Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Terminologie der Zugriffssteuerung 77
Tabelle 3.6 zeigt die Integritätsebenen, die in Windows Server 2008 (und Windows Vista)
zur Verfügung stehen. Die meisten Objekte im Betriebssystem haben in der Standardeinstellung
eine mittlere Integrität. Ein Standardbenutzertoken hat ebenfalls eine mittlere Integrität.
Daher unterscheidet sich die Funktionalität in weiten Bereichen nicht von den vorherigen
Windows-Versionen. Der Internet Explorer im geschützten Modus läuft aber mit einer niedrigeren
Integritätsebene. Das bedeutet, dass der Internet Explorer standardmäßig nicht in der
Lage ist, in die meisten Teile des Betriebssystems zu schreiben. Beachten Sie, dass dieser
Sicherheitsvorteil verloren geht, wenn die UAC deaktiviert ist!
Tabelle 3.6 Integritätsebenen in Windows Server 2008
Integritätsebenen-SID
Name
S-1-16-0 Nicht vertrauenswürdiger Prozess. Wird in manchen Konfigurationen für anonyme Prozesse verwendet.
S-1-16-4096 Verbindliche Beschriftung\Niedrige Verbindlichkeitsstufe. Diese Ebene wird standardmäßig für den
Internet Explorer im geschützten Modus verwendet.
S-1-16-8192 Verbindliche Beschriftung\Mittlere Verbindlichkeitsstufe. Dies ist die Standardeinstellung für Standardbenutzer
und das eingeschränkte Token für Administratoren im Administratorbestätigungsmodus.
S-1-16-12288 Verbindliche Beschriftung\Hohe Verbindlichkeitsstufe. Wird für das vollständige Token von Administratoren
im Administratorbestätigungsmodus verwendet.
S-1-16-16384 Verbindliche Beschriftung\Systemverbindlichkeitsstufe. Wird für Systemprozesse und -dienste verwendet.
S-1-16-20480 Geschützter Prozess. Wird für bestimmte geschützte Prozesse verwendete, zum Beispiel Digital
Rights Management-Prozesse.
Die Integritätsebenen sind als ACE für die in Tabelle 3.6 aufgeführte SID in der SACL des
Objekts gespeichert. Wenn ein Benutzer die Beschriftungen ändern will, muss er daher die
Berechtigung haben, die SACL zu ändern. Dazu sind Besitzer und Administratoren in der
Lage.
Leere und Null-DACLs
Wie bereits erwähnt, kann es sein, dass ein Prozess keine DACL hat. Dies wird als Null-
DACL (engl. NULL DACL) bezeichnet. Eine Null-DACL ist ein sehr wichtiges Konstrukt,
weil es bedeutet, dass für das Objekt keine Zugriffssteuerung definiert ist. Dies ist daher so,
als würde jedem Subjekt Vollzugriff auf das Objekt gewährt.
Normalerweise sind Null-DACLs das Ergebnis eines Programmierfehlers. Zum Beispiel war
das Updateprogramm für einige Microsoft-Spiele defekt und erstellte Dateien mit einem
Null-DACL. Null-DACLs waren auch zu der Zeit, als Windows NT 4.0 im Einsatz war, bei
Systemobjekten recht verbreitet. Das war, bevor das Verhalten für diese Objekte so geändert
wurde, dass direkt beim Erstellen eine Standard-DACL hinzugefügt wurde.
Eine leere DACL (engl. empty DACL) ist etwas anderes als eine Null-DACL. Bei einer
Null-DACL ist keine Zugriffssteuerung für das Objekt definiert. Bei der leeren DACL ist
schon eine Zugriffssteuerung definiert, aber niemandem wurde Zugriff auf das Objekt gewährt.
Das ist also so, als ob niemand auf irgendeine Weise auf das Objekt zugreifen dürfte.