Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Terminologie der Zugriffssteuerung 79
ter werden ohne Leerzeichen aneinandergehängt, deshalb ist die SDDL-Zeichenfolge etwas
schwierig zu lesen. Das führt oft zu Verwirrung, daher müssen Sie beim Auswerten dieser
Zeichenfolgen daran denken, dass das Präfix O: für den Besitzer (engl. owner) und G: für
die Gruppe steht.
Beachten Sie auch den Beginn der DACL in Abbildung 3.13, die mit »D:PARAI« beginnt.
Das »D:« ist das Präfix für DACL, auch wenn es mit der TI-SID verknüpft zu sein scheint.
»P« bedeutet, dass die DACL davor geschützt ist, ACEs von übergeordneten Objekte zu
erben (auch wenn es in diesem Beispiel gar keine übergeordneten Objekte gibt). »AR« ist
das alte Flag, das angibt, dass Vererbung erforderlich ist. Es wird nicht mehr benutzt, in
Sicherheitsbeschreibungen ist es aber noch oft enthalten. Und »AI« bedeutet, dass die DACL
geerbt wurde. Weil das offensichtlich nicht der Fall ist, muss sie von Programmcode aus so
geschrieben worden sein, dass alle diese Flags gesetzt sind. Falls die ACL nicht von Hand geändert
wurde, dürften Sie diese Flags nie zusammen sehen, insbesondere nicht P in Kombination
mit AI.
Der Rest der Sicherheitsbeschreibung ist viel einfacher zu lesen, wenn wir sie umformatieren.
Es ist sinnvoll, wenn wir uns ihre Bedeutung genauer ansehen.
Interpretieren einer SDDL-Zeichenfolge
In ihre Komponenten untergliedert sieht die DACL für das Stammverzeichnis des Laufwerks
C: so aus:
1. (A;OICI;FA;;;SY)
2. (A;OICI;FA;;;BA)
3. (A;OICI;0x1200a9;;;BU)
4. (A;CI;LC;;;BU)
5. (A;CIIO;DC;;;BU)
6. (A;OICIIO;GA;;;CO)
Der erste ACE gilt für SYSTEM (SY). Dies ist ein ACE, der an Objekte und Container vererbt
wird und Vollzugriff (FA, für Full Access) gewährt.
Der zweite ACE gleicht weitgehend dem ersten, gilt aber für die integrierte Gruppe Administratoren
(BA, für Built-in Administrators).
Der dritte ACE ist der erste von drei Benutzer-ACEs. Diesen hier haben wir bereits weiter
oben in diesem Kapitel analysiert und festgestellt, dass er Lese- und Ausführungsberechtigungen
sowie READ_CONTROL und SYNCHRONIZE gewährt.
Der vierte ACE ist ein weiterer Benutzer-ACE. Er wird über Ordner vererbt (CI), verwendet
aber eine unbekannte Berechtigung: LC. LC ist in Wirklichkeit eine Abkürzung, die in Active
Directory verwendet wird. Sie steht für »List Children«, also »Auflisten der untergeordneten
Objekte«. Das verrät uns zumindest die Erklärung der ACE-Zeichenfolgen unter http://msdn2.
microsoft.com/en-us/library/aa374928.aspx. Um allerdings zu verstehen, welche Berechtigungen
dadurch für eine Datei gewährt werden, müssen wir sie in eine Bitmaske konvertieren.
Dazu müssen wir wissen, was die Konstante ADS_RIGHT_ACTRL_DS_LIST bedeutet, deren
Abkürzung LC ist. Dazu sehen wir uns unter http://msdn2.microsoft.com/en-us/library/
aa772285.aspx die Enumeration ADS_RIGHTS_ENUM an. Sie verrät uns, dass ADS_RIGHT_ACTRL_
DS_LIST für den Wert 0x4 steht. 0x4 entspricht Bit 3 in Abbildung 3.5. Wenn dieses Bit bei
einem Verzeichnis (um das es sich hier handelt) gesetzt ist, hat das Subjekt das Recht, ein
Unterverzeichnis anzulegen.