Mac OS X absichern - Betriebssystemkonfiguration

Aus Macwrench

Du bist nicht berechtigt, die Seite zu bearbeiten. Grund:

Du kannst den Quelltext dieser Seite betrachten und kopieren:

==Benutzeraccounts== Bei der Installation von Mac OS X (ebenso wie bei der vorinstallierten Variante auf ausgelieferten Macs) sind standardmäßig die folgenden Benutzerkonten vorhanden: * ein bei der erstmaligen Konfiguration angelegter Benutzer, im Folgenden als "Standardbenutzer" bezeichnet * ein Benutzer "root", der zunächst jedoch deaktiviert ist (aus gutem Grund) ===Der Benutzer "root"=== [[Bild:NetInfoManager_MenueSicherheit.png|thumb|right|Menü "Sicherheit" im NetInfo Manager zur (De-)Aktivierung des root-Benutzerkontos]]... ist der allmächtige System-Administrator und besitzt die umfassendsten Rechte im System. Aus diesem Grund ist er standardmäßig deaktiviert und muss bei Bedarf aktiviert sowie mit einem Passwort versehen werden. Dies erfolgt entweder über die Eingabe von passwd root im Terminal oder über das Bordwerkzeug "NetInfo Manager" im Menü "Sicherheit" (siehe Screenshot rechts). Auf diesem Weg kann das root-Konto auch wieder deaktiviert werden. Bei der "normalen" Systemnutzung wird jedoch kaum der Bedarf bestehen, diesen Benutzer zu aktivieren - zumal von einer laufenden Verwendung des Kontos ohnehin dringend abzuraten ist. Fehler können durch die umfassenden Rechte recht schnell gravierende Folgen haben. Derzeit ist die Anzahl der wirksamen Schädlinge zwar minimal bis nicht existent, das könnte sich jedoch bei einer größeren Verbreitung des Mac OS schnell ändern. Bei Schädlingsbefall über ein solches Konto genießt dieser dann dieselben Privilegien und kann erheblichen Schaden anrichten. ===der Standardbenutzer=== Das bei der Erstkonfiguration während der Installation angelegte Benutzerkonto ist standardmäßig Mitglied der Gruppe "admin", darf also das System verwalten. Dies ist am Untertitel "admin" in der Benutzerübersicht der Systemeinstellungen (PrefPane "Benutzer") zu erkennen. Benutzer dieser Gruppe haben zwar lange nicht die Rechte eines "root", besitzen jedoch auch weitreichende Rechte bezüglich der Systemverwaltung und -konfiguration sowie der Anwendungsinstallation. Da für den täglichen Gebrauch solche Rechte - wie beispielsweise das Schreiben in das Programmverzeichnis /Applications/ - nicht vonnöten sind, ist das Anlegen eines nicht-priviligierten Benutzers dringend anzuraten. Ein Schädling könnte auf diesem Wege beispielsweise Programme manipulieren und sich dort einnisten. Da jedoch von Mac OS X ''mindestens ein'' Administrator-Konto (unabhängig von root) gefordert wird, empfiehlt sich das Anlegen eines weiteren Accounts. Bei sicherheitskritischen Funktionen kann im Passwortdialog dann derjenige Account verwendet werden, der über Administrator-Privilegien verfügt. Das hat den Vorteil, dass eventuell eingeschleuste Schädlinge nur mit den geringen Rechten des "Standardbenutzers" operieren können und daher keinen Zugriff auf das Betriebssystem besitzen. [[Bild:AdminBenutzerAnlegen.png|right|thumb|Erstellen eines Administrator Benutzerkontos]] '''Die Erstellung eines solchen Kontos geht wie folgt:''' # Erstellen eines weiteren Kontos im "Benutzer"-PrefPane der Systemeinstellungen (z.B.: "admin") # Dieses Konto mit Admin-Rechten ausstatten (Haken im Feld "Der Benutzer darf diesen Computer verwalten") # Anschließend unter diesem Benutzer anmelden (der "Standardbenutzer" muss dazu abgemeldet werden, ein Benutzerwechsel genügt also nicht) # In den Benutzereigenschaften des "Standardbenutzers" den beschiebenen Haken entfernen. Dieser Admin-Benutzer sollte ein anderes Passwort bekommen als der "Standardbenutzer, im Zweifelsfall ist über das Schlüsselsymbol neben dem Passwort-Eingabefeld der [[Regeln_für_Passwörter#Kennwort_Assistent|Kennwort-Assistent]] zu verwenden. Mehr Informationen zu sicheren Passwörtern sind im Artikel "[[Regeln für Passwörter]]" verfügbar.<br /> Ab jetzt kann man etwas gefahrloser am Mac arbeiten, für die Installation von Systemupdates oder bei anderen Tätigkeiten, die admin-Rechte erfordern, werden fortan die Benutzerdaten des Administrators verwendet. ===Starten von Programmen mit höheren Privilegien=== Einige Anwendungen benötigen jedoch höhere Privilegien, um funktionieren zu können. Obwohl die meisten davon wohl von den Mac OS X Bordmitteln gebrauch machen und beim Start einen Passwort-Dialog anbieten, ist das bei einigen nicht der Fall. Solche Programme können beispielsweise von der [[:Kategorie:Terminal|Kommandozeile]] aus mit Hilfe der Befehle {{Man|sudo|sudo}} und [[Open]] gestarten werden: sudo $KOMMANDO sudo open -a TextEdit Dadurch laufen die Programme in einem anderen Benutzerkontext; dabei ist jedoch anzumerken, dass durch die oben vorgenommene Veränderung der Benutzerrechte (der Standardbenutzer ist ja nun kein admin mehr) jedoch ein Zwischenschritt notwendig geworden ist, da standardmäßig nur root sowie die Benutzer der Gruppe admin sudo benutzen dürfen. Auch der direkte Wechsel in den root-Kontext via su funktioniert als Standardbenutzer nun nicht mehr. '''Abhilfe-Möglichkeit 1:'''<br /> Zuerst der Wechsel in den Kontext des neuen Administrators, anschließende Verwendung von sudo: su admin sudo KOMMANDO '''Abhilfe-Möglichkeit 2:'''<br /> Aufnehmen des Standardbenutzers in die sudo-Konfigurationsdatei /etc/sudoers, was über die Eingabe des folgenden Kommmandos im Terminal erfolgt: sudo -e /etc/sudoers beispielsweise durch Einfügen der folgenden Zeile im Abschnitt "User privilege specification": $USERNAME ALL=(ALL) ALL $USERNAME ist dabei durch den Benutzernamen (Kurznamen) des jeweiligen Standardbenutzers zu ersetzen. Mehr Informationen zu sudo und der Konfigurationsdatei /etc/sudoers sind den jeweiligen Manpages {{Man|sudo|sudo}} und {{Man|sudoers|sudoers}} zu entnehmen. ===Damit verbundene Einschränkungen=== Mit den geringeren Benutzerprivilegien gehen allerdings auch einiges an Komfort verloren: ====su / sudo==== Es kann mittels {{Man|su|su}} nicht mehr direkt zum Benutzer "root" gewechselt werden (siehe oben). Es muss also ein Umweg über den oben angelegten Admin-Benutzer erfolgen, um root-Rechte zu erlangen. Alternativ kann die {{Man|sudo|sudo}} Konfigurationsdatei "{{Man|sudoers|sudoers}}" angepasst werden, damit diese Funktion wiederhergestellt wird. ====AFP Freigaben==== AFP-Freigaben (das sog. "Personal File Sharing") von angeschlossenen Volumes (sowohl intern als auch extern via USB oder Firewire) werden nicht mehr automatisch erzeugt. Das bedeutet, dass man auf einem entfernten Rechner nur noch die Benutzerverzeichnisse einbinden kann. Abhilfe schafft hier der [[mu:AutomountMaker|AutomountMaker]], mit dem sich AFP-Shares anlegen und bearbeiten lassen. Alternativ bietet sich die Verwendung des "Windows File Sharing" (via [[wikipedia:de:Samba_(Software)|Samba]]/[[wikipedia:de:Server_Message_Block|SMB]]) an, das über die Kondfigurationsdatei {{Man|smb.conf|smb.conf}} angepasst werden kann. Informationen und Tipps zu Samba gibt es mehr als Genug im Internet, mit [[mu:Supinfo Share Manager|Supinfo Share Manager]] existiert zudem ein graphisches Tool dafür. ===Weitere Möglichkeiten=== Das Hilfsprogramm [http://www.macupdate.com/info.php/id/16727 Super Empty Trash] (Freeware) ermöglicht das Leeren des Papierkorbes in einem höheren Benutzerkontext, ohne dazu den Benutzer wechseln zu müssen. [http://www.macupdate.com/info.php/id/5620 Pseudo X] (Shareware, $15) ermöglicht das Starten von Anwendungen in einem anderen Benutzerkontext durch einfaches Drag-and-Drop des Anwendungs-Icons.

Zurück zur Seite Mac OS X absichern - Betriebssystemkonfiguration.