Windows Ordnerfreigabe - Zugriff ohne Passwort

[Mickey Cohen]

Hallo,

ich habe 2 Windows 10 Pro Rechner im selben Heimnetzwerk.

Ich möchte nun einen Ordner auf einem Rechner freigeben, sodass ich mit dem anderen Rechner Vollzugriff (lesen und schreiben) auf diesen freigegebenen Ordner habe.

Allerdings möchte ich nicht, dass das jeder darf, sondern nur ein bestimmter Benutzer, nennen wir ihn mal Mickey.

Also habe ich im Menü
"Rechtsklick auf den freuzugebenden Ordner -> Eigenschaften -> Freigabe -> Berechtigungen" diesen User Mickey hinzugefügt und ihm Vollzugriff gewährt.

Dann hab ich mich an den anderen Rechner gesetzt und ohne irgendeine Passwortabfrage oder so habe ich Vollzugriff auf den Ordner.

(Benutzerkonto und Passwort sind bei beiden PCs (quasi zufällig) gleich. Aber das kann doch wohl kaum der Grund sein?)

Warum ist das so? Das soll so doch nicht sein?

Danke!

 

[DeusoftheWired]

(Benutzerkonto und Passwort sind bei beiden PCs (quasi zufällig) gleich. Aber das kann doch wohl kaum der Grund sein?)

Doch, ist es. Kannst du am einfachsten selbst überprüfen, indem du auf dem zweiten Rechner ein neues Benutzerkonto erstellst, das nicht Mickey heißt, und damit auf die Freigabe versuchst zuzugreifen. Es wird nicht klappen.

 

[LieberNetterFlo]

Der versucht per Default sich mit dem aktuellen Nutzer zu authentifizieren, also Mickey und auch mit dessen Passwort(hash) ... und das ist dann halt das selbe wie auf dem freigebenden Rechner eigentlich ganz praktisch

 

[Poati]

Wenn am zweiten Rechner das Konto nicht die selben Credentials hätte, würde sich die Eingabemaske für Anmeldeinformationen eines berechtigten Benutzers öffnen. Zuerst wird es automatisch mit dem aktuellen Benutzer probiert und der passt dann ja schon.

 

[Mickey Cohen]

tatsächlich, hätte ich nicht gedacht.

einerseits tatsächlich praktisch andererseits eine sicherheitslücke: die credentials vom zugriffs-pc werden ungefragt an den host-pc übertragen.

 

[floq0r]

Möglicherweise werden die Passwörter auch nur hashed übertragen und Hashes verglichen.

 

[Poati]

Das ist keine Sicherheitslücke. Es ist nur ein erster Anmeldeversuch mit den Anmeldedaten, die dem System, hier Windows, vorliegen. Wenn die nicht passen, werden andere angefordert.

Ergänzung (31. Januar 2021)

@floq0r wo wäre denn der Vorteil sich mit einem Hashwert anzumelden? Wenn die Anmeldung mit einem Hash möglich wäre, würde man selbigen ad absurdum führen.

 

[floq0r]

Das ist allerdings richtig
Ich hab versucht ein bisschen zu recherchieren, an einer Stelle ist die Rede vom Austausch der SAM DBs oder so. Genaues hab ich aber nicht rausgefunden.

 

[LieberNetterFlo]

Natürlich werden da nur Hashwerte übertragen, alles andere wäre ja mehr als leichtsinnig 🤷 Windows speichert dein Passwort ja auch nicht im Klartext, sondern kennt nur die Hashwerte, und der wird dann genutzt um sich an dem Netzwerk-Share anzumelden. Der Sinn hinter guten Hashwerten ist ja, dass sie nicht umkehrbar sind, d.h. von Hashwert kommst du nicht mehr zum Passwort zurück.

Stichworte für Google wären: LM und NTLM

 

[floq0r]

@LieberNetterFlo Aber @Poati meinte richtigerweise, dass ich dann für eine Auth dann das Passwort gar nicht haben müsste sondern nur den Hash, was wiederrum ein Flaw wäre

 

[LieberNetterFlo]

Naja, ist aber so, die Angriffsmethode heißt dann "Pass the Hash" und ist ziemlich beliebt bei Angreifern.

 

[floq0r]

Interessant, habe grad darüber gelesen. Da scheint man einen größeren Security-Approach zu brauchen um das zu unterbinden.

 

[Poati]

"In other words, from an attacker's perspective, hashes are functionally equivalent to the original passwords that they were generated from."

Ist zwar von Wikipedia, reicht aber absolut für meinen Standpunkt. Ein Hashwert, der abgegriffen wird und die Authentifizierung ermöglicht, wie das ursprüngliche Passwort, bringt in der Hinsicht rein gar nichts.

Natürlich werden da nur Hashwerte übertragen, alles andere wäre ja mehr als leichtsinnig 🤷

Deine zitierte Attacke, pass the hash, basiert auf dem Umstand, dass ein Hash überhaupt zur Authentifizierung verwendet werden kann. Mehr Aufwand ist es, wenn man den richtigen Hash hat und dazu erst noch das entsprechende Passwort finden muss, was beim mathematischen Umstand einer Hashfunktion so schwer wie möglich ist. Da funktioniert eigentlich nur Probieren, in diesem Kontext auch brute force genannt.

Der Hauptgrund, weswegen man irgendwann zu Hashwerten übergegangen ist, besteht darin, dass im Falle eines Zugriffs auf die Benutzerdaten da eben Hashs liegen, mit denen man sich nicht direkt anmelden kann! Man müsste erstmal die mathematische Funktion finden, die den Vorgang umdreht. Dies ist bei einer Hashfunktion so schwer wie möglich.