Sicherer arbeiten ohne Administrationsrechte bei Mac OS X
Mac OS X steht in dem Ruf, ein sicheres Betriebssystem zu sein. Den Beweis dafür musste es bisher schuldig bleiben. Zurzeit befinden sich nämlich so gut wie keine bekannten Schädlinge im Umlauf, die Mac OS X angreifen. Das sollte jedoch kein Grund sein, nachlässig zu arbeiten, zumal Mac OS X alles mitbringt, was zur Vorbeugung nötig ist.
- Andreas Beier
Der erste Benutzer, den Mac OS X bei der Installation anlegt, gehört zur Gruppe der Administratoren und genießt damit besondere Privilegien. Zum täglichen Arbeiten sind die aber gar nicht notwendig. Ohne sie arbeitet es sich genauso gut, nur sehr viel sicherer. Mitglieder der Administratorengruppe haben Zugriff auf mehr (Konfigurations-)Dateien als Standardbenutzer. Viren oder andere Schädlingsprogramme, die sich über ein solches Konto auf einem Rechner einnisten wollen, finden deshalb mehr Angriffspunkte. Zudem hat Apple den sudo-Befehl (später mehr dazu) etwas lax vorkonfiguriert, was möglicherweise unnötig die Sicherheit schwächt. Der Artikel zeigt nicht nur, wie man sudo sicher konfiguriert, sondern auch, wie man Benutzer- und Gruppenrechte setzt und herausfindet, wo Programme an falsch gesetzten Rechten scheitern.
Unter Mac OS X gehört jeder Benutzer zur Gruppe "staff". Administratoren gehören außerdem noch der Gruppe "admin" an. Anhand des Namens und der Gruppenzugehörigkeit weiß das Betriebssystem, auf welche Daten ein Anwender zugreifen darf und ob er sie nur lesen und/oder auch verändern darf. Neben dem Besitzer eines Objekts und dessen Gruppe kennt das Betriebssystem auch noch Rechte für die anderen Konten ("others"), die weder Benutzer noch in der Gruppe sind; sie dürfen meist nur lesen. Der Finder offenbart die Rechtevergabe im Bereich "Eigentümer & Zugriffsrechte" des Informationsdialogs einer Datei oder eines Verzeichnisses. Mit Mac OS X10.4 alias Tiger hat Apple die bereits von anderen Plattformen bekannten Access Control Lists (ACLs) eingeführt, die eine wesentlich detailliertere Rechtevergabe zulassen als das von Unix übernommene Benutzer-Gruppen-Prinzip. Allerdings haben die Entwickler bei Apple nur der Serverversion von Mac OS X eine grafische Bedienoberfläche zur Manipulation von ACLs spendiert. Hier springt das kostenlose Sandbox in die Bresche.
Weite Teile des Systems gehören dem Super-User root, vom Finder "System" genannt, und nur er darf Änderungen daran vornehmen. Root ist alleiniges Mitglied der Gruppe "wheel", die auch auf die root gehörenden Dateien und Verzeichnisse nur lesend zugreifen darf. Etliche Verzeichnisse und Dateien in /System/Library, deren Besitzer root ist, dürfen auch Angehörige der Admin-Gruppe einsehen, einige wenige dürfen sie auch verändern.
Administratoren genießen darüber hinaus einen Sonderstatus. Das System erlaubt ihnen wie root, über das Unix-Kommando sudo Befehle mit den Rechten anderer Benutzer auszuführen. Dazu trägt es Administratoren in die Datei /etc/sudoers ein. Das systemeigene Installationsprogramm nutzt den sudo-Mechanismus beispielsweise, um Dateien mit den Rechten von root in Verzeichnisse zu schreiben, die nur der Super-User modifizieren darf. Ein Admin darf also erst einmal nicht alles, kann aber mittels sudo so tun, als ob er root sei und sich auf diesem Weg Zugriff auf alle Dateien und Konfigurationsparameter verschaffen.
