Теневые пароли

В традиционных Unix системах злоумышленник мог свободно осуществлять словарную атаку на файл passwd. Поэтому к данному файлу был запрещен доступ для всех пользователей кроме root. В результате большие программы, которым необходимо получить доступ к файлу необходимо запускать с правами root. Поэтому в современных ОС используется технология теневых паролей. При этом информацию о паролях перенесли в отдельный теневой файл, который находится в папке /etc/shadow. Доступ к нему имеет только root. Недостатки такого подхода: если необходимость использования подключаемых модулей аутентификации, которые согласовывают работу старых и новых Unix-приложений о плане аутентификации (без этого модуля необходимо было бы перекомпилировать старые приложения).

Управление доступом под Unix.
Имеет несколько основных принципов:

1. Все файлы и каталоги имеют собственника, пренадлежащего определенной группе и права доступа.

2. Выделяются три категории прав доступа:

- чтение (кроме особых файлов);

- запись;

- выполнение;

3. Для каталогов есть тот же набор прав, что и для файлов, но они отличаются по содержимому:

а) право чтения для каталога – возможность получения списка имен файлов в этом каталоге;

б) право записи в каталог означает право создания и удаления файлов каталогов причем для удаления файла прав на него можно и не иметь, т.к. достаточно иметь право на каталог.

в) право исполнения значит возможность поиска в каталоге.
Последнее право может быть ограничено для того, чтобы посторонний не мог случайно найти файл каталога. Кроме того, ограничение последнего права запрещает постороннему просматривать содержимое файла.

4. Права каждой категории задают отдельно для владельца файла, для пользователей его группы и для всех остальных.

Всего 9 базовых комбинаций.

Для работ с правом доступа под доступа под Unix сущ. Соответствующие функции библиотеки POSIX. Недостатки схемы управления доступом в Unix:

1. Ограничение длины списка контроля доступа до 3-х элементов, поэтому невозможно дать конкретному пользователю права доступа к файлу без того чтобы взять его в свою группу либо выделиться с ним в отдельную группу. Это невозможно сделать без прав администратора. В системах Linux это ограничение снято.

Дата добавления: 2013-12-12