Управление доступом Windows XP

Одалживание прав.

Маркеры доступа.

Идентификаторы безопасности.

Уникальные идентификаторы безопасности закреплены за каждым пользователем и группой (SID). Это целочисленные значения состояний из заголовка и целочисленной части. Системы безопасности обращаются к пользователю или группе по их SID. Win api обладают рядом функций для работы с SID.

Маркеры доступа пользователя связывают со всеми процессами, которые он создает.

Маркер содержит следующую информацию:

1. SID пользователя запустившего процесс.

2. Список групп к которым принадлежит пользователь.

3. Список привилегий пользователя.

4. Список контроля доступа по умолчанию. Он определяет первичные права доступа для объектов связанных с процессами текущего пользователя.

В случае попытки процесса открыть дескриптор объекта, дескриптор объектов обращается к справочному монитору защита SRM. SRM получает маркер доступа процесса, и по содержащийся в нем информации определяет, имеет ли процесс права доступа к объекту. Win api позволяет приложениям получить маркер доступа к процессам.

Отдельные нити процесса могут исполняться с правами пользователей, которые отличаются от прав пользователя запустившего процесс. Этот подход называется одалживанием прав или инперсонацией. В этом случае нити могут исполнятся с меньшими правами. Процесс, для которого задается одалживание прав, получает отдельный маркер доступа, называемый маркером режима одалживание прав или маркером инперсонации.

Для получения маркера доступа некоторым пользователям необходимо осуществлять программный вход в систему для этого пользователя. Такой вход реализуется одной из функций Win api.

При создании объекта Windows XP, который может быть использован более чем одним процессом, объекту присваивают дескриптор защиты, который состоит из следующих компонентов:

1.SID собственника объекта, при этом собственник всегда может изменять атрибуты безопасности объекта.

2. Список контроля доступа ACL, который определяет права доступа к объекту. Каждый элемент ACL включает:

а) тип записи ACL (Запретить, разрешить)

б) идентификатор безопасности (кому разрешать, кому запрещать)

в) набор прав доступа (чтение, запись контроль)

Фактически ACL представляет собой таблицы или связанные списки.

Дата добавления: 2013-12-12