Security $NtUninst et XPHome

"Daniel92" <QuelleGalere@ole6news.fr> a écrit dans le message de
news:ulKf6naxHHA.4652@TK2MSFTNGP05.phx.gbl...

Quelques questions sur Security :

1) Droit d'accès et pemissions en session sur Administrateur
en mode sans échec.

Dans les dossiers $NtUninstallKB* et $NtUninstallQ*
certains dossiers n'ont pas de permissions sur les contenus ,
certains fichiers n'ont pas de propriétaire .
Tu en es sûr ?

Bizarre çà ...

%AllUsersProfile%Application DataMicrosoftCryptoRSAMachineKeys
(qui contient 229 fichiers) il n' y a pas de propriétaire sur
aucun des fichiers .

Est-ce normal ?
Non

Normalement c'est le Groupe des admins qui en est le proprio.

Le dossier %AllUsersProfile%Application
DataMicrosoftCryptoRSAMachineKeys est un "magasin" contenant les paires
de certificats pour l'ordinateur et les utilisateurs.
Les services de certificats éventuels + Internet Explorer se servent de ces
certificats.

Les permissions par défaut sont les suivantes :
Administrateur :
Contrôle total sur ce dossier seulement
Tout le monde :
Droits spéciaux sur ce dossier + ses sous-dossiers et fichiers
à savoir :
Liste du dossier
Lecture
Création de fichier
Création de dossier
(mais pas de droit de suppression)
SYSTEM Contrôle total sur ce dossier + ses sous-dossiers et fichiers

D'après le Support de Perfect disk ,
les fichiers et dossiers sans droits ou permissions de
lecture ne peuvent pas être déplacés; donc ne seront
pas défragmentés ?

Comment réagit chkdsk /F quand il vérifie les
Descripteurs de Sécurité de ces fichiers ou dossiers?
Aucune idée pour l'instant ...

2) Compte Administrateur en mode sans échec.

Est-ce que le compte Administrateur (de la machine)
en mode sans échec a et peut avoir des permissions
supérieures aux Groupes administrateurs .
NON

Le compte "Administrateur", créé lors de l'instalaltion de Windows, n'est
pas, contrairement à ce que croient certains, un "super administrateur" !
Un compte appartenant au groupe des admins a les mêmes privilèges.
Par contre, il se peut que PONCTUELLEMENT, sur un dossier ou fichier donné,
le compte "Administrateur" ait des droits précis, et lui seul.
MAIS n'importe quel autre membre du groupe des admins pourra de toute façon
modifier ces droits, et/ou s'attribuer les mêmes, ou d'autres !

NB: la situation est légèrement différente sous VISTA, avec UAC (User
Account Control), qui contrôle de façon stricte les comptes admins, mais pas
le compte '"Administrateur" (= celui dont le SID se termine par 500)

Que se passe-t-il ?

Est-ce que les Groupes perdent leurs autorisations
en chargeant une installation de secours installée sur
une autre Partition (ou en démarrant d'un CD) .
Si la partition provient d'une AUTRE installation de Windows, OUI, les

comptes actuels ne pouraont pas accéder aux ifchiers.
Mais il sufit à n'importe quel admin de changer le propriétaire, puis de
modifier les permissions.

3) Cryptographie et XPHome

Je croyais que la Cryptographie était inopérante sous
XPHome ,
OUI, EFS est désactivé

hors
OR

je retrouve 229 fichiers dans
RSAMachineKeys ,
à quoi servent ces fichiers ?
Je te l'ai dit plus haut : ce sont des certificats (utilisés par IE

p.exemple)
On ne touche pas ...
Il n'y a pas que EFS qui utilise des certificats et le chiffrement RSA
(Rivest, Shamir, Adleman)!

4) Permission Ntfs et Attribut (Ntfs et Fat) lecture seule .

Si je mets en lecture seule un dossier ou un fichier par
les Attributs dans ses Propriétés et que pour le même
élément j'interdis la lecture dans ses Permissions Ntfs
(en local) , que se passe-t-il ?

C'est toujours le plus restrictif qui l'emporte !
-> lecture interdite !


-
--
May the Force be with You!
La Connaissance s'accroît quand on la partage
----------------------------------------------------------
Jean-Claude BELLAMY [MVP] - http://www.bellamyjc.org

Jean-Claude BELLAMY écrit dans
<news:24EB586C-F44A-473B-BA17-2D6AA64999B7@microsoft.com>

| *Daniel92* avait demandé dans
| <news:ulKf6naxHHA.4652@TK2MSFTNGP05.phx.gbl>
|
| > Quelques questions sur Security :
| >
| > 1) Droit d'accès et pemissions en session sur Administrateur
| > en mode sans échec.
| >
| > Dans les dossiers $NtUninstallKB* et $NtUninstallQ*
| > certains dossiers n'ont pas de permissions sur les contenus ,
| > certains fichiers n'ont pas de propriétaire .
| Tu en es sûr ?
| Bizarre çà ...

Bonjour Jean-Claude,

Je te le confirme ;

D'autre part, je n'ai pas de secteur défectueux; la partition est
seine physiquement dans son fonctionnement courant;

C'est DiskView de Marc Russinovich qui a attiré mon attention;
À la fin de la détection d'une partition, une boîte de dialogue
signale les fichiers ou dossier de la MFT inaccessibles.

Ce problème survient après un chkdsk /F sur C:

Pour ces dossiers $NtUninstallKB* et $NtUninstallQ* ,
j'ai remis les autorisations suivantes pour le groupe et
le compte: ( Ct = Contrôle total )
Administrateurs ([LaMachina]Administrateurs)
SYSTEM
Ct sur 'Ce dossier, les sous-dossiers et les fichiers'


| > %AllUsersProfile%Application DataMicrosoftCryptoRSAMachineKeys
| > (qui contient 229 fichiers) il n' y a pas de propriétaire sur
| > aucun des fichiers .
| >
| > Est-ce normal ?
|
| Non
| Normalement c'est le Groupe des admins qui en est le proprio.
|
| Le dossier %AllUsersProfile%Application
| DataMicrosoftCryptoRSAMachineKeys est un "magasin" contenant les paires
| de certificats pour l'ordinateur et les utilisateurs.
| Les services de certificats éventuels + Internet Explorer se servent de ces
| certificats.

Quelle était la conséquence de l'impossibilté d'accéder à
ces certificats sur la sécurité de la Machine? Sur la sécurité
d'une connexion à Internet en navigant avec Internet Explorer
et Java ?

À quoi sert sous XPHome le Paramètre:
' Ne pas enregistrer les pages cryptées sur ce disque '
des Options "Avancé" de Internet ?

Certains utilitaires de sauvegarde (par backup ou image
physique) signalent qu'il ne faut pas avoir de fichiers Compressés
ou Cryptés pour pouvoir les utiliser (encore faut-il savoir que
des fichiers cryptés existent sous XPHome!).
Quelle est la conséquence de la perte de ces certificats si on
remonte une sauvegarde?


| Les permissions par défaut sont les suivantes :
| Administrateur :
| Contrôle total sur ce dossier seulement

Tu voulais dire (le groupe) Administrateurs , je pense?

| Tout le monde :
| Droits spéciaux sur ce dossier + ses sous-dossiers et fichiers
| à savoir :
| Liste du dossier
| Lecture
| Création de fichier
| Création de dossier
| (mais pas de droit de suppression)
| SYSTEM Contrôle total sur ce dossier + ses sous-dossiers et fichiers

pour Administrateurs => c'est Ok
pour Tout le monde => j'avais sur 'ce dossier seulement'
pour SYSTEM => absent de la liste des Utilisateurs ayant
des autorisations

Nota: sur mon installation de Secours, vierge de pilotes
additionnels , de patches et d'accès à Internet, j'ai ces
même réglages (XPHome Sp1a inclus) .

J'ai remis tes réglages.


| > D'après le Support de Perfect disk ,
| > les fichiers et dossiers sans droits ou permissions de
| > lecture ne peuvent pas être déplacés; donc ne seront
| > pas défragmentés ?
| >
| > Comment réagit chkdsk /F quand il vérifie les
| > Descripteurs de Sécurité de ces fichiers ou dossiers?
|
| Aucune idée pour l'instant ...

Après restitution d'autorisations d'accès sur les fichiers
concernés, pas d'amélioration du fonctionnement
des défragmenteurs sur la partie regroupement
des fichiers .

Ils sont toujours "bloqués" par des méta-données du
Système de Fichiers éparpillées sur la Partition.


| > 2) Compte Administrateur en mode sans échec.
| >
| > Est-ce que le compte Administrateur (de la machine)
| > en mode sans échec a et peut avoir des permissions
| > supérieures aux Groupes administrateurs .
| NON
| Le compte "Administrateur", créé lors de l'instalaltion de Windows, n'est
| pas, contrairement à ce que croient certains, un "super administrateur" !
| Un compte appartenant au groupe des admins a les mêmes privilèges.
| Par contre, il se peut que PONCTUELLEMENT, sur un dossier ou fichier donné,
| le compte "Administrateur" ait des droits précis, et lui seul.
| MAIS n'importe quel autre membre du groupe des admins pourra de toute façon
| modifier ces droits, et/ou s'attribuer les mêmes, ou d'autres !
|
| NB: la situation est légèrement différente sous VISTA, avec UAC (User
| Account Control), qui contrôle de façon stricte les comptes admins, mais pas
| le compte '"Administrateur" (= celui dont le SID se termine par 500)

Donc si j'ai bien compris ton explication un Compte de
type administrateur peut PONCTUELLEMENT avoir
des autorisations supérieures au(x) groupe(s) auxquels
il appartient ? (Ce que j'ai constaté en bloquant
en écriture le dossier de google)

Mais alors dans quels cas la régle ,
"C'est toujours le plus restrictif qui l'emporte "
que tu évoques plus bas, s'applique ?


| > Est-ce que les Groupes perdent leurs autorisations
| > en chargeant une installation de secours installée sur
| > une autre Partition (ou en démarrant d'un CD) .
|
| Si la partition provient d'une AUTRE installation de Windows, OUI, les
| comptes actuels ne pouraont pas accéder aux ifchiers.
| Mais il sufit à n'importe quel admin de changer le propriétaire, puis de
| modifier les permissions.

Les Comptes d'Utilisateurs, ok à cause des SID (encore
que... avec le Partage "Simplet" de Windows XPHome
... j'arrive à accéder à des dossiers auxquels je ne devrais
pas accéder)

C'est surtout les GROUPES qui m'intéressent; certes
j'avais pris soin de mettre le même 'Nom de l'ordinateur'
sur mon installation de Secours. Mais est-ce que
ces autorisations sont attribués à des Groupes génériques
(Administrateurs, Utilisateurs, ...) ou à des Groupes
identifiables avec le 'Nom de l'ordinateur' ?
{comme le laisse supposer la dénomination :
Administrateurs ([LaMachina]Administrateurs)
Utilisateurs ([LaMachina]Utilisateurs) }


| > 3) Cryptographie et XPHome
| >
| > Je croyais que la Cryptographie était inopérante sous
| > XPHome ,
|
| OUI, EFS est désactivé
|
| > or je retrouve 229 fichiers dans
| > RSAMachineKeys ,
| > à quoi servent ces fichiers ?
|
| ... ce sont des certificats (utilisés par IE p.exemple)
| On ne touche pas ...
| Il n'y a pas que EFS qui utilise des certificats et le chiffrement
| RSA (Rivest, Shamir, Adleman)!
|
|
| > 4) Permission Ntfs et Attribut (Ntfs et Fat) lecture seule .
| >
| > Si je mets en lecture seule un dossier ou un fichier par
| > les Attributs dans ses Propriétés et que pour le même
| > élément j'interdis la lecture dans ses Permissions Ntfs
| > (en local) , que se passe-t-il ?
|
| C'est toujours le plus restrictif qui l'emporte !
| -> lecture interdite !

J'ai encore du boulot pour comprendre! :-)
Bizarrement, c'est plus facile de comprendre l'interaction
entre Sécurité (locale) et Sécurité (partages) pour dossiers
et fichiers , que celle avec les Attributs des propriétés
de ces mêmes dossiers et fichiers? (en Ntfs)

Déjà Merci pour tes réponses,
--
Daniel92.
======