Newsgroup: it.comp.os.win.nt
Titolo: Gli utenti NT sono veramente solo utenti??

Salve a tutti,
sarei felice di conoscere l'opinione del NG su quello che secondo me è
uno dei problemi più gravi della gestione utenti su NT.
Premetto che fino a poco tempo fa' ero abituato all'uso degli "utenti"
che si ritrova sui sistemi che hanno fatto la storia dell'informatica
(Unix, AS/400, ...).
Se prendo ad esempio il sistema Unix un utente e un soggetto con un
raggio di azione (concedetemi il termine) limitato al suo workspace (la
sua directory, e tutto quello che l'utente "root" decide).
Fino qui non sembra ci siano differenze con NT, prendiamo però ad
esempio un noto programma che può essere installato su NT: Netscape
Communicator.
La cosa che credo più corretta da fare per installare un pgm è loggarsi
con "Administrator" e procedere con il setup.
Una volta finito entro con un utente del gruppo "user" e tento di
utilizzare il prodotto appena caricato.
Attenzione ho detto TENTO perchè se in un eccesso di zelo avevo lasciato
il diritto modificare a piacimento la directory WINNT solo all'utente
amministratore (cosa che mi sembrerebbe normale facesse di suo il
sistema!!!) Netscape non funzionerà.
Questo perchè il pgm crea nella directory WINNT un file di nome
"nsreg.dat" sul quale l'utente deve avere libero accesso!!!
Torno a sottolineare la mia scarsa conoscenza della gestione avanzata di
WinNT e magari tutto cio' è dovuto ad un mio errore nell'utilizzo del
sistema in ogni caso vorrei puntualizzare i seguenti aspetti:
a) perchè quando installo NT non mi ritrovo già con una protezione
impostata sui files di sistema operativo !!!!
b) perchè i più diffusi programmi scritti per NT (almeno quelli che
conosco io) mi obbligano a lasciare aperte molte porte all'interno di
directory estremamente importanti.
c) perchè un utente dovrebbe avere la possibilità di cancellare
"direttamente" dei files di un applicazione, questo è quello che infatti
accade se devo consentire l'accesso al file "nsreg.dat"!!! A mio avviso
tale file dovrebbe essere gestito in modo trasparente all'utente dal
sistema (inteso come sistema operativo + applicazioni).
Spero che l'argomento susciti interesse, grazie a chi vorrà rispondermi.
Ciao
Alfredo

 sistema (inteso come sistema operativo + applicazioni).
Perchè molti programmi nascono anche per Win9x che non permette il concetto
di impersonation (ovvero cambiare account all'interno di un programma per
effettuare
determinate operazioni) e perchè molti programmatori non conoscono affatto
l'uso delle api legate a LogonUser (ad esempio quelli di Lotus Notes).
Saluti.

Grazie per la risposta,
e naturalmente per l'informazione che Netscape come molti altri
programmi che
girano su NT e sui sistemi Windows in genere, sono scritti tutti nel
medesimo
modo per ovvi motivi economici.
C'è da dire però che questa negligenza nello sfruttare in modo adeguato
le
protezioni di NT non coinvolge solamente le software house minori ma
purtroppo
la stessa Microsoft.
Come mi hai consigliato ho guardato meglio la situazione permessi nelle
directory critiche di un sistema NT, "winnt" e "programmi", ma ti
assicuro che
quello che ho visto non mi è piaciuto.
Faccio un breve riepilogo delle situazioni che considero pericolose:
1)  la directory "\winnt\system\" e la maggior parte dei files contenuti
non la
definirei protetta, per fare un esempio il file "winspool.drv" permette
a
"Everyone" il "controllo completo" !!
Ma ripeto il problema è tutta la dir ! Un utente può modificarla come
vuole !!!!
2) sulla macchina presa in esame (NT Workstation con SP5) è installato
Microsoft
Proxy client (se non è questo un prodotto per sistemi in rete con tanto
di
gestione utenti ditemi voi qual'è) ed il risultato è il seguente:
directory "winnt\system32\Wspwsp.dll" permesso impostato EVERYONE
MODIFICA !!!
Se non sbaglio quella è una DLL, e dentro le dll ci sono funzioni che
vengono
eseguite dal sistema !!!
3) Caso a parte è la directory "programmi", qui addirittura tutto è
EVERYONE
CONTROLLO COMPLETO.
Faccio un esempio: supponiamo che nella mia azienda ci sia un
programmatore VB
alle prime armi e anche un po stron... e supponiamo che si faccia un
eseguibile
di poche righe con nome HYPERTRM.EXE, nulla gli vieta poi di sostituire
tale
eseguibile con l'originale nella directory "\programmi\windows NT", bene
cosa
potrebbe accadere al povero "Administrator" che avesse bisogno di
utilizzare
l'hyperterminal !!!!!!!!!
Ma poi in fondo perchè dovrebbe darsi pena di compilare un programma,
gli basta
loggarsi con uno "user" e cancellare tutta la directory "programmi" e fa
già
abbastanza danno!
Potrei continuare ma il messaggio è già troppo lungo.
A questo punto spero che ci sia qualcuno nel NG capace di spiegarmi che
in
realtà tutto ciò è solo colpa mia, magari ho sbagliato l'installazione
di NT,
oppure è colpa di un software non certificato che mi ha sballato i
permessi.
Lo spero davvero perchè se devo essere sincero passando da sistemi Unix
e AS/400
a Windows NT mi sembra di essere tornato indietro nel tempo, quando per
proteggere le proprie informazioni si metteva una bella password nel
BIOS o
meglio ancora si chiudeva l'ufficio a chiave.
Ciao e grazie a chiunque voglia rispondermi
Alfredo

 wrote in message
news:3A0B0F11...@libero.it...
I seguenti articoli della Technet (
www.microsoft.com/technet
)
Q244600 e Q148437 contengono le impostazioni di fabbrica delle ACL
rispettivamente per W2K e NT 4.0
Noterai che sono lievemente diverse da quelle che tu hai sulla tua macchina.
Saluti.

Gabriele Del Giovine wrote:

Adesso ho la dimostrazione, ce la da' la Microsoft stessa.
Tratto dal documento che mi hai indicato ecco i permessi della directory WinNT:
...
C:\%SystemRoot%-
       administrators - full control
       creator/owner - full control
       everyone - change
       server operators - change
       system - full control
...
tradotto chiunque può modificare gli eseguibili che sono dentro C:\%SystemRoot%
("WINNT"), niente male!
Per fortuna con Windows 2000 si sono ravveduti e hanno organizzato le cose
meglio, è sufficiente continuare a leggere il documento da te menzionato (a
proposito grazie) e fare un confronto dei permessi sulle varie directory.
Ad esempio sempre la stessa directory %SystemRoot%:
  Windows 2000:
       users - read and execute
       power users - modify
       administrators - full control
       creator owner - full control
       everyone - read and execute
       system - full control
se non erro "everyone" adesso può solo leggere ed eseguire.
Ciao
Alfredo