3. Права и привилегии пользователей. Их назначение и определение в Windows. Маркеры и субъекты доступа в Windows. Понятие Олицетворения.

Привилегии и права доступа пользователя

Обычно разрешение на выполнение каких-либо действий после сравнения с SID поль-ля и его групп. Однако нек-ые д-ия поль-ля не связаны с конкретными объектами. Напр, возможность резервного копирования файлов не зависти от разрешения устанавливания на них. Спец права предоставляются поль-лю. Они разделяются на 2 типа:

1. Привилегии. Они заносятся в маркер доступа, определяют возм-ть выполнения поль-ля ряд специфических операция.

2. Права на вход системы. Определяют как пол-ль может войти в систему (локально, по сети,… ). Они позволяют создавать маркер доступа определенного типа.

В NT их 4: локальный вход, сетевой вход, в качестве службы, пакетным заданием.

С W. 2000 появ права явно запрещающие определнные д-ия, НО число прав увеличилось вдвое.

С XP появились 2 права на входы, связанные с терминальным входом.

Желательна работа админист-ра под обычным поль-леми лишь в случае необходимости от админи-ра. Можно выбрать пункт в контекстном меню, либо в командной строке набрать RUNAS. Начиная c W. Vista появился UAC.

Маркер Доступа.

Создается локальным администратором безопасности (подсистемой LSA) при входе пользователя в систему. МД состоит из следующих полей:

1. SID пользователя и его группы;

2. Набор привилегий;

3. SID владельца и список контроля доступа(DNL) которому будут присваиваться вновь созданные файлы;

4. Уникальные локальные ID (LUID) маркеры;

5. Тип маркера (первичный или в результате олицетворения);

6. Уровень олицетворения;

7. Признак ограниченности маркера.

А также идентификатор в терминальном сеансе. Комбинация процессов, т.е. исполняющиеся проги юзера с МД образуют суб-т доступа в WNT. Важнейший компонент системы безопасности Windows наз монитором безопасности. При попытки доступа пользователя к объекту сравнивается SID маркера доступа с имеющимся в списке контроля доступа.

Олицетворение.Windows разрешает одному поль-лю взять атрибуты без-ти к другого процесса по средствам олицетворения. При это сервер будет исп-ть контекст без-ти клиентов, чьи запросы он выполняет. При установлении связи с сервером клиент может указать уровень олицетворения, которые может исп-ть сервер. Этот уровень указывается в новом маркере доступа, создаваемым сервером.

4 ур-ня Олиц-ия:

1) процесс сервера не имеет право получать инф-ию о клиенте и соответственно олицетворять его.

2) Security Ident. – разрешает серверу запросит маркер доступа клиента и узнать SID поль-ля, но не разрешать серверу произ-ть олицет-ие и действует от его имени.

3) Сервер может поль-ся практически всеми правами и привилегиями клиента, но не может устанавливать от его имени новое сетевое соединение с другими ком-ами.

4) Серверному процессу разрешено выступать от имени клиента как на локальном так и на удаленном ком-пе.

Билет №6.

1. Указ Президента рф №334. Понятие шифровальных средств.

Указ президента РФ № 334 от 03.04.95 «Запретить использование гос. организациям криптографических средств, не имеющих сертификатов ФСБ, включая средства создания электронной подписи. Запретить размещение гос. заказов на предприятиях, использующих подобные средства».

«Запретить деятельность юрид. и физ. лиц, связанную с разработкой, производством, реализацией и эксплуатацией криптосредств, а также оказание услуг в области криптографии без лицензии ФСБ».

«Запретить ввоз в РФ криптосредств иностранного производства без согласования с ФСБ».

Постановление правительства РФ № 957 от 29.02.07 «Положение о лицензировании отдельных видов деятельности, связанной с криптографическими средствами».

К криптосредствам относятся:

• Средства шифрования, предназначенные для ЗИ при хранении и передаче

• Средства линии защиты, предназначенные для защиты от ложной информации

• Средства электронного допуска

• Средства создания ключей

• Сами ключевые документы