Контроль доступа

В Windows каждый пользователь (в том числе и каждый псевдопользователь), работающий в системе, имеет свой маркер доступа. Маркер доступа (access token) - это объект специального вида, содержащий следующую информацию:

- идентификатор пользователя;

- идентификаторы групп и специальных групп, в которые входит пользователь;

- привилегии пользователя;

- идентификатор сеанса работы пользователя, к которому относится маркер доступа;

- атрибуты защиты, которые назначаются по умолчанию новым объектам операционной системы, созданным данным пользователем в текущем сеансе работы;

- имя и идентификатор подсистемы, выдавшей маркер доступа (Advapi, если пользователь вошел в систему локально, NtLogon, если пользователь вошел в систему по сети через SMB-сервер, и т.д.);

- некоторую служебную информацию.

Маркер доступа создается подсистемой аутентификации операционной системы в процессе авторизации пользователя, при этом псевдопопьзователь SYSTEM использует свою привилегию создавать маркеры доступа.

Атрибуты защиты объекта Windows описываются специальной структурой данных, называемой дескриптором защиты (security descriptor). Любой объект Windows NT может иметь дескриптор защиты. Дескриптор защиты содержит следующую информацию:

- идентификатор владельца объекта;

- идентификатор первичной группы владельца объекта;

- список избирательного контроля доступа (discretionary access control list, DACL) - список, полностью описывающий права различных субъектов на объект;

- системный список контроля доступа (system access control list, SACL) -используется при генерации сообщений аудита.

Если объект не имеет дескриптора защиты, при обращениях субъектов к нему права доступа не проверяются. В этом случае любой субъект имеет абсолютные права на данный объект.

Если объект хранится на диске или ином внешнем устройстве, дескриптор защиты хранится вместе с ним. При этом формат хранения объекта должен предоставлять такую возможность.

Элементами списка избирательного контроля доступа являются записи вида:

разрешить/ запретить

идентификатор субъекта

права доступа

Элементы списка избирательного контроля доступа называются элементами контроля доступа (access control entries, АСЕ). Каждый элемент контроля доступа разрешает или запрещает некоторому субъекту определенные права доступа к объекту.

Если список избирательного контроля доступа отсутствует в дескрипторе защиты, всем субъектам предоставляются все права доступа к объекту. Если же список избирательного контроля доступа имеется, но пуст, доступ к объекту запрещен всем субъектам. Приведем пример списка избирательного контроля доступа некоторого исполняемого файла:

разрешить	специальной группе INTERACTIVE	чтение
разрешить	группе Otdel5	выполнение
запретить	пользователю Sidoroff	запись
разрешить	группе Programmers	запись

Для данного файла определены следующие права доступа:

- чтение файла разрешено пользователям, работающим с системой интерактивно, и запрещено остальным пользователям;

- выполнение файла разрешено пользователям, входящим в группу Otdel5, и запрещено остальным пользователям;

- запись в файл разрешена пользователям, входящим в группу Programmers, и запрещена остальным пользователям, а также пользователю Sidoroff. При отом пользователю Sidoroff запись в файл запрещена даже в том случае, если он входит в группу Programmers, которой запись в файл разрешена.

Дата добавления: 2014-01-11