W2k - Sehr eingeschränkte Rechte vergeben

[PierreB]

Moin,

ich stehe da gerade vor einem (jedenfalls für mich ) schwierigen Problem:

Ich würde unter Windows 2000 SP4 gern ein Benutzerkonto mit beschränkten Rechten erstellen. Soweit kein Problem. Jetzt möchte ich aber das man auf diesem Konto keinerlei Dateien aus dem Internet herunterladen darf, also weder mit Opera, IE, Firefox, Downloadmanagern, etc. . Man soll trotzdem noch im Internet surfen können jedoch keinerlei Dateien herunterladen dürfen. Kennt jemand ein Programm oder ne Möglichkeit sowas zu machen ?

Danke schonmal,

[tommie-lie]

Entziehe ihm überall die Schreibrechte, außer im Cache-Verzeichnis des Browsers. Dann kann er zwar noch in dieses Verzeichnis runterladen und keine eigenen Dateien außer in diesem Verzeichnis anlegen), aber ohne Unterstützung seitens des Browsers kommst du sonst mit normalen Rechtemanagement nicht weiter. Oder einfach den Cache des Brwosers deaktivieren und dem Benutzer nirgendwo Schreibrechte geben, dann muss er halt die Ladezeiten in Kauf nehmen.

[PierreB]

Moin tommie,

das mit den Schreibrechten hatte ich mir auch schon überlegt, Problem ist nur das der User auch noch andere Programme ausführen kann, d.h. auch Daten (Worddateien, etc.) speichern darf. Jetzt dachte ich mir einfach einen Ordner freigeben wo er speichern darf, manche Programme schreiben aber auch in ihre Installations- oder Windowsverzeichnisse, etc. .

Gibt es keine Möglichkeit irgendwas abzufangen wenn ne System aus'm Internet beim PC ankommt oder so etwas in der Art ?

[tommie-lie]

Zitat von PierreB:

Gibt es keine Möglichkeit irgendwas abzufangen wenn ne System aus'm Internet beim PC ankommt oder so etwas in der Art ?

Seitens des Betriebssystems gibt es keinen Unterschied zwischen einem Textprocessor, der eine Datei schreibt, und einem Browser, der eine Datei schreibt. Und über einen TCP-Filter kannst du's auch nicht machen, da das gleiche Protokoll und die gleichen Ports benutzt werden wie zum surfen. Es ist genauso wie dieses eigenartige Vorhaben, zu verhinden, daß eine HTML-Seite mit Rechtsklick gespeichert wird, ohne Browserunterstützung kann man es nicht verhindern. Evtl gibt es ja entsprechende Plugins für die Browser, die sowas verhindern. Für Seamonkey und Firefox kannst du dich bei addons.mozilla.org in der Abteilung Kiosk Browsing schlau machen, vielleicht gibt's irgendwo was vergleichbares für den IE.
Olli wirft manchmal gerne mit Kraftausdrücken wie Policies um sich, vielleicht kannst du damit nur dem Browser (einem Prozess) verbieten, irgendwohin zu schreiben, aber dafür kenne ich mich zu wenig mit den Dingern aus.

[AndreasP]

mahlzeit,

jetzt werd ich mal mit "kraftausdrücken" wie policies um mich werfen. über die gruppen richtlinien kann man tatsächlich den dateidownload verbieten (ich hab unter winxp nachgesehen obs auch unter w2k geht weis ich nicht). unter benutzerkonfiguration\administrative vorlagen\windows-komponenten\internet explorer\internetsystemsteuerung\sicherheitsseite\ internetzone gibt es den schlüssel "dateidownloads zulassen". wenn du hier deaktiviert einstellst sollte es nicht möglich sein was aus dem internet herunter zu laden. über die gruppen richtlinien läst sich auserdem festlegen welche programme der user ausführen darf, und ohne die nötigen rechte kann er nicht mal firefox oder opera installieren.

wenn du nicht weist was du wo machst kannst du dir dein ganzes system zu administrieren also aufpassen.

auserdem kannst du ja mal bei microsoft nach dem Microsoft Shared Computer Toolkit schauen, das ist zwar für winxp aber vieleicht ist das eher das was du suchst.

[tommie-lie]

Zitat von AndreasP:

\windows-komponenten\internet explorer\

Nuja, das ist es, was ich mit Browserunterstützung meine

[PierreB]

Zitat von AndreasP:

[...]unter benutzerkonfiguration\administrative vorlagen\windows-komponenten\internet explorer\internetsystemsteuerung\sicherheitsseite\ internetzone gibt es den schlüssel "dateidownloads zulassen". wenn du hier deaktiviert einstellst sollte es nicht möglich sein was aus dem internet herunter zu laden. [...]

1.) Das geht auch ganz einfach übern IE => Internetoptionen. Jedoch kann auch ein Benutzer mit eingeschränkten Rechten diese Option wieder ändern.
2.) Möchte ich es keinem freiwillig zumuten mit dem IE zu surfen
3.) Zwar ich ich sagen welche Programme der User nicht ausführen darf, da er aber noch Programme installieren darf was hindert den User einfach nen anderen Browser (z.B. von ner Heft-CD) zu installieren ?

Ich merk schon, ziemlich komplizierte Sache.

[tommie-lie]

Zitat von PierreB:

3.) Zwar ich ich sagen welche Programme der User nicht ausführen darf, da er aber noch Programme installieren darf was hindert den User einfach nen anderen Browser (z.B. von ner Heft-CD) zu installieren ?

Überdenke dein Sicherheitskonzept. Verbiete ihm nicht, einige Programme zu starten, sondern erlaube ihm, einige zu starten.

Vielleicht solltest du aber auch mal die gesamte Situation schildern. Die Konfiguration klingt für mich ein wenig nach Schulrechner, wieso soll er da nichts runterladen können? Ich hasse solche bescheuert konfigurierten öffentlichen Systeme. Man verbiete mir doch bitte alles und erlaube mir dann das, was sinnvoll ist, zum Beispiel das runterladen eines Bildes und anschließendes Kopieren auf Diskette. Als Nicht-Administrator habe ich aber nichts am System zu suchen und darf ergo keine Software installieren (somit auch keine Malware).

[PierreB]

Zitat von tommie-lie:

Vielleicht solltest du aber auch mal die gesamte Situation schildern.[...]

Also, es handelt sich um ein 11-jähriges sehr belebtes Kind.

Nach etlichen Trojanern & Dialern sind wir (seine Mutter + Ich) zu dem Entschluss gekommen, das er nichts aus dem Netz laden müsste, da sowieso schon fast alles notwendige vorhanden. Aber wenn er sich nun Spiele, etc. installieren will sollte das natürlich möglich sein (und im Netz surfen sowieso).

[PierreB]

Zitat von tommie-lie:

Zitat von PierreB:

3.) Zwar ich ich sagen welche Programme der User nicht ausführen darf, da er aber noch Programme installieren darf was hindert den User einfach nen anderen Browser (z.B. von ner Heft-CD) zu installieren ?

Überdenke dein Sicherheitskonzept. Verbiete ihm nicht, einige Programme zu starten, sondern erlaube ihm, einige zu starten.

Vielleicht solltest du aber auch mal die gesamte Situation schildern. Die Konfiguration klingt für mich ein wenig nach Schulrechner, wieso soll er da nichts runterladen können? Ich hasse solche bescheuert konfigurierten öffentlichen Systeme. Man verbiete mir doch bitte alles und erlaube mir dann das, was sinnvoll ist, zum Beispiel das runterladen eines Bildes und anschließendes Kopieren auf Diskette. Als Nicht-Administrator habe ich aber nichts am System zu suchen und darf ergo keine Software installieren (somit auch keine Malware).