3. Исследование разрешений ntfs в WindowsNt. Особенности исследования разрешений ntfs и управления наследованием и владением начиная с Windows 2000.

Список контроля доступа файлов практически не зависит от списка контроля доступа папок. Тем не менее, при создании нового объекта, с ним связывается начальный ACL(SACL+DACL), формируемый на основании ACL родительской папки. Происходит наследование. При рассмотрении вопросов наследования ACL объекта-контейнера удобно представлять как совокупность трех отдельных списков:

1. Эффективный ACL самого объекта–контейнера (Effective ACL);

2. Список наследуемого объектом контейнерного типа (Container Inherit ACL)

3. Список наследуемого простым объектом (Object Inherit ACL).

Обычно первый и второй списки совпадают. Признаком, по которому можно разделить общий ACL на три отдельных списка является набор флажком имеющихся в DACL и SACL именно они определяют к чему относятся данная запись – к записи объекта-контейнера или она будет передаваться по наследству.

В NT установлено следующее правило наследования для списка контроля доступа.

Основные правила наследования. Простой объект при создании получает разрешения из списка OBJECT INHERIT родительского контейнера, 2 остальных списка не используются.

Если создаваемый объект это вложенный объект-контейнер, то список CONTAINER ACL объекта родителя становится для нового объекта как effective ACL, так и Container ACL.

Если наследуемая запись ACL преобразуется в эффективную запись для нового объекта, то происходит сопоставление всех родовых прав доступа соответствующим специальным и стандартным правам доступа. Если наследуемая запись не относится к самому создаваемому объекту, а только передается по наследству т.е. в ACE установлен флаг INHERIT ONLY, то родовые права доступа и идентификаторы групп не меняются.

Изменение разрешений NTFS при копировании и переносе. Операции копирования и перемещения между логическими дисками приводят к созданию нового файла или папки, при этом вложенные папки всегда наследуют список контроля доступа, установленные для родительской папки, а файлы наследуют список контроля доступа, установленные для создаваемых в этой папке файлов, т.е. наследуют Object Inherit ACL папки куда копируется.

Напротив, при перемещении внутри логического диска создание нового файла или папки не происходит, а значит, нет наследования, и файлы и папки сохраняют ранее установленные разрешения. При копировании файла с конфиденциальной информацией в общедоступный каталог, разрешение NTFS не сохраняется, что позволяет получить доступ. Для предотвращения нужно либо установить нужный параметр сразу после копирования, либо сначала переместить файл в новый каталог, а затем скопировать в исходный обратно. Управлять наследованием разрешений можно, выбрав объект в проводнике NT и, выбрав в контекстном меню “Св-ва”, затем “Security” и затем разрешения. При этом имеется 2 опции: 1) Replace Permissions on Subdirectories (сменить разрешение для подкаталога); 2) Replace Permissions on existing files (сменить разрешение на существующий файл). Если оба флажка не установлены, то изменяется разрешение только на папку. Все существующие вложенные папки и файлы в данной и во вложенных папках сохраняют свои разрешения. Только вновь создаваемые унаследуют внесенные изменения. Если первый не установлен, а второй установлен, то по умолчанию изменяется разрешение на папку и находящиеся в ней файлы. Все вложенные папки и файлы в них сохраняют свои старые разрешения. Если первый установлен, а второй не установлен, то меняются разрешения на папку и вложенные папки всех уровней. Все файлы внутри данной и во вложенных папках сохраняют свои разрешения. Если оба флажка установлены, то изменяются разрешения на папку вложенные папки всех уровней, а также на все файлы.

Билет №10.