Welchen Sinn hat die Verwendung eines alltäglichen Nicht-Administratorkontos unter OS X?

Auf jedem OS X-Computer gibt es nur ein Root-Konto, das standardmäßig deaktiviert ist. Es hat kein Passwort und Sie können sich nicht als Root anmelden, es sei denn, Sie verwenden ausdrücklich das Verzeichnisdienstprogramm und aktivieren es. Es ist gefährlich, weil das System, wenn es als root angemeldet ist, alle Autorisierungen umgeht – es fragt nicht einmal nach einem Passwort. In dieser Hinsicht ist ein OS X-Computer tatsächlich wurzellos , was A Good Thing™ ist.

Admin- Konten sind einfach Standardkonten, die sich zufällig auch in der Admin -Gruppe befinden. Jede Aktion in OS X, die von einem angemeldeten Benutzer ausgeführt wird, wird mit der Autorisierungsdatenbank verglichen (Sie können ihre Regeln in /System/Library/Security/authorization.plist einsehen , um zu sehen, ob keine Authentifizierung erforderlich ist oder es ausreicht, als authentifiziert zu werden der Sitzungseigentümer (Standardbenutzer, der angemeldet ist), oder Sie müssen Mitglied der Admin-Gruppe sein. Es gibt eine sehr feinkörnige Kontrolle. Es können also drei Möglichkeiten auftreten, beispielsweise in den Systemeinstellungenbeim Klicken auf das verschlossene Vorhängeschloss. Beim Klicken wird es möglicherweise einfach ohne Authentifizierung entsperrt, es kann ein Authentifizierungsdialogfeld mit bereits eingegebenem Kontonamen angezeigt werden (was bedeutet, dass Sie Ihre Identität bestätigen müssen) oder es kann ein Authentifizierungsdialogfeld mit leeren Feldern für Kontoname und Passwort angeboten werden (was bedeutet, dass Sie bitte kein Administrator sind). Rufen Sie einen Administrator an, um seine Anmeldeinformationen einzugeben).

Als Faustregel gilt, dass alles, was andere Benutzer auf dem Computer betreffen kann (systemweite Änderung), eine administrative Authentifizierung erfordert. Aber es ist komplexer als das. Standardbenutzer können beispielsweise Apps aus dem Mac App Store im Ordner /Applications installieren (was eine systemweite Änderung ist), GateKeeper jedoch nicht umgehen können, um unsignierte Anwendungen auszuführen, selbst wenn dies nur in ihren eigenen Daten geschieht. Standardbenutzer können sudo nicht aufrufen, was den schlechten Nebeneffekt hat , dass in einem Fenster von 10 bis 15 Minuten danach keine Authentifizierung erforderlich ist . Ein ausgeklügeltes Skript wird Sie nach einer Admin-Authentifizierung für etwas fragen, dem Sie zustimmen, aber danach wird es alle möglichen verrückten Dinge tun, von denen Sie nichts wissen.

Standardbenutzer können auch über die Kindersicherung oder Konfigurationsprofile verwaltet und Passwortrichtlinien durchgesetzt werden. Admin-Benutzer können so etwas nicht tun.

Der Systemintegritätsschutz behebt die Tatsache, dass Benutzer sich durch Installationspakete geklickt und Passwörter so einfach eingegeben haben, dass die Benutzer zum schwächsten Glied geworden sind. SIP versucht nur, das System über Wasser zu halten, sonst nichts (und scheitert manchmal auch daran).

Sie würden nicht glauben, wie viele Leute ich gesehen habe, die nur einen Benutzer auf dem Computer haben (der auch ein Administratorkonto ist) und sogar ohne ein Kontokennwort, nur um eine leichte Abnahme der Belästigung in Form einer Anmeldefensteraktivität wahrzunehmen.

Ich kann Ihrer Meinung nicht zustimmen, dass es mühsam ist, bei Bedarf zu einem Administratorkonto zu wechseln. Wenn Sie sich im Terminal befinden, müssen Sie nur myadminacct ausführen , bevor Sie irgendetwas tun, einschließlich sudo oder den Finder als einen anderen Benutzer starten, indem Sie /System/Library/CoreServices/Finder.app/Contents/MacOS/Finder ausführen .

In der GUI erfordern Mac App Store-Updates (einschließlich OS X-Updates) keine Administratorauthentifizierung. Diese Installationspakete, die im Download-Ordner landen, einschließlich Adobe Flash-Updates, ja, Sie sollten sehr vorsichtig sein, bevor Sie diejenigen öffnen , die die zusätzliche Arbeit erledigen, und dreifach sicherstellen, dass sie vom richtigen Ort kommen und nicht voller Unannehmlichkeiten sind.

Deshalb halte ich es für besser und sicherer, einen Mac mit einem Standardkonto zu verwenden, als mit einem Admin, weil es mich vor meinen eigenen Fehlern und Versehen schützt. Selbst die Mehrheit der sachkundigen Benutzer untersucht nicht jedes heruntergeladene Skript Zeile für Zeile, um festzustellen, ob etwas faul ist.

Ich hoffe, dass die Kontrollen in Zukunft noch strenger werden, zum Beispiel die Einführung von Bedingungen oder Zeitplänen, wann eine App (oder ein Skript oder eine ausführbare Datei) ausgeführt werden kann oder Zugriff auf das Netzwerk hat, oder dass eine ausführbare Datei möglicherweise nicht einmal gestartet wird, wenn ich dies getan habe nicht explizit erlaubt (Authentifizierungsdialog) innerhalb des letzten Monats oder so.

Sicherheit wird am besten als mehrschichtige Strategie mit mehreren Vektoren implementiert .

Das Prinzip der geringsten Rechte (POLP) ist nur ein weiteres Rädchen in der Maschine, die Ihren Computer schützt.

Alles, was Sie dort aufgelistet haben, ist gut, aber nichts davon wird jemanden daran hindern, Ihren Computer mit einem Exploit wie dem Dropped Drive Hack zu übernehmen .

• Wie verhindert eine Firewall, dass ein Benutzer einen USB-Stick einsteckt, auf dem ein Exploit zur Fernsteuerung eingebettet ist?

• Wie verhindert SIP, dass ein Keylogger Ihre Tastenanschläge erfasst?

• Wie wichtig ist es überhaupt, SIP zu haben, wenn es vom Admin einfach deaktiviert werden kann?

• Wie verhindern Sie, dass nicht autorisierte/illegal lizenzierte Software installiert wird? Ein eingeschränktes Benutzerkonto stellt sicher, dass Benutzer, die keine Software installieren sollten, keine Software installieren.

Ihre letzte Verteidigungslinie besteht darin, ein Konto zu verwenden, das kein Administratorkonto ist, damit Sie die Bedrohung mindern können, indem Sie eine weitere Sicherheitsebene (Benutzerauthentifizierung) einrichten, wenn eine Malware versucht, sich selbst zu installieren.

Ich habe dies seit Ewigkeiten gesagt:

„Sicherheit“ ist kein Produkt, das Sie kaufen, oder ein Schalter, den Sie umlegen; Es ist eine Praxis , es ist eine Denkweise , alle verfügbaren Tools zu nutzen, um Ihr Risiko zu minimieren.

Es gilt im Allgemeinen als bewährte Methode, ein Konto zu verwenden, das nicht mehr Berechtigungen hat, als erforderlich sind. Dies bedeutet im Allgemeinen, dass Sie ein Konto mit der geringstmöglichen Berechtigungsstufe verwenden und Ihre Berechtigungen erhöhen sollten, wenn dies für eine bestimmte Aufgabe erforderlich ist, die höhere Berechtigungen erfordert.

Allerdings nervt das ziemlich schnell. Der Grund dafür ist, dass das, was Ihnen oder mir wie eine einfache Aufgabe erscheint ("Ich wollte nur das WLAN einschalten") als privilegierter Vorgang für das Betriebssystem angesehen wird ("Sie möchten ein Netzwerkgerät aktivieren und die Maschine zulassen in irgendein zufälliges Netzwerk gestellt werden").

Ein Gleichgewicht zwischen Komfort und Sicherheit zu finden, ist viel schwieriger, als es sich anhört, und mein persönliches Gefühl ist, dass OS X es viel besser macht als einige andere Betriebssysteme wie Windows.

Wenn Sie die ganze Zeit als Administrator arbeiten, könnten Sie versehentlich auf eine E-Mail klicken, die einen Link zu einer Seite mit Crapware enthält, und es wird automatisch ein Skript ausgeführt, das ohne Ihr Wissen einige Neukonfigurationen vornimmt. Wenn Sie jedoch als nicht privilegierter Benutzer ausgeführt werden, öffnet das Betriebssystem, sobald dieses Skript ausgeführt wird, einen Dialog mit der Aufschrift „Dieses bösartige Skript möchte etwas mit Ihrem Computer anstellen. Bitte bestätigen Sie, indem Sie Ihr Passwort eingeben“. Dies würde normalerweise Alarm oder Überraschung hervorrufen, wenn Sie es zu diesem Zeitpunkt nicht erwarten würden.

Außerdem – was noch wichtiger ist – Sie richten einen Computer für jemand anderen ein. Jemand in Ihrer Familie, der sich nicht mit Computern auskennt. Es ist eine ausgezeichnete Idee, ihnen ein nicht privilegiertes Login zu geben und das Admin-Passwort für sich zu behalten, damit sie das nächste Mal, wenn sie auf irgendeinen alten Müll klicken (wie es ihre Gewohnheit ist), den Computer NICHT mit Crapware infizieren können. Sie beschweren sich manchmal, wenn Sie dies tun, aber Sie müssen sie nur daran erinnern, dass sie damals 35 Symbolleisten auf IE 6 installiert hatten und jedes Mal, wenn sie eine Google-Suche durchführten, Seiten mit pornografischen Popups erhielten, bevor sie widerwillig zustimmen, dass dies der Fall sein könnte eine gute Idee sein. Der Nachteil ist, dass sie Sie häufiger anrufen werden, um Sie dazu zu bringen, ihren Computer zu entsperren, wenn sie das Flash-Plug-in aktualisieren möchten.

Wie gesagt: Sicherheit ist eine Einstellung, kein einfacher Schalter, den man umlegen kann.

Lassen Sie mich sehen, wie Ihre Gründe funktionieren würden oder nicht:

1. Admin-Konten sind nicht root. Obwohl dies zutrifft, können sie möglicherweise anrufen sudound haben möglicherweise sogar das Kennwort zur Eingabe bereit (oder sudowurden so konfiguriert, dass sie nicht nach dem Kennwort fragen).

2. SIP (System Integrity Protection): Dies ist nur eine Schicht, die nicht für alle Angriffe ausreicht. Kann deaktiviert werden? Noch besser!

3. Spyware-Argument: Nun, vielleicht. Privilegien sind immer noch nicht getrennt genug. Aber trotzdem ist es immer noch eine Einschränkung.

4. Grundlegende Verteidigungslinien sind systemweit: Nr. 1 besagt, dass Apps, die auf Administratorkonten ausgeführt werden, root werden können.

5. Umschalten? Es ist allgemein bekannt, dass Sie admin-bezogene Aufgaben von Standardkonten aus erledigen können, solange Sie das Admin-Konto-Passwort eingeben. Ein echter Kontowechsel ist nicht erforderlich.

Wenn Sie andere Familienmitglieder haben, die nicht mit Computern vertraut sind, oder deren Zugriff einschränken möchten (z. B. Kinder), oder wenn Sie ein Arbeitgeber sind, der den Zugriff auf Mitarbeiter beschränken möchte, die die Maschine verwenden dürfen, dann absolut ja; Es gibt immer noch Gründe, Nicht-Admin-Konten in OSX für den täglichen Gebrauch zu haben.

Wenn Sie einen Computer besitzen und ihn steuern möchten, verwenden Sie ein Administratorkonto.

Wenn Sie nicht möchten, dass andere Benutzer irgendetwas „administrieren“ können, sind Konten ohne Administratorrechte sehr hilfreich. Außerdem wissen Sie nie, wann Sie die Maschine aus dem Stegreif ausleihen müssen, wenn jemand einen Moment fragt: "Hey, könnte ich mir Ihren Mac ausleihen, um etwas ganz schnell zu erledigen?", Es gibt Seelenfrieden, sich abmelden und anmelden zu können sie in ein „Halb-Gast“-Konto ein, das Sie erstellt und für das Sie maßgeschneiderte Berechtigungen haben.

Es gibt wahrscheinlich andere Gründe, aber hier ist meiner: Es ist nicht möglich, Einschränkungen für das Admin-Konto festzulegen. Es ist nützlich, Einschränkungen zu haben, um zu verhindern, dass man unerwünschte oder gefährliche Seiten besucht.

HINWEIS: Diese Antwort war "in Bearbeitung", als diese Frage geschlossen wurde. Ich poste es stattdessen hier.

Antworten:

Ihre Frage kann nach Meinungen fragen und ähnelt auch dieser Frage . Ich habe beide Seiten des Arguments gehört, und die Argumente beider Seiten sind zumindest teilweise subjektiv. Ich habe kein endgültiges, einheitliches Argument dafür oder dagegen gehört. Meine Schlussfolgerung (und meine Antwort) ist daher, dass es auf eine Frage der persönlichen Präferenz und des individuellen Anwendungsfalls hinausläuft.

Einerseits sind einige unserer Macs Einzelbenutzer-Computer, und die Trennung von Rechten mag sinnlos erscheinen. Andererseits, und nur für mich selbst sprechend, gefällt mir die Idee, dass das System meine Entscheidungen „herausfordert“, weil es mir die Möglichkeit gibt, noch einmal nachzudenken.

Ein weiterer Aspekt dieser Trennung von Rechten ergibt sich aus welchem ​​Teil von macOS Sie verwenden: dem „Unix-Teil“ oder dem „GUI-Teil“? Die Dinge werden hier unschärfer, weil es in macOS Tools und Dienstprogramme gibt, die sich "überschneiden" - das heißt, es gibt viele Einstellungen, die über die CLI (Befehlszeilenschnittstelle, auch bekannt als TerminalApp) vorgenommen werden können, die auch über die GUI-Oberfläche vorgenommen werden können.

Im Fall des „Unix-Teils“ von macOS können Standardberechtigungen/Privilegien in der sudoersDatei geändert werden , um die Privilegien für einen Nicht-Admin-Benutzer zu erhöhen. Im Fall des „GUI-Teils“ von macOS werden Berechtigungen und Privilegien (teilweise) über die Autorisierungsdatenbank gesteuert ( alles, was Sie wissen möchten, finden Sie in dieser Apple-Ressource ).

Es ist alles ein bisschen ein Durcheinander, denke ich. IMHO, wenn Ihr System ein Einzelbenutzersystem ist, dann sind Sie auch der Administrator - unabhängig davon, ob Sie sich für eine oder zwei Anmeldungen entscheiden. Daher läuft diese Frage auf: "persönliche Präferenz". Wenn es sich um ein Mehrbenutzersystem handelt, ist das ein Pferd anderer Farbe, aber ich würde sagen , dass in den meisten Fällen ein zweites Admin-Konto erstellt werden sollte. Aber noch einmal, das hängt von Ihrer Situation und Ihren Urteilen ab.

Basierend auf all dem oben Gesagten habe ich mich dafür entschieden, ein unprivilegiertes (reguläres Benutzer-) Konto für die "normale" Nutzung zu erstellen und mein Admin-Konto als Rückhalt für potenziell nachlässige Entscheidungen zu reservieren. Ich verwende die CLI ziemlich häufig, daher habe ich mein reguläres Benutzerkonto zur sudoersDatei hinzugefügt, um ausnahmsweise Admin-/Root-Rechte zu gewähren. Das funktioniert für mich.

PS Verwenden Sie ein starkes Passwort für Ihr Admin-Konto.