Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

98 Kapitel 4: Grundlagen der Benutzerkontensteuerung
und mit dem richtigen Token verknüpft. In gewisser Weise ist AIS das Herz der UAC. Beachten
Sie, dass AIS im abgesicherten Modus deaktiviert ist; daher melden sich Benutzer,
die Mitglieder der lokalen Gruppe Administratoren sind, mit ihren vollständigen administrativen
Token an. Windows verwendet diesen Ansatz, weil der abgesicherte Modus ohnehin
nur für Wiederherstellung und Wartung genutzt werden sollte.
Datei- und Registrierungsvirtualisierung
Windows Vista und Windows Server 2008 führen eine Datei- und Registrierungsvirtualisierung
durch. Dies ist eine neue Anwendungskompatibilitätstechnologie, die Probleme mit
alten Anwendungen beseitigen soll, die ein Administratorzugriffstoken für die Ausführung
benötigen. Die Virtualisierung hilft, diese Anwendungen lauffähig zu machen, auch wenn
der Hersteller keine Änderung vornimmt. Eine große Zahl von alten Anwendungen, die
bisher ohne Administratorzugriffstoken nicht lauffähig waren, funktioniert nun in Windows
Vista und Windows Server 2008. Dafür ist die Virtualisierung verantwortlich.
Wenn eine alte Anwendung, die unter einem gefilterten Standardbenutzer-Zugriffstoken
läuft, versucht, in ein geschütztes Verzeichnis wie zum Beispiel Program Files zu schreiben,
bekommt die Anwendung eine virtualisierte Ansicht der Ressource präsentiert, die sie zu
ändern versucht. Die virtualisierte Kopie wird unter dem Profil (Registrierung) des Benutzers
verwaltet. Jeder Benutzer hat eine völlig unabhängige Kopie der virtualisierten Datei.
Das bedeutet, dass zwei Benutzer, die auf demselben Computer dasselbe Spiel spielen, möglicherweise
nicht dieselbe Bestenliste angezeigt bekommen, weil jeder Benutzer seine eigene
virtualisierte Ansicht der Datei %ProgramFiles%\Spiel\highscores.txt zu sehen bekommt.
Daher müssen IT-Administratoren die Datei- und Registrierungsvirtualisierung verstehen. In
manchen Fällen ist es nötig, die Virtualisierungseinstellungen innerhalb des Unternehmens
anzupassen, um Anwendungskompatibilitätsprobleme zu beseitigen. Die folgenden Abschnitte
beschreiben die Datei- und Registrierungsvirtualisierung.
Dateivirtualisierung
Dateivirtualisierung soll Probleme lösen, die entstehen, wenn eine Anwendung Dateien
anlegen oder ändern muss, für die nur Administratoren Schreibzugriff haben. Das kann zum
Beispiel eine Konfigurationsdatei in einem geschützten Speicherort wie %ProgramFiles%,
%ProgramData% oder %SystemRoot% sein. Wird ein solches Programm unter einem gefilterten
Standardbenutzertoken ausgeführt, kann das zu unerwarteten Fehlern führen. In manchen
Fällen kann das Programm überhaupt nicht ausgeführt werden, weil es nicht auf unbedingt
benötigte Dateien oder Registrierungsschlüssel zugreifen kann.
Wenn ein Programm in einen geschützten Systemspeicherort schreibt, wird die Operation
vom Dateivirtualisierungsfiltertreiber (%SystemRoot%\System32\Drivers\Luafv.sys) »abgefangen«
und auf einen benutzerspezifischen Speicherort innerhalb des Verzeichnisses VirtualStore
umgeleitet, das in %LocalAppData%\VirtualStore liegt. Wenn das Programm die
Datei später liest, fängt Luafv.sys die Operation wieder ab und leitet sie erneut auf den virtuellen
Speicher des Benutzers um. Falls die Datei nicht im virtuellen Speicher gefunden wird,
ruft Luafv.sys den nichtvirtualisierten Speicherort ab. Weil die Dateivirtualisierung automatisch
durchgeführt wird, glaubt das Programm, es hätte erfolgreich in %ProgramFiles%\
geschrieben. Aus Sicherheitsgründen erlaubt die Dateivirtualisierung
standardmäßig keine Umleitung bekannter ausführbarer Dateitypen wie .exe, .dll, .sys, .bat
und .cmd. Falls das Programm aufgrund von Anwendungskompatibilitätseinschränkungen