[XP] Folder beveiligen

[Verwijderd]

Beetje algemene titel maar daar komt het op neer. Ik weet ook dat het eigelijk een beetje zinloze vraag is op voorhand omdat ik denk dat het gewoon niet kan zonder extra software van derden ofzo. Maar toch... misschien bestaat er een manier om het toch voor elkaar te krijgen. Ik heb ze in ieder geval nog nergens gevonden.

Het gaat over een XP machine waarop men is ingelogd met een account met admin rechten. Dat is nodig wegens het gebruik van een custom programma met bijhorende hardware en tot op heden is dat niet aan de praat te krijgen in een beperkte account. De fabrikant ervan werkt eraan, maar het zal nog niet voor morgen zijn.

Nu draait dit pakket op een pc waarop verschillende werknemers toegang hebben omdt ze met dat programma moeten kunnen werken nu en dan.

Dat op zich is het probleem niet. Maar nu wil de eigenaar daar toch een folder met gegevens op hebben die slechts bereikbaar is voor hem en voor nog 1 of 2 andere mensen. Maw. een beveiligde folder waar slechts enkele mensen toegang op mogen hebben. Dit gewoon met ingave van een passwoord ofzo want het overschakelen naar een andere user op dat systeem is *geen* optie.

Ik weet het, klinkt lullig en die situatie is dan ook zeker geen voorbeeld van doordacht gebruik, maar de situatie is daar nu zo en kan ik niets aan veranderen.

Maar die mensen hebben mij gevraagd of er toch zo een folder te fixen valt.

Ik heb al enkele 3the party tools gevonden die toelaten folders en heel der devices te securen, maar ik heb voor dat soort zaken een beetje een afkeer van extra tools, want als die de mist ingaan dan ben je heel vaak al die data ook zondermeer kwijt.

Maar verder lijkt het me ook onmogelijk om een admin account te blokkeren van bepalde folders..

Iemand enig bruikbaar voorstel ?

[TRON]

Wat je kan doen is:
A
- Toch de directories beveiligen via het NTFS-systeem, echter ALS een andere admin erbij wil komen, kan dat toch wel. Hij/Zij kan immers de rechten aanpassen.

B
- De te beveiligen bestanden inpakken en beveiligen met een wachtwoord.
- De te beveiligen bestanden encrypten met bijv. PGP en deze alleen maar met een wachtwoord toegankelijk maken. Hierbij is het ook mogelijk om een virtuele disk aan te maken zodat er - na ingave van een wachtwoord - op de virtuele disk gewerkt kan worden.

[F_J_K]

Zet de data op een andere machine (server). Daar heeft een lokale admin geen rechten.

Dit gewoon met ingave van een passwoord ofzo want het overschakelen naar een andere user op dat systeem is *geen* optie.

Hoe bedoel je? Je kan best een half dozijn mensen met adminrechten hebben op een PC.

Kijk anders naar de vele "wachtwoord op map" / "password op folder" / etc. in diverse zoektermcombinaties topics in Software Algemeen die er in het verleden zijn geweest

[Verwijderd]

TRON schreef op maandag 31 januari 2005 @ 12:43:
Wat je kan doen is:
A
- Toch de directories beveiligen via het NTFS-systeem, echter ALS een andere admin erbij wil komen, kan dat toch wel. Hij/Zij kan immers de rechten aanpassen.

B
- De te beveiligen bestanden inpakken en beveiligen met een wachtwoord.
- De te beveiligen bestanden encrypten met bijv. PGP en deze alleen maar met een wachtwoord toegankelijk maken. Hierbij is het ook mogelijk om een virtuele disk aan te maken zodat er - na ingave van een wachtwoord - op de virtuele disk gewerkt kan worden.

A zou een oplossing zijn, die andere users zijn niet bepaald technisch onderlegd, laat staan dat ze de kans of mogelijkheid hebben om een half uurtje te knutselen op dat systeem om de rechten aan te passen.

Simpel feit dat ze niet zondermeer klik-klik aan die gegevens kunnen is al een bruikbare oplossing.

Alleen heb ik dat al enkele keren aan het testen geweest, maar bleef telkens met die andere account access hebben.

Blijkbaar doe ik iets fout.

[ Voor 163% gewijzigd door F_J_K op 31-01-2005 12:55 ]

[F_J_K]

Crap, doe ik edit in plaats van quote Sorry. Ik ga het even aanpassen
De originele staat hierboven dus weer terug, * F_J_K is een prutser
Wat ik WILDE zeggen:

TRON schreef op maandag 31 januari 2005 @ 12:43:
Blijkbaar doe ik iets fout.

Lees voor de zekerheid [rml][ Windows 2000/XP] File-sharing en NTFS-permissies[/rml] even door

[ Voor 74% gewijzigd door F_J_K op 31-01-2005 12:56 ]

[swampy]

Een virtuele disk is een optie, maar ook de gegevens op een andere pc zetten en via een share bereiken ( natuurlijk iedereen behalve bepaalde personen blokkeren )

[Verwijderd]

Wat jij wil heb ik ook al een hele tijd naar gezocht, en ik heb ondervonden dat het tot op heden gewoon niet mogelijk is zonder extra software of zonder trucjes zoals de data op een server zetten oid.

Dus als er iemand een oplossing heeft...

[Verwijderd]

Verwijderd schreef op maandag 31 januari 2005 @ 12:50:
[...]
Lees voor de zekerheid [rml][ Windows 2000/XP] File-sharing en NTFS-permissies[/rml] even door

Rechten aanpassen aan een folder is geen probleem, en er een andere user aanhangen ook niet. Ik heb me daarstraks wat verkeerd uitgedrukt.

Het probleem blijft dat als ik die permissies aanpas dat je dan effectief niet aan die folder kan, maar er is ook geen mogelijk om een andere username of pass op te geven om er *wel* in te kunnen. En switchen van users is geen optie.

Dus ik kan wel degelijk een extra user bijmaken, een bepaalde folder alleen aan die user toewijzen zodat je als andere user er niet inkan, maar ik vind geen mogelijkheid om die folder alsnog open te krijgen door ingave van die andere accountgegevens.

Ik zit al enige tijd te zoeken in de richting van het openen van die folder via runas ofzo, maar ik vind niets bruikbaar.

[swampy]

Verwijderd schreef op maandag 31 januari 2005 @ 12:54:
Wat jij wil heb ik ook al een hele tijd achter gezocht, en ik heb ondervonden dat het tot op heden gewoon niet mogelijk is zonder extra software of zonder trucjes zoals de data op een server zetten oid.

Dus als er iemand een oplossing heeft...

Ik vrees dat een administrator gewoon toegang kan krijgen tot een folder..elke folder...daar zijn de administrator voor!

Lekker rechten zootje inderdaad....

Een NAS ( network attached storage ) betekend dat je daar weer rechten anders kan zetten :-)

[Verwijderd]

Misschien kan er iemand in P&W wel een proggie schrijven...

Hoeft niet ingewikkeld te zijn. Een proggie dat monitort als je een map opent. Als je een map wil openen die 'beschermd' is door het proggie krijg je een password dialog. Juiste paswoord -> map wordt geopend, foute paswoord, je gaat nergens heen.

Dan heb je nog steeds een proggie nodig, maar misschien kan zo iets wel als service draaien, dan heb je er helemaal geen last van.

[bakkerl]

Verwijderd schreef op maandag 31 januari 2005 @ 12:50:
[...]
A zou een oplossing zijn, die andere users zijn niet bepaald technisch onderlegd, laat staan dat ze de kans of mogelijkheid hebben om een half uurtje te knutselen op dat systeem om de rechten aan te passen.

Simpel feit dat ze niet zondermeer klik-klik aan die gegevens kunnen is al een bruikbare oplossing.

Het is onder XP heel goed mogelijk om een folder zo te beveiligen, zodat een admin ook geen rechten er meer op heeft.

Zet eerst eens uit dat de rechten worden over genomen van een bovenliggende folder. Als je dat alles en indereen verwijderd bij de rechten (onder advanced), dan kan op dat moment alleen de owner van de map de instellingen veranderen.
En nee, de admin kan ook niet de owner worden van die folder, want die rechten heeft die niet!

Daarna kun je percies gaan instellen wie wel/niet toegang heeft en met wat voor rechten.

[ Voor 5% gewijzigd door bakkerl op 31-01-2005 13:06 ]

[Verwijderd]

bakkerl schreef op maandag 31 januari 2005 @ 13:05:
[...]


Het is onder XP heel goed mogelijk om een folder zo te beveiligen, zodat een admin ook geen rechten er meer op heeft.

Zet eerst eens uit dat de rechten worden over genomen van een bovenliggende folder. Als je dat alles en indereen verwijderd bij de rechten (onder advanced), dan kan op dat moment alleen de owner van de map de instellingen veranderen.
En nee, de admin kan ook niet de owner worden van die folder, want die rechten heeft die niet!

Daarna kun je percies gaan instellen wie wel/niet toegang heeft en met wat voor rechten.

Klopt, maar je hebt dan ook totaal geen access meer.

Als er nu nog een manier bestaat dat XP credentials vraagt voor eventuele toegang tot die map als je erop klikt en zonder dat je van user moet switchen, dan heb ik hetgeen ik zoek

[Verwijderd]

Met behulp van TrueCrypt?

http://truecrypt.sourceforge.net/

Hier mee kan je data versleutelen en dus onbruikbaar voor de overige gebruikers.

[Verwijderd]

Verwijderd schreef op maandag 31 januari 2005 @ 13:30:
Met behulp van TrueCrypt?

http://truecrypt.sourceforge.net/

Hier mee kan je data versleutelen en dus onbruikbaar voor de overige gebruikers.

Er bestaan 3th part tools genoeg ja, die heb ik ook al gevonden. Maar zoals ik in mijn topic start al zei heb ik dusdanig weinig vertrouwen in die dingen dat ik ze liever niet gebruik...

[leuk_he]

Je zou ook kunnen uitzoeken welke rechten precies die gebruiker van de hardware nodig heeft. Admin is zo'n "mag alles" , Gewone user is "mag niks" Wellicht dat je met specifieke rechten teokennen aan een gewone gebruiker er ook komt.

[Valkyre]

ik weet niet of het mogelijk is en hoe groot de bestanden zijn, maar is een USB pen niet iets?

snel, makkelijk , goedkoop.

[Verwijderd]

Gohan-san schreef op maandag 31 januari 2005 @ 13:50:
ik weet niet of het mogelijk is en hoe groot de bestanden zijn, maar is een USB pen niet iets?

snel, makkelijk , goedkoop.

Hmzmzmz... heel goede opmerking. Ik ga eens verder informeren wat ze net in die folders willen en hoe groot de omvang is.

Dat is misschien inderdaad nog de allersimpelste manier ja...

[Pathfinder]

Een paar opties (afhankelijk van de situatie):

- je maakt van de folder een share, die toegankelijk is voor een nieuw aangemaakte user met wachtwoord (dit wordt de pass-user combi om toegang te krijgen). Daarna zorg je dat de admin account geen rechten heeft op deze folder. Vervolgens kun je bv met een bat file de gebruiker vragen om user en pass, waarna deze probeert via het net use commando de share in gebruik te nemen. Na uitloggen (of evt een 2e bat file) is de share niet meer in gebruik, en moet het bat file opnieuw gedraaid worden om toegang te krijgen. De folder is alleen niet te benaderen onder het eigenlijke pad, maar alleen als \\pc\share of evt als gemapte drive.

- een bat file waarvan een exe of com is gemaakt (om te voorkomen dat de user hem kan lezen, zoek naar bat2exe/bat2com), controleert de aan de user gevraagde user-pass combi en geeft een cacls commando om de admin account weer toegang te geven tot de folder. Bij uitloggen wordt automatisch eenzelfde bat/exe gedraaid om dit weer op te heffen.

[leuk_he]

Pathfinder schreef op maandag 31 januari 2005 @ 14:48:
Daarna zorg je dat de admin account geen rechten heeft op deze folder.

humm. take ownership dat de admin kan doen en hij heeft weer rechten.......

/Edit: Verdorie, nu heb ik verraden hoe je bij de files kan

[ Voor 12% gewijzigd door leuk_he op 31-01-2005 15:03 ]

[Pathfinder]

leuk_he schreef op maandag 31 januari 2005 @ 14:51:
[...]
humm. take ownership dat de admin kan doen en hij heeft weer rechten.......

Ik ging er even vanuit dat de users in kwestie niet weten dat die optie bestaat, en na een acces denied melding niet verder gaan kijken... overigens ligt het ook niet voor de hand als simple sharing aanstaat, omdat dan de security tab uit het properties scherm wordt gehaald.

[ Voor 18% gewijzigd door Pathfinder op 31-01-2005 15:14 ]

[Verwijderd]

Pathfinder schreef op maandag 31 januari 2005 @ 14:58:
[...]


Ik ging er even vanuit dat de users in kwestie niet weten dat die optie bestaat, en na een acces denied melding niet verder gaan kijken... overigens ligt het ook niet voor de hand als simple sharing aanstaat, omdat dan de security tab uit het properties scherm wordt gehaald.

Die andere users hebben van ze leven nog nooit van een take-ownership gehoord, dus dat is het probleem niet. Alleen is het blijkbaar onmogelijk op een simpele manier te authenticeren om access tot die folder te krijgen. Met 3th party tools blijkbaar wel maar daar ben ik helemaal geen voorstander van.

[Pathfinder]

Waarom zijn de manieren die ik aandroeg onbruikbaar dan?

[Verwijderd]

Pathfinder schreef op maandag 31 januari 2005 @ 17:28:
Waarom zijn de manieren die ik aandroeg onbruikbaar dan?

Dat batchfile gedoe is veeeeeeeeeeeeeel te omslachtig, als het al netjes aan de praat te krijgen is. En voor de rest is er blijkbaar geen mogelijkheid om in een standaard XP een passwoord te laten vragen voor een bepaalde folder te accessen...

[stefan001]

hummmmm

ik kan gewoon (onder xp HOME) (zou leuk zijn als je vertelt of het home of pro is, dat maakt in dit geval veel verschil!!) een map persoonlijk maken. Rechtsklik, eigenschappen, tabblad delen, vinkje aanzetten. Dan kan je ALLEEN vanaf die account erop. Een andere admin account kan er dan niet op. Ik gebruik dit zelf ook, ik wil niet dat mijn broertjes zomaar aan mijn files/email e.d. kunnen komen.

Een optie? Je zei immers dat het niet met meerdere accounts moest, maar de reden is mij nog steeds niet duidelijk

[Verwijderd]

en fast user switch is te lastig voor de gebruikers ????

[bakkerl]

Verwijderd schreef op maandag 31 januari 2005 @ 13:23:
[...]


Klopt, maar je hebt dan ook totaal geen access meer.

Als er nu nog een manier bestaat dat XP credentials vraagt voor eventuele toegang tot die map als je erop klikt en zonder dat je van user moet switchen, dan heb ik hetgeen ik zoek

Je kan dan nog wel de users die wel toegang moeten hebben weer rechten geven om die map te lezen (en schrijven als dat moet). Dit kun je gewoon moet lokale users doen.
Eventueel maak je er een lokale groep voor aan. En geeft je alleen deze groep de benodigde rechten op dit map. En dan gooi de gebruikers in de groep als ze erbij moeten.
Zolang de 'Administrator' geen lid maakt van die goed, kan die er ook niet in komen
Alleen de gebruikers die er specifiek _wel_ bij staan.

Als bij advanced opties kun je zelfs ook opgeven welke user wel/niet een 'take ownerschip' mag doen. Dus dat kun je zelfs per user bepalen en een admin is dus ook uit te sluiten.

(dat laatste vind ik dus een min punt van windows. De superuser kun je rechten afnemen en blokkeren.. Naar mijn mening zou het net als 'root' user moeten zijn; die moet altijd alles kunnen, ongeacht de security instellingen.... maar dat alles in mijn mening)

[ Voor 25% gewijzigd door bakkerl op 31-01-2005 20:44 ]

[Verwijderd]

stefan001 schreef op maandag 31 januari 2005 @ 19:34:
hummmmm

ik kan gewoon (onder xp HOME) (zou leuk zijn als je vertelt of het home of pro is, dat maakt in dit geval veel verschil!!) een map persoonlijk maken. Rechtsklik, eigenschappen, tabblad delen, vinkje aanzetten. Dan kan je ALLEEN vanaf die account erop. Een andere admin account kan er dan niet op. Ik gebruik dit zelf ook, ik wil niet dat mijn broertjes zomaar aan mijn files/email e.d. kunnen komen.

Een optie? Je zei immers dat het niet met meerdere accounts moest, maar de reden is mij nog steeds niet duidelijk

Onder de Pro

[stefan001]

Verwijderd schreef op maandag 31 januari 2005 @ 20:49:
[...]


Onder de Pro

Dan kan je ook dat "custom programma" uitvoeren als beheerder onder een beperkte account, gewoon rechtsklikken, uitvoeren als...

Maar als je al met de fabrikant van de hardware hebt overlegd heb je dit als het goed is allang geprobeerd...

edit: ohja en natuurlijk het vinkje 'remember password'

[ Voor 10% gewijzigd door stefan001 op 01-02-2005 10:04 ]