Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

64 Kapitel 3: Objekte: Was Sie wollen
sie dem Subjekt den Lesezugriff auf das Objekt, und zwar unabhängig vom Objektstyp.
Diese Berechtigung kann auch als FR (für FILE_GENERIC_READ, generischer Lesezugriff auf
eine Datei) oder KR (für KEY_GENERIC_READ, generischer Lesezugriff auf einen Schlüssel)
lauten, um generische Berechtigungen zum Lesen von Dateien beziehungsweise Registrierungsschlüsseln
zu gewähren. Entsprechend definiert GW (Generic Write) eine generische
Berechtigung für den Schreibzugriff und GX (Generic eXecute) für das Ausführen. GA ist
eine Kurzform für die Kombination aller drei. Welche Bedeutung diese Einstellungen im
konkreten Fall haben, hängt vom Objekt ab. Falls Sie zum Beispiel die GX-Berechtigung für
ein Verzeichnis setzen, geben Sie dem Subjekt das Recht, das Verzeichnis bis zu einem Unterverzeichnis
oder einer Datei hin zu durchlaufen, auf das dieses Subjekt Zugriff hat.
Das macht einen sehr wichtigen Punkt bezüglich Zugriffsmasken deutlich. Der Kurzname
der Berechtigung, zum Beispiel GR und FR, ist nur insofern wichtig, als er definiert, welches
Bit in der Zugriffsmaske gesetzt ist. Falls eine Zugriffsmaske erstellt und darin FR
gesetzt wird, diese Zugriffsmaske dann aber auf einen Registrierungsschlüssel angewendet
wird, wird die Berechtigung KEY_GENERIC_READ gewährt, weil Bit 31 gesetzt wurde. Das
klingt etwas unlogisch, aber wenn Sie sich die Berechtigungen in der Form von SDDL-
Zeichenfolgen ansehen, stellen Sie sehr oft fest, dass generische Dateiberechtigungen auf
Registrierungsschlüssel angewendet werden, Objektberechtigungen auf Dateien und so weiter.
Sie dürfen nie vergessen, dass alle diese Berechtigungen Bitmasken definieren. Die tatsächliche
Bedeutung dieser Bitmaske wird auf Basis des Objekttyps ausgewertet, wenn die
Zugriffsprüfung durchgeführt wird.
Die 8 Bits mit den Standardrechten in Abbildung 3.4 werden ähnlich benutzt, allerdings
werden nur die unteren 5 Bits tatsächlich verwendet. Die Standardrechte sind:
DELETE: Die Fähigkeit, das Objekt zu löschen. Diese Berechtigung ist als 0x10000
definiert, in Abbildung 3.4 ist also Bit 16 auf 1 gesetzt.
READ_CONTROL: Die Fähigkeit, die Sicherheitsbeschreibung des Objekts zu lesen
(ausgenommen die SACL). Diese Berechtigung ist als 0x20000 definiert, in Abbildung
3.4 ist also Bit 17 auf 1 gesetzt.
WRITE_DAC: Die Fähigkeit, Berechtigungen für dieses Objekt zu ändern (die DACL
zu schreiben). Diese Berechtigung ist als 0x40000 definiert, in Abbildung 3.4 ist also Bit
18 auf 1 gesetzt.
WRITE_OWNER: Die Fähigkeit, den Besitzer eines Objekts zu ändern. Diese Berechtigung
ist als 0x80000 definiert, in Abbildung 3.4 ist also Bit 19 auf 1 gesetzt.
SYNCHRONIZE: Das Recht, das Objekt für die Synchronisierung zu verwenden. Falls
zum Beispiel ein Prozess informiert werden muss, wenn ein Objekt seinen Zustand ändert,
erstellt er ein Synchronisierungshandle für das Objekt. Er wird dann benachrichtigt,
sobald sich der Zustand des Objekts ändert. Diese Berechtigung ist als 0x100000 definiert,
in Abbildung 3.4 ist also Bit 20 auf 1 gesetzt.
Es gibt auch Kombinationen der Standardrechte, aber sie sind in erster Linie für Programmierer
interessant. Sie kommen nur damit in Berührung, falls Sie Entwicklerdokumentationen
lesen. Daher ignorieren wir diese Kombinationen vorerst.
Schließlich haben wir 16 Bits für objektspezifische Rechte in der Zugriffsmaske. Mit den
objektspezifischen Rechten können Sie Berechtigungen konfigurieren, die nur für bestimmte
Objekte gültig sind. Tabelle 3.4 erklärt die objektspezifischen Rechte für Dateisystemobjekte.
Nur 8 der Bits werden tatsächlich für Dateisystemobjekte verwendet. Falls Sie sich die ob-