Durch das neue Update 3.2 von VR-Networld wird unter Windows Vista der Datenbestand
in den sogenannten "Public"-Ordner von Vista kopiert, der meistens im Netzwerk freigegeben ist.

Jetzt frage ich mich natürlich, was das denn soll, die Bankdaten, die eigentlich sensibel sind, in einen Ordner zu verschieben,
der öffentlich zugänglich ist?!
Das Erste, was ich gemacht habe, war, sofort sämtliche Rechte auf diesen Ordner einzuschränken
und nur noch mir selbst die Zugriffsrechte einzuräumen, aber das kann doch nicht die Idee der Entwickler sein.

Vielleicht kann mich da mal einer aufklären, wie man auf so eine absurde Idee kommt,
die Daten von einem privaten Ordner, der im geschützten Bereich des eigenen Windows-Profils lag,
in einen öffentlich zugänglichen Ordner zu verschieben.
Das will mir nicht einleuchten!! Warum wurde der Datenbestand nicht dort belassen,
wo er zuvor auch schon war, hat unter Vista einwandfrei funktioniert?

Hallo Raffix,

die Sicherheitspolicy von Vista sieht einfach vor, dass Daten, die geändert werden können/sollen, bzw. Daten auf die verschiedene Windowsbenutzer zugreifen sollen in diesen Ordner gehören. Das ist eigentlich schon in den anderen Windowsversionen so vorgesehen, aber mit Vista etwas konsequenter durchgezogen worden. Mit einer Sicherheitslücke hat dies absolut nichts zu tun! Das dieser Ordner meistens auch im Netzwerk freigegeben ist, halte ich zusätzlich für ein Gerücht!
Dann lag die Software, wie die meisten anderen auch noch nie in einem durch ein privates Profil gesicherten Ordner!
Das es anders bei Dir unter Vista lief, ist übrigens schlicht ein Zufall.
Wenn Du mit anderen Windowsbenutzern als mit einem Admin arbeiten würdest, wäre Dir das aufgefallen!

Gruß

Holger

Erstmal vielen Dank für die prompte Antwort.
Dennoch muss ich erneut einhaken und nochmals nachfragen.
Im Vista-Netzwerkcenter gibt es einen Punkt, der lautet: "Freigabe des öffentlichen Ordners" und mit diesem Ordner ist ein Verzeichnis auf der Festplatte gemeint, der unter "X:\Benutzer\Öffentlich" zu finden ist.
Und genau dieser Ordner wird komplett freigegeben, wenn man das im Netzwerkcenter einstellt.
Und bei mir hat VR-Networld den Datenbestand in diesen Ordner reinkopiert, was ich nicht ändern kann.

Übrigens noch ein kleiner Widerspruch. Das war kein Zufall, dass es bei mir unter Vista funktioniert hat. Unter XP hieß der Ordner "Dokumente und Einstellungen\<Benutzer>\Anwendungsdaten", dort war das Profil platziert. Das heißt jetzt zwar unter Vista etwas anders ("Benutzer\<Benutzer>\AppData\Roaming), aber dennoch liegt dort auch unter Vista das Profil. So speichert Thunderbird sein Profil ebenfalls dorthin und VR-Networld bis VOR dem Update auch. Auch alle anderen Programme können damit problemlos umgehen. Ich habe bisher kein einziges Programm gehabt, das mit Vista Probleme hätte, die Daten, die im Profil abgelegt sind, zu finden.
Auch dem Hinweis, dass es ohne Adminrechte nicht funktionieren würde, muss ich leider widersprechen. Auf das eigene Profil hat man immer Vollzugriff, also die vollen Rechte. Das gilt auch für die VR-Networld-Daten.
Und einen Grund, dass mehrere Benutzer auf meine Bankdaten zugreifen müssten, sehe ich auch nicht. Jeder kann ja seinen eigenen Datenbestand haben. Bis jetzt leuchtet mir die Argumentation also nicht ein.
Abgesehen von der Security Policy gibt es keinen vernünftigen Grund die Daten an einen anderen (unsicheren) Ort zu verschieben.

Jetzt also erneut meine Frage: Es ist doch ein enormes Sicherheitsrisiko, die Bankdaten in einem Ordner abzulegen, der von Windows Vista im Netzwerk freigegeben ist!!!
Meine Daten befinden sich unter X:\Benutzer\Öffentlich\Öffentliche Dokumente\VR-Networld"
Es tut mir Leid, aber die Ordner heißen sogar schon ÖFFENTLICH.
Die sind (das ist richtig) nicht standardmäßig freigegeben, dennoch ist dieser Ordner dafür vorgesehen (siehe "Netzwerkcenter").

Zunächst:

- "Dokumente und Einstellungen" gibt es immer noch! Bleibt im Prinzip ein Symbolic Link auf den Benutzer-Ordner.

- Der öffentliche Ordner ist Defaultmässig aktiviert .. Die Freigabe im Netzwerk muss allerdings explizit aktiviert werden und dann braucht man auch ein Benutzerkonto Ansonsten können nur LOKALE Konten auf diese Daten zugreifen.

Nee.. So einfach ist der Zugriff auf Daten dann doch nicht. Da muss man sich schon ein wenig verklickern, damit hieraus ein hohes Risiko entsteht.

Ansonsten gebe ich Dir Recht! Die Daten im öffentlichen Bereich zu speichern, ist dumm. Allerdings eher ein Designfehler, als eine richtige Sicherheitslücke.

Danke "maxxy".
Das mit dem Symbol-Link ist mir auch gestern Abend noch aufgefallen. Das hat Microsoft vermutlich gemacht, damit die alten Programme den richtigen Pfad noch finden.

Ich denke, du hast Recht damit, dass man die Freigabe selbst freischalten muss, aber das mit dem Passwort und dem Konto ist so eine Sache.
Das muss man zusätzlich im Netzwerkcenter einstellen. Bei mir bspw. war das standardmäßig nicht eingeschalten, sondern der Passwortschutz war ausgeschalten. Es hatte damit zwar nicht jeder aus dem Netzwerk Schreibzugriff, aber jeder hatte Lesezugriff.

Ich finde es noch immer merkwürdig, Daten in einem öffentlichen Bereich abzulegen. Das würde mir bei meinen Dokumenten auch nicht so wichtig sein, die dürften im schlimmsten Fall auch mitgelesen werden, aber bei den Bankdaten?!

Wieso speichert man die Bankdaten nicht fest im Profil wie unter XP auch?
Ich begreif das immer noch nicht. Dort sind die Daten sicher. Auf das Profil kann immer nur ein Admin oder eben der Benutzer drauf zugreifen, aber kein anderer. Sobald man ein Benutzerkonto erstellt, wird das Profil automatisch rechtemäßig so eingeschränkgt, dass nur der Benutzer selbst Zugriff hat (Ausnahme: Admin). Sicherer geht es doch fast nicht mehr. Wieso also das Profil an einen anderen Ort kopieren? Und noch dazu ausgerechnet in den ÖFFENTLICHEN Ordner. Von mir aus soll VR-Networld die Daten überall hinkopieren, aber doch nicht ausgerechnet dorthin!!

Hallo Raffix,

leider argumentierst Du an vielen Stellen mit Halbwissen oder sogar mit falschen Informationen.
- Bis zur Version 3.10 hat die VR-NetWorld Software nichts in einem persönlichen Profilordner abgelegt. Alle Daten der VR-NetWorld Software lagen im Programmordner.
- Ob Du es richtig findest oder nicht ändert nichts an der Tatsache, dass Windows Vista es so hart vorsieht, dass Daten, auf die verschiedene Windowsnutzer zugreifen wollen in den öffentlichen Ordner gehören.
- Das Risiko mit der Freigabe geht der Admin grundsätzlich ein, wenn er etwas im netz freigibt.
- Die Bankdaten der Datenbank stehen nicht im Klartext in der Datenbank, so dass ein einfacher Zugriff nichts bringt
- Das die VRNWS bei Dir unter Vista funktioniert hat, hat leider absolut keine Aussagekraft, ob dies die Regel gewesen wäre. Wenn ich mir hier diverse Threads anschaue, dann würde ich klar behaupten, dass einige Fummelei notwendig sein kann, damit die VRNWS in der alten Version unter Vista laufen konnte. Wenn es bei Dir sofort funktioniert hat, schön aber es bleibt ein Zufall, oder zu mindestens ein glücklicher Umstand.

Interessant ist übrigens, dass vor einiger Zeit hier eine generelle Debatte über Bankingsoftware war, bei der Initiator genau die gegenteilige Auffassung hatte wie Du!

Gruß

Holger

Hallo Herr Fischer,

nun möchte ich hier keine Auseinandersetzung anzetteln. Das ist nicht meine Absicht.
Aber ich argumentiere nicht mit Halbwissen. Ich weiß, was Vista vorsieht, aber daran muss man sich ja nicht halten...
Microsoft sieht so einiges vor, was nicht unbedingt sinnvoll ist.

Der andere Punkt stimmt absolut. Vorher waren die Daten im Programmordner. Aber ich kann mich da nur wiederholen, man muss die Daten ja gar nicht mehreren Benutzern zugänglich machen.
Das soll der Benutzer entscheiden können, das ist ja genau der Punkt, um den es hier geht!! Ich möchte selbst entscheiden können, wo meine Daten liegen sollen. VR-Networld soll es standardmäßig meinetwegen so handhaben, aber ich möchte entscheiden können, dass das Profil stattdessen in meinem Profilordner liegt, wo private Daten auch hingehören und ALLE Programme ihre Daten dort auch hinlegen.
Ich habe noch kein einziges Programm auf meinem Rechner (und viele davon sind bereits Vista-zertifiziert), die Ihre Daten im öffentlichen Ordner ablegen, tatsächlich sind dort keinerlei Daten außer die von VR-Networld.
Und das spricht wieder ein wenig gegen die harte Vista-Philosophie, denn die anderen Programme haben auch Ihr Zertifikat erhalten und legen die Daten im geschützten Profil-Ordner ab.

Zum letzten Punkt: Es gibt beim Computer keine Zufälle, daran glaube ich nicht. Die Situation wäre reproduzierbar.

Und dass jmd. anders eine gegenteilige Meinung hat, das ist völlig legitim und von mir auch ausdrücklich erwünscht.

Mal am Rande... Das Ablegen in dem öffentlichen Ordner ist mit Sicherheit keine Sicherheitslücke, ist aber in meinen Augen auf jeden Fall ein konzeptioneller Fehler. Eine Software die multiuserfähig ist, legt die Daten wohl eher unterhalb des Anwendungsdaten-Ordner an. Dort gehören sie nämlich defaultmässig hin. Insofern würde ich Raffix schon beipflichten. Nebenbei wäre es schön, wenn man den Ablageort seiner Daten auch selbst festlegen kann.

@Holger Fischer:
Was ist das denn für eine Verschlüsselung, mittels der die Datenbank verschlüsselt wird?