Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

14 Kapitel 1: Subjekte, Benutzer und andere Akteure
In der Praxis entwickelten sich zwei Muster für SIDs. Bei integrierten, vordefinierten
Identitäten wurde die Hierarchie auf eine Tiefe von zwei oder drei Teilautoritäten verkürzt.
Bei echten Identitäten von anderen Prinzipalen wurde die ID-Autorität auf den
Wert 5 gesetzt, und der Satz der Teilautoritäten wurde auf 4 festgelegt.
Richard B. Ward, Architect
Windows Core
Hinter der ID-Autorität folgt in der SID die Zahl der Teilautoritäten. Die letzte davon wird
als relative ID bezeichnet. Dies ist die ID des eindeutigen Sicherheitsprinzipals innerhalb
des Bereichs, in dem die SID definiert wurde. Am Beispiel der folgenden SID sollte das
etwas klarer werden:
S-1-5-21-1534169462-1651380828-111620651-500
Wie Sie sehen, beginnt die SID mit S-1-5, sie wurde also von Windows NT ausgestellt. Die
erste Teilautorität ist 21 (hexadezimal 0x15). Die 21 definiert dies als eine Windows NT-
SID, bei der nicht garantiert wird, dass sie weltweit einmalig ist. Sie ist einmalig innerhalb
der Domäne, in der sie ausgestellt wurde, aber irgendwo anders kann es SIDs geben, die
genau denselben Wert haben. Die erste der Teilautoritäten ist sehr oft eine bekannte (engl.
well-known) Teilautorität. Tabelle 1.2 listet die wichtigsten bekannten Teilautoritäten auf.
Tabelle 1.2 Bekannte Teilautoritäten
Teilautorität Beschreibung
5 SIDs werden für Anmeldesitzungen ausgestellt, damit jeder Anwendung, die in einer bestimmten Anmeldesitzung
läuft, Berechtigungen zugewiesen werden können. Bei diesen SIDs hat die erste Teilautorität
den Wert 5, sie haben daher die Form S-1-5-5-x-y.
6 Wenn sich ein Prozess als Dienst anmeldet, bekommt er eine spezielle SID in seinem Token, die darauf
hinweist. Diese SID hat die Teilautorität 6, und sie lautet immer S-1-5-6.
21 SECURITY_NT_NON_UNIQUE. Bezeichnet Benutzer- und Computer-SIDs, bei denen nicht garantiert ist,
dass sie weltweit einmalig sind.
32 SECURITY_BUILTIN_DOMAIN_RID. Bezeichnet integrierte SIDs. Zum Beispiel lautet die bekannte SID für
die integrierte Gruppe Administratoren S-1-5-32-544.
80 SECURITY_SERVICE_ID_BASE_RID. Bezeichnet SIDs für Dienste.
Unsere SID enthält anschließend drei weitere Teilautoritäten: 1534169462, 1651380828 und
111620651. Diese Werte haben isoliert betrachtet keine implizite Bedeutung, aber in ihrer
Kombination geben Sie die Domäne oder den Computer an, die diese SID ausgestellt haben.
Die SID für die Domäne lautet demnach S-1-5-21-1534169462-1651380828-111620651, und
alle SIDs, die in dieser Domäne ausgestellt werden, beginnen mit diesem Wert und enden
mit einer eindeutigen RID für den Benutzer oder Computer, für die sie stehen. In diesem Fall
endet die SID mit 500. Dies ist eine bekannte RID für das integrierte Konto Administrator.
501 ist die bekannte RID für das integrierte Konto Gast, und 502 die bekannte RID für das
Kerberos Ticket Granting Ticket (krbtgt).