Списки контролю доступу

Якщо реалізовано ACL, для кожного об'єкта задають список, що визначає, які ко­ристувачі можуть виконувати ті чи інші операції із цим об'єктом. Наприклад, для файлових систем такими об'єктами є файли або каталоги. У найзагальнішій фор­мі елементи цього списку - це пари (користувач, набір дій), які називають еле­ментами контролю доступу (access control elements, АСЕ).

Розглянемо деякі проблеми, які потрібно вирішити у разі реалізації списків контролю доступу.

1. Розмір списку контролю доступу має бути не надто великим, щоб система могла ефективно ним керувати.

2. Права мають бути досить гнучкими, але при цьому не дуже складними. Над­мірне ускладнення системи прав звичайно призводить до того, що користува­чі починають її «обходити», задаючи спрощені права; у результаті загальна безпека не підвищується, а ще більше знижується.

Вирішення цих проблем призвело до особливостей реалізації списків контро­лю доступу в різних OC Так, загальною концепцією у створенні списків є задання прав не лише для окремих користувачів, але й для груп користувачів, а також можливість визначити права доступу всіх користувачів системи. У деяких OC обме­жують кількість елементів у списку (наприклад, в UNIX список обмежений трьома елементами). Водночас у системах лінії Windows XP можна задавати списки контролю доступу, що складаються з необмеженої кілько­сті елементів (для окремих користувачів, груп, користувачів інших комп'ютерів тощо), і задавати різні комбінації прав - від узагальнених до детальних.

Можливості

Під час визначення можливостей для кожного користувача задають, до яких фай­лів він може мати доступ і як саме. При цьому із користувачем пов'язують список Можливостей (capability list), що складається із пар (об'єкт, набір дій).

Реалізація списків можливостей дає змогу забезпечити не тільки захист, але й задання імен. Можна зробити так, щоб кожний користувач бачив тільки ті фай­ли, до яких у нього є доступ. Якщо при цьому значенням за замовчуванням є від­сутність доступу, користувачі можуть починати роботу в «порожній» системі. За­галом можливості використовують у системах, де потрібно забезпечити більшу безпеку за рахунок деякого зниження зручності роботи.

Список літератури:

Основної:

1. [Л1] В.А.Шеховцов

Операційні системи Видавнича група BHV,

Київ 2008р.

2. [Л2] А.В. Гордеев Изд. «ПИТЕР», Санкт-Петербург,

Операционные системы 2007г.

3. [Л3] А.В.Гордеєв А.Ю.Молчанов

Системное программное обеспечение Изд. «ПИТЕР», Санкт-Петербург,

2001г.

Додаткової:

1. [Л4] К.Г.Финогенов

Самоучитель по системным функциям MS-DOS Изд. 3-е, Москва, 2001г.

2. [Л5] Д.Иртегов

Введение в операционные системы Изд. Дюссельдорф, Киев, Москва,

Санкт-Петербург, 2001 г.

134