Installationsphilosophie

Hallo,

wie installiert man Programme richtig? Es heißt, als Admin. Aber da gibt
es Programme wie OpenOffice.org, die einen dann fragen, für wen
installiert werden soll: a) für alle Benutzer, b) für den aktuellen
Benutzer. Der aktuelle Benutzer scheidet aus, denn man soll ja von einem
eingeschränkten Account aus arbeiten. Aus dem gleichem Grund scheidet
auch die Antwort a) aus, denn was habe ich von einer Installation für
eingeschränkten Benutzer _und_ Admin?

Aus diesem Grund habe ich meinen Benutzeraccount so lange noch einen
vollwertigen Admin-Account sein lassen, bis ich von diesem aus alle
Installation erledigt hatte (wobei ich dann in obigem Beispiel b) wählen
konnte). Erst dann habe ich diesem Account die Rechte eingeschränkt.
Nachteil: Erhöhte Gefahr, dass während der Installationszeit Malware die
Kontrolle über den Rechner erlangt.

Vor kurzem habe ich dann folgendes versucht: Den Benutzer-Account habe
ich sofort eingeschränkt, die Installationen aber über Rechtsklick auf
das Icon und Auswahl von Ausführen als... initiiert, wobei ich dann
Namen und Passwort des Admin-Accounts eingegeben habe. Dieses Verfahren
müsste sicherer sein als sich als Admin einzuloggen und von dort aus
stundenlang (bei einer Neuinstallation von XP) alle Programme zu
installieren.

Jetzt wüsste ich gerne, ob es nur eine rein philosophische Frage ist,
wie man's macht, oder ob vielleicht noch andere Möglichkeiten bestehen.

--
Freundliche Grüße

Richard Fonfara

Richard Fonfara <junk_shredder@yahoo.de> schrieb:

Hallo Richard,

> wie installiert man Programme richtig? [...]

Jetzt wirst Du aber arg penibel ;-)

Der "absolut perfekte" Weg: Lade die gewünschten Programme (die nicht auf CD
vorliegen) aus seriöser Quelle als eingeschränkter Benutzer aus dem Internet
herunter. Installiere sie als Admin für _alle_ Benutzer (das heißt in der
Regel nur, dass die Verknüpfungen im Konto "All Users" angelegt werden).

--
Gruß
Ralf
Ich mag kein TOFU. Siehe http://einklich.net/usenet/zitier.htm
Bei Direkt-Mails NOSPAM entfernen

Richard Fonfara wrote:
> wie installiert man Programme richtig? Es heißt, als Admin. Aber da
> gibt es Programme wie OpenOffice.org, die einen dann fragen, für wen
> installiert werden soll: a) für alle Benutzer, b) für den aktuellen
> Benutzer. Der aktuelle Benutzer scheidet aus, denn man soll ja von
> einem eingeschränkten Account aus arbeiten. Aus dem gleichem Grund
> scheidet auch die Antwort a) aus, denn was habe ich von einer
> Installation für eingeschränkten Benutzer _und_ Admin?

Du kannst nur als Admin Programme installieren. Die Frage bei der Instal-
lation bedeutet nur: Sollen alle Benutzer das Programm verwenden dürfen
oder nur der aktuelle Admin. Wobei sich jeder andere Admin den Zugriff
verschaffen kann.

http://support.microsoft.com/kb/867613/de
(Vielleicht haben Sie bei Installationsprogrammen (auch das für dieses
Buch verwendet die gleiche Technik) ein Fenster gesehen....)

> Aus diesem Grund habe ich meinen Benutzeraccount so lange noch einen
> vollwertigen Admin-Account sein lassen, bis ich von diesem aus alle
> Installation erledigt hatte (wobei ich dann in obigem Beispiel b)
> wählen konnte). Erst dann habe ich diesem Account die Rechte
> eingeschränkt. Nachteil: Erhöhte Gefahr, dass während der
> Installationszeit Malware die Kontrolle über den Rechner erlangt.

Die obige Abfrage taucht leider nur bei modernen Programmen auf.
Oftmals funktionieren andere Programme nicht in eingeschränkten
Konten. Dann bleibt nur:

http://www.gruppenrichtlinien.de/How...ausfuehren.htm

Mehr hat es mit der Nachfrage nicht auf sich. Erspart einem nur, das
manuelle Anpassen der Berechtigungen.

> Vor kurzem habe ich dann folgendes versucht: Den Benutzer-Account habe
> ich sofort eingeschränkt, die Installationen aber über Rechtsklick auf
> das Icon und Auswahl von Ausführen als... initiiert, wobei ich dann
> Namen und Passwort des Admin-Accounts eingegeben habe. Dieses
> Verfahren müsste sicherer sein als sich als Admin einzuloggen und von
> dort aus stundenlang (bei einer Neuinstallation von XP) alle
> Programme zu installieren.

Eher nicht.

Gruß

Hermann

Hallo Richard,

also vorab, philosophisch ist die Frage keineswegs, sondern sehr richtig.

Am 12.08.2008 22:08 schrieb Richard Fonfara:
> wie installiert man Programme richtig? Es heißt, als Admin. Aber da gibt
> es Programme wie OpenOffice.org, die einen dann fragen, für wen
> installiert werden soll: a) für alle Benutzer, b) für den aktuellen
> Benutzer. Der aktuelle Benutzer scheidet aus, denn man soll ja von einem
> eingeschränkten Account aus arbeiten. Aus dem gleichem Grund scheidet
> auch die Antwort a) aus, denn was habe ich von einer Installation für
> eingeschränkten Benutzer _und_ Admin?

Genau anders herum, a) wäre Ihr Preis gewesen.
Ein installiertes Programm ist immer (Ausnahmen bestätigen die Regel)
von allen Benutzerkonten aus ausführbar. Die besagte Frage bedeutet
üblicherweise, ob Verknüpfungen nur für den aktuellen Benutzer (wie du
richtig schreibst, ein Administrator) oder für alle Benutzer erstellt
werden sollen, also a). Das bedeutet ja nicht, daß du das Programm im
Admin-Konto benutzen *mußt*.

Du hast recht, daß man sich die Frage meistens auch sparen könnte, aber
die tut nicht wirklich weh. Viel ärgerlicher sind nicht mehr zeitgemäße
Installationsroutinen, die ohne Nachfrage die Verknüpfung nur im
Startmenü des installierenden Kontos erstellen, so daß man die erst für
alle Benutzer kopieren muß.

> Aus diesem Grund habe ich meinen Benutzeraccount so lange noch einen
> vollwertigen Admin-Account sein lassen, bis ich von diesem aus alle
> Installation erledigt hatte (wobei ich dann in obigem Beispiel b) wählen
> konnte). Erst dann habe ich diesem Account die Rechte eingeschränkt.
> Nachteil: Erhöhte Gefahr, dass während der Installationszeit Malware die
> Kontrolle über den Rechner erlangt.

Das war nun genau falsch. Sorry.

Grund: Das Prinzip der Rechtetrennung zwischen Administratoren und
eingeschränkten Benutzern besteht genau darin, daß der Benutzer
ausführbare Dateien nur lesen und ausführen, aber nicht schreiben kann,
und zwar weder bewußt noch unbewußt. Das hat zur Konsequenz, daß
Schadsoftware, die in einem eingeschränkten Konto ausgeführt wird
(typischerweise unbemerkt oder unwillentlich), diese Dateien nicht
verändern kann, denn wo man nicht schreiben kann .... Mit anderen
Worten: Das Verwenden eines eingeschränkten Kontos ist der effektivste
Schutz für den Rechner überhaupt, und das ohne Ressourcen-Verbrauch,
Kosten, regelmäßige Signaturen-Updates und was mehr.

Um den Fehler in deiner Vorgehensweise zu verstehen, muß jetzt noch ein
weiterer Begriff fallen (sorry wg. der trockenen Materie): Jede Datei in
einem NTFS-System hat einen Besitzer (Übrigens: Du setzt doch NTFS ein,
anderenfalls ist das meiste hier akademisch?), und das ist in der Regel
derjenige, der ein Objekt erstellt hat. Und Besitzer haben grundsätzlich
Vollzugriff auf diese Objekte. Mit deiner Vorgehensweise hast du dich
also zum Eigentümer all dieser Programmdateien gemacht und insoweit sind
diese Dateien genauso wenig geschützt, als ob du im Admin-Konto
unterwegs wärst.

Zur Klarstellung: Durch die Änderung der Rechte deines Benutzerkontos
ändert sich nichts an den Berechtigungen für die bis dahin erstellten
Objekte, erst für die zukünftigen (die es womöglich erst mal gar nicht
gibt, falls du deine Installationen fürs erste abgeschlossen hast).

Was ist zu tun (außer ganz von vorne anzufangen).
Beste Möglichkeit: Du läßt dieses Konto sein (oder machst es wieder zum
Admin, da es nun mal da ist) und richtest ein neues Konto ein, das du
von vornherein als eingeschränkten Benutzer festlegst. Es gibt
allerdings einen Wermutstropfen: Die Einstellungen in den Programmen
mußt du erneut durchführen. Immerhin gibt es einen Assistenten in XP,
mit dem du Einstellungen übertragen kannst und einige (wenige) Programme
haben entsprechende Import-/Export Funktionen. Ansonsten muß man suchen,
wo man Konfigurationsdateien findet, die man kopieren kann, oder
Registrierungsschlüssel, die man exportiert / importiert. (Wobei in
allen Fällen eventuell Pfadangaben editiert werden müssen.) Oder eben
man macht es manuell.

Das nächste ist nun ein völlig anderes Thema:

> Vor kurzem habe ich dann folgendes versucht: Den Benutzer-Account habe
> ich sofort eingeschränkt, die Installationen aber über Rechtsklick auf
> das Icon und Auswahl von Ausführen als... initiiert, wobei ich dann
> Namen und Passwort des Admin-Accounts eingegeben habe. Dieses Verfahren

Ein vielfach praktiziertes Verfahren, sicherheitstechnisch völlig außer
Zweifel, das meistens gut funktioniert, manchmal und völlig
unvorhersehbar dann plötzlich aber nicht. Ich habe gerade vor kurzem
erlebt, wie ein Online-Update für den Thunderbird versagte. Ausführen
als ist sehr gut geeignet, um administrative Aufgaben (die man ohne
administrative Berechtigungen gar nicht durchführen kann) schnell und
einfach zu erledigen. Bei Installationen bin ich da eher konservativ.
(Das mit TB war ein Versuch in einem System, dessen Lebensende erreicht
war und wo ich die Chance für einen Test genutzt habe.) Programme, die
man aus einem ZIP-Archivb entpackt und keinen Installer brauchen, kann
man mittels Ausführen als natürlich gut "installieren". (In Wirklichkeit
könnte man sie meistens auch als eingeschränkter Benutzer entpacken und
dann verwenden, manche als portabel bezeichneten Programme propagieren
das, aber damit eliminiert man die Trennung zwischen Rechten zum
Schreiben und Ausführen wieder und die Sicherheit ist beim Teufel; ich
hab es hier nur zum Verständnis angefügt.)

> müsste sicherer sein als sich als Admin einzuloggen und von dort aus
> stundenlang (bei einer Neuinstallation von XP) alle Programme zu
> installieren.

Da liegt ein Denkfehler. Bei der XP-Installation gibt es noch gar keine
Konten und das erste, das du erstellen kannst, ist zwangsläufig ein
Admin-Konto. Zieh einfach das Netzwerkkabel und unter der Voraussetzung,
das alle Software, die du installierst, sauber ist, kann logischer weise
nichts passieren. Andererseits: Wenn man ein Programm mit Rechtsklick
"Ausführen als" startet, so bekommt dieses Programm (also das
Installationsprogramm) und alle Prozesse, die von diesem Programm aus
gestartet werden, ebenfalls die entsprechenden Rechte; sollte sich da
Schadsoftware verbergen, ist genau nichts gewonnen.

Nicht daß du glaubst, das wär schon alles; aber für heute schon.
Wenn du dich tatsächlich intensiv damit beschäftigen willst - meinen
Glückwunsch dazu - wirst du früher oder später diesen Ansatz mit dem
eingeschränkten Konto durch Zusatz-Software erleichtern wollen. In dem
Zusammenhang (ich kann mich nicht erinnern, ob du das an anderer Stelle
mal gesagt hast): XP Home, Pro oder Media?
--
Thomas

Hallo Richard,

"Richard Fonfara" <junk_shredder@yahoo.de> schrieb:

> wie installiert man Programme richtig? Es heißt, als Admin. Aber da
> gibt es Programme wie OpenOffice.org, die einen dann fragen, für wen
> installiert werden soll: a) für alle Benutzer, b) für den aktuellen
> Benutzer.

als Ergänzung: diese Frage steuert AFAIK nur, ob die Verknüpfungen
(Links) für dieses Programm in %allusersprofile% (a) oder %userprofile%
(b) erstellt werden.

Gruß Ingo

--
Bitte nicht per Mail, sondern nur in der NG antworten. Danke.

Ingo Steinbuechel schrieb:
> Hallo Richard,
>
> "Richard Fonfara" <junk_shredder@yahoo.de> schrieb:
>
>> wie installiert man Programme richtig? Es heißt, als Admin. Aber da
>> gibt es Programme wie OpenOffice.org, die einen dann fragen, für wen
>> installiert werden soll: a) für alle Benutzer, b) für den aktuellen
>> Benutzer.
>
> als Ergänzung: diese Frage steuert AFAIK nur, ob die Verknüpfungen
> (Links) für dieses Programm in %allusersprofile% (a) oder %userprofile%
> (b) erstellt werden.

So steht's auch in dem MS-Artikel, von dem Hermann den Link angegeben
hat. Ich werde also künftig "alle Benutzer" wählen und später die
Verknüpfung zum Programm von dort nach "Richard" verschieben.

--
Freundliche Grüße

Richard Fonfara

Richard Fonfara schrieb:

>>> wie installiert man Programme richtig? Es heißt, als Admin. Aber da
>>> gibt es Programme wie OpenOffice.org, die einen dann fragen, für wen
>>> installiert werden soll: a) für alle Benutzer, b) für den aktuellen
>>> Benutzer.
>>
>> als Ergänzung: diese Frage steuert AFAIK nur, ob die Verknüpfungen
>> (Links) für dieses Programm in %allusersprofile% (a) oder %userprofile%
>> (b) erstellt werden.
>
> So steht's auch in dem MS-Artikel, von dem Hermann den Link angegeben
> hat. Ich werde also künftig "alle Benutzer" wählen und später die
> Verknüpfung zum Programm von dort nach "Richard" verschieben.

"Richard" kann doch nur einer von "alle Benutzer" sein. Da ist nichts
mehr zu verschieben notwendig.


--
Viele Grüsse

Jörg

Thomas Leube schrieb:
> Hallo Richard,
>
> Am 12.08.2008 22:08 schrieb Richard Fonfara:
>> wie installiert man Programme richtig? Es heißt, als Admin. Aber da
>> gibt es Programme wie OpenOffice.org, die einen dann fragen, für wen
>> installiert werden soll: a) für alle Benutzer, b) für den aktuellen
>> Benutzer. Der aktuelle Benutzer scheidet aus, denn man soll ja von
>> einem eingeschränkten Account aus arbeiten. Aus dem gleichem Grund
>> scheidet auch die Antwort a) aus, denn was habe ich von einer
>> Installation für eingeschränkten Benutzer _und_ Admin?
>
> Genau anders herum, a) wäre Ihr Preis gewesen.
> Ein installiertes Programm ist immer (Ausnahmen bestätigen die Regel)
> von allen Benutzerkonten aus ausführbar. Die besagte Frage bedeutet
> üblicherweise, ob Verknüpfungen nur für den aktuellen Benutzer (wie du
> richtig schreibst, ein Administrator) oder für alle Benutzer erstellt
> werden sollen, also a). Das bedeutet ja nicht, daß du das Programm im
> Admin-Konto benutzen *mußt*.
>
> Du hast recht, daß man sich die Frage meistens auch sparen könnte, aber
> die tut nicht wirklich weh. Viel ärgerlicher sind nicht mehr zeitgemäße
> Installationsroutinen, die ohne Nachfrage die Verknüpfung nur im
> Startmenü des installierenden Kontos erstellen, so daß man die erst für
> alle Benutzer kopieren muß.

Ich benutze MSOffice 2000, und das ist wahrscheinlich so ein Programm.
Das bringt noch einige andere Unbequemlichkeiten mit sich, weil es
offenbar nicht für ein Mehrbenutzersystem geschrieben ist.
>
>> Aus diesem Grund habe ich meinen Benutzeraccount so lange noch einen
>> vollwertigen Admin-Account sein lassen, bis ich von diesem aus alle
>> Installation erledigt hatte (wobei ich dann in obigem Beispiel b)
>> wählen konnte). Erst dann habe ich diesem Account die Rechte
>> eingeschränkt. Nachteil: Erhöhte Gefahr, dass während der
>> Installationszeit Malware die Kontrolle über den Rechner erlangt.
>
> Das war nun genau falsch. Sorry.
>
> Grund: Das Prinzip der Rechtetrennung zwischen Administratoren und
> eingeschränkten Benutzern besteht genau darin, daß der Benutzer
> ausführbare Dateien nur lesen und ausführen, aber nicht schreiben kann,
> und zwar weder bewußt noch unbewußt. Das hat zur Konsequenz, daß
> Schadsoftware, die in einem eingeschränkten Konto ausgeführt wird
> (typischerweise unbemerkt oder unwillentlich), diese Dateien nicht
> verändern kann, denn wo man nicht schreiben kann .... Mit anderen
> Worten: Das Verwenden eines eingeschränkten Kontos ist der effektivste
> Schutz für den Rechner überhaupt, und das ohne Ressourcen-Verbrauch,
> Kosten, regelmäßige Signaturen-Updates und was mehr.

Wenn ich das nur meiner Frau und den Kindern klarmachen könnte! Die
haben nur ein vollwertiges Adminkonto, weil manche Spiele nur so richtig
laufen. Sie sind zu bequem, mit "Ausführen als" zu arbeiten. Wir haben
ja einen Virenscanner, heißt es dann, und wenn der zu oft piepst, wird
halt neu installiert.
>
> Um den Fehler in deiner Vorgehensweise zu verstehen, muß jetzt noch ein
> weiterer Begriff fallen (sorry wg. der trockenen Materie): Jede Datei in
> einem NTFS-System hat einen Besitzer (Übrigens: Du setzt doch NTFS ein,
> anderenfalls ist das meiste hier akademisch?), und das ist in der Regel
> derjenige, der ein Objekt erstellt hat. Und Besitzer haben grundsätzlich
> Vollzugriff auf diese Objekte. Mit deiner Vorgehensweise hast du dich
> also zum Eigentümer all dieser Programmdateien gemacht und insoweit sind
> diese Dateien genauso wenig geschützt, als ob du im Admin-Konto
> unterwegs wärst.

Genau das hatte ich befürchtet. Gehofft hatte ich natürlich, dass XP
intelligent genug ist, Schreibrechte am OS und an Programmen nur
Administratoren zu gewähren, egal wie die grad heißen. Und: Ja, ich
nehme fürs OS aus Gründen der Rechteverwaltung nur NTFS. Was ähnliches
habe ich den letzten Jahren des vergangenen Jahrtausends bei Linux
kennen gelernt, und das Prinzip hat mir zugesagt.
>
>
> Was ist zu tun (außer ganz von vorne anzufangen).
> Beste Möglichkeit: Du läßt dieses Konto sein (oder machst es wieder zum
> Admin, da es nun mal da ist) und richtest ein neues Konto ein, das du
> von vornherein als eingeschränkten Benutzer festlegst. Es gibt
> allerdings einen Wermutstropfen: Die Einstellungen in den Programmen
> mußt du erneut durchführen. Immerhin gibt es einen Assistenten in XP,
> mit dem du Einstellungen übertragen kannst und einige (wenige) Programme
> haben entsprechende Import-/Export Funktionen. Ansonsten muß man suchen,
> wo man Konfigurationsdateien findet, die man kopieren kann, oder
> Registrierungsschlüssel, die man exportiert / importiert. (Wobei in
> allen Fällen eventuell Pfadangaben editiert werden müssen.) Oder eben
> man macht es manuell.

Das hört sich nach kompliziert, langwierig und gefährlich an. Vielleicht
sollte ich doch besser XP neu installieren. Das Netzwerkkabel bleibt bei
mir so lange draußen, bis alle Programme und als letztes
Antivirensoftware installiert ist. Mit dem eingesteckten Netzwerkkabel
hole ich mir dann zuerst die Updates und Patches von MS.
>

>

> In dem
> Zusammenhang (ich kann mich nicht erinnern, ob du das an anderer Stelle
> mal gesagt hast): XP Home, Pro oder Media?

Pro habe ich.

--
Freundliche Grüße

Richard Fonfara

Hermann schrieb:
> Richard Fonfara wrote:
>> wie installiert man Programme richtig? Es heißt, als Admin. Aber da
>> gibt es Programme wie OpenOffice.org, die einen dann fragen, für wen
>> installiert werden soll: a) für alle Benutzer, b) für den aktuellen
>> Benutzer. Der aktuelle Benutzer scheidet aus, denn man soll ja von
>> einem eingeschränkten Account aus arbeiten. Aus dem gleichem Grund
>> scheidet auch die Antwort a) aus, denn was habe ich von einer
>> Installation für eingeschränkten Benutzer _und_ Admin?
>
> Du kannst nur als Admin Programme installieren. Die Frage bei der Instal-
> lation bedeutet nur: Sollen alle Benutzer das Programm verwenden dürfen
> oder nur der aktuelle Admin. Wobei sich jeder andere Admin den Zugriff
> verschaffen kann.
>
> http://support.microsoft.com/kb/867613/de
> (Vielleicht haben Sie bei Installationsprogrammen (auch das für dieses
> Buch verwendet die gleiche Technik) ein Fenster gesehen....)

Danke für die Klarstellung. Mir war nicht bekannt, dass es sich
lediglich darum dreht, ob die Verknüpfung im Ordner All Users oder im
Ordner des aktuellen Benutzers handelt. Ich dachte, bei allen Benutzern
würden, wenn man "alle Benutzer" wählt, im Ordner Eigene
Dateien\Username\Lokale Einstellungen\Anwendungsdaten mehrere MB
Programmcode o. ä. abgespeichert, ähnlich wie es der Fall ist, wenn man
Staroffice 5.2 installiert (hier braucht man auch eine Installation als
Admin, damit Programmsymbole etc. registriert werden).
>
>> Aus diesem Grund habe ich meinen Benutzeraccount so lange noch einen
>> vollwertigen Admin-Account sein lassen, bis ich von diesem aus alle
>> Installation erledigt hatte (wobei ich dann in obigem Beispiel b)
>> wählen konnte). Erst dann habe ich diesem Account die Rechte
>> eingeschränkt. Nachteil: Erhöhte Gefahr, dass während der
>> Installationszeit Malware die Kontrolle über den Rechner erlangt.
>
> Die obige Abfrage taucht leider nur bei modernen Programmen auf.
> Oftmals funktionieren andere Programme nicht in eingeschränkten
> Konten. Dann bleibt nur:
>
> http://www.gruppenrichtlinien.de/How...ausfuehren.htm
>
Mit diesem Artikel habe ich früher schon Rechteprobleme gelöst, nur ist
er mir in der Zwischenzeit verloren gegangen. Danke daher für diesen Link!

--
Freundliche Grüße

Richard Fonfara

Ralf Breuer schrieb:
> Richard Fonfara <junk_shredder@yahoo.de> schrieb:
>
> Hallo Richard,
>
>> wie installiert man Programme richtig? [...]
>
> Jetzt wirst Du aber arg penibel ;-)

Wirklich? Mich hat halt gestört, dass die Programmicons auch beim Admin
aufgetaucht sind.
>
> Der "absolut perfekte" Weg: Lade die gewünschten Programme (die nicht
> auf CD vorliegen) aus seriöser Quelle als eingeschränkter Benutzer aus
> dem Internet herunter. Installiere sie als Admin für _alle_ Benutzer
> (das heißt in der Regel nur, dass die Verknüpfungen im Konto "All Users"
> angelegt werden).

Ich dachte, außerdem würden für jeden User einige MB Programmcode
installiert, und das wollte ich verhindern. Aber wenn nur ein Icon
verschoben werden muss. dann geht's ja! :-))

--
Freundliche Grüße

Richard Fonfara