EINFÜHRUNG
Uns sind detaillierte Informationen und Tools bekannt, die für den Zugriff auf Dateien auf Wechselmedien verwendet werden können. Diese Tools können NTFS-Dateiberechtigungen für Nicht-Server-Distributionen von Microsoft Windows umgehen. Uns ist bewusst, dass dieses Problem interne Datenträger, als austauschbar markierte Festplattenlaufwerke und auch externe Medien wie USB, Firewire, E-SATA, SD und andere Wechselmedien betreffen kann. Uns sind Situationen bekannt, in denen Datenträger auf bestimmten Speichercontrollern als "entfernbar" gekennzeichnet werden können, unabhängig von ihrer physischen Position innerhalb oder außerhalb des Computergehäuses oder der Art der Verbindung, die vom Datenträger verwendet wird.
Dieses Problem wirkt sich nicht auf das primäre Systemvolume aus (d. h. das Gerät, auf dem Windows derzeit ausgeführt wird).
Systeme, die von einer Standardkonfiguration betroffen sind, sind hauptsächlich gefährdet. Dazu gehören beispielsweise Systeme mit mehreren Datenträgern, auf denen Windows Vista, Windows 7 und Windows 8 ausgeführt werden.
Weitere Informationen
So erkennen Sie, ob Ihre Umgebung betroffen ist
- Öffnen Sie ein Eingabeaufforderungsfenster mit erhöhten Rechten. Klicken Sie dazu auf Start, geben Sie CMD ein, klicken Sie mit der rechten Maustaste auf Cmd.exe, und klicken Sie dann auf Als Administrator ausführen.
- Geben Sie an einer Eingabeaufforderung mit erhöhten Rechten den folgenden Befehl ein, und drücken Sie anschließend die Eingabetaste:
PowerShell - Geben Sie an der Windows PowerShell-Eingabeaufforderung den folgenden Befehl ein:
Get-WmiObject -Klasse Win32_DiskDrive | Format-Table Name, Modell, Medientyp
Dieses Skript gibt eine Ausgabe zurück, die der folgenden ähnelt:
| Name | Modell | Medientyp |
|---|---|---|
| \\.\PHYSICALDRIVE0 | ST31000528AS | Festplatte-Medien |
| \\.\PHYSICALDRIVE3 | WD Ext HDD 1021 USB-Gerät | Externe Festplattenmedien |
| \\.\PHYSICALDRIVE4 | Corsair Voyager 3.0 USB-Gerät | Wechselmedien |
Wenn der zurückgegebene Medientyp "Wechselmedien" oder "Externe Festplattenmedien" ist, ist die Konfiguration von dem in diesem Artikel beschriebenen Problem betroffen.
Lösung
Wir empfehlen Kunden, die die Datenträgerberechtigungen auf Betriebssystemebene für sekundäre Datenträger, die als "austauschbar" markiert sind, beibehalten möchten, einen der folgenden Sicherheitsschritte durchzuführen:
- Aktivieren Sie Microsoft Bitlocker (empfohlen).
- Aktivieren Sie Steuerelemente für den Lese- und Schreibzugriff auf Wechselmedien oder Wechselmedien.
Aktivieren von Steuerelementen für den Lese- und Schreibzugriff auf Wechselmedien oder Wechselmedien
Gehen Sie folgendermaßen vor, um Steuerelemente für den Lese- und Schreibzugriff auf Wechselmedien oder Wechselmedien zu aktivieren:
- Drücken Sie die Windows-Taste und R, um das Menü Ausführen zu öffnen.
- Geben Sie MMC.exe ein, und drücken Sie dann die Eingabetaste.
- Klicken Sie im Menü "Datei" auf "Snap-In hinzufügen/entfernen" (STRG+M), und wählen Sie dann "Gruppenrichtlinie-Objekt-Editor" aus. Klicken Sie auf OK.
- Klicken Sie auf Durchsuchen, klicken Sie auf die Registerkarte Benutzer , und doppelklicken Sie anschließend auf Nicht-Administratoren.
- Klicken Sie auf Fertig stellen und dann auf OK.
- Erweitern Sie im Navigationsbereich "Lokaler Computer\Nicht-Administrator-Richtlinie", expandieren Sie "Benutzerkonfiguration", expandieren Sie "Administrative Vorlagen", expandieren Sie "System", und klicken Sie dann auf "Wechselmedienzugriff".
- Doppelklicken Sie auf Alle Wechselmedienklassen: Gesamten Zugriff verweigern, und wählen Sie dann die Option Aktiviert aus.
- Klicken Sie auf Übernehmen und dann auf OK.
Wenn Sie diese Sicherheitsoptimierungsschritte nicht durchführen können, empfehlen wir, keine vertraulichen Informationen auf betroffenen Datenträgern oder Geräten zu speichern. Speichern Sie beispielsweise keine persönlichen Informationen oder Authentifizierungsinformationen, wenn verschiedene Benutzer eine Arbeitsstation oder Sicherungen des Dateisystems gemeinsam nutzen. Für weitere Informationen wenden Sie sich bitte an den Hersteller Ihrer Datenträgercontrollerhardware.
Automatisierte Microsoft Fix It-Lösungen sind verfügbar, um Systeme automatisch so zu konfigurieren, dass Lese- und Schreibzugriff auf Wechselmedien nicht mehr zulässig sind.
Wenn Sie das Problem automatisch beheben lassen möchten, wechseln Sie zum Abschnitt "Problem automatisch beheben".
Automatisch beheben lassen
Fix it-Lösungen für Windows 7 oder Windows 8
Um diese Fixit-Lösung zu aktivieren oder zu deaktivieren, klicken Sie auf die Schaltfläche "Fix it" oder den Link unter der Überschrift "Aktivieren " oder " Deaktivieren ". Klicken Sie im Dialogfeld Dateidownload auf Ausführen, und befolgen Sie dann die Schritte im Fix it-Assistenten.
| "Enable" | Deaktivieren |
|---|
Fix it-Lösungen für Windows Vista
Um diese Fixit-Lösung zu aktivieren oder zu deaktivieren, klicken Sie auf die Schaltfläche "Fix it" oder den Link unter der Überschrift "Aktivieren " oder " Deaktivieren ". Klicken Sie im Dialogfeld Dateidownload auf Ausführen, und befolgen Sie dann die Schritte im Fix it-Assistenten.
| "Enable" | Deaktivieren |
|---|
Notizen
- Diese Assistenten sind möglicherweise nur in Englisch verfügbar. Die automatischen Korrekturen funktionieren aber auch für andere Sprachversionen von Windows.
- Wenn Sie sich nicht an dem Computer befinden, auf dem das Problem auftritt, können Sie die automatische Korrektur auf einem Speicherstick oder einer CD speichern und anschließend auf dem vom Problem betroffenen Computer ausführen.
Häufig gestellte Fragen
Warum weist Windows unterschiedliche Sicherheitsrichtlinien für verschiedene Arten von Speichermedien auf?
Windows unterstützt viele Speichergeräte, von herkömmlichen Festplatten wie Festplattenlaufwerken und Solid State Drives bis hin zu Wechseldatenträgern wie SD-Karten und USB-Sticks. Die Unterstützung vieler Speichergeräte ermöglicht es Kunden, Windows für viele Szenarien zusammen mit dem umfangreichen Ökosystem Windows-kompatibler Hardware zu verwenden. Dies schließt Verbrauchergeräte wie Kameras, Mobiltelefone usw. ein. Windows bietet eine hervorragende End-to-End-Erfahrung für all diese Szenarien und Geräte in all den verschiedenen Umgebungen, in denen Windows bereitgestellt wird – von zu Hause über kleine Unternehmen bis hin zu Unternehmen.Um Windows zur Unterstützung dieser verschiedenen Szenarien zu entwickeln, müssen die verschiedenen Anforderungen und Prioritäten verstanden werden, die mit den einzelnen Szenarien verbunden sind. Dazu gehören eine Reihe von Überlegungen wie Benutzerfreundlichkeit, Sicherheit, Verwaltbarkeit und andere Funktionen. Daher gibt es Unterschiede in der Art und Weise, wie bestimmte Kategorien von Speichergeräten aus Sicherheitssicht verwaltet werden. Dies spiegelt viele Faktoren wider. Dazu gehören die Umgebung, in der das Gerät verwendet wird (z. B. hauptsächlich zu Hause oder in einer Unternehmensumgebung) und ob das Gerät auf verschiedenen Geräten verwendet wird. Dazu gehören Geräte, die nicht Windows-basiert sind.
Was hat dieses Problem verursacht?
Der Hauptunterschied bei den Sicherheitsrichtlinien besteht zwischen herkömmlichen Festplatten und Wechseldatenträgern.Standardmäßig wird der Zugriff auf Daten, die auf einer herkömmlichen Festplatte gespeichert sind, durch die Access Control Lists (ACLs) des Systems beschränkt, sodass erhöhte Administratorberechtigungen erforderlich sind. Dies bietet ein angemessenes Maß an Sicherheit in verschiedenen Umgebungen. Dies ermöglicht sowohl Einzelplatzsysteme als auch Mehrbenutzersysteme. Auf den meisten PCs befindet sich wichtige Daten wie das Betriebssystem auf der Festplatte, und ACLs erfordern erhöhte administrative Anmeldeinformationen, um auf diese Daten zugreifen zu können. Windows bietet verschiedene Verwaltbarkeitstools, mit denen diese Richtlinie bei Bedarf detaillierter gesteuert werden kann. Dazu gehören Bitlocker, Gruppenrichtlinien und zusätzliche ACLs. Auf Festplatten können Benutzer, die keine Administratoren sind, keine Tools auf Volumeebene wie "Format" ausführen oder direkten Zugriff auf Blockebene auf die Inhalte des Dateisystems haben.
Wechselmedien hingegen sind grundsätzlich für den Transport zwischen verschiedenen Geräten konzipiert. Dazu gehören Geräte der Unterhaltungselektronik und Geräte, die nicht Windows-basiert sind, wie Kameras und Mobiltelefone. Standardmäßig sind für den Zugriff auf Daten, die auf Wechselmedien gespeichert sind, keine erweiterten Administratorberechtigungen erforderlich. Diese Geräte werden in der Regel mit Geräten der Unterhaltungselektronik in Verbindung gebracht. Sie müssen sicherstellen, dass die Daten auf diesen Geräten leicht zugänglich und leicht zu verwalten sind. Wenn beispielsweise das Dateisystem auf einem Wechseldatenträger beschädigt wird, kann jeder Benutzer chkdsk ausführen und versuchen, die Beschädigung zu reparieren. In Umgebungen, in denen zusätzliche Sicherheit Priorität hat, können Kunden zusätzliche Steuerelemente implementieren, die den Zugriff auf Wechselmedien verhindern oder vorschreiben, dass alle Wechselmedien verschlüsselt werden müssen. Dadurch wird die Verwendung von Wechselmedien als Teil der Sicherheitsanforderungen eingeschränkt.
Gewusst wie bestimme ich, ob meine Konfiguration anfällig ist?
Benutzer können feststellen, ob Wechselmedien in ihrer Umgebung vorhanden sind, indem sie das Schnellzugriffssymbol "Hardware sicher entfernen" im Desktop-Infobereich verwenden. Wenn ein Gerät in diesem Menü aufgeführt ist, bedeutet dies, dass es als "entfernbar" markiert ist.Benutzer können auch auf eine Liste von Wechselmedien in der Systemsteuerung zugreifen. Öffnen Sie z. B. alle Elemente der Systemsteuerung, öffnen Sie Gerät und Drucker, und klicken Sie dann auf die Registerkarte Geräte.
Im Abschnitt "So erkennen Sie, ob Ihre Umgebung betroffen ist" finden Sie weitere Informationen zur Verwendung von Windows PowerShell, um festzustellen, ob Ihre Konfiguration anfällig ist.
Welche Windows-Betriebssysteme sind von den Standardkonfigurationen betroffen?
Windows Vista, Windows 7 und Windows 8 sind von den Standardkonfigurationen betroffen.Welche potenziellen Risiken bestehen beim Erzwingen des Lese- und Schreibzugriffs auf Wechselmedien über Gruppenrichtlinien?
Das Einschränken des Zugriffs auf die Wechselmedien über Gruppenrichtlinien kann dazu führen, dass bestimmte Anwendungen fehlschlagen oder erhöhte Berechtigungen erforderlich sind. Beispielsweise führt Ihre Sicherungssoftware möglicherweise keine Sicherung auf oder von den Wechselmedien durch. Entsprechend sind für jede Aktivität vom Typ "Datenträger prüfen" (chkdsk) oder "Datenträger formatieren" Administratorberechtigungen erforderlich. Dies führt möglicherweise dazu, dass Datenträgerverwaltungs- und -manipulationssoftware im eingeschränkten Ausführungsmodus fehlschlägt.Was sind die potenziellen Risiken von Bitlocker?
Bitlocker ist die empfohlene Lösung für die Datensicherheit mit Wechselmedien. Die Verwendung von Bitlocker führt zu einer geringfügigen Verringerung der Leistung beim Verschlüsseln und Entschlüsseln von Daten.Wofür kann ein Angreifer diese Sicherheitsanfälligkeit nutzen?
Ein Angreifer ohne Administratorzugriff kann auf einen Datenträger lesen oder schreiben, unabhängig davon, ob er ein lokaler Administrator ist. Ein Angreifer hätte beliebigen Lese- und Schreibzugriff auf das Gerät und das Dateisystem. Dies könnte zu einer gezielten Offenlegung von Informationen führen.
Danksagung
Microsoft bedankt sich bei den folgenden Personen für die Zusammenarbeit zum Schutz unserer Kunden:
- George Georgiev Valkov für die Zusammenarbeit mit uns in dieser Angelegenheit.