มีประเด็นอะไรในการใช้บัญชีที่ไม่ใช่ผู้ดูแลระบบทุกวันบน OS X

คำแนะนำชิ้นนี้เก่า แต่กลับมาเป็นแฟชั่น ฉันได้เห็นมันมากมายเมื่อเร็ว ๆ นี้ในเว็บไซต์หรือฟอรัม Mac จำนวนหนึ่ง "บัญชีผู้ใช้" รายวัน "ของคุณไม่ควรเป็นบัญชีผู้ดูแลระบบควรเป็นบัญชีมาตรฐานที่สร้างขึ้นเพื่อจุดประสงค์นี้และคุณควรลงชื่อเข้าใช้บัญชีผู้ดูแลระบบเท่านั้นเพื่อดำเนินการตามหน้าที่ผู้ดูแลระบบจริง»

นี่ดูเหมือนจะเป็นคำแนะนำทั่วไปในโลกของ Windows แต่สำหรับระบบ OS X ล่าสุดฉันไม่สามารถเข้าใจถึงประโยชน์ที่จะได้รับ ลองขุดลงไป:

• บัญชีผู้ดูแลระบบ OS X ไม่ใช่บัญชีรูท แอพที่ต้องการรูทจะขอรหัสผ่านของคุณอยู่แล้วดังนั้นฉันจึงไม่เห็นเลเยอร์ความปลอดภัยเพิ่มเติมที่นี่ ลองใส่/varลงถังขยะ
• การดัดแปลงระบบปฏิบัติการระดับลึกหรือการฉีดรหัสลงในไฟล์ที่สำคัญที่สุดได้รับการป้องกันโดย SIP จาก El Capitan ไม่ว่าคุณจะเป็นผู้ดูแลระบบรากหรือไม่มีใคร ยิ่งไปกว่านั้นในสถานที่สำคัญที่ยังอนุญาตให้มีการแก้ไขดังกล่าวจะต้องใช้รหัสผ่านรูทอย่างน้อยที่สุดแม้จากบัญชีผู้ดูแลระบบนำเรากลับไปยังอาร์กิวเมนต์แรก
• สำหรับสปายแวร์ความกังวลเกี่ยวกับความเป็นส่วนตัวและข้อมูลประเภทนี้การใช้บัญชีมาตรฐานจะให้ความคุ้มครองเพิ่มเติมเล็กน้อยหากมี เท่าที่ฉันรู้แม้เมื่อใช้จากบัญชีมาตรฐานแอปมีสิทธิ์เข้าถึงไฟล์ส่วนบุคคลของผู้ใช้อย่างเต็มที่และมีการเข้าถึงเครือข่ายเต็มรูปแบบ (ลบด้วยไฟร์วอลล์และอื่น ๆ ) หากแอปที่ไม่ดีต้องการส่งเอกสารของคุณกลับบ้านก็สามารถทำได้จากบัญชีมาตรฐาน
• สายการป้องกันขั้นพื้นฐาน (ไฟร์วอลล์การเรียกใช้แอปที่เชื่อถือได้และอื่น ๆ ) เป็นระบบที่กว้าง
• ในทางกลับกันมันเป็นความเจ็บปวดที่จะเปลี่ยนไปใช้บัญชีผู้ดูแลระบบของคุณจากนั้นสลับกลับไปที่บัญชีมาตรฐานของคุณไปมา สิ่งนี้อาจจบลงด้วยการที่ผู้ใช้อัปเดตการอัปเดตหรือการบำรุงรักษาผู้ดูแลระบบเพียงเพื่อประหยัดเวลาและเลื่อนการจัดการกับความยุ่งยาก

ดังนั้นทำไมไม่ใช้บัญชีผู้ดูแลระบบ ฉันหวังว่าสิ่งนี้จะไม่ถูกทำเครื่องหมายว่าซ้ำซ้อนคำถามอื่น ๆ ที่เกี่ยวข้องกับปัญหานี้ไม่ได้ตอบข้อโต้แย้งเหล่านี้

แก้ไข: คำถามใช้กับคอมพิวเตอร์ที่คุณเป็นเจ้าของและควบคุม

มีเพียงอย่างเดียวคือหนึ่งบัญชี root บนคอมพิวเตอร์ทุกเครื่อง OS X และมันจะถูกปิดการใช้งานโดยค่าเริ่มต้น ไม่มีรหัสผ่านและคุณไม่สามารถเข้าสู่ระบบในฐานะรูทเว้นแต่คุณจะใช้Directory Utilityและเปิดใช้งาน มันอันตรายเพราะเมื่อล็อกอินในฐานะรูทระบบจะข้ามการให้สิทธิ์ทั้งหมด - แม้จะไม่ขอรหัสผ่านก็ตาม ในแง่มุมนั้นคอมพิวเตอร์ OS X นั้นไม่มีรูตซึ่งก็คือ A Good Thing ™

บัญชีผู้ดูแลระบบเป็นเพียงบัญชีมาตรฐานที่เกิดขึ้นกับกลุ่มผู้ดูแลระบบ การดำเนินการใด ๆ ใน OS X ที่ดำเนินการโดยผู้ใช้ที่เข้าสู่ระบบนั้นจะถูกตรวจสอบกับฐานข้อมูลการอนุญาต (คุณสามารถดูกฎของมันได้ใน/System/Library/Security/authorization.plistเพื่อดูว่าไม่จำเป็นต้องมีการพิสูจน์ตัวตนหรือไม่ เจ้าของเซสชัน (ผู้ใช้มาตรฐานที่เข้าสู่ระบบ) หรือคุณต้องเป็นสมาชิกของกลุ่มผู้ดูแลระบบซึ่งให้การควบคุมที่ละเอียดมากดังนั้นความเป็นไปได้สามอย่างที่อาจเกิดขึ้นเช่นในการตั้งค่าระบบเมื่อคลิกกุญแจล็อค เมื่อคลิกมันอาจปลดล็อคโดยไม่มีการรับรองความถูกต้องมันอาจมีกล่องโต้ตอบการตรวจสอบความถูกต้องด้วยชื่อบัญชีที่ใส่ไว้แล้ว (ซึ่งหมายความว่าโปรดยืนยันว่าคุณเป็น) หรืออาจเสนอกล่องโต้ตอบการรับรองความถูกต้องด้วยชื่อบัญชีและฟิลด์รหัสผ่าน โทรหาผู้ดูแลระบบเพื่อพิมพ์ข้อมูลประจำตัวของเขาใน)

กฎง่ายๆคือสิ่งใดก็ตามที่สามารถส่งผลกระทบต่อผู้ใช้รายอื่นในคอมพิวเตอร์ (การเปลี่ยนแปลงทั้งระบบ) จะต้องมีการตรวจสอบสิทธิ์ของผู้ดูแลระบบ แต่มันซับซ้อนกว่านั้น ตัวอย่างเช่นผู้ใช้มาตรฐานสามารถติดตั้งแอพจาก Mac App Store ในโฟลเดอร์ / Applications (ซึ่งเป็นการเปลี่ยนแปลงทั่วทั้งระบบ) แต่ไม่สามารถข้าม GateKeeper เพื่อเรียกใช้แอปพลิเคชันที่ไม่ได้ลงชื่อแม้ว่าจะอยู่ภายในข้อมูลของตัวเองเท่านั้น ผู้ใช้มาตรฐานไม่สามารถเรียกใช้sudoซึ่งมีผลข้างเคียงที่ไม่ดีที่ไม่ต้องการการรับรองความถูกต้องในช่วงเวลา 10-15 นาทีหลังจากนั้น สคริปต์ที่ออกแบบมาอย่างชาญฉลาดจะขอการรับรองความถูกต้องของผู้ดูแลระบบสำหรับสิ่งที่คุณอนุมัติ แต่หลังจากนั้นสคริปต์จะทำสิ่งแปลกประหลาดทุกประเภทที่คุณไม่รู้

ผู้ใช้มาตรฐานสามารถจัดการผ่านการควบคุมโดยผู้ปกครองหรือโปรไฟล์กำหนดค่าและสามารถบังคับใช้นโยบายรหัสผ่าน ผู้ใช้งานธุรการไม่สามารถทำสิ่งนั้นได้

การป้องกันความถูกต้องของระบบระบุถึงข้อเท็จจริงที่ว่าผู้คนคลิกแพคเกจติดตั้งและระบุรหัสผ่านเพื่อให้ผู้ใช้กลายเป็นลิงค์ที่อ่อนแอที่สุดได้อย่างง่ายดาย SIP เพียงแค่พยายามทำให้ระบบลอยไปไม่มีสิ่งใด (และบางครั้งก็ล้มเหลวเช่นกัน)

คุณจะไม่เชื่อว่ามีกี่คนที่ฉันเห็นว่ามีผู้ใช้เพียงคนเดียวในคอมพิวเตอร์ (ซึ่งก็คือบัญชีผู้ดูแลระบบ) และแม้ว่าจะไม่มีรหัสผ่านของบัญชีก็ตามเพียงแค่รับรู้ว่าการลดลงของความรำคาญในรูปแบบของกิจกรรม

ฉันไม่เห็นด้วยกับความคิดเห็นของคุณว่าเป็นเรื่องยากที่จะเปลี่ยนไปใช้บัญชีผู้ดูแลระบบเมื่อจำเป็น ถ้าคุณอยู่ในเทอร์มิ, คุณจะต้องsu myadminacctก่อนที่จะทำอะไรรวมถึงsudoหรือเปิดตัวFinderเป็นผู้ใช้อื่นโดยการดำเนินการ/System/Library/CoreServices/Finder.app/Contents/MacOS/Finder

ใน GUI การอัปเดต Mac App Store (รวมถึงการอัปเดต OS X) ไม่จำเป็นต้องมีการตรวจสอบสิทธิ์ของผู้ดูแลระบบ แพ็คเกจการติดตั้งเหล่านั้นที่อยู่ในโฟลเดอร์ดาวน์โหลดรวมถึงการอัปเดต Adobe Flash ใช่คุณควรระวังให้ดีก่อนที่จะเปิดตัวที่ทำงานพิเศษและทำให้แน่ใจว่าพวกเขามาจากสถานที่ที่เหมาะสมและไม่น่าเบื่อ

นั่นเป็นเหตุผลที่ฉันคิดว่าการใช้ Mac ด้วยบัญชีมาตรฐานดีกว่าและปลอดภัยกว่ากับผู้ดูแลระบบเพราะมันช่วยปกป้องฉันจากความผิดพลาดและการกำกับดูแลของฉันเอง แม้แต่ผู้ใช้ที่มีความรู้ส่วนใหญ่ก็ไม่ได้ตรวจสอบสคริปต์ทุกบรรทัดที่ดาวน์โหลดมาเพื่อดูว่ามีอะไรผิดปกติเกิดขึ้นหรือไม่

ฉันหวังว่าการควบคุมอาจจะเข้มงวดยิ่งขึ้นในอนาคตเช่นการแนะนำเงื่อนไขหรือกำหนดเวลาเมื่อแอพ (หรือสคริปต์หรือปฏิบัติการใด ๆ ) สามารถเรียกใช้หรือมีการเข้าถึงเครือข่ายหรือการปฏิบัติการอาจไม่เริ่มขึ้นถ้าฉันไม่ได้ ไม่อนุญาตอย่างชัดเจน (กล่องโต้ตอบการตรวจสอบสิทธิ์) ภายในเดือนที่แล้ว

การรักษาความปลอดภัยมีการใช้งานที่ดีที่สุดเป็นหลายชั้นหลายเวกเตอร์กลยุทธ์

หลักการสิทธิน้อย (POLP)เป็นเพียงฟันเฟืองอีกเครื่องที่ช่วยให้คอมพิวเตอร์ของคุณปลอดภัย

ทุกอย่างที่คุณแสดงไว้ที่นั่นเป็นสิ่งที่ดี แต่ไม่มีที่จะป้องกันไม่ให้คนจากการยึดคอมพิวเตอร์ของคุณด้วยประโยชน์เช่นไดรฟ์สับลดลง

• ไฟร์วอลล์จะป้องกันผู้ใช้จากการแทรก USB ด้วยการใช้ประโยชน์จากรีโมทคอนโทรลที่ฝังอยู่ในไดรฟ์ได้อย่างไร

• SIP ป้องกัน keylogger ไม่ให้จับการกดแป้นพิมพ์ของคุณอย่างไร

• SIP มีวิธีการอย่างไรแม้ว่าผู้ดูแลระบบจะสามารถปิดการใช้งานได้อย่างง่ายดาย ?

• คุณจะป้องกันไม่ให้มีการติดตั้งซอฟต์แวร์ที่ไม่ได้รับอนุญาต / ผิดกฎหมายได้อย่างไร บัญชีผู้ใช้ที่ถูก จำกัด จะทำให้แน่ใจว่าผู้ใช้ที่ไม่ควรติดตั้งซอฟต์แวร์ไม่ได้ติดตั้งซอฟต์แวร์

การป้องกันขั้นสุดท้ายของคุณคือการใช้บัญชีที่ไม่ใช่บัญชีผู้ดูแลระบบเพื่อให้คุณสามารถบรรเทาภัยคุกคามได้โดยเพิ่มระดับความปลอดภัยอีกระดับ (การตรวจสอบผู้ใช้) เมื่อมัลแวร์ชิ้นหนึ่งพยายามติดตั้งตัวเอง

ฉันได้รับการพูดแบบนี้สำหรับสิ่งที่ดูเหมือนว่าชั่วขณะ:

"ความปลอดภัย" ไม่ใช่ผลิตภัณฑ์ที่คุณซื้อหรือสวิตช์ที่คุณเปิด; มันคือการปฏิบัติมันเป็นความคิดที่จะใช้ประโยชน์จากเครื่องมือทั้งหมดที่คุณสามารถทำได้เพื่อลดความเสี่ยงของคุณ

โดยทั่วไปถือว่าเป็นแนวปฏิบัติที่ดีที่สุดในการใช้บัญชีที่ไม่มีสิทธิ์พิเศษเกินกว่าที่จำเป็น สิ่งนี้หมายความว่าโดยทั่วไปคือคุณควรใช้บัญชีที่มีระดับสิทธิ์ต่ำสุดเท่าที่จะเป็นไปได้และยกระดับสิทธิ์ของคุณเมื่อจำเป็นสำหรับงานเฉพาะที่ต้องการสิทธิ์สูงกว่า

อย่างไรก็ตามเรื่องนี้น่ารำคาญค่อนข้างเร็ว เหตุผลนี้คือสิ่งที่ดูเหมือนเป็นงานง่ายสำหรับคุณหรือฉัน ("ฉันแค่ต้องการเปิด WiFi") ถูกมองว่าเป็นการดำเนินการพิเศษสำหรับระบบปฏิบัติการ ("คุณต้องการเปิดใช้งานอุปกรณ์เครือข่ายและอนุญาตให้เครื่อง ที่จะนำเข้าสู่เครือข่ายแบบสุ่ม ")

ความสมดุลระหว่างความสะดวกสบายและความปลอดภัยนั้นยากกว่าเสียงและความรู้สึกส่วนตัวของฉันคือ OS X ทำงานได้ดีกว่า OSEN อื่น ๆ เช่น Windows

หากคุณทำงานเป็นผู้ดูแลระบบตลอดเวลาคุณอาจคลิกอีเมลที่มีลิงค์ไปยังไซต์ที่มี crapware โดยไม่ตั้งใจและจะเรียกใช้สคริปต์ที่กำหนดค่าใหม่โดยอัตโนมัติโดยที่คุณไม่ทราบ แต่ถ้าคุณใช้งานในฐานะผู้ใช้ที่ไม่มีสิทธิพิเศษทันทีที่สคริปต์นั้นทำงานระบบปฏิบัติการจะปรากฏข้อความว่า "สคริปต์ที่เป็นอันตรายนี้ต้องการทำอะไรกับคอมพิวเตอร์ของคุณโปรดยืนยันด้วยการพิมพ์รหัสผ่านของคุณ" ซึ่งมักจะทำให้เกิดการเตือนภัยหรือแปลกใจหากไม่ใช่สิ่งที่คุณคาดหวังที่จะเห็นในจุดนั้น

นอกจากนี้ - ที่สำคัญกว่านั้นคือคุณตั้งค่าคอมพิวเตอร์ให้กับบุคคลอื่น มีคนไม่ใช้คอมพิวเตอร์ในครอบครัวของคุณ เป็นความคิดที่ดีที่จะให้พวกเขาเข้าสู่ระบบแบบไม่มีสิทธิพิเศษและเก็บรหัสผ่านของผู้ดูแลระบบไว้สำหรับตัวคุณเองดังนั้นในครั้งต่อไปที่พวกเขาคลิกที่ขยะเก่า ๆ (ตามที่เคยชิน) พวกเขาไม่สามารถรบกวนคอมพิวเตอร์ด้วย crapware บางครั้งพวกเขาก็บ่นเมื่อคุณทำเช่นนี้ แต่คุณต้องเตือนพวกเขาถึงเวลาที่พวกเขาติดตั้งแถบเครื่องมือ 35 ตัวบน IE 6 และทุกครั้งที่พวกเขาทำการค้นหา google พวกเขาได้รับหน้าป๊อปอัพลามกอนาจารก่อนที่พวกเขาจะยอมรับอย่างไม่เต็มใจ เป็นความคิดที่ดี ข้อเสียคือพวกเขาจะโทรหาคุณบ่อยขึ้นเพื่อให้คุณปลดล็อกคอมพิวเตอร์เมื่อต้องการอัปเดตปลั๊กอิน Flash

ดังที่ได้กล่าวไว้ก่อนหน้านี้: ความปลอดภัยคือทัศนคติไม่ใช่สวิตช์ง่าย ๆ ที่คุณสามารถพลิกได้

หากคุณมีสมาชิกในครอบครัวคนอื่น ๆ ที่ไม่เข้าใจคอมพิวเตอร์หรือคุณต้องการ จำกัด การเข้าถึงของพวกเขา (เช่นเด็ก ๆ ) หรือคุณเป็นนายจ้างที่ต้องการ จำกัด การเข้าถึงพนักงานที่สามารถใช้เครื่องได้อย่างแน่นอน ยังคงมีเหตุผลที่จะมีบัญชีที่ไม่ใช่ผู้ดูแลระบบใน osx สำหรับการใช้งานทุกวัน

หากคุณเป็นเจ้าของคอมพิวเตอร์และต้องการควบคุมให้ใช้บัญชีผู้ดูแลระบบ

หากคุณไม่ต้องการให้ผู้ใช้รายอื่นสามารถ "จัดการ" สิ่งใดก็ตามบัญชีที่ไม่ใช่ผู้ดูแลระบบจะมีประโยชน์มาก นอกจากนี้คุณไม่เคยรู้เมื่อคุณอาจจำเป็นต้องยืมเครื่องออกจากผ้าพันแขนขณะที่มีคนถามว่า "ฉันขอยืมเครื่อง mac ของคุณเพื่อทำอะไรบางอย่างได้อย่างรวดเร็วจริง ๆ " มันให้ความสงบของจิตใจที่จะสามารถออกจากระบบและบันทึก พวกเขาเป็นสิ่งที่บางคนคิดว่าเป็นบัญชี 'แขกกึ่ง' ที่คุณได้สร้างและปรับแต่งสิทธิ์สำหรับ

ให้ฉันดูว่าเหตุผลของคุณจะทำงานหรือไม่:

1. บัญชีผู้ดูแลระบบไม่ได้เป็นรูท ในขณะที่เป็นจริงพวกเขาอาจจะสามารถโทรsudoและบางทีพวกเขาอาจมีรหัสผ่านพร้อมสำหรับการป้อนข้อมูล (หรือsudoมีการกำหนดค่าที่จะไม่ถามรหัสผ่าน)

2. SIP (การป้องกันความสมบูรณ์ของระบบ): นี่เป็นเพียงเลเยอร์เดียวซึ่งไม่เพียงพอสำหรับการโจมตีทั้งหมด สามารถปิดการใช้งาน? ดียิ่งขึ้น!

3. อาร์กิวเมนต์ของสปายแวร์: อาจเป็นไปได้ สิทธิพิเศษยังคงไม่แยกจากกันมากพอ แต่ถึงกระนั้นก็ยังมีข้อ จำกัด

4. พื้นฐานการป้องกันมีความกว้างของระบบ: # 1 กล่าวว่าแอปที่ทำงานในบัญชีผู้ดูแลระบบสามารถได้รับรูท

5. การสลับเปลี่ยน? เป็นที่ทราบกันอย่างกว้างขวางว่าคุณสามารถทำงานที่เกี่ยวข้องกับผู้ดูแลระบบจากบัญชีมาตรฐานได้ตราบใดที่คุณป้อนรหัสผ่านบัญชีผู้ดูแลระบบ ไม่จำเป็นต้องเปลี่ยนบัญชีจริง

อาจมีเหตุผลอื่น ๆ แต่นี่เป็นของฉัน: ไม่สามารถวางข้อ จำกัด ในบัญชีผู้ดูแลระบบได้ มันมีประโยชน์ที่จะมีข้อ จำกัด ในการป้องกันตัวเองจากการเยี่ยมชมเว็บไซต์ที่ไม่พึงประสงค์หรืออันตราย