Windows sicher machen mit Hooks

[osta]

Hallo, ich habe eine ziemlich seltsame, doch wie ich finde sehr interessante Idee, um Windows sicher zu machen:

Also der wie ich finde größte Fehler in allen MS Betriebssystemen ist, was alle Programmierer eigentlich feststellen müssten, dass Programme viel zu viele Zugriffsrechte haben. zB:

1. Ausführbare Daten dürften nicht veränderbar sein und sich am Besten in einem Verzeichnis befinden, welches nur von einem Betriebssysteminternen Programm (Installer) beschrieben werden darf. Exe-Dateien in anderen Verzeichnissen werden einfach nicht ausgeführt. So ist garantiert, dass kein Programm ohne Benutzerfrage installiert oder ausgeführt wird. Weiterhin kann kein Programm durch einen Virus infiziert werden, weil Exe Dateien, die einmal bestehen nur noch Read-Only geöffnet werden könnten.

2. Jedes Programm sollte nur Zugriff auf zwei Ordner haben, die für jedes Programm einzeln bestehen: Ein Resourcenverzeichnis, in dem sich unveränderbare Daten wie Bilder usw. befinden und ein Preference Verzeichnis, in dem die Daten sind, welche zum Speichern von Einstellungen und Benutzerdaten sind. Dieses Verzeichnis darf keinerlei ausführbaren Code enthalten.

3. Wird ein Programm ausgeführt, sollte es keinerlei Schreibbefehle auf Daten anderer Anwendungen erhalten (zB Fenster und RAM) sowie Betriebssysteminterne Anweisungen, wie Shutdown, Maus, Tastatur usw, es sei denn, es wird vom Benutzer (wiedermal durch einen Betriebssysteminternen Assistenten freigegeben.)

Dies ist natürlich eine ziemlich Utopische Idee, jedoch würde mich interessieren, wie weit sich sowas in die Realität umsetzen lässt, ohne ein eigenes Betriebssystem zu schreiben. Das heisst genauer gesagt, ich möchte das in einer Windows umgebung realisieren und falls es gut klappt dafür sorgen, dass auch herkömmliche Anwendungen auf diese Art genutzt werden können.

Dafür müsste man einige DLLs hooken, bzw. ersetzen.

1. Der API-Befehl OpenFile müsste abgefangen werden um dann zu ermitteln, ob das Programm überhaupt Zugriff auf diese Datei haben darf

2. Der Befehl CreateProcess muss abgefangen werden, sofern sich die auszuführende Datei nicht im entsprechenden Verzeichnis befindet

3. Der OpenProcess Befehl muss abgefangen werden um Sachen wie Read/WriteProcessMemory, CreateRemoteThread usw zu überprüfen und zu steuern.

4. Der gesamte Netzwerkverkehr muss überwacht werden und es müssen wie bei normalen Firewalls Rechte für einzelne Programme erstellt werden.

5. Zu guter letzt müssen natürlich einige Betriebssysteminterne Programme existieren, die das gesamte steuern wir zb Programminstallation/deinstallation

[bobobo]

Wenn Du unter Windoofs(*) nicht gerade als Administrator zugange
bist sondern als normal eingeschränkter User (eU) (was allgemein immer
empfohlen wird)hast Du ca. 80% Deiner obigen Wünsche bereits
umgesetzt.

Nicht die Programme haben Rechte, sondern Programme werden unter
den falschen Accounts ausgeführt.

Das ProgrammVerzeichnis ist zum Ändern für eU'S tabu. ebenso das
Systemverzeichnis.
Einstellungen und Daten befinden sich bereits im Userprofil und sind nur
vom jeweiligen User (admins und system mal ausgenommen) änderbar.

Dass sich ca. 50 Prozent der Programmhersteller einen Scheiß um diese
Gegebenheiten kümmern und immerzu veränderliche Daten im
Programmverzeichnis speichern, führt u.a. auch zum lockeren Umgang
mit den Policies, d.h. jedermann ist Admin und schon haben wir den Salat.

Allerdings ist das sicherste Windows wohl das was in der Schublade
liegt und nicht installiert wird. Das zweitsicherste ist das was installiert
aber nicht benutzt wird. Denn der größte Fehlerverursacher ist der User
der davorsitzt und vermutlich mit dem Bildschirm spricht .. oder mit der Maus.

(*) nicht 3x,9x und ME. Das sind eigentlich ja auch keine Betriebssysteme