Admin users kunnen bestanden van anderes admin users zien

[steemansnick]

Hallo,

ik heb onlangs Windows 11 Pro op een pc op het werk geïnstalleerd. Ik heb 1 admin gebruiker aangemaakt. Onder die admin gebruiker heb ik een standaard Dropbox geïnstalleerd. In die Dropbox zitten ook privé gegevens, andere gebruikers op die pc mogen daar geen toegang tot hebben.

Nu heb ik een andere admin gebruiker aangemaakt op die pc, en wat zie ik? Als ik met de tweede gebruiker inlog kan ik gewoon navigeren naar C:\Users\Gebruiker1\Dropbox\Privé/... enzovoorts. De documenten en bestanden van de eerste gebruiker zijn ook gewoon vrij benaderbaar door gebruiker 2.

Dit is toch niet normaal? Ook al heeft gebruiker 2 admin rechten, elkaars bestanden zou je toch nooit toegang tot mogen/kunnen hebben?

Weet iemand hoe dit komt en/of hoe ik dit kan oplossen?

Windows 11 Pro 22H2 met alle nieuwste updates.

Alvast erg bedankt!

[Tijntje]

Als Admin ben je God in Windows, zelfs al zou je de rechten zo zetten dat je 1 andere user specifiek deny rechten heeft op je bestanden. Dan nog kan die user dat veranderen omdat hij Admin is.

Waarom zou je als Admin willen werken op Windows? Je kan beter als user inloggen en werken, hooguit geef je ze Power User rechten.

[markisoke]

Dat is dus precies waar een admin voor staat, je kan overal in het systeem bij.
Als je dat niet wilt, moet je met users werken.

[n9iels]

Volgens mij is dat niet echt mogelijk, ook best logisch. Een admin is het hoogste recht wat je kunt krijgen op een Windows PC. Dat recht inperken kan daarom ook niet, en zal al zou het kunnen kun je al admin dat ook altijd weer terugdraaien. Want je bent immers admin in beide gevallen

De oplossing hier zou volgens mij om "normale" gebruikers aan te maken.

[downtime]

steemansnick schreef op donderdag 30 november 2023 @ 08:32:

Dit is toch niet normaal? Ook al heeft gebruiker 2 admin rechten, elkaars bestanden zou je toch nooit toegang tot mogen/kunnen hebben?

Weet iemand hoe dit komt en/of hoe ik dit kan oplossen?

Ik heb laatst mijn autosleutels aan iemand gegeven zodat hij wat spullen van de achterbank kon halen. Maar hij kon gewoon instappen en wegrijden. Dat is toch niet normaal? Met die sleutels hoor je toch niet zomaar weg te kunnen rijden?

Als je volledige rechten uitdeelt moet je niet raar kijken als die admins ook echt volledige rechten hebben. Dat is nu eenmaal wat een admin account is. De weinige limitaties van een admin account kunnen meestal eenvoudig omzeild worden als je weet wat je doet.

[DukeBox]

Tijntje schreef op donderdag 30 november 2023 @ 08:49:
.. hooguit geef je ze Power User rechten.

FYI, power users zijn deprecated sinds windows 10. Neemt niet weg dat het (gelukkig) nog wel werkt maar het kan zomaar verdwenen zijn bij een nieuwe release.

[GarBaGe]

Je kan je ook afvragen.... waarom gebruikt een admin op een machine met andere admins een Dropbox met prive gegevens erin?
Een belangrijk aspect in security is data minimalisatie.
Ik zie totaal geen reden waarom die admin een Dropbox met prive gegevens moet mounten.

En anders, moet ie Dropbox "zo" mounten dat alle gegevens ALLEEN op de server blijven staan (niet lokaal) EN dat de het account standaard NIET gemount is.
Dan staan de gegevens er niet, ook geen probleem.

[steemansnick]

Ik dacht gewoon dat de bestanden van users altijd gescheiden waren, ook als het admins zijn. Eén van de redenen om de tweede gebruiker admin rechten te geven is dat hij/zij ook dingen moet kunnen installeren enzo zonder er een wachtwoord voor te moeten geven.

[downtime]

steemansnick schreef op donderdag 30 november 2023 @ 09:29:
Ik dacht gewoon dat de bestanden van users altijd gescheiden waren, ook als het admins zijn. Eén van de redenen om de tweede gebruiker admin rechten te geven is dat hij/zij ook dingen moet kunnen installeren enzo zonder er een wachtwoord voor te moeten geven.

UAC kan daarover verwarring scheppen. Als UAC aanstaat zal de admin inderdaad niet zonder elevation zomaar in een profiel kunnen. Maar dat is natuurlijk simpel te omzeilen.

[grasmanek94]

Je kunt ook meerdere Windows installaties booten? Beetje onhandig, maar elke kan dan beveiligd zijn met een eigen bitlocker pin, en dan daar op elke andere installatie een ieder apart admin rechten geven... maar dit is wel extreem omslachtig en een onderhoudsnachtmerrie.

De juiste oplossing hier is waarschijnlijk EFS maar ik heb hier geen ervaring mee.
.. en ook een admin kan waarschijnlijk toegang tot de encryptie key krijgen dus ook niet 100% secure / gescheiden.

TrueCrypt / VeraCrypt etc dan?

[ Voor 29% gewijzigd door grasmanek94 op 30-11-2023 11:25 ]

[Qwerty-273]

Best practice is dan ook om niet als beheerder (of admin) gewoon werk te doen op een systeem. Je hebt je eigen standaard gebruiker waar je alles binnen doet (mailen, internetten, data etc.) en alleen voor de momenten dat je meer rechten nodig hebt (bijvoorbeeld een installatie van een programma) - dat je dan de beschikking hebt via een beheer account om dat te doen. Puur en alleen voor de installatie procedure.

Op het moment dat je ergens gepakt wordt door een malafide website/mail/etc. dan draait dat niet direct als beheerder met alle rechten op het systeem.

(je kan gaan spelen met bestandsversleuteling etc, maar dan maak je het zelf wel een stuk moeilijker)

[Hann1BaL]

Je kunt op het user profile wel de security settings aanpassen zodat de andere gebruikers geen toegang hebben.

Standaard is de administrators groep zichtbaar met full control. Die kun je weghalen.
Echter kan een slimme admin die zo weer toevoegen, dus het is geen volledige oplossing, maar het kan in ieder geval een soort eerste bescherming zijn voor de simpele admin die alleen wat wil installeren.

Of dat afdoende is kun je zelf inschatten en is uiteraard afhankelijk van de dropboxdata en wie de machine allemaal kan bereiken.

[DukeBox]

Hann1BaL schreef op donderdag 30 november 2023 @ 11:33:
Echter kan een slimme admin die zo weer toevoegen, dus het is geen volledige oplossing,

Sterker nog, je hoeft er niet eens een 'slimme admin' voor te zijn, als je er op klikt krijg je al de melding dat je toegang kan krijgen door op 'Doorgaan' te klikken.

[Hann1BaL]

DukeBox schreef op donderdag 30 november 2023 @ 11:52:
[...]

Sterker nog, je hoeft er niet eens een 'slimme admin' voor te zijn, als je er op klikt krijg je al de melding dat je toegang kan krijgen door op 'Doorgaan' te klikken.

Dat kun je nog wel net wat moeilijker maken, maar het zou mijn moeder buiten houden. Ik gaf het ook echt alleen maar aan op de TS alle opties te geven en gaf al aan dat het geen beveiliging is, maar een kleine barriere.

Dit als toevoeging op de andere berichten die al duidelijk hebben uitgelegd wat een admin is.

TS: Je zegt dat de andere gebruiker zaken moet installeren. Doorgaans is dit in het begin misschien even een paar keer het geval. Installeer een remote support tool, typ je admin credentials in en klaar. Maar het lijkt mij toch niet dat je elke dag weer wat nieuws moet installeren?