Re: Sicherheit durch Integritaetsniveaus?

[Stefan Kanthak]

"Stefan Ram" <r...@zedat.fu-berlin.de> schrieb:

> Was ist eigentlich aus diesen "Integrity Levels" geworden [...]?

Windows nutzt sie, ALLUEBERALL!

> Kann man irgendwo nachlesen, wie man einem Programm

Programme: nein; Prozesse und Threads: ja!.
Erstere erben den IL des Aufrufers bzw. der Programmdatei, falls
letzterer niedriger ist.

> oder einem Ordner ein bestimmtes "integrity level" gibt?

Win32-API:
wie in <https://skanthak.homepage.t-online.de/quirks.html#quirk17>
gezeigt einen "security descriptor" mit "mandatory label" erzeugen
(alternativ ein solches einem "security descriptor" mittels
AddMandatoryAce() oder SetSecurityDescriptorSacl() verpassen) und
diesen "security descriptor" an CreateFile(), CreateDirectory(),
SetFileSecurity(), SetNamedSecurityInfo() oder SetSecurityInfo()
etc., bzw. an AdjustTokenGroups() CreateRestrictedToken(),
SetTokenInformation() etc. plus CreateProcess(), CreateProcessAsUser(),
CreateProcessWithToken(), SetThreadToken(), ImpersonateLoggedOnUser()
etc. verfuettern.

Kommandos: ICACLS.exe, REG.exe

INF-Skripts:
siehe <https://skanthak.homepage.t-online.de/download/SDDL.INF>

JFTR: <https://skanthak.homepage.t-online.de/tidbits.html#sddl>
dekodiert im SDDL-Format angegebene Sicherheitsdeskriptoren,
beispielsweise S:(ML;;NXNRNW;;;ME) O:HI G:LW D:(A;;;;;SI)
<https://skanthak.homepage.t-online.de/tidbits.html#sidereal>
zeigt (falls vorhanden; das Programm lief schon unter NT4) die
SIDs S-1-16-* der vordefinierten IL samt ihrer Beschreibung an.

Stefan
--
<https://www.duden.de/rechtschreibung/Kanthaken>

[Takvorian]

Stefan Ram schrieb:

> Was ist eigentlich aus diesen "Integrity Levels" geworden, wie
> sie 2009 folgendermaßen beschrieben wurden?

Sie leben und wirken, wie Stefan schon schrieb. :o)

> Kann man irgendwo nachlesen, wie man einem Programm oder

> einem Ordner ein bestimmtes "integrity level" gibt?

Bleistiftsweise "icacls /setintegritylevel...."
Dokumentation überreichlich vorhanden.