Minimalistisches Windows 10

[Christoph Schneegans]

Hallo allerseits!

Ich versuche weiterhin, Desktop-Applikationen zu isolieren, vgl.
<news:fuh5ga...@mid.individual.net>. Die u.a. in
<news:3607b6cb-3c53-48e8...@news.einzel.de>
vorgeschlagene Verwendung von virtuellen Maschinen hielt ich zunächst
für zu schwergewichtig, scheint mir nun jedoch der einzig brauchbare
Ansatz zu sein.

Es wäre dazu natürlich sinnvoll, Windows mit einem möglichst kleinen
"Fußabdruck" in der VM zu installieren. Komponenten wie

* Windows Media Player
* Internet Explorer
* OneDrive
* Bing-Apps
* Cortana
* PowerShell

sind in der VM offensichtlich unnötig; wahrscheinlich bräuchte ich
nicht einmal den Windows-Explorer. Ein aus einer boot.wim installiertes
Windows PE kommt meiner Vorstellung schon näher; aber da laufen
natürlich die wenigsten Programme.

Wenn ich in der install.wim von Windows 10 1803 (32 Bit) per

* dism.exe /Remove-ProvisionedAppxPackage
* dism.exe /Remove-Package
* dism.exe /Disable-Feature /Remove

alles abräume (mit Ausnahme des Packages
"Microsoft-Windows-Client-LanguagePack-Package~31bf3856ad364e35~x86~en-US~10.0.17134.1",
ohne das Windows nicht booten will), ist die daraus entstehende
Installation immer noch 6 GB groß – viel zu viel, wenn man jede
Anwendung in ihre eigene VM installieren will.

Kriegt man Windows 10 also noch kleiner? Wenn ja, wie?

--
<http://schneegans.de/computer/safer/> · SAFER mit Windows

[Stefan Kanthak]

"Christoph Schneegans" <Chri...@Schneegans.de> schrieb:

> Hallo allerseits!
>
> Ich versuche weiterhin, Desktop-Applikationen zu isolieren, vgl.
> <news:fuh5ga...@mid.individual.net>. Die u.a. in
> <news:3607b6cb-3c53-48e8...@news.einzel.de>
> vorgeschlagene Verwendung von virtuellen Maschinen hielt ich zunächst
> für zu schwergewichtig, scheint mir nun jedoch der einzig brauchbare
> Ansatz zu sein.
>
> Es wäre dazu natürlich sinnvoll, Windows mit einem möglichst kleinen
> "Fußabdruck" in der VM zu installieren. Komponenten wie

[...]

> Kriegt man Windows 10 also noch kleiner? Wenn ja, wie?

Sowohl das "Repository" %SystemRoot%\WinSxS der Windows-Komponenten,
als auch "%SystemRoot%\...\DriverStore" fuer Treiber, sind in allen
VM-Installationen identisch und koennten ausgelagert werden.
Dummerweise stehen deren Metadaten aber in der (installations-
pezifischen) Registry-Hive %SystemRoot%\System32\Config\COMPONENTS,
und Microsoft bietet keine Unterstuetzung fuer ein Auslagern an.

Ausserdem gibt's noch VOLLIDIOTEN wie z.B. Intel, die ihre Treiber
nicht nach %SystemRoot%\System32\Drivers\... etc. installieren,
sondern direkt aus dem "DriverStore" ausfuehren.

"differencing" VHDs sind dummerweise auch keine Loesung: um diese
klein zu halten muesste die Basis-VHD jeden Monat aktualisiert
werden; dann passen die Deltas aber nicht mehr zur Basis...

Einzige brauchbare Loesung: Deduplikation.

Stefan
[
--
Die unaufgeforderte Zusendung werbender E-Mails verstoesst gegen §823
Abs. 1 sowie §1004 Abs. 1 BGB und begruendet Anspruch auf Unterlassung.
Beschluss des OLG Bamberg vom 12.05.2005 (AZ: 1 U 143/04)

[Thorsten Albrecht]

On Wed, 12 Sep 2018 19:10:37 +0200, Christoph Schneegans wrote:

>Ich versuche weiterhin, Desktop-Applikationen zu isolieren, vgl.
><news:fuh5ga...@mid.individual.net>. Die u.a. in
><news:3607b6cb-3c53-48e8...@news.einzel.de>
>vorgeschlagene Verwendung von virtuellen Maschinen hielt ich zunächst
>für zu schwergewichtig, scheint mir nun jedoch der einzig brauchbare
>Ansatz zu sein.

Falls Du das mit W10-VMs handhaben wirst, bräuchtest Du also für jedes
einzelne Programm eine eigene Windows-Lizenz, oder? Etwas aufwändig.

BTW Warum willst Du das eigentlich machen? Ist das die Anforderung in
einer Firma, oder nur rein für private Anwendungszwecke?

Eine lizenzlose Alternative wäre, den aktuellen Hyper-V-Server in
einer VM zu installieren, ohne die Funktionialität Hyper-V
einzusetzen. Dort sind sämtliche "Komfort-"Komponenten eines normalen
Server-/Client-OS eliminiert (z.B. der Windows-Explorer), aber mit
Geduld und Spucke kann man jede Menge Standalone-Komponenten
installieren (z.B. Xyplorer als Dateimanager etc.). Einige Programme,
die auch bestimmte Client-OS-Komponenten angewiesen sind, werden
jedoch nicht laufen; bei einigen muss man diverse Libs
nachinstallieren, teilweise per Hand: try + error.

Thorsten

[Christoph Schneegans]

Thorsten Albrecht schrieb:

> BTW Warum willst Du das eigentlich machen? Ist das die Anforderung in
> einer Firma, oder nur rein für private Anwendungszwecke?

Rein privat. Ich möchte vor allem in der Lage sein, Anwendungen wie

* Samsung Kies (fürs Smartphone)
* Sony Xperia Companion (fürs andere Smartphone)
* Adobe Digital Editions (für DRM-geschützte E-Books)
* Elster (um die ganzen Parteispenden wieder reinzukriegen)
* AusweisApp2

zu betreiben, auf die ich leider angewiesen bin, denen ich aber nicht
so recht traue.

> Eine lizenzlose Alternative wäre, den aktuellen Hyper-V-Server in
> einer VM zu installieren, ohne die Funktionialität Hyper-V
> einzusetzen.

Danke für den Hinweis, ich konnte nach der Registrierung eine
"14393.0.161119-1705.RS1_REFRESH_SERVERHYPERCORE_OEM_X64FRE_EN-US.ISO"
herunterladen. Die (standardmäßige) Installation belegt aber auch ca.
5 GB, also nicht wirklich ein Gewinn.

Beim Googlen stieß ich gerade noch auf "Windows 10 Lean", an dem
Microsoft wohl derzeit arbeitet. Vielleicht sollte ich da jetzt nicht
zuviel Arbeit reinstecken, sondern einfach abwarten…

[Christoph Schneegans]

Falk Dµebbert schrieb:

> Vorweg: Compact.exe /CompactOS:always und powercfg /h /type reduced hast
> Du schon drübergejagt?

Ja. Den Ruhezustand brauche ich gar nicht, und die Auslagerungsdatei
habe ich auch auf 256 MB reduziert. Am Ende lande ich so bei ca. 4 GB.
Na gut, damit kann ich leben.

[Christoph Schneegans]

Stefan Ram schrieb:

> |a new installation option, Nano Server, which offers a
> |minimal-footprint headless version of Windows Server.
>
> en.wikipedia.org/wiki/Windows_Server_2016

Darauf dürften sich aber keine Desktop-Applikationen installieren
lassen, oder?

[Takvorian]

Christoph Schneegans schrieb:

> * Adobe Digital Editions (für DRM-geschützte E-Books)

Man konvertiert solchen Müll in freie E-Books, eine VM weniger. ;-)

[Alexander Nietzschmann]

Christoph Schneegans schrieb:

> Rein privat. Ich möchte vor allem in der Lage sein, Anwendungen wie
>
> * Samsung Kies (fürs Smartphone)
> * Sony Xperia Companion (fürs andere Smartphone)
> * Adobe Digital Editions (für DRM-geschützte E-Books)
> * Elster (um die ganzen Parteispenden wieder reinzukriegen)
> * AusweisApp2

Warum dann nicht einfach eine VM für alles? Wenn Du keiner dieser
Applikationen traust, dann können sie sich immerhin ruhig gegenseitig
ausspionieren (oder was immer Du ihnen unterstellst).

Solange Du noch irgendwo eine Windows-7-Lizenz rumliegen hast, sollte
das ja kein Problem sein.

Elster gibts übrigens auch in einer reinen Browserversion - das könnte
dann schon mal rausfallen.

Gruß, Alex

[Matthias Berke]

Am 13.09.2018 um 15:18 schrieb Christoph Schneegans:

> Thorsten Albrecht schrieb:
>
>> BTW Warum willst Du das eigentlich machen? Ist das die Anforderung in
>> einer Firma, oder nur rein für private Anwendungszwecke?
>
> Rein privat. Ich möchte vor allem in der Lage sein, Anwendungen wie
>
> * Samsung Kies (fürs Smartphone)
> * Sony Xperia Companion (fürs andere Smartphone)
> * Adobe Digital Editions (für DRM-geschützte E-Books)
> * Elster (um die ganzen Parteispenden wieder reinzukriegen)
> * AusweisApp2
>
> zu betreiben, auf die ich leider angewiesen bin, denen ich aber nicht
> so recht traue.

Nur so ein Gedanke:
-----------------------

Du kennst Dich doch excellent mit SAFER aus.

Könntest Du Dir denn nicht mit Hilfe von SAFER eine Art Sandbox "bauen"
in der nur die Anwendungen laufen, die Du von Deinem sonstigen System
fernhalten willst?

Also ohne ein 2. System für genau diese Anwendungen in einer Virtuellen
Anwendung zu benötigen?

--
mfg
Matthias

[Christoph Schneegans]

"Takvorian" schrieb:

> Christoph Schneegans schrieb:
>
>> * Adobe Digital Editions (für DRM-geschützte E-Books)
>
> Man konvertiert solchen Müll in freie E-Books, eine VM weniger. ;-)

Nein, denn die dafür nötige Software will man erst recht nicht auf
einem produktiven System haben.

[Christoph Schneegans]

Matthias Berke schrieb:

> Könntest Du Dir denn nicht mit Hilfe von SAFER eine Art Sandbox "bauen"
> in der nur die Anwendungen laufen, die Du von Deinem sonstigen System
> fernhalten willst?

Das scheitert praktisch bereits am ersten Setup-Programm, das mit
Administratorrechten laufen muß. SAFER beschränkt auch nur die
Ausführung von Programmen, nicht den Zugriff auf Dateisystem, Registry
o.ä.

[Takvorian]

Christoph Schneegans schrieb:

> "Takvorian" schrieb:
>
>> Christoph Schneegans schrieb:
>>
>>> * Adobe Digital Editions (für DRM-geschützte E-Books)
>>
>> Man konvertiert solchen Müll in freie E-Books, eine VM weniger. ;-)
>
> Nein, denn die dafür nötige Software will man erst recht nicht auf
> einem produktiven System haben.

Auf Calibre
https://de.wikipedia.org/wiki/Calibre
möchte ich zum Verwalten, Editieren oder Erstellen eigener E-Books nicht
verzichten wollen. Das kommt auf jeden Fall aufs Produktiv-System. Erstellen
eigener E-Books ist ja eine sehr produktive Arbeit. ;-)

[Thomas Einzel]

Am 13.09.2018 um 15:18 schrieb Christoph Schneegans:

> Thorsten Albrecht schrieb:
>
>> BTW Warum willst Du das eigentlich machen? Ist das die Anforderung in
>> einer Firma, oder nur rein für private Anwendungszwecke?
>
> Rein privat. Ich möchte vor allem in der Lage sein, Anwendungen wie
>
> * Samsung Kies (fürs Smartphone)
> * Sony Xperia Companion (fürs andere Smartphone)
> * Adobe Digital Editions (für DRM-geschützte E-Books)
> * Elster (um die ganzen Parteispenden wieder reinzukriegen)
> * AusweisApp2
>
> zu betreiben, auf die ich leider angewiesen bin, denen ich aber nicht
> so recht traue.

Man kann solche Anwendungen ggf. auch ein wenig "gruppieren" und dann 2
oder 3 Anwendungen je VM betreiben. Die Telefonprogramme alle für sich,
alles von Adobe lösch^h^hauf eine VM und Behördenkram auf eine. Da kann
dann das Finanzamtprogramm die Daten die für das Einwohnermeldeamt
vorgehen sind ermitteln, oder Adobe xy1 könnte versuchen Adobe xy2
ausschnüffeln usw. ;-)
Im Zweifelsfalls entsorgt man dann die VM umweltfreundlich.

Die VMs brauchen ja normalerweise nicht dauerhaft zu laufen und
benötigen ausgeschaltet nur Speicherplatz. Z.B. 5 Standard VMs Windows
10 je ca. 20...30GB sind bei 500GB SSDs für ca. 70€ IMO keinen Gedanken
wert. Wenigstens gebrauchte Lizenzen dafür geben ein besseres Gefühl.

Nur wenn alles immer und sofort verfügbar sein muss, braucht man einen
"stärkeren" Host und richtig viel RAM, das wird aufwändiger. Aber die
Win 10 VMs starten recht flink, mir reicht es privat "on demand". Im RZ
wehen andere Winde.
--
Thomas

[Stefan Kanthak]

"Stefan Ram" <r...@zedat.fu-berlin.de> schrieb:

> "Christoph Schneegans" <Chri...@Schneegans.de> writes:
>>Stefan Ram schrieb:
>>>|a new installation option, Nano Server, which offers a
>>>|minimal-footprint headless version of Windows Server.
>>>en.wikipedia.org/wiki/Windows_Server_2016
>>Darauf dürften sich aber keine Desktop-Applikationen installieren
>>lassen, oder?
>

> Nein.

AUTSCH!
Hoer auf ueber Zeux zu schwafeln von dem Du KEINERLEI Ahnung hast!

> "headless" heißt: ohne Bildschirm und Tastatur.

"Headless" bedeutet: zum Betrieb ohne Ausgabegeraet.
Demzufolge sind auch die fuer dessen Betrieb notwendigen Komponenten
NICHT vorhanden.

Und "Nano Server" bedeutet, dass die von typischen Desktop-
Applikationen missbrauchten (GUI-)Schnittstellen und Komponenten NICHT
vorhanden sind!

> Aber ich glaube, die Server-Betriebssystem sind
> auch sonst schlanker.

AUTSCH!
Hoer auf ueber Zeux zu schwafeln von dem Du KEINERLEI Ahnung hast!

wehret den dummschwaetzenden Anfaengern!

[Thorsten Albrecht]

On Thu, 13 Sep 2018 20:36:28 +0200, Thomas Einzel wrote:

>Man kann solche Anwendungen ggf. auch ein wenig "gruppieren" und dann 2
>oder 3 Anwendungen je VM betreiben.

Man kann auch genau eine VM mit x Snapshots betreiben. Jeder
Snapshop-Zweig beherbergt dann genau eine Applikation.

Oder bei VMware Workstation: Man klont eine VM in verschiedene
Child-VMs, welche allesamt auf der Hauptfestplatte der Eltern-VM
beruhen. Wenig Speicherplatzverbrauch; beliebig viele VMs.

Thorsten

[Thorsten Albrecht]

On Thu, 13 Sep 2018 15:18:35 +0200, Christoph Schneegans wrote:

>Thorsten Albrecht schrieb:
>
>> BTW Warum willst Du das eigentlich machen? Ist das die Anforderung in
>> einer Firma, oder nur rein für private Anwendungszwecke?
>
>Rein privat. Ich möchte vor allem in der Lage sein, Anwendungen wie
>
>* Samsung Kies (fürs Smartphone)

Kies ist veraltet. Der Nachfolger heißt Samsung SmartSwitch.

BTW Allerdings kann man SmartSwitch komplett vergessen. Ich habe hier
gerade die Migration eines A3 auf ein A5 mit Hilfe von SmartSwitch
hintermir. Natürlich wurden ein paar (unwichtige) Einstellungen (u.a.
Anruflisten) übertragen, und auch alle 90 Apps wurden wieder
installiert. Das war's dann aber auch. Eine sehr wichtige Sache wurde
nämlich überhaupt nicht übertragen: Keine einzige App-Einstellungen
wurde restored. Ich musste mich mit jeder einzelnen App befassen;
sämtliche App-Einstellungen mussten von mir per Hand wieder neu
gesetzt werden. Ich hatte eigentlich erwartet, dass mir genau diese
nervige Arbeit von SmartSwitch abgenommen wird, aber so etwas geht
wohl nur bei einem iPhone und nicht bei Android. Hat somit ziemlich
lange gedauert.

>* Elster (um die ganzen Parteispenden wieder reinzukriegen)

Parteispenden? So viel Geld hast Du übrig? Wow.

BTW Laut Deiner Webseite bist Du ja offenbar ein Mitglied der AfD.
http://schneegans.de/christoph/
Daher sind die o. g. Parteispenden wohl eher nicht für die Grünen
gedacht, oder? Sehr mutig von Dir, Dich als Mitglied einer dem rechten
Sumpf nahestehenden Partei zu outen, die unsere Gesellschaftsordnung
in Frage stellt und die gesamte liberale Presse als Lügner beschimpft.
Und die z.B. einen so sympatischen Politiker wie André Poggenburg
besitzt, der einen Cem Özdemir als "Kameltreiber" bezeichnet, damit
das ganze Bierzelt dann zusammen "abschieben, abschieben" grölen kann.
Solchen üblen, rechtsradikalen Leuten fühlst Du Dich zugehörig? Super.

Na ja, immerhin fährst Du ja kein Auto, sondern fährst Fahrrad ohne
Helm. Sozusagen fast ein Grüner.

Thorsten

[Christoph Schneegans]

Thorsten Albrecht schrieb:

> Solchen üblen, rechtsradikalen Leuten fühlst Du Dich zugehörig? Super.

Da hat ja das Hinhalten des Stöckchens besser funktioniert als
erwartet.

--
<http://schneegans.de/online-blockade/> · GEZ-Websites blockieren

[Claus Reibenstein]

Thorsten Albrecht schrieb am 14.09.2018 um 09:35:

> On Thu, 13 Sep 2018 15:18:35 +0200, Christoph Schneegans wrote:
>
>> * Elster (um die ganzen Parteispenden wieder reinzukriegen)
>
> Parteispenden? So viel Geld hast Du übrig? Wow.

Ich weiß nicht, was Du unter "So viel Geld" verstehst. Ich weiß auch
nicht, woraus Du schließt, dass Christoph über "So viel Geld" verfüge.
Und was das mit den Parteispenden zu tun haben soll, ist mir ebenfalls
schleierhaft.

Wir spenden auch an eine Partei. Die Jahressumme liegt im unteren
dreistelligen Bereich. Ist es das, was Du unter "So viel Geld" verstehst?

> BTW Laut Deiner Webseite bist Du ja offenbar ein Mitglied der AfD.
> http://schneegans.de/christoph/

Auch hier ist mir schleierhaft, wie Du darauf kommst.

> Na ja, immerhin fährst Du ja kein Auto, sondern fährst Fahrrad ohne
> Helm. Sozusagen fast ein Grüner.

Weil er ohne Helm fährt?

Rätselhaft Dein Posting ist.

Gruß
Claus

[Detlef Meißner]

Am 14.09.2018 um 11:21 schrieb Claus Reibenstein:
> Thorsten Albrecht schrieb am 14.09.2018 um 09:35:

>> BTW Laut Deiner Webseite bist Du ja offenbar ein Mitglied der AfD.
>> http://schneegans.de/christoph/
>
> Auch hier ist mir schleierhaft, wie Du darauf kommst.

Steht doch auf seiner Seite unter Sonstiges.

Detlef

[Ruediger Lahl]

Claus Reibenstein <4spame...@kabelmail.de> Wrote in message:

> Thorsten Albrecht schrieb

>> BTW Laut Deiner Webseite bist Du ja offenbar ein Mitglied der AfD.
>> http://schneegans.de/christoph/
>
> Auch hier ist mir schleierhaft, wie Du darauf kommst.

Ohne dem gegebenen Link gelesen zu haben, ist eine gewisse Nähe zu
dem Pack nicht unwahrscheinlich, hat er doch schon vor Jahren auf
seiner Website sarazin zugejubeln.

>> Na ja, immerhin fährst Du ja kein Auto, sondern fährst Fahrrad ohne
>> Helm. Sozusagen fast ein Grüner.
>
> Weil er ohne Helm fährt?

Das gehört zum Rentenkonzept des Packs. Je weniger das Rentenalter
erreichen, je weniger fällt auf, das sie keins haben.
--
bis denne

[Andre Igler]

Am 14.09.18 um 09:35 schrieb Thorsten Albrecht:

> BTW Laut Deiner Webseite bist Du ja offenbar ein Mitglied der AfD.
> http://schneegans.de/christoph/

Äh – wie kommst Du denn auf dieses schmale Brett?

Nur weil er nicht https hat?

addio
--
—> Mein neues Buch jetzt auf www.oluschka.com
www.albinschwarz.com http://weblog.igler.at
9F16 E985 B0E3 B2D7 D48D 147A F137 3EB0 A41C B361

[Heinz Chrudina]

Am 14. Sep.. 2018 um 13:16:34 schrieb Andre Igler:
> Am 14.09.18 um 09:35 schrieb Thorsten Albrecht:
>> BTW Laut Deiner Webseite bist Du ja offenbar ein Mitglied der AfD.
>> http://schneegans.de/christoph/
> Äh – wie kommst Du denn auf dieses schmale Brett?
>
> Nur weil er nicht https hat?

Scroll halt mal ganz nach unten.

[Takvorian]

Claus Reibenstein schrieb:

>> BTW Laut Deiner Webseite bist Du ja offenbar ein Mitglied der AfD.
>> http://schneegans.de/christoph/
>
> Auch hier ist mir schleierhaft, wie Du darauf kommst.

Wie sonst sollte man auf der Seite den Satz "Ich bin Mitglied der
Alternative für Deutschland" denn deuten?
Was einem aber eher schleierhaft sein sollte: Wie kommt man darauf, in einer
Windows-Gruppe persönliche Daten von Teilnehmern zu veröffentlichen und
anzuprangern? Was hat es mit Windows zu tun? Ein Troll-Versuch?

[HR Ernst]

Am Fri, 14 Sep 2018 11:21:24 +0200 schrieb Claus Reibenstein:


Noch viel rätselhafter deine Antwort. Aber so etwas (Leute dumm anmachen)
ist man ja von dir leider gewohnt.

--
Gruß

HR Ernst

[Takvorian]

Takvorian schrieb:

Wenn schon OT, vielleicht noch eine Ergänzung: es ist ja durchaus nicht
ehrenrührig, mal in die AfD des Wirtschaftsprofessors Lucke eingetreten zu
sein. Allerdings müsste man angesichts der Tatsache, dass die AFD nun die
NPD rechts zu überholen versucht, zum Sammelbecken braunen Pöbels wird,
dringend nachdenklich werden. Siehe auch das Buch der Aussteigerin Franziska
Schreiber: "Inside AfD“.
https://www.youtube.com/watch?v=fh_Jl8hR4w8“
https://www.youtube.com/watch?v=jVCDxy7-C9A
Oder Austritt von Frauke Petry mit den Worten:
"Ich möchte mich morgens noch im Spiegel ansehen können"...

[Andre Igler]

Am 14.09.18 um 13:22 schrieb Heinz Chrudina:

Tatsächlich. Recht ihr alle habt.

[Thorsten Albrecht]

On Fri, 14 Sep 2018 10:09:57 +0200, Falk Dľebbert wrote:

>Snapshots sind allerdings Gift für Datenintegrität und Leistung und die
>meisten Snapshot-Implementierungen sind eher nicht in Lage mehrere
>parallele Versionen zu verwalten.

Wenn's nur um Elster und Kies geht, dürfte die Leistung eine
untergeordnete Rolle spielen.

>Und bei über 90 Tagen werden auch für Snapshots Lizenzen fällig, sofern
>einzeln lauffähig.

Wenn sie nicht parallel laufen können, also nicht als VM-Klone, dann
werden bestimmt nicht einzelne Lizenzen fällig. Genausowenig wie bei
einem Multiboot-System.

Aber bei Klonen hast Du sicherlich recht. Sind jedoch bei mir (VMware)
trotzdem allesamt bereits aktiviert; insofern stellt sich die Frage
nach der Lizensierung nicht so dringend.

Thorsten

[Christoph Schneegans]

"Christian @Soemtron" schrieb:

> Die gleiche Frage treibt mich auch schon seit einiger Zeit um und es wäre
> deshalb schön, wenn Du etwaige Erkenntisse auch hier bekannt gibst. .

Nach etlichen Stunden Trial-and-Error habe ich folgenden Build-Prozeß
zusammengestellt:

• Win10_1803_German_x32.iso von
<https://www.microsoft.com/de-de/software-download/windows10>
herunterladen und entpacken, bspw. mit 7-Zip von
<https://www.7-zip.org/>.

• <http://schneegans.de/temp/autounattend.xml> und
<http://schneegans.de/temp/build.ps1> im selben Verzeichnis ablegen,
also "neben" der setup.exe.

• Ggf. den Pfad für ImgBurn (von <http://www.imgburn.com/>) im
.ps1-Skript anpassen oder durch einen äquivalenten Aufruf eines anderen
Tools ersetzen.

• Das .ps1-Skript mit Administratorrechten ausführen.

Die anschließende Windows-Installation läuft dank autounattend.xml
völlig automatisch und erzeugt ein System mit folgenden Besonderheiten:

• Kein Internet Explorer
• Kein Windows Media Player
• Keine "Apps"
• Keine Recovery-Partition
• Kein Windows Defender
• Kein OneDrive
• Keine "System Protection"
• Minimale Auslagerungsdatei
• Kein .NET-Framework
• Keine PowerShell
• Keine UAC
• %windir%\system32\optionalfeatures.exe komplett leer
• compact.exe /CompactOs:Query meldet komprimiertes System
• Nur Administratorkonto "User" mit Kennwort "password"

Leider hat Windows nach der Installation nichts Besseres zu tun, als
die Packages

• Microsoft-Windows-LanguageFeatures-Handwriting-de-de-Package
• Microsoft-Windows-LanguageFeatures-OCR-de-de-Package
• Microsoft-Windows-LanguageFeatures-Speech-de-de-Package
• Microsoft-Windows-LanguageFeatures-TextToSpeech-de-de-Package

nachzuladen, obwohl ich sie per autounattend.xml ja entfernt habe.
Unmittelbar nach der Installation hat die virtuelle Festplatte deshalb
eine Größe von ca. 3,1 GiB; nach einer halben Stunde Rödelei sind es
dann schon 3,7 GiB.

Insgesamt also IMHO ein ziemlich ernüchterndes Ergebnis. Sonst
irgendwelche Ideen?

[Stefan Kanthak]

"Christoph Schneegans" <Chri...@Schneegans.de> schrieb:

> "Christian @Soemtron" schrieb:
>
>> Die gleiche Frage treibt mich auch schon seit einiger Zeit um und es wäre
>> deshalb schön, wenn Du etwaige Erkenntisse auch hier bekannt gibst. .
>
> Nach etlichen Stunden Trial-and-Error habe ich folgenden Build-Prozeß
> zusammengestellt:
>
> • Win10_1803_German_x32.iso von
> <https://www.microsoft.com/de-de/software-download/windows10>
> herunterladen und entpacken, bspw. mit 7-Zip von
> <https://www.7-zip.org/>.

AUTSCH!
Niemand mit klarem Verstand installiert DrexZeux wie 7-zip!

JFTR: Windows 10 kann *.ISO (selbst wenn sie ein UDF enthalten) oeffnen;
anschliessend sind die Dateien und Verzeichnisse im Explorer oder
fuer XCOPY.exe zugaenglich.

[...]

[Christoph Schneegans]

Christoph "Ingrid" Schneegans schrieb:

> Insgesamt also IMHO ein ziemlich ernüchterndes Ergebnis.

Nach einer Inspiration durch
<https://github.com/buildcenter/WindowsBuilder> habe ich noch folgenden
Ansatz verfolgt:

Wenn man in allen Unterschlüsseln von
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages]
die Änderungen

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages\<Package>]
"Visibility"=dword:00000001

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages\<Package>\Owners]

durchführt (dafür muß man als TrustedInstaller arbeiten), listet

dism.exe /Image:C:\mountdir /Get-Packages

anschließend nicht mehr 30 Packages auf, sondern über 1.500! Hier mal
ein zufällig ausgewähltes Prozent davon:

HyperV-Guest-Heartbeat-onecore-Package~31bf3856ad364e35~amd64~en-US~10.0.17134.1
HyperV-Guest-IcSvcExt-Package~31bf3856ad364e35~amd64~~10.0.17134.1
HyperV-Networking-Containers-Package~31bf3856ad364e35~amd64~~10.0.17134.1
Microsoft-Hyper-V-Hypervisor-Package~31bf3856ad364e35~amd64~en-US~10.0.17134.1
Microsoft-Windows-BusinessScanning-Feature-Package~31bf3856ad364e35~amd64~en-US~10.0.17134.1
Microsoft-Windows-Cortana-Package~31bf3856ad364e35~amd64~~10.0.17134.1
Microsoft-Windows-DeviceGuard-GPEXT-Package~31bf3856ad364e35~amd64~en-US~10.0.17134.1
Microsoft-Windows-GroupPolicy-ClientTools-WOW64-Package~31bf3856ad364e35~amd64~~10.0.17134.1
Microsoft-Windows-HyperV-HypervisorPlatform-onecore-Package~31bf3856ad364e35~amd64~en-US~10.0.17134.1
Microsoft-Windows-Media-Streaming-WOW64-windows-Package~31bf3856ad364e35~amd64~~10.0.17134.1
Microsoft-Windows-Multimedia-RestrictedCodecs-WOW64-multimedia-Package~31bf3856ad364e35~amd64~~10.0.17134.1
Microsoft-Windows-NetFx-Shared-WCF-MsmqActivation~31bf3856ad364e35~amd64~~10.0.17134.1
Microsoft-Windows-PAW-Feature-Package~31bf3856ad364e35~amd64~en-US~10.0.17134.1
Microsoft-Windows-SearchEngine-Client-Package-shell-Package~31bf3856ad364e35~amd64~~10.0.17134.1
Microsoft-Windows-ServicingStack-Windows-Extra-CrossArch-Package~31bf3856ad364e35~amd64~~10.0.17134.1

Ich hatte gehofft, Windows so massiv zu entschlacken zu können. Aber
leider gibt es schon die verrücktesten Nebenwirkungen, wenn man harmlos
erscheinende Packages entfernt. So stürzte Edge unmittelbar nach dem
Start ab, nachdem ich die Packages mit "InternetExplorer" entfernt
habe. Und ohne die "TabletPC"-Packages mochte das Startmenü nicht mehr.
Es hat also offenbar einen Grund, daß diese Packages standardmäßig
nicht angezeigt werden…

[Stefan Kanthak]

"Christoph Schneegans" <Chri...@Schneegans.de> schrieb:

> Christoph "Ingrid" Schneegans schrieb:
>
>> Insgesamt also IMHO ein ziemlich ernüchterndes Ergebnis.
>
> Nach einer Inspiration durch
> <https://github.com/buildcenter/WindowsBuilder> habe ich noch folgenden
> Ansatz verfolgt:
>
> Wenn man in allen Unterschlüsseln von
> [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages]
> die Änderungen
>
> [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages\<Package>]
> "Visibility"=dword:00000001
>
> [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\Packages\<Package>\Owners]
>
> durchführt (dafür muß man als TrustedInstaller arbeiten),

FALSCH!
Aktivieren von "SeRestorePrivilege" und Verwendung von "REG_OPTION_BACKUP_RESTORE"
in den Funktionen zum Oeffnen von Registry-Schluesseln genuegt.
Das SetupAPI macht das bei der Verarbeitung von *.INF

> listet
>
> dism.exe /Image:C:\mountdir /Get-Packages
>
> anschließend nicht mehr 30 Packages auf, sondern über 1.500!

[...]

> Ich hatte gehofft, Windows so massiv zu entschlacken zu können. Aber
> leider gibt es schon die verrücktesten Nebenwirkungen, wenn man harmlos
> erscheinende Packages entfernt. So stürzte Edge unmittelbar nach dem
> Start ab, nachdem ich die Packages mit "InternetExplorer" entfernt
> habe. Und ohne die "TabletPC"-Packages mochte das Startmenü nicht mehr.
> Es hat also offenbar einen Grund, daß diese Packages standardmäßig
> nicht angezeigt werden…

Der Grund ist wie fast immer die ENDLOSE SCHLAMPEREI Microsofts!
Anstatt solche Komponenten SAUBER als Abhaengigkeiten von Edge oder der
Shell einzutragen (dadurch koennte das "Component Based Servicing" diese
Abhaengigkeiten beachten) verstecken sie sie lieber...

EINMAL MIT PROFIS ARBEITEN!

[Christoph Schneegans]

Stefan Kanthak schrieb:

> Aktivieren von "SeRestorePrivilege" und Verwendung von "REG_OPTION_BACKUP_RESTORE"
> in den Funktionen zum Oeffnen von Registry-Schluesseln genuegt.

Okay. Ich habe es mit dem von
<https://gallery.technet.microsoft.com/Adjusting-Token-Privileges-9b6724fc>
bereitgestellten Cmdlet

Set-LHSTokenPrivilege -Privilege SeRestorePrivilege

und jeder Menge Spickerei bei
<https://www.pinvoke.net/default.aspx/advapi32.regcreatekeyex>
geschafft, in PowerShell RegCreateKeyEx(...) aufzurufen und tatsächlich
den Rückgabewert ERROR_SUCCESS zu erhalten. (Ohne SeRestorePrivilege
erhalte ich erwartungsgemäß ERROR_ACCESS_DENIED.) Schreibenden Zugriff
traue ich mich damit aber bestimmt nicht...

[Stefan Kanthak]

"Christoph Schneegans" <Chri...@Schneegans.de> schrieb:

> Stefan Kanthak schrieb:
>
>> Aktivieren von "SeRestorePrivilege" und Verwendung von "REG_OPTION_BACKUP_RESTORE"
>> in den Funktionen zum Oeffnen von Registry-Schluesseln genuegt.
>
> Okay. Ich habe es mit dem von
> <https://gallery.technet.microsoft.com/Adjusting-Token-Privileges-9b6724fc>
> bereitgestellten Cmdlet
>
> Set-LHSTokenPrivilege -Privilege SeRestorePrivilege

AUTSCH!
Das ist kap0tt:
0. es schliesst es den von ihm selbst geoeffneten "process token" NICHT;
1. es wertet den von LookupPrivilegeValue() gelieferten Rueckgabewert
NICHT aus; dadurch kann AdjustTokenPrivilege() mit einer beliebigen
LUID aufgerufen werden.

Zudem ist es UNGESCHICKT, zuerst den "process token" zu oeffnen und erst
danach LookupPrivilegeValue() aufzurufen: falls letzteres einen Fehler
liefert, dann war das Oeffnen umsonst.

JFTR: den ueber 20 Jahre alten, von Microsoft auf MSDN unter
<https://msdn.microsoft.com/en-us/library/aa446619.aspx>
veroeffentlichten UNGESCHICKTEN Code-Schnipsel haben dummerweise
viel zu viele Ahnunglose wie dieser Lee Holmes abgeschrieben:
<https://www.leeholmes.com/blog/2010/09/24/adjusting-token-privileges-in-powershell/>

Ausserdem gibt's SeUnsolicitedInputPrivilege schon LAAAANGE nicht
mehr; dafuer fehlt SeDelegateSessionUserImpersonatePrivilege...

In ANSI C sieht das wie folgt RICHTIG aus (fuer den EIGENEN Prozess;
GetLastError() enthaelt im Fehlerfall den Win32-Fehlercode):

BOOL EnableSinglePrivilege(LPCWSTR PrivilegeName)
{
BOOL b = FALSE;
TOKEN_PRIVILEGES tp = {1L, {0L, 0L, SE_PRIVILEGE_ENABLED}};
HANDLE token = INVALID_HANDLE_VALUE;

if (LookupPrivilegeValue((LPCWSTR) NULL,
PrivilegeName,
&tp.Privileges[0].Luid))
{
if (OpenProcessToken(GetCurrentProcess(),
TOKEN_ADJUST_PRIVILEGES,
&token))
{
b = AdjustTokenPrivileges(token,
FALSE,
&tp, sizeof(TOKEN_PRIVILEGES),
(TOKEN_PRIVILEGES *) NULL, (LPDWORD) NULL))

CloseHandle(token);
}
}

return b;
}

JFTR: nicht nur Prozesse haben einen Token, sondern auch deren Threads
koennen einen Token haben; in solchen Faellen muss der "thread
token" verwendet werden!

In ANSI C sieht das wie folgt aus (fuer den EIGENEN Thread bzw. Prozess):

BOOL EnableSinglePrivilege(LPCWSTR PrivilegeName)
{
BOOL b = FALSE;
TOKEN_PRIVILEGES tp = {1L, {0L, 0L, SE_PRIVILEGE_ENABLED}};
HANDLE token = INVALID_HANDLE_VALUE;

if (LookupPrivilegeValue((LPCWSTR) NULL,
PrivilegeName,
&tp.Privileges[0].Luid))
{
if (OpenThreadToken(GetCurrentThread(),
TOKEN_ADJUST_PRIVILEGES,
&token)
|| OpenProcessToken(GetCurrentProcess(),
TOKEN_ADJUST_PRIVILEGES,
&token))
{
b = AdjustTokenPrivileges(token,
FALSE,
&tp, sizeof(TOKEN_PRIVILEGES),
(TOKEN_PRIVILEGES *) NULL, (LPDWORD) NULL))

CloseHandle(token);
}
}

return b;
}

JFTR: GetCurrentProcess() liefert DOKUMENTIERT immer die Konstante -1,
und GetCurrentThread() liefert ebenso dokumentiert immer die
Konstante -2.

> und jeder Menge Spickerei bei
> <https://www.pinvoke.net/default.aspx/advapi32.regcreatekeyex>
> geschafft, in PowerShell RegCreateKeyEx(...) aufzurufen

RegCreateKeyEx() ist hier UNGESCHICKT, da dieses ggf. nicht existierende
Schluessel erzeugt. Verwende RegOpenKeyEx()!

> und tatsächlich den Rückgabewert ERROR_SUCCESS zu erhalten. (Ohne
> SeRestorePrivilege erhalte ich erwartungsgemäß ERROR_ACCESS_DENIED.)
> Schreibenden Zugriff traue ich mich damit aber bestimmt nicht...

SeRestorePrivilege brauchst Du aber NUR fuer SCHREIBENDE Zugriffe;
Loeschen von Werten und Schluessel sind schreibende Zugriffe!
Falls Du nur Lesen moechtest, dann aktivierst Du das Privileg
SeBackupPrivilege.

Stefan

PS: LookupPrivilegeValue() liefert seit Anbeginn der eNTen folgende
KONSTANTEN Werte im niederwertigen Teil der LUID (der hoeherwertige
Teil ist 0):

enum _PRIVILEGES
{
SE_MIN_WELL_KNOWN_PRIVILEGE = 2,
SE_CREATE_TOKEN_PRIVILEGE,
SE_ASSIGNPRIMARYTOKEN_PRIVILEGE,
SE_LOCK_MEMORY_PRIVILEGE,
SE_INCREASE_QUOTA_PRIVILEGE,
SE_MACHINE_ACCOUNT_PRIVILEGE,
SE_TCB_PRIVILEGE,
SE_SECURITY_PRIVILEGE,
SE_TAKE_OWNERSHIP_PRIVILEGE,
SE_LOAD_DRIVER_PRIVILEGE,
SE_SYSTEM_PROFILE_PRIVILEGE,
SE_SYSTEMTIME_PRIVILEGE,
SE_PROF_SINGLE_PROCESS_PRIVILEGE,
SE_INC_BASE_PRIORITY_PRIVILEGE,
SE_CREATE_PAGEFILE_PRIVILEGE,
SE_CREATE_PERMANENT_PRIVILEGE,
SE_BACKUP_PRIVILEGE,
SE_RESTORE_PRIVILEGE,
SE_SHUTDOWN_PRIVILEGE,
SE_DEBUG_PRIVILEGE,
SE_AUDIT_PRIVILEGE,
SE_SYSTEM_ENVIRONMENT_PRIVILEGE,
SE_CHANGE_NOTIFY_PRIVILEGE,
SE_REMOTE_SHUTDOWN_PRIVILEGE,
SE_UNDOCK_PRIVILEGE,
SE_SYNC_AGENT_PRIVILEGE,
SE_ENABLE_DELEGATION_PRIVILEGE,
SE_MANAGE_VOLUME_PRIVILEGE,
SE_IMPERSONATE_PRIVILEGE,
SE_CREATE_GLOBAL_PRIVILEGE,
SE_TRUSTED_CREDMAN_ACCESS_PRIVILEGE,
SE_RELABEL_PRIVILEGE,
SE_INCREASE_WORKING_SET_PRIVILEGE,
SE_TIME_ZONE_PRIVILEGE,
SE_CREATE_SYMBOLIC_LINK_PRIVILEGE,
SE_DELEGATE_SESSION_USER_IMPERSONATE_PRIVILEGE,
SE_MAX_WELL_KNOWN_PRIVILEGE
} PRIVILEGES;

Die wohlbekannte, von NTDLL.dll exportierte Funktion

__declspec(dllimport)
NTSTATUS NTAPI RtlAdjustPrivilege(DWORD Privilege,
BOOLEAN Enable,
BOOLEAN CurrentThread,
BOOLEAN *Enabled);

kannst Du direkt mit diesen Konstanten fuettern.

[Christoph Schneegans]

Alexander Nietzschmann schrieb:

> Elster gibts übrigens auch in einer reinen Browserversion - das könnte
> dann schon mal rausfallen.

Ich hatte meine Steuererklärung in der Tat in "Mein ELSTER" (also im
Browser) begonnen, aber nach wenigen Minuten abgebrochen, weil mir das
ganze umständlich und unübersichtlich vorkam.

Mit ElsterFormular geht es einfach leichter von der Hand. Das hatte ich
auch in den Vorjahren immer schon in einer VM weggesperrt, nach
Abschluß nur die .elfo-Datei und das Übertragungsprotokoll gesichert
und den Rest weggeworfen.