OS X'te günlük yönetici olmayan bir hesap kullanmanın ne anlamı var?

Bu tavsiye eski ama modaya geri dönüyor. Son zamanlarda bunu bir dizi Mac web sitesinde veya forumda gördüm. "'Günlük' kullanıcı hesabınız bir yönetici hesabı olmamalıdır. Bu amaçla oluşturulmuş standart bir hesap olmalı ve yönetici hesabına yalnızca gerçek yönetici görevlerini gerçekleştirmek için giriş yapmalısınız.»

Bu, Windows dünyasında yaygın bir tavsiye gibi görünüyor, ancak güncel bir OS X sistemi için ne tür faydalar sağladığını anlayamıyorum. Hadi içine girelim:

• OS X yönetici hesapları kök hesap değildir . Kök gitmek isteyen herhangi bir uygulama yine de şifrenizi isteyecektir, bu yüzden burada ek güvenlik katmanı görmüyorum. /varÇöp Kutusuna koymaya çalışın .
• En kritik dosyalara derin işletim sistemi değişikliği veya kod enjeksiyonu, yönetici, kök veya hiç kimse olmasa da El Capitan'dan SIP tarafından engellendi. Dahası, hala izin verilen hassas yerlerde, bu tür değişiklikler en azından bir yönetici hesabından bile, ilk argümana geri dönmemizi sağlayacak bir root şifresi gerektirecektir.
• Casus yazılımlar, gizlilikle ilgili endişeler ve bu tür şeyler için standart hesapların kullanılması, varsa ek koruma sağlar. Bildiğim kadarıyla, standart bir hesaptan kullanıldığında bile, uygulamalar kullanıcının kişisel dosyalarına tam erişime ve tam ağ erişimine (ek güvenlik duvarı vb.) Sahiptir. Kötü bir uygulama dokümanlarınızı eve göndermek istiyorsa, bunu standart bir hesaptan mükemmel bir şekilde yapabilir.
• Temel savunma hatları (güvenlik duvarı, güvenilir uygulamaları çalıştırma vb.) Sistem çapındadır.
• Öte yandan, yönetici hesabınıza geçmek ve daha sonra standart hesabınıza geri dönmek bir acıdır. Bu aslında sadece zaman kazanmak ve güçlükle uğraşmayı ertelemek için güncellemeleri veya yönetici bakımını geciktirebilir.

Peki, neden bir yönetici hesabı kullanmıyorsunuz? Umarım bu yinelenmez olarak işaretlenmez, bu konuyla ilgili diğer sorular bu argümanları ele almamıştır.

Düzenleme: soru sahip olduğunuz ve kontrol ettiğiniz bir bilgisayar için geçerlidir.

Her OS X bilgisayarında yalnızca bir kök hesap vardır ve varsayılan olarak devre dışıdır. Parolası yoktur ve özellikle Directory Utility'yi kullanıp etkinleştirmedikçe root olarak oturum açamazsınız . Bu tehlikelidir, çünkü kök olarak oturum açıldığında sistem tüm yetkileri atlar - şifre bile istemez. Bu açıdan, bir OS X bilgisayarı gerçekten köksüzdür , bu da A Good Thing ™'dir.

Yöneticiler hesapları, yalnızca yönetici grubunda olan standart hesaplardır . OS X'te oturum açmış bir kullanıcı tarafından gerçekleştirilen herhangi bir eylem yetkilendirme veritabanına göre denetlenir ( kimlik doğrulaması gerekip gerekmediğini veya kimlik doğrulamasının yeterli olup olmadığını görmek için kurallarını /System/Library/Security/authorization.plist adresinde görebilirsiniz. oturum sahibi (oturum açmış standart kullanıcı) veya yönetici grubunun bir üyesi olmanız gerekir.Çok ince bir denetim sağlar.Bu nedenle, örneğin Sistem Tercihleri'nde üç olasılık ortaya çıkabilir.kilitli asma kilit tıklandığında. Tıklandığında, kimlik doğrulama olmadan kilidini açabilir, hesap adı zaten girilmiş olan kimlik doğrulama iletişim kutusu sunabilir (bu, lütfen sizin onayladığınız anlamına gelir) veya hesap adı ve şifre alanlarının boş olduğu kimlik doğrulama iletişim kutusu sunabilir (bu, yönetici olmadığınız anlamına gelir, lütfen kimlik bilgilerini yazmak için bir yöneticiyi arayın).

Temel kural, bilgisayardaki diğer kullanıcıları etkileyebilecek herhangi bir şeyin (sistem genelinde değişiklik) yönetimsel kimlik doğrulaması gerektirmesidir. Ama bundan daha karmaşık. Örneğin, standart kullanıcılar Mac Uygulamalar Mağazası'ndan / Applications klasöründeki (sistem genelinde bir değişikliktir) uygulamalar yükleyebilir, ancak GateKeeper'ı yalnızca kendi verileri dahilinde olsa bile imzasız uygulamaları çalıştırmak için atlayamaz. Standart kullanıcılar, bundan sonra 10-15 dakikalık bir pencerede kimlik doğrulaması gerektirmemesinin kötü bir yan etkisi olan sudo'yu çağıramaz . Akıllıca tasarlanmış bir komut dosyası, onayladığınız bir şey için yönetici kimlik doğrulaması isteyecektir, ancak bundan sonra hakkında hiçbir şey bilmediğiniz her türlü tuhaf şeyi yapacak.

Standart kullanıcılar ebeveyn denetimleri veya yapılandırma profilleri aracılığıyla da yönetilebilir ve parola ilkelerinin uygulanması gerekebilir. Yönetici kullanıcılar böyle bir şey yapamazlar.

Sistem Bütünlüğü Koruması , kullanıcıların yükleyici paketleri aracılığıyla tıkladıklarını ve parolaları o kadar kolay sağladıklarını , kullanıcıların en zayıf bağlantı haline geldiğini ele alır. SIP sadece sistemi ayakta tutmaya çalışır, başka hiçbir şey (ve bazen de başarısız olur).

Bilgisayarda yalnızca bir kullanıcısı olan (yönetici hesabı olan) ve hatta bir hesap şifresi olmadan kaç kişinin gördüğümü, sadece bir giriş penceresi etkinliği şeklinde sıkıntıda hafif bir düşüş algılamak için inanmazsınız.

Gerektiğinde bir yönetici hesabına geçmenin bir acı olduğu fikrini kabul edemem. Terminal'deyseniz, sudo veya Finder'ı başka bir kullanıcı olarak /System/Library/CoreServices/Finder.app/Contents/MacOS/Finder yürüterek başlatmayı da içeren herhangi bir şey yapmadan önce yalnızca myadminacct yapmanız gerekir .

GUI'de, Mac App Store güncellemeleri (OS X güncellemeleri dahil) yönetici kimlik doğrulaması gerektirmez. Adobe Flash güncellemeleri de dahil olmak üzere İndirilenler klasörü ile sonuçlanan yükleyici paketleri, evet, fazladan işi yapanları açmadan ve doğru yerden geldiklerinden ve nezaket dolu olmadıklarından üç katına çıkmadan önce çok dikkatli olmalısınız .

Bu yüzden bir Mac'i standart bir hesapla kullanmanın bir yöneticiden daha iyi ve daha güvenli olduğunu düşünüyorum, çünkü beni kendi hatalarımdan ve gözetimimden koruyor. Bilgili kullanıcıların çoğunluğu bile, indirilen her komut dosyasını satır başı inceleyerek balıkların olup olmadığını kontrol eder.

Umarım kontroller gelecekte daha da katılaşabilir, örneğin bir uygulama (veya komut dosyası veya herhangi bir yürütülebilir dosya) çalıştırılabildiğinde veya ağa erişebildiğinde koşullar veya zaman çizelgeleri getirebilir veya geçen ay içinde açıkça izin vermedi (kimlik doğrulama iletişim kutusu).

Güvenlik en iyi Çok Katmanlı, Çok Vektörlü Strateji olarak uygulanır .

En Küçük Ayrıcalık İlkesi (POLP) , makinede bilgisayarınızı güvende tutan başka bir dişli.

Orada listelediğiniz her şey iyi ama bunların hiçbiri birisinin Düşen Sürücü Hack gibi bir istismar ile bilgisayarınızı ele geçirmesini engellemez .

• Güvenlik duvarı, kullanıcının sürücüye yerleşik uzaktan kumanda istismarından USB takmasını nasıl engeller?

• SIP, bir tuş kaydedicinin tuş vuruşlarınızı yakalamasını nasıl engeller?

• Yönetici tarafından kolayca devre dışı bırakılabileceği zaman bile SIP'ye sahip olmak nasıl bir şey ?

• Yetkisiz / yasa dışı lisanslı yazılımların yüklenmesini nasıl önlersiniz? Kısıtlı kullanıcı hesabı, yazılım yüklememesi gereken kullanıcıların yazılım yüklememesini sağlayacaktır.

Son savunma hattınız Yönetici hesabı olmayan bir hesap kullanıyor, böylece bir kötü amaçlı yazılım parçası kendini yüklemeye çalıştığında başka bir güvenlik katmanı (kullanıcı kimlik doğrulaması) oluşturarak tehdidi azaltabilirsiniz.

Bunu eons görünen şey için söylüyorum:

"Güvenlik", satın aldığınız bir ürün veya çevirdiğiniz bir anahtar değildir; riskinizi en aza indirmek için elinizden gelen tüm araçları geliştirmek için bir uygulama , bir zihniyet .

Genellikle gerekenden daha fazla ayrıcalığı olmayan bir hesap kullanmak en iyi yöntem olarak kabul edilir. Bunun genel anlamı, mümkün olan en düşük ayrıcalık düzeyine sahip bir hesap kullanmanız ve daha yüksek ayrıcalıklar gerektiren belirli bir görev için gerektiğinde ayrıcalıklarınızı yükseltmenizdir.

Ancak, bu oldukça çabuk sinir bozucu olur. Bunun nedeni, sizin veya benim için basit bir görev gibi görünen şeyin ("Yalnızca WiFi'yi açmak istedim") işletim sistemi için ayrıcalıklı bir işlem olarak görülmesidir ("Bir ağ cihazını etkinleştirmek ve makineye izin vermek istiyorsunuz rasgele bir ağa konulmalı ").

Kolaylık ve güvenlik arasında bir denge kurmak, göründüğünden çok daha zor ve benim kişisel düşüncem, OS X'in Windows gibi diğer işletim sistemlerinden daha iyi bir iş çıkardığı.

Her zaman yönetici olarak çalıştırırsanız, yanlışlıkla crapware içeren bir siteye bağlantı içeren bir e-postayı tıklayabilirsiniz ve sizin haberiniz olmadan otomatik olarak bazı yeniden yapılandırma yapan bir komut dosyası çalıştırır. Ancak, ayrıcalıklı olmayan bir kullanıcı olarak çalışıyorsanız, o komut dosyası çalıştırıldığında işletim sistemi "bu kötü amaçlı komut dosyası bilgisayarınıza bir şey yapmak istiyor. Lütfen parolanızı yazarak onaylayın" yazan bir iletişim kutusu açılır. Bu, o noktada görmeyi beklediğiniz bir şey değilse, genellikle alarm veya sürprizlere neden olur.

Ayrıca - daha da önemlisi, başka biri için bir bilgisayar kurdunuz. Ailenizde bilgisayar okuryazar olmayan biri. Onlara ayrıcalıksız bir giriş yapmak ve yönetici şifresini kendiniz tutmak için mükemmel bir fikirdir, bu yüzden bir dahaki sefere eski çöpleri tıkladıklarında (alışkanlık olarak), bilgisayarı crapware ile enfekte edemezler. Bazen bunu yaptığınızda şikayet ediyorlar, ancak onlara IE 6'da 35 araç çubuğu yüklendiklerini hatırlatmanız gerekiyor ve google araması yaptıkları her seferinde pornograf pop-up sayfalarına sahipler, iyi bir fikir olabilir. Dezavantajı, Flash eklentisini güncellemek istediklerinde bilgisayarlarının kilidini açmanızı sağlamak için sizi daha sık arayacaklarıdır.

Daha önce söylendiği gibi: güvenlik bir tavırdır, çevirebileceğiniz basit bir anahtar değildir.

Nedenlerinizin nasıl çalışıp çalışmadığını göreyim:

1. Yönetici hesapları kök değildir. Doğru olsalar da, arayabilirler sudove hatta parola giriş için hazır olabilirler (veya sudoparola istemeyecek şekilde yapılandırılmış olabilirler).

2. SIP (Sistem Bütünlüğü Koruması): Bu, tüm saldırılar için yeterli olmayan tek bir katmandır. Devre dışı bırakılabilir mi? Daha iyi!

3. Casus yazılım argümanı: Belki de. Ayrıcalıklar hala yeterince ayrı değil. Ama yine de, bu hala bir sınırlama.

4. Temel savunma hatları sistem çapındadır: # 1, yönetici hesaplarında çalışan uygulamaların köklenebileceğini söylüyor.

5. Anahtarlama? Yönetici hesabı şifresini girdiğiniz sürece standart hesaplardan yönetici ile ilgili görevleri yapabileceğiniz yaygın olarak bilinir. Aslında gerçek bir hesap değişikliği yapmanıza gerek yok.

Bilgisayar meraklısı olmayan başka aile üyeleriniz varsa veya erişimlerini kısıtlamak istiyorsanız (örn. Çocuklar) veya makineyi kullanabilecek çalışanlara erişimi kısıtlamak isteyen bir işverenseniz, kesinlikle evet; günlük kullanım için osx'ta yönetici olmayan hesaplara sahip olmanız için hala nedenler var.

Bilgisayarınız varsa ve kontrol etmek istiyorsanız, bir yönetici hesabı kullanın.

Diğer kullanıcıların herhangi bir şeyi "yönetmesini" istemiyorsanız, yönetici olmayan hesaplar çok yardımcı olur. Ayrıca, birisinin "hey, mac'unuzu gerçekten hızlı bir şekilde yapmak için ödünç alabilir miyim?" Diye sorduğunda, makineyi ne zaman ödünç vermeniz gerektiğini asla bilemezsiniz. bazılarını izinleri oluşturduğunuz ve uyarladığınız bir 'yarı misafir' hesabı olarak kabul edebilecekleri hesaplar.

Muhtemelen başka nedenler de var, ama işte benim: Yönetici hesabına kısıtlama koymak mümkün değil. Kendisinin istenmeyen veya tehlikeli yerleri ziyaret etmesini önlemek için kısıtlamaların bulunması yararlıdır.