auf

Mehr

Benutzer und Rechte Teil 1, Paketverwaltung, SSH

Benutzer und Rechte Teil 1, Paketverwaltung, SSH Benutzer und Rechte Teil 1, Paketverwaltung, SSH Linux-Kurs der Unix-AG Benjamin Eberle 26. Mai 2015 Wozu verschiedene Benutzer? (1) Datenschutz mehrere Benutzer pro Rechner, insbesondere auf Server-Systemen

Mehr

LPT1 Anschluss mit PCMCIA Karte

LPT1 Anschluss mit PCMCIA Karte 1. Allgemeines LPT1 Anschluss mit PCMCIA Karte verwendete Hardware: Lenze PC Systembusadapter EMF 2173-V003 PCMCIA Karte Firma QUATECH Typ SPP-100 Auf die Installation der PCMCIA Karte wird hier nicht

Mehr

Benutzerkonto unter Windows 2000

Benutzerkonto unter Windows 2000 Jeder Benutzer, der an einem Windows 2000 PC arbeiten möchte, braucht dazu ein Benutzerkonto. Je nach Organisation des Netzwerkes, existiert dieses Benutzerkonto auf der lokalen Workstation oder im Active

Mehr

Version 1.0 [Wiederherstellung der Active Directory] Stand: 11.01.10. Professionelle Datensicherung mit SafeUndSave.com. Beschreibung.

Version 1.0 [Wiederherstellung der Active Directory] Stand: 11.01.10. Professionelle Datensicherung mit SafeUndSave.com. Beschreibung. Version 1.0 [] Stand: 11.01.10 Beschreibung Safe und Save WWS2000 durch den Verzeichniswiederherstellungsmodus Seite 1 von 9 Version 1.0 [] Stand: 11.01.10 1. HISTORIE... 3 2. EINLEITUNG... 4 3. VORAUSSETZUNGEN...

Mehr

FTP-Server einrichten mit automatischem Datenupload für SolarView@Fritzbox

FTP-Server einrichten mit automatischem Datenupload für SolarView@Fritzbox FTP-Server einrichten mit automatischem Datenupload für SolarView@Fritzbox Bitte beachten: Der im folgenden beschriebene Provider "www.cwcity.de" dient lediglich als Beispiel. Cwcity.de blendet recht häufig

Mehr

5 Speicherverwaltung. bs-5.1 1

5 Speicherverwaltung. bs-5.1 1 5 Speicherverwaltung bs-5.1 1 Pufferspeicher (cache) realer Speicher Primärspeicher/Arbeitsspeicher (memory) Sekundärspeicher/Hintergrundspeicher (backing store) (Tertiärspeicher/Archivspeicher) versus

Mehr

Benutzerverwaltung mit Zugriffsrechteverwaltung (optional)

Benutzerverwaltung mit Zugriffsrechteverwaltung (optional) Benutzerverwaltung mit Zugriffsrechteverwaltung (optional) Mit der Zugriffsrechteverwaltung können Sie einzelnen Personen Zugriffsrechte auf einzelne Bereiche und Verzeichnisse Ihrer Internetpräsenz gewähren.

Mehr

Inhalt. 1 Einleitung AUTOMATISCHE DATENSICHERUNG AUF EINEN CLOUDSPEICHER

Inhalt. 1 Einleitung AUTOMATISCHE DATENSICHERUNG AUF EINEN CLOUDSPEICHER AUTOMATISCHE DATENSICHERUNG AUF EINEN CLOUDSPEICHER Inhalt 1 Einleitung... 1 2 Einrichtung der Aufgabe für die automatische Sicherung... 2 2.1 Die Aufgabenplanung... 2 2.2 Der erste Testlauf... 9 3 Problembehebung...

Mehr

Guide DynDNS und Portforwarding

Guide DynDNS und Portforwarding Guide DynDNS und Portforwarding Allgemein Um Geräte im lokalen Netzwerk von überall aus über das Internet erreichen zu können, kommt man um die Themen Dynamik DNS (kurz DynDNS) und Portweiterleitung(auch

Mehr

Migration NVC 5.x auf NEM/NPro (Migration eines bestehenden, produktiven NVC Verteilservers auf NEM/NPro)

Migration NVC 5.x auf NEM/NPro (Migration eines bestehenden, produktiven NVC Verteilservers auf NEM/NPro) Migration NVC 5.x auf NEM/NPro (Migration eines bestehenden, produktiven NVC Verteilservers auf NEM/NPro) 1. Vorbereitung/Hinweise Norman Endpoint Manager und Norman Endpoint Protection (NEM/NPro) kann

Mehr

Zugriff auf OWA Auf OWA kann über folgende URLs zugegriffen werden:

Zugriff auf OWA Auf OWA kann über folgende URLs zugegriffen werden: Anleitung zur Installation der Exchange Mail Lösung auf Android 2.3.5 Voraussetzung für die Einrichtung ist ein vorliegender Passwortbrief. Wenn in der folgenden Anleitung vom Extranet gesprochen wird

Mehr

Berechtigungen im Kalender Anleitung für die Rechtevergabe im Outlook Kalender 2010. FHNW, Services, ICT

Berechtigungen im Kalender Anleitung für die Rechtevergabe im Outlook Kalender 2010. FHNW, Services, ICT Berechtigungen im Kalender Anleitung für die Rechtevergabe im Outlook Kalender 2010 FHNW, Services, ICT Windisch, März 2013 Berechtigungen im Kalender 1 1 Gruppen 3 1.1 Die Gruppe/der Benutzer Standard

Mehr

Datensicherung. Beschreibung der Datensicherung

Datensicherung. Beschreibung der Datensicherung Datensicherung Mit dem Datensicherungsprogramm können Sie Ihre persönlichen Daten problemlos Sichern. Es ist möglich eine komplette Datensicherung durchzuführen, aber auch nur die neuen und geänderten

Mehr

SafeRun-Modus: Die Sichere Umgebung für die Ausführung von Programmen

SafeRun-Modus: Die Sichere Umgebung für die Ausführung von Programmen SafeRun-Modus: Die Sichere Umgebung für die Ausführung von Programmen Um die maximale Sicherheit für das Betriebssystem und Ihre persönlichen Daten zu gewährleisten, können Sie Programme von Drittherstellern

Mehr

Seite 1 von 14. Cookie-Einstellungen verschiedener Browser

Seite 1 von 14. Cookie-Einstellungen verschiedener Browser Seite 1 von 14 Cookie-Einstellungen verschiedener Browser Cookie-Einstellungen verschiedener Browser, 7. Dezember 2015 Inhaltsverzeichnis 1.Aktivierung von Cookies... 3 2.Cookies... 3 2.1.Wofu r braucht

Mehr

Installation des Authorware Webplayers für den Internet Explorer unter Windows Vista

Installation des Authorware Webplayers für den Internet Explorer unter Windows Vista Installation des Authorware Webplayers für den Internet Explorer unter Windows Vista Allgemeines: Bitte lesen Sie sich diese Anleitung zuerst einmal komplett durch. Am Besten, Sie drucken sich diese Anleitung

Mehr

Novell Client. Anleitung. zur Verfügung gestellt durch: ZID Dezentrale Systeme. Februar 2015. ZID Dezentrale Systeme

Novell Client. Anleitung. zur Verfügung gestellt durch: ZID Dezentrale Systeme. Februar 2015. ZID Dezentrale Systeme Novell Client Anleitung zur Verfügung gestellt durch: ZID Dezentrale Systeme Februar 2015 Seite 2 von 8 Mit der Einführung von Windows 7 hat sich die Novell-Anmeldung sehr stark verändert. Der Novell Client

Mehr

Einrichtung des Cisco VPN Clients (IPSEC) in Windows7

Einrichtung des Cisco VPN Clients (IPSEC) in Windows7 Einrichtung des Cisco VPN Clients (IPSEC) in Windows7 Diese Verbindung muss einmalig eingerichtet werden und wird benötigt, um den Zugriff vom privaten Rechner oder der Workstation im Home Office über

Mehr

Um dies zu tun, öffnen Sie in den Systemeinstellungen das Kontrollfeld "Sharing". Auf dem Bildschirm sollte folgendes Fenster erscheinen:

Um dies zu tun, öffnen Sie in den Systemeinstellungen das Kontrollfeld Sharing. Auf dem Bildschirm sollte folgendes Fenster erscheinen: Einleitung Unter MacOS X hat Apple die Freigabe standardmäßig auf den "Public" Ordner eines Benutzers beschränkt. Mit SharePoints wird diese Beschränkung beseitigt. SharePoints erlaubt auch die Kontrolle

Mehr

www.internet-einrichten.de

www.internet-einrichten.de E-Mail-Programme E-Mail Adresse einrichten Bei t-online, AOL, Compuserve, und anderen können Sie sich E-Mail-Adressen einrichten. Dies hat aber den Nachteil, dass Sie diese nur mit der entsprechenden Zugangssoftware

Mehr

Windows 8 Lizenzierung in Szenarien

Windows 8 Lizenzierung in Szenarien Windows 8 Lizenzierung in Szenarien Windows Desktop-Betriebssysteme kommen in unterschiedlichen Szenarien im Unternehmen zum Einsatz. Die Mitarbeiter arbeiten an Unternehmensgeräten oder bringen eigene

Mehr

Live Update (Auto Update)

Live Update (Auto Update) Live Update (Auto Update) Mit der Version 44.20.00 wurde moveit@iss+ um die Funktion des Live Updates (in anderen Programmen auch als Auto Update bekannt) für Programm Updates erweitert. Damit Sie auch

Mehr

SANDBOXIE konfigurieren

SANDBOXIE konfigurieren SANDBOXIE konfigurieren für Webbrowser und E-Mail-Programme Dies ist eine kurze Anleitung für die grundlegenden folgender Programme: Webbrowser: Internet Explorer, Mozilla Firefox und Opera E-Mail-Programme:

Mehr

Installationshinweise BEFU 2014

Installationshinweise BEFU 2014 Installationshinweise BEFU 2014 Allgemeines BEFU 2014 läuft unter dem Betriebssystem Windows XP, Vista, 7, 8. Für BEFU 2014 wird als Entwicklungsumgebung Access (32-Bit) verwendet. Es werden zum Download

Mehr

Online-Prüfungs-ABC. ABC Vertriebsberatung GmbH Bahnhofstraße 94 69151 Neckargemünd

Online-Prüfungs-ABC. ABC Vertriebsberatung GmbH Bahnhofstraße 94 69151 Neckargemünd Online-Prüfungs-ABC ABC Vertriebsberatung GmbH Bahnhofstraße 94 69151 Neckargemünd Telefon Support: 0 62 23 / 86 55 55 Telefon Vertrieb: 0 62 23 / 86 55 00 Fax: 0 62 23 / 80 55 45 (c) 2003 ABC Vertriebsberatung

Mehr

2. Die eigenen Benutzerdaten aus orgamax müssen bekannt sein

2. Die eigenen Benutzerdaten aus orgamax müssen bekannt sein Einrichtung von orgamax-mobil Um die App orgamax Heute auf Ihrem Smartphone nutzen zu können, ist eine einmalige Einrichtung auf Ihrem orgamax Rechner (bei Einzelplatz) oder Ihrem orgamax Server (Mehrplatz)

Mehr

Tapps mit XP-Mode unter Windows 7 64 bit (V2.0)

Tapps mit XP-Mode unter Windows 7 64 bit (V2.0) Tapps mit XP-Mode unter Windows 7 64 bit (V2.0) 1 Einleitung... 2 2 Download und Installation... 3 2.1 Installation von WindowsXPMode_de-de.exe... 4 2.2 Installation von Windows6.1-KB958559-x64.msu...

Mehr

BusinessMail X.400 Webinterface Gruppenadministrator V2.6

BusinessMail X.400 Webinterface Gruppenadministrator V2.6 V2.6 Benutzerinformation (1) In der Vergangenheit konnten Sie X.400 Mailboxen, die Ihnen als Gruppenadministrator zugeordnet sind, nur mittels strukturierten Mitteilungen verwalten. Diese Mitteilungen

Mehr

Lexware professional und premium setzen bis einschließlich Version 2012 den Sybase SQL-Datenbankserver

Lexware professional und premium setzen bis einschließlich Version 2012 den Sybase SQL-Datenbankserver Eine Firewall für Lexware professional oder premium konfigurieren Inhaltsverzeichnis: 1. Allgemein... 1 2. Einstellungen... 1 3. Die Firewall von Windows 7 und Windows 2008 Server... 2 4. Die Firewall

Mehr

Einrichten eines Postfachs mit Outlook Express / Outlook bis Version 2000

Einrichten eines Postfachs mit Outlook Express / Outlook bis Version 2000 Folgende Anleitung beschreibt, wie Sie ein bestehendes Postfach in Outlook Express, bzw. Microsoft Outlook bis Version 2000 einrichten können. 1. Öffnen Sie im Menü die Punkte Extras und anschließend Konten

Mehr

OP-LOG www.op-log.de

OP-LOG www.op-log.de Verwendung von Microsoft SQL Server, Seite 1/18 OP-LOG www.op-log.de Anleitung: Verwendung von Microsoft SQL Server 2005 Stand Mai 2010 1 Ich-lese-keine-Anleitungen 'Verwendung von Microsoft SQL Server

Mehr

Internationales Altkatholisches Laienforum

Internationales Altkatholisches Laienforum Internationales Altkatholisches Laienforum Schritt für Schritt Anleitung für die Einrichtung eines Accounts auf admin.laienforum.info Hier erklären wir, wie ein Account im registrierten Bereich eingerichtet

Mehr

Kurzanleitung zur Softwareverteilung von BitDefender Produkten...2

Kurzanleitung zur Softwareverteilung von BitDefender Produkten...2 Kurzanleitung zur Softwareverteilung von Kurzanleitung zur Softwareverteilung von BitDefender Produkten...2 I. BitDefender Management Agenten Verteilung...2 1.1. Allgemeine Bedingungen:... 2 1.2. Erste

Mehr

IMAP Backup. Das Programm zum Sichern, Synchronisieren, Rücksichern und ansehen von gesicherten Mails. Hersteller: malu-soft

IMAP Backup. Das Programm zum Sichern, Synchronisieren, Rücksichern und ansehen von gesicherten Mails. Hersteller: malu-soft IMAP Backup Das Programm zum Sichern, Synchronisieren, Rücksichern und ansehen von gesicherten Mails Hersteller: malu-soft WEB Adresse: http://www.malu-soft.de email: info@malu-soft.de support@malu-soft.de

Mehr

Über die Internetseite www.cadwork.de Hier werden unter Download/aktuelle Versionen die verschiedenen Module als zip-dateien bereitgestellt.

Über die Internetseite www.cadwork.de Hier werden unter Download/aktuelle Versionen die verschiedenen Module als zip-dateien bereitgestellt. Internet, Codes und Update ab Version 13 Um Ihnen einen möglichst schnellen Zugang zu den aktuellsten Programmversionen zu ermöglichen liegen Update-Dateien für Sie im Internet bereit. Es gibt drei Möglichkeiten

Mehr

Dokumentenverwaltung im Internet

Dokumentenverwaltung im Internet Dokumentenverwaltung im Internet WS 09/10 mit: Thema: Workflow und Rollenverteilung im Backend Gruppe: DVI 10 Patrick Plaum und Kay Hofmann Inhalt 1. Benutzer und Benutzergruppen erstellen...2 1.1. Benutzergruppen...2

Mehr

Wiederherstellen der Beispieldatenbanken zum Buch Microsoft Project 2010

Wiederherstellen der Beispieldatenbanken zum Buch Microsoft Project 2010 Wiederherstellen der Beispieldatenbanken zum Buch Microsoft Project 2010 1 Datenbanken wiederherstellen Am einfachsten ist es, wenn Sie die fünf Datenbanken aus der ZIP Datei in das Standard Backup Verzeichnis

Mehr

Wichtige Hinweise zu den neuen Orientierungshilfen der Architekten-/Objektplanerverträge

Wichtige Hinweise zu den neuen Orientierungshilfen der Architekten-/Objektplanerverträge Wichtige Hinweise zu den neuen Orientierungshilfen der Architekten-/Objektplanerverträge Ab der Version forma 5.5 handelt es sich bei den Orientierungshilfen der Architekten-/Objektplanerverträge nicht

Mehr

Anti-Botnet-Beratungszentrum. Windows XP in fünf Schritten absichern

Anti-Botnet-Beratungszentrum. Windows XP in fünf Schritten absichern Windows XP in fünf Schritten absichern Inhalt: 1. Firewall Aktivierung 2. Anwendung eines Anti-Virus Scanner 3. Aktivierung der automatischen Updates 4. Erstellen eines Backup 5. Setzen von sicheren Passwörtern

Mehr

Meldung Lokale Anwendung inkompatibel oder Microsoft Silverlight ist nicht aktuell bei Anmeldung an lokal gespeicherter RWE SmartHome Anwendung

Meldung Lokale Anwendung inkompatibel oder Microsoft Silverlight ist nicht aktuell bei Anmeldung an lokal gespeicherter RWE SmartHome Anwendung Meldung Lokale Anwendung inkompatibel oder Microsoft Silverlight ist nicht aktuell bei Anmeldung an lokal gespeicherter RWE SmartHome Anwendung Nach dem Update auf die Version 1.70 bekommen Sie eine Fehlermeldung,

Mehr

Daten-Synchronisation zwischen dem ZDV-Webmailer und Outlook (2002-2007) Zentrum für Datenverarbeitung der Universität Tübingen

Daten-Synchronisation zwischen dem ZDV-Webmailer und Outlook (2002-2007) Zentrum für Datenverarbeitung der Universität Tübingen Daten-Synchronisation zwischen dem ZDV-Webmailer und Outlook (2002-2007) Zentrum für Datenverarbeitung der Universität Tübingen Inhalt 1. Die Funambol Software... 3 2. Download und Installation... 3 3.

Mehr

bizsoft Rechner (Server) Wechsel

bizsoft Rechner (Server) Wechsel bizsoft Büro Software Büro Österreich, Wien Büro Deutschland, Köln Telefon: 01 / 955 7265 Telefon: 0221 / 677 84 959 e-mail: office@bizsoft.at e-mail: office@bizsoft.de Internet: www.bizsoft.at Internet:

Mehr

Updatehinweise für die Version forma 5.5.5

Updatehinweise für die Version forma 5.5.5 Updatehinweise für die Version forma 5.5.5 Seit der Version forma 5.5.0 aus 2012 gibt es nur noch eine Office-Version und keine StandAlone-Version mehr. Wenn Sie noch mit der alten Version forma 5.0.x

Mehr

Dokumentenverwaltung. Copyright 2012 cobra computer s brainware GmbH

Dokumentenverwaltung. Copyright 2012 cobra computer s brainware GmbH Dokumentenverwaltung Copyright 2012 cobra computer s brainware GmbH cobra Adress PLUS ist eingetragenes Warenzeichen der cobra computer s brainware GmbH. Andere Begriffe können Warenzeichen oder anderweitig

Mehr

Herbert Penke 11.02.2008. GFAhnen 8.0 unter Windows Vista

Herbert Penke 11.02.2008. GFAhnen 8.0 unter Windows Vista GFAhnen 8.0 unter Windows Vista Das neue Betriebssystem Windows Vista unterscheidet sich von seinen Vorgängern durch die wesentlich verschärften Sicherheitsvorkehrungen, die sich in vielfältigen Lauf-

Mehr

ACHTUNG: Es können gpx-dateien und mit dem GP7 aufgezeichnete trc-dateien umgewandelt werden.

ACHTUNG: Es können gpx-dateien und mit dem GP7 aufgezeichnete trc-dateien umgewandelt werden. Track in Route umwandeln ACHTUNG: Ein Track kann nur dann in eine Route umgewandelt werden, wenn der Track auf Wegen gefahren wurde. Ein Querfeldein-Track kann nicht in eine Route umgewandelt werden, da

Mehr

Benutzerverwaltung Business- & Company-Paket

Benutzerverwaltung Business- & Company-Paket Benutzerverwaltung Business- & Company-Paket Gemeinsames Arbeiten mit der easyfeedback Umfragesoftware. Inhaltsübersicht Freischaltung des Business- oder Company-Paketes... 3 Benutzerverwaltung Business-Paket...

Mehr

ITT WEB-Service DEMO. Kurzbedienungsanleitung

ITT WEB-Service DEMO. Kurzbedienungsanleitung ITT WEB-Service DEMO Kurzbedienungsanleitung Allgemein ITT Water & Wastewater Deutschland GmbH ermöglicht es Kunden Ihre Abwasseranlagen auf eine Leitzentrale bei ITT W & WW in Hannover aufschalten zu

Mehr

HSR git und subversion HowTo

HSR git und subversion HowTo HSR git und subversion HowTo An der HSR steht den Studierenden ein git Server für die Versionskontrolle zur Verfügung. Dieses HowTo fasst die notwendigen Informationen zur Verwendung dieses Dienstes zusammen.

Mehr

Installationsanleitung Webhost Linux Flex

Installationsanleitung Webhost Linux Flex Installationsanleitung Webhost Linux Flex Stand März 2014 Inhaltsverzeichnis 1. Zugangsdaten & Login... 3 2. Passwort ändern... 4 3. Leistungen hinzufügen / entfernen... 6 4. Datenbanken anlegen / entfernen...

Mehr

Benutzeranleitung Superadmin Tool

Benutzeranleitung Superadmin Tool Benutzeranleitung Inhalt 1 Einleitung & Voraussetzungen... 2 2 Aufruf des... 3 3 Konto für neuen Benutzer erstellen... 3 4 Services einem Konto hinzufügen... 5 5 Benutzer über neues Konto informieren...

Mehr

Web-Kürzel. Krishna Tateneni Yves Arrouye Deutsche Übersetzung: Stefan Winter

Web-Kürzel. Krishna Tateneni Yves Arrouye Deutsche Übersetzung: Stefan Winter Krishna Tateneni Yves Arrouye Deutsche Übersetzung: Stefan Winter 2 Inhaltsverzeichnis 1 Web-Kürzel 4 1.1 Einführung.......................................... 4 1.2 Web-Kürzel.........................................

Mehr

DriveLock 6. DriveLock und das Windows Sicherheitsproblem mit LNK Dateien. CenterTools Software GmbH

DriveLock 6. DriveLock und das Windows Sicherheitsproblem mit LNK Dateien. CenterTools Software GmbH 6 DriveLock und das Windows Sicherheitsproblem mit LNK Dateien CenterTools Software GmbH 2010 Copyright Die in diesen Unterlagen enthaltenen Angaben und Daten, einschließlich URLs und anderen Verweisen

Mehr

MS-SQL Client Installation

MS-SQL Client Installation Inhalt MS-SQL Client Installation ODBC Treiber... 1 ODBC-Datenquellen-Administrator unter 64-Bit Systemen... 1 ODBC-Datenquellen-Administrator unter 32-Bit Systemen... 2 Windows 7... 2 Windows XP... 3

Mehr

Datenbank-Verschlüsselung mit DbDefence und Webanwendungen.

Datenbank-Verschlüsselung mit DbDefence und Webanwendungen. Datenbank-Verschlüsselung mit DbDefence und Webanwendungen. In diesem Artikel werden wir Ihnen zeigen, wie Sie eine Datenbank verschlüsseln können, um den Zugriff einzuschränken, aber trotzdem noch eine

Mehr

Installationsleitfaden kabelsafe backup professional unter MS Windows

Installationsleitfaden kabelsafe backup professional unter MS Windows Installationsleitfaden kabelsafe backup professional unter MS Windows Installationsanleitung und Schnelleinstieg kabelsafe backup professional (kabelnet-obm) unter MS Windows Als PDF herunterladen Diese

Mehr

(im Rahmen der Exchange-Server-Umstellung am 15.-17.04.2005)

(im Rahmen der Exchange-Server-Umstellung am 15.-17.04.2005) Outlook-Umstellung (im Rahmen der Exchange-Server-Umstellung am 15.-17.04.2005) Die Umstellung des Microsoft Mailserver-Systems ntmail (Exchange) erfordert vielfach auch eine Umkonfiguration des Programms

Mehr

Windows 7 - Whoami. Whoami liefert Informationen wie z.b. die SID, Anmelde-ID eines Users, sowie Gruppenzuordnungen, Berechtigungen und Attribute.

Windows 7 - Whoami. Whoami liefert Informationen wie z.b. die SID, Anmelde-ID eines Users, sowie Gruppenzuordnungen, Berechtigungen und Attribute. Bei Windows 8/7 und Vista ist die Benutzerverwaltung, die zentrale Stelle zur Verwaltung der angelegten Benutzer. Wer weitere Informationen zu einem Benutzer erfahren möchte, der nutzt den DOS Befehl whoami.

Mehr

Anleitung zur Erstellung einer Batchdatei. - für das automatisierte Verbinden mit Netzlaufwerken beim Systemstart -

Anleitung zur Erstellung einer Batchdatei. - für das automatisierte Verbinden mit Netzlaufwerken beim Systemstart - Anleitung zur Erstellung einer Batchdatei - für das automatisierte Verbinden mit Netzlaufwerken beim Systemstart - Mögliche Anwendungen für Batchdateien: - Mit jedem Systemstart vordefinierte Netzlaufwerke

Mehr

Suche schlecht beschriftete Bilder mit Eigenen Abfragen

Suche schlecht beschriftete Bilder mit Eigenen Abfragen Suche schlecht beschriftete Bilder mit Eigenen Abfragen Ist die Bilderdatenbank über einen längeren Zeitraum in Benutzung, so steigt die Wahrscheinlichkeit für schlecht beschriftete Bilder 1. Insbesondere

Mehr

Battlefield 2 BF2CCD Anleitung

Battlefield 2 BF2CCD Anleitung Battlefield 2 BF2CCD Anleitung 1. Was ist BF2CC? 2. Wo kann ich BF2CC GUI Client downloaden? 3. Wie Log ich mich ein? 4. Wie verwalte ich meinen Server? 5. Was Kann ich tun wen ich nicht mehr kicken, bannen,

Mehr

Nach der Anmeldung im Backend Bereich landen Sie im Kontrollzentrum, welches so aussieht:

Nach der Anmeldung im Backend Bereich landen Sie im Kontrollzentrum, welches so aussieht: Beiträge erstellen in Joomla Nach der Anmeldung im Backend Bereich landen Sie im Kontrollzentrum, welches so aussieht: Abbildung 1 - Kontrollzentrum Von hier aus kann man zu verschiedene Einstellungen

Mehr

Einrichten einer Festplatte mit FDISK unter Windows 95/98/98SE/Me

Einrichten einer Festplatte mit FDISK unter Windows 95/98/98SE/Me Einrichten einer Festplatte mit FDISK unter Windows 95/98/98SE/Me Bevor Sie die Platte zum ersten Mal benutzen können, muss sie noch partitioniert und formatiert werden! Vorher zeigt sich die Festplatte

Mehr

Betriebssysteme SS 2013. Hans-Georg Eßer Dipl.-Math., Dipl.-Inform. Foliensatz E SB 5 (11.04.2013) ACLs und Capabilities

Betriebssysteme SS 2013. Hans-Georg Eßer Dipl.-Math., Dipl.-Inform. Foliensatz E SB 5 (11.04.2013) ACLs und Capabilities Betriebssysteme SS 2013 Hans-Georg Eßer Dipl.-Math., Dipl.-Inform. Foliensatz E SB 5 (11.04.2013) ACLs und Capabilities 11.04.2013 Modul 6: Betriebssysteme, SS 2013, Hans-Georg Eßer Folie E-1 ACLs und

Mehr

Diese Anleitung enthält Anweisungen, die nur durch erfahrene Anwender durchgeführt werden sollten!

Diese Anleitung enthält Anweisungen, die nur durch erfahrene Anwender durchgeführt werden sollten! Anmeldung über SSH Diese Anleitung enthält Anweisungen, die nur durch erfahrene Anwender durchgeführt werden sollten! Besitzer der Homepage Advanced und Homepage Professional haben die Möglichkeit, direkt

Mehr

Webseiten im PHYSnet. PHYSnet-RZ 9. Mai 2011

Webseiten im PHYSnet. PHYSnet-RZ 9. Mai 2011 Webseiten im PHYSnet PHYSnet-RZ 9. Mai 2011 1 1 Umzug auf das AFS Die www-dateien sind vom Alpha-CLuster auf das AFS umgezogen. Anleitungen zum Zugriff auf das AFS finden Sie unter http://www.physnet.uni-hamburg.de/physnet/doku.htm.

Mehr

Anleitung zum Prüfen von WebDAV

Anleitung zum Prüfen von WebDAV Brainloop Secure Dataroom Version 8.20 Copyright Brainloop AG, 2004-2014. Alle Rechte vorbehalten. Sämtliche verwendeten Markennamen und Markenzeichen sind Eigentum der jeweiligen Markeninhaber. Inhaltsverzeichnis

Mehr

DB2 Kurzeinführung (Windows)

DB2 Kurzeinführung (Windows) DB2 Kurzeinführung (Windows) Michaelsen c 25. Mai 2010 1 1 Komponenten von DB2 DB2 bietet zahlreiche graphische Oberflächen für die Verwaltung der verschiedenen Komponenten und Anwendungen. Die wichtigsten

Mehr

Task: Nmap Skripte ausführen

Task: Nmap Skripte ausführen Task: Nmap Skripte ausführen Inhalt Einfache Netzwerkscans mit NSE Ausführen des Scans Anpassung der Parameter Einleitung Copyright 2009-2015 Greenbone Networks GmbH Herkunft und aktuellste Version dieses

Mehr

SAMMEL DEINE IDENTITÄTEN::: NINA FRANK :: 727026 :: WINTERSEMESTER 08 09

SAMMEL DEINE IDENTITÄTEN::: NINA FRANK :: 727026 :: WINTERSEMESTER 08 09 SAMMEL DEINE IDENTITÄTEN::: :: IDEE :: Ich selbst habe viele verschiedene Benutzernamen und Passwörter und wenn ich mir diese nicht alle aufschreiben würde, würde ich alle durcheinander bringen oder welche

Mehr

Kostenstellen verwalten. Tipps & Tricks

Kostenstellen verwalten. Tipps & Tricks Tipps & Tricks INHALT SEITE 1.1 Kostenstellen erstellen 3 13 1.3 Zugriffsberechtigungen überprüfen 30 2 1.1 Kostenstellen erstellen Mein Profil 3 1.1 Kostenstellen erstellen Kostenstelle(n) verwalten 4

Mehr

Netzwerk einrichten unter Windows

Netzwerk einrichten unter Windows Netzwerk einrichten unter Windows Schnell und einfach ein Netzwerk einrichten unter Windows. Kaum ein Rechner kommt heute mehr ohne Netzwerkverbindungen aus. In jedem Rechner den man heute kauft ist eine

Mehr

PHP - Projekt Personalverwaltung. Erstellt von James Schüpbach

PHP - Projekt Personalverwaltung. Erstellt von James Schüpbach - Projekt Personalverwaltung Erstellt von Inhaltsverzeichnis 1Planung...3 1.1Datenbankstruktur...3 1.2Klassenkonzept...4 2Realisierung...5 2.1Verwendete Techniken...5 2.2Vorgehensweise...5 2.3Probleme...6

Mehr

mysql - Clients MySQL - Abfragen eine serverbasierenden Datenbank

mysql - Clients MySQL - Abfragen eine serverbasierenden Datenbank mysql - Clients MySQL - Abfragen eine serverbasierenden Datenbank In den ersten beiden Abschnitten (rbanken1.pdf und rbanken2.pdf) haben wir uns mit am Ende mysql beschäftigt und kennengelernt, wie man

Mehr

Lizenzierung von System Center 2012

Lizenzierung von System Center 2012 Lizenzierung von System Center 2012 Mit den Microsoft System Center-Produkten lassen sich Endgeräte wie Server, Clients und mobile Geräte mit unterschiedlichen Betriebssystemen verwalten. Verwalten im

Mehr

Backup der Progress Datenbank

Backup der Progress Datenbank Backup der Progress Datenbank Zeitplandienst (AT): Beachten Sie bitte: Die folgenden Aktionen können nur direkt am Server, vollzogen werden. Mit Progress 9.1 gibt es keine Möglichkeit über die Clients,

Mehr

Durchführung der Datenübernahme nach Reisekosten 2011

Durchführung der Datenübernahme nach Reisekosten 2011 Durchführung der Datenübernahme nach Reisekosten 2011 1. Starten Sie QuickSteuer Deluxe 2010. Rufen Sie anschließend über den Menüpunkt /Extras/Reisekosten Rechner den QuickSteuer Deluxe 2010 Reisekosten-Rechner,

Mehr

Wählen Sie bitte START EINSTELLUNGEN SYSTEMSTEUERUNG VERWALTUNG und Sie erhalten unter Windows 2000 die folgende Darstellung:

Wählen Sie bitte START EINSTELLUNGEN SYSTEMSTEUERUNG VERWALTUNG und Sie erhalten unter Windows 2000 die folgende Darstellung: Installation Bevor Sie mit der Installation von MOVIDO 1.0 beginnen, sollten Sie sich vergewissern, dass der Internet Information Server (IIS) von Microsoft installiert ist. Um dies festzustellen, führen

Mehr

Memeo Instant Backup Kurzleitfaden. Schritt 1: Richten Sie Ihr kostenloses Memeo-Konto ein

Memeo Instant Backup Kurzleitfaden. Schritt 1: Richten Sie Ihr kostenloses Memeo-Konto ein Einleitung Memeo Instant Backup ist eine einfache Backup-Lösung für eine komplexe digitale Welt. Durch automatisch und fortlaufende Sicherung Ihrer wertvollen Dateien auf Ihrem Laufwerk C:, schützt Memeo

Mehr