PDA

View Full Version : struttura di windows? gestione dei permessi


kikkas
07-11-2010, 07:53
buongiorno a tutti

stavo cercando in qualche modo di aumentare la sicurezza di windows (xp, vista seven) che gira su alcuni computer.
Ho scoperto da poco che in xp, se il computer è formattato in ntfs, si possono dare dei permessi alle cartelle, limitando così ulteriormente un utente non amministratore.
La mia idea era quella di rendere il sistema "simile" (dal punto di vista dei permessi) a quelli unix, cioè dare i permessi di scrittura soltanto nella propria home.

Per gestire i permessi ora da windows xp home devo entrare in modalità provvisoria con un account amministratore e da proprietà andare su protezione, da windows 7 non c'è bisogno di entrare in modalità provvisoria.

E qui cominciano i problemi...
Non riesco a capire bene come sia strutturato infatti windows (prendo xp come esempio ma il discorso analogo vale anche per seven e vista).
Se io ho 2 utenti creati da me (quindi all'avvio normale posso scegliere con quel account entrare) superpippo (che fa da amministratore) e pippo (che è l'utente limitato) e cado sotto "C:\Documents and Settings" non trovo semplicemente 2 cartelle "superpippo", "pippo", ma di più, come faccio a capire in quali cartelle togliere i permessi di scrittura? Devo toglierli a pippo anche alla cartella "All user" ad esempio?

Per tutto il resto di C: penso che si possa tranquillamente togliere i permessi di scrittura, ovviamente per fare modifiche al sistema si dovrà entrare da amministratore (come ad esempio l'installazione dei programmi) al quale non cambierò nessun permesso.

E quindi mi metto a cambiare i permessi....e mi perdo inevocabilmente...
di nuovo non ci sono solo i due utenti che ho creato, ma ci sono più utenti...
da qualche cartella c'è anche un "utente sconosciuto" (che proprio non capisco cosa sia...), e normalmente c'è qualcosa tipo (prendi nuovo gli esmpi da una installazione di xp, ma ricordo che per windows 7 non era diversa la situazione)
Administrators (KIKKAS\Administrators)
CREATOR OWNER
Everyone
SYSTEM
Users(KIKKAS\Users)
inoltre manualmente posso aggiungere l'account dell'utente e dell'amministratore che ho creato io... (pippo e superpipp)

bene, a questo punto a chi setto quali permessi?
Chi appartiene a quale gruppo, quale gruppo serve, perchè ce ne sono così tanti?
Però mi è sembrato di capire che se metto una negazione al singolo utente che ho creato io, questa negazione prevale su tutte le eventuali affermazioni che ci sono nei gruppi al quale l'utente fa parte, quindi se voglio mettere delle negazioni mi basta cambiare le impostazioni al singolo utente.

Però....io avevo provato a togliere a pippo (sempre prendendo l'esempio di prima) i permessi di scrittura a C:....ha potuto comunque creare file nelle sue cartelle personali, credevo che se mettevo una proprietà ad una cartella in automatico anche gli elementi sotto di essa acquisissero gli stessi privilegi, come faccio a dirglielo?

Inoltre non è neanche ben chiara la differenza tra la voce "modifica", "scrittura", mi sembrano la stessa cosa, solo che se nego la modifica nego anche la "lettura e esecuzione", "visualizzazione", "lettura" e "scrittura", con "scrittura" nego solo la scrittura...

Quindi, in conclusione...dove posso mettere quali permessi?
Alla "home" vorei mettere i permessi di lettura e scrittura, togliere quelli di esecuzione
Inoltre, se ho una seconda partizione dove normalmente vengono salvati i dati (e quindi voglio lasciare i permessi di scrittura), come posso togliere i permessi di esecuzione e lasciare quelli di scrittura e lettura (in sostanza dargli li stessi permessi che avrei in home)
Il problema è che c'è solo la voce "lettura ed esecuzione", ma io non voglio toglierle entrambe, ma solo esecuzione.
All'infuori della home (ed eventuali partizioni per i dati) tolgo "scrittura" ovunque, e mi chiedevo dove posso togliere anche la esecuzione (quindi negare la modifica in sostanza).
Suppongo no alla cartella "programmi" (i programmi faccio attenzione a installarli tutti sotto c:\programmi), altrimenti il mio utente non può far partire programmi, però ad esempio in c:windows? O dove vanno a finire di solito i virus e altre schifezze, per fare in modo che non vengano eseguite o nemmeno salvate (causa i mancati permessi, sempre che non sfruttino un bug ovviamente)

Ultima domanda (e ho quasi finito il post ultralungo, scusate)
Se ho settato tutti questi permessi, per gli aggiornamenti come mi comporto?
Li lascio su automatici, ma l'utente limitato riesce ad installarli o ogni volta devo cambiare l'utente? Come posso cambiare le impostazione perchè l'utente di base possa installare gli aggiornamenti di windows (e magari anche di un altro paio di programmi come il browser, client di posta...) sopratutto quelli relativi alla sicurezza, che sono quindi da fare non appensa escono.


Scusate per il post così lungo, e se di un colpo chiedo per 3 edizioni di windows differenti, so che sulle differenti versioni ci saranno strumenti differenti a disposizione per la sicurezza del proprio sistema (come ad esempio su WinXP Prof vi era gpedit, su WinXP Home no),
però mi sembra che la struttura, di dove sono poizionati quali files, sia simile se non identica, e quindi sapendo quelli, posso districarmi meglio nel capire dove settare cosa su qualsiasi versione di windows (visto che ne ho di diverse da mettere a posto).

Ovviamente se avete programmi da consigliare che possono aiutarmi in questo lavoro sarò ben felice di usarli una volta capito come funzionano le cose.
Se conoscete anche qualche buona guida da linkarmi, ben accetta, io mi sono messo a chiedere qui perchè cercando in rete "windows struttura cartelle" o "windows permessi" non ho trovato qualcosa di esauriente e molto spesso di parla di condivisione file tra più computer, ma non è li che voglio settare i permessi.

edit:
se non ricordo male avevo letto da qualche parte che alcuni programmi avevano dei problemi a funzionare da un account limitato...si conscono programmi particolari?
Sui computer in questione non ci vanno installati molti programmi, giusto una suite d'ufficio, un browser, thunderbird, qualche gioco magari, vlc, programma per la chat e l'antivirus (magari qualche utility come 7zip, e per la stampante/scanner...) non ho la più pallida idea di quale programma possa avere dei problemi sinceramente, ma non ho appunto molta esperienza in questo campo...

Contemax59
07-11-2010, 09:16
Ho scoperto da poco che in xp, se il computer è formattato in ntfs..

XP è andato in pensione.......

La mia idea era quella di rendere il sistema "simile" (dal punto di vista dei permessi) a quelli unix, cioè dare i permessi di scrittura soltanto nella propria home.
[/QUOTE]

Se hai scoperto da poco tempo che esistono i permessi utente, penso che a te serva un buon testo sul quale studiare. Non ha senso pensare alla sicurezza se ancora ti mancano le basi di Windows. E' come pretendere di elaborare un motore senza sapere nulla di meccanica....

Ti consiglio questo (http://education.mondadori.it/scheda/978886114218), è ottimo per imparare!

Ciauz

kikkas
07-11-2010, 09:34
Che windows xp sia oramai in pensione lo so, ma i computer qui con xp hanno dai 256-512mb di ram, e non posso installare un sistema gnu/linux, cosa che avrei fatto molto più volentieri.
I computer hanno tutta la potenza di calcolo necessaria per eseguire le operazioni necessarie che abbiamo dovuto affrontare fino
scrivere dei testi in .odt, tabelle con calc, un paio di giochi di winXP, su uno anche posta+internet+chat, masterizzazione ogni tanto, piccoli sperimenti con gimp, ascoltare musica...
Anche se volessi installare windows seven sarei obbligato a comprare computer nuovi, cosa che non ho (oggi come oggi) intenzione di fare (e perderei (temo) la possibilità di fare girare giusto quei due giochi che abbiamo comprato per windows e che non abbiamo intenzione di smettere di usare ;) )

Inoltre, mi sono permesso male, non ho scoperto che esistono da poco i permessi utente, ho scoperto da poco che si possono settare su windows XP (sia perchè formattavo in fat32 per avere prestazioni leggermente migliori, sia perchè su windows xp home devi entrare in modalità provvisoria per settarli), che non è un sistema operativo che uso all'ordine del giorno (windows in generale), ed è per questo che mi trovo così "spaesato e confuso" nella gestione dei permessi in windows, non bastava un semplice tabella con "lettura", "scrittura", "esecuzione" al posto di quell'elenco con voci un poco ignote?

Il testo che mi hai consigliato andrebbe benissimo se non costasse 120€, che, va bene tutto, ma è veramente tanto, sopratutto considerando che non ho intenzione di studiare come funziona tutto windows, ma sapere soltanto questa parte relativa ai permessi, come detto prima, io non uso windows, quindi è abbastanza inutile che compro un tomo che parla di tutto quello che si può fare con windows (solo seven poi, io qui ho anche un pc con vista anche se non lo ho mai toccato, che non so se toccherò mai, ma gia che c'ero mi sarebbe piaciuto sapere se dovevo prestare qualche particolare attenione in confronto a seven), se a me interessa solo la gestione dei permessi, quindi solo una parte (non so quanto grande/piccola) del libro.
Ti ringrazio comunque del link.

Di guide online (e quindi gratuite) non se ne trovano?
Mi sembra abbastanza strano che non sia un argomento trito e ritrito (sopratutto su XP), però non sono riuscito a trovare moltissimo in giro...

hexaae
07-11-2010, 19:06
"XP" e "sicurezza" non possono strare nella stessa frase. Lascia perdere. ;)

Su Vista/7 (kernel NT6.x) la sicurezza è tutto un altro discorso (fortunatamente Windows da Vista in poi in fatto di sicurezza è ben realizzato) è molto simile nel concept ad AppArmor ed è già limitata nei permessi (cerca in rete e studiati l'UAC e gli Integrity Levels per cominciare...). Non hai niente da impostare per aumentare l'hardening credimi, se non UAC al massimo livello su Seven, dato che a default è inutile e creato da MS solo per i niubbi che avevano protestato su Vista perché l'UAC "dà fastidio!"....

http://technet.microsoft.com/it-it/magazine/cc138019.aspx
http://www.istartedsomething.com/20090613/windows-7-uac-code-injection-vulnerability-video-demonstration-source-code-released/

kikkas
07-11-2010, 23:06
beh, che xp non fosse il sistema operativo più sicuro era un dato di fatto, lascerei volentieri perdere (installando appunto un altro sistema), ma purtroppo sono abbastanza obbligato nella scelta, quindi lasciar perdere diventa difficile

però tieni conto che la maggior parte di virus su windows non funzionerebbe su account limitati (si parte sempre dal presupposto che il computer in questione con windows abbia i permessi di amministratore), inoltre settando i permessi e impedendo a zone intere dell'hd il permesso di esecuzione dovrei rendere ad un eventuale virus la vita un poco più difficile.
Inoltre molti virus sfruttano bug presenti in altri programmi diffusi (come flash), il parco di programmi in uso è molto ridotto, quelli con accesso a internet è quasi nullo... i virus che prendono poi di mira i servizi sono "limitati" in quanto quelli attivi sono pochi (ho chiuso tutti quelli non necessari, lasciando il minimo indispensabile) inoltre togliendo l'autorun da cd e chiavette, sempre che non ci metta il dito un utente..., infezione da periferiche non dovrei averne pià di tante....lungi me da dire in ogni caso che ho un sistema operativo inattaccabile, ma forse un poco più difficile da attaccare si...

Non era comunque mia intenzione aprire una discussione su quanto sia insicuro windows, ma soltanto su come renderlo più sicuro (anche a costo di avere alcune scomodità, come il cambio di utente per installare un programma nuovo ;))

UAC non lo conosco benissimo, ma non avevo letto buone recensioni (https://guiodic.wordpress.com/2009/05/16/due-video-che-mostrano-insicurezza-di-windows-7/), ma premetto che non mi sono poi informato ulteriormente, anche se il primo risultato di un ricerca (http://onlypc.myblog.it/tag/eludere+l%27uac+di+windows+vista+e+windows+7) non è molto promettente...

comunque domani mi leggo i link che mi hai dato, così che possa, apprendere qualcosina

hexaae
08-11-2010, 09:18
beh, che xp non fosse il sistema operativo più sicuro era un dato di fatto, lascerei volentieri perdere (installando appunto un altro sistema), ma purtroppo sono abbastanza obbligato nella scelta, quindi lasciar perdere diventa difficile
Auguri... ;) Anche perché Privilege Escalation, profili creabili con troppe poche restrizioni (SuperUser) etc. è una barzelletta la sicurezza di XP...
Aggiungici che mancano soluzioni tecniche nel kernel tipo ASLR, SEHOP, DEP serio, IL...

però tieni conto che la maggior parte di virus su windows non funzionerebbe su account limitati (si parte sempre dal presupposto che il computer in questione con windows abbia i permessi di amministratore), inoltre settando i permessi e impedendo a zone intere dell'hd il permesso di esecuzione dovrei rendere ad un eventuale virus la vita un poco più difficile.
Verissimo.
Inoltre molti virus sfruttano bug presenti in altri programmi diffusi (come flash), il parco di programmi in uso è molto ridotto, quelli con accesso a internet è quasi nullo... i virus che prendono poi di mira i servizi sono "limitati" in quanto quelli attivi sono pochi (ho chiuso tutti quelli non necessari, lasciando il minimo indispensabile) inoltre togliendo l'autorun da cd e chiavette, sempre che non ci metta il dito un utente..., infezione da periferiche non dovrei averne pià di tante....lungi me da dire in ogni caso che ho un sistema operativo inattaccabile, ma forse un poco più difficile da attaccare si...
Ti faccio un esempio: con Vista/7 e il nuovo kernel NT6.x hai la Modalità Protetta sul WEB con IE8/9 e Chrome (quest'ultimo leggermente meno sicuro dato che non isola anche i plugin come invece fa IE). Significa un sandboxing naturale e molto molto efficace senza alcuno sforzo. Alla faccia degli exploit!
Su XP non è possibile perché mancano ad es. gli Integrity Levels...

UAC non lo conosco benissimo, ma non avevo letto buone recensioni (https://guiodic.wordpress.com/2009/05/16/due-video-che-mostrano-insicurezza-di-windows-7/), ma premetto che non mi sono poi informato ulteriormente
Quello che avevi letto te l'ho già linkato: come ti dicevo su 7 semplicemente devi mettere UAC al massimo livello e non a default (per i poco esperti che non sanno amministrare un sistema). Tutto qui.

anche se il primo risultato di un ricerca (http://onlypc.myblog.it/tag/eludere+l%27uac+di+windows+vista+e+windows+7) non è molto promettente...

Non si può eludere l'UAC. Non è mai stato bucato e non è possibile se non tramite operazioni che passino per la conferma utente, così come quando volontariamente inserisci la pass sulle distro Linux o usi il sudo....
Quell'articolo è ridicolo e scopre l'acqua calda: su qualsiasi sistema con password puoi scrivere/leggere ed eseguire in ambiente user quello che ti pare. Anche sui sistemi Unix non c'è bisogno di alcun permesso da root per operare in home con gli stessi diritti dell'utente collegato. Ovvio.
È proprio per scongiurare manipolazioni a livello user che esiste la mp con IE e Chrome.
I soliti articoli da ignoranti in malafede tanto per spargere letame su Windows, anche quando col kernel NT6.x hanno fatto finalmente le cose per bene...

kikkas
08-11-2010, 16:03
Posso dire che però UAC, anche al massimo livello, non è la stessa cosa di un su in gnu/linux?

L'UAC è veramente rompi, preferisco fare un utente che non può semplicemente fare operazioni da amministratore e fare un amministratore che può fare tutto senza diecimila conferma sinceramente.

Per riprendere l'esempio da te citato, chrome (e firefox tra poco se non sbaglio) includono di default una sorta di sandboxing e processi separati, non credo che questo dipenda da windows...

Per XP, ripeto, lascerei volentieri perdere, ma ora come ora non vedo alternative, sto cercando in rete se è possibile in qualche modo togliere i permessi di esecuzione lasciando inalterati quelli di lettura e scrittua, ma non mi sembra...se qualcuno avesse qualche consiglio...

"ASLR, SEHOP, DEP serio, IL..."
tutte cose che non ho ai sentito, comunque anche su windows 7 e vista esistono i virus, per questi la mia domanda non coinvolgeva solo xp ma anche i suoi successori, cioè;
oltre a creare un account utente limitato, cosa si può fare in modo che un generico utente e un generico virus non possano creare (nel limite del possibile) danni?

Attualmente la "migliore" solzuione trovata su un windows xp (a breve provo con win7) è stato formattare in ntfs, e togliere permessi di scrittura a varie cartelle

vorrei poter togliere quelle di esecuzione ma lasciare quelle di lettura e scrittura (ad esempio su chiavette usb, altre partizioni, cartella dei file temporanei...), in modo da non lanciare accidentalmente file "pericolosi".

Sono ben disposto ad ascoltare altre soluzioni (escluse quelle di un buon antivur, firewall e via dicendo che sono ovvie ;) ), come ad esempio il sandboxing, sopratutto se non richiedono un gran dispendio di risorse (come ad esempio la gestione dei permessi ;) ), anche perchè altrimenti ci si riduce ad accendere il computer per controllare che tutto vada bene senza riusire nemmeno ad usarlo ^_^

per il discorso UAC, ora ho ritrovato un articolo (http://www.italiasw.com/digital-life/sophos-windows-7-e-vulnerabile-a-8-su-10-virus_4113.html) che avevo letto tempo fa, va bene che sophos venderà prodotti per la sicurezza ed è quindi a suo vantaggio dar queste notizie, però non penso che quindi chiedere qua faccia male ;)

Contemax59
08-11-2010, 16:29
Attualmente la "migliore" solzuione trovata su un windows xp (a breve provo con win7) è stato formattare in ntfs, e togliere permessi di scrittura a varie cartelle

Errato..
Innanzitutto dipende da quale versione di XP.
Con la Home puoi fare molto, ma molto poco se non nulla.
Con il Professional mediante le policy utente/gruppo, puoi meglio amministrare e limitare l'area di azione dell'utente, senza andare a smanettare sui permessi cartella/files che alla fine diventano un boomerang.....Ti voglio io a ricordarti poi cosa hai impedito e cosa no! Manco se te lo scrivi punto per punto....

Tanti anni fa per mamma Telecom, effettuai un hardening su XP professional in cui l'utente poteva solo aprire internet explorer :p e funzionava bene.
L'amministratore poteva in qualsiasi momento e in modo repentino, cambiare qualsiasi delle impostazioni senza diventare scemo :D

Ciauz

kikkas
08-11-2010, 18:13
Errato..
Innanzitutto dipende da quale versione di XP.
Con la Home puoi fare molto, ma molto poco se non nulla.
Con il Professional mediante le policy utente/gruppo, puoi meglio amministrare e limitare l'area di azione dell'utente, senza andare a smanettare sui permessi cartella/files che alla fine diventano un boomerang.....Ti voglio io a ricordarti poi cosa hai impedito e cosa no! Manco se te lo scrivi punto per punto....

Tanti anni fa per mamma Telecom, effettuai un hardening su XP professional in cui l'utente poteva solo aprire internet explorer :p e funzionava bene.
L'amministratore poteva in qualsiasi momento e in modo repentino, cambiare qualsiasi delle impostazioni senza diventare scemo :D

Ciauz

hehe, il problema è che io ho proprio xp home, quindi niente gpedit, ho gia provato un paio di modi per importarlo ma senza successo, ho chiesto gia se esistono delle alternative ma nisba... quindi su xp home è l'unica soluzione, su windows sette home e starter non so se gpedit sia disponibile...

cmq non è difficile come lo vorrei mettere
1) dare a (home dell'utente) + (partizioni differenti da C:) + (cartella file temporanei)+(memorie esterne)
permessi di lettura, scrittura, no esecuzione

in tutto il resto:
permessi di lettura e esecuzione, non di scrittura

in questo modo dall'account dell'utente non si dovrebbe poter salvare nessun eseguibile dove può venir eseguito, ovvio che sfruttando bug nel sistema questo diventa possibile, ma contro molti rischi di infezioni si limitano i rischi

spero di non aver dimenticato nessuna cartella particolare..

Ovviamente l'aministratore può fare tutto, chi viene limitato è l'utente, il quale deve giusto poter navigare, scrivere documenti, controllare la posta e giocare a spider ^^
In teoria non dovrei, una volta settate, cambiare mai le impostazioni (basta comunque segnarsele per ricordare se c'è qualcosa di importante, o magai trovare appunto un programmino tipo gpedit...)

Il grave problema che ho adesso è che non capisco come poter negare i permessi di esecuzione senza negare quelli di lettura.