Информатика в техническом университете / Информатика в техническом университете. Телекоммуникации и сети

8.Архитектура сетевых ОС NetWare

8.6.Механизмы защиты информации

Авторизация доступа к данным сети

В ОС NetWare реализованы три уровня защиты данных (рис. 8.48). Под аутентификацией здесь понимается

•процесс подтверждения подлинности клиента при его подключении к сети;

•процесс установления подлинности пакетов, передаваемых между серве­ ром и PC.

Права по отношению к файлу (каталогу) определяют, какие операции пользо­ ватель может выполнить с файлом (каталогом). Администратор для каждого клиента сети определяет права по отношению к любому сетевому файлу или каталогу.

Атрибуты определяют некоторые системные свойства файлов (каталогов). Они могут быть назначены администратором для любого сетевого файла или каталога.

Например, чтобы записать данные в файл, клиент должен: знать свой идентификатор и пароль для подключения к сети; иметь право записи данных в этот файл; файл должен иметь атрибут, разрешающий запись данных.

Атрибуты файла (каталога) имеют более высокий приоритет, чем права пользователей к этому файлу.

Аутентификация пользователей при подключении к сети

Подключение к сети вьшолняется с помощью утилиты LOGIN.EXE. Эта программа передает на сервер идентификатор, введенный пользователем (рис. 8.49). По этому идентификатору NetWare вьшолняет поиск соответствующего объекта пользователя в системной БД сетевых ресурсов. Если в БД хранится значение пароля для этого клиента, то NetWare посьшает на PC зашифрованный

i

Каталог или файл

Рис. 8.48. Уровни защиты данных в ОС NetWare

510

Рис. 8.49. Аутентификация клиента

с помощью пароля личный (закрьпый) ключ станции (симметричное пшфрование). На PC этот ключ расшифровьюается с помоицэю пароля, введенного пользо­ вателем, и используется для получения подписи запроса (пакета) к серверу о продолжении работы. Сервер расшифровьгоает эту подпись с помощью откры­ того ключа (асимметричное шифрование), проверяет ее и посылает подтверж­ дение на PC. В дальнейшем каждый NCP-пакет может снабжаться подписью, получаемой в результате кодирования личным ключом контрольной суммы пакета и случайного числа Nonce. Это число генерируется для каждого сеан­ са. Поэтому подписи пакетов не повторяются для разных сеансов, даже если пользователь вьшолняет те же самые действия.

Использование сигнатур для передачи NCP-пакетов

Необходимость применения сигнатуры (подписи) NCP-пакетов связана со скандалом, разьправшимся в 1992 г. Тогда голландский студент предложил про­ стой способ «взламывания» файлового сервера NetWare, основыванный на парал­ лельной работе хаккера и пользователя, имеющего требуемые права (рис. 8.50).

511

Рис. 8.50. Организация несанкциоюфованного доступа к файловому серверу

На PC хаккера (hacker) функционирует программа, которая перехватьшает пакеты, передаваемые по пшне сети. При формировании пакета программа хаккера выполняет следующие действия:

•переписывает в заголовок формируемого IPX-пакета заголовок перехва­ ченного пакета;

•записывает в поле данных требуемую команду.

Далее пакет посылается на файловый сервер. Файловый сервер пересылает адрес станции hacker в поле ImmAddress блока ЕСВ и использует данные заго­ ловка пакета IPX, чтобы определить номер соединения и возможность вьшолнения команды. Но в заголовке пакета хаккера записан адрес пользователя (адрес Admin), который имеет требуемые права. Поэтому команда хаккера вьшолняется.

При формировании сетевым адаптером заголовка ответного кадра адрес станции, куда непосредственно передается кадр, выбирается из поля ImmAddress блока ЕСВ, т. е. станция hacker воспринимается файловым сервером как мар­ шрутизатор или мост. Напомним, что адрес конечной станции-получателя хра­ нится в заголовке пакета IPX (в данном случае это адрес Admin, хотя для хаккера это не имеет значения). Таким образом, ответ посылается на станцию hacker, где и обрабатывается.

512

8.6. Механизмы защиты информации

Подпись NCP-пакета (специальное поле в этом пакете) делает невозмож­ ным параллельную работу хаккера и пользователя. Подпись (сигнатура) паке­ та - это шифр, для формирования которого используется номер пакета, его содержимое и случайное число Nonce. Шифр создается с помощью открьггого ключа. Важно отметить, что сигнатура изменяется в каждом пакете. Спрогно­ зировать последовательность подписей практически невозможно.

NCP-пакеты могут подписываться и PC, и файловым сервером. Для иншщирования включения подписи в NCP-пакеты администратор должен вьшолнить следующие действия (для NetWare 3.12/ 4.х/5.х):

1. С консоли файлового сервера необходимо ввести SET-команду SET NCP Packet Signatm'e Option = уровень (по умолчанию 1).

Здесь уровень имеет одно из следующих значений: 0 - сервер не подписывает пакет,

1 - сервер подписывает пакет, если этого требует клиент (уровень на станщш больше или равен двум),

2 - сервер подписывает пакет, если клиент также способен это сделать (уровень на станции больше или равен 1),

3 - сервер подписывает пакет и требует этого от всех клиентов (иначе под­ ключение к сети невозможно).

2. На PC в конфигурационный файл (например, в раздел Netware DOS Reques-ter файла net.cfg) необходимо включить строку:

Signature Level = уровень (по умолчанию 1)

Можно задать один из следующих уровней: 0 - клиент не подписьшает пакет,

1 - клиент подписьшает пакет, если этого требует сервер (уровень на серве­ ре больше или равен 2),

2 - клиент подписьшает пакет, если сервер также способен это сделать (уровень на сервере больше или равен 1),

3 - клиент подписьшает пакет и требует этого от всех серверов (иначе под­ ключение к сети невозможно).

В табл. 8.14 перечислены различные сочетания уровней на сервере и PC, а также варианты подписи пакета.

Таблица 8.14. Варианты подписи пакета

чается к сети.

513

8. Архитектура сетевых ОС NetWare

Определение эффективных прав пользователей к каталогам и файлам

Права, которые могут быть предоставлены пользователю (или группе пользо­ вателей) по отношению к каталогу или файлу, перечислены в табл. 8.15.

Таблица 8.15. Список возможных прав к каталогу или файлу

Права и фильтры (маски) наследуемых прав назначаются администрато­ ром сети с помощью утилит NetWare. Но назначение прав для каждого пользо­ вателя по отношению ко всем требуемым файлам и каталогам является уто­ мительной задачей. В NetWare предлагается механизм наследования прав. Введем некоторые определения.

•опекун (Trustees) - это пользователь (или группа пользователей, или дру­ гой объект), которому администратор с помощью утилиты (например, FILER) явно назначает права к какому-либо файлу или каталогу. Такие права назьюаются опекунскими назначениями;

•фильтр наследуемых прав (IRF - Inherited Right Filter) - свойство файла (каталога), определяющее, какие права данный файл (каталог) может унасле­ довать от родительского каталога. Фильтр назначается администратором с помощью утилиты (например FILER);

514

Рис. 8.51. Схема определения ОС NetWare эффективных прав пользователя к файлу или каталогу:

+и & - логические операции ИЛИ и И

•наследуемые права - права, передаваемые (распространяемые) от роди­ тельского каталога;

•эффективные права - права, которыми пользователь реально обладает по отношению к файлу или каталогу.

На рис. 8.51 представлена схема формирования ОС NetWare эффективных хфав пользователя к файлу или каталогу. Здесь предполагается, что пользова­ тель является участником гругш 1 и 2.

Важно подчеркнуть, что к этим эффективньп^ правам добавляются эффек­ тивные права тех пользователей, которые указаны в списке Security Equal То (эквивалентны по защите).

Рассмотрим гфимер, иллюстрирующий приведенную вьппе схему. Предпо­ ложим, что пользователь John работает с каталогами D1, D2, D3 и файлом F1:

FSA^0L:D1\D2\D3\F1

и не является участником групп. В табл. 8.16 показаны изменения эффектив­ ных прав пользователя John по отношению к указанным каталогам и файлу.

Таблица 8.16. Изменение эффективных прав пользователя

515

Атрибуты каталогов и файлов

Атрибуты файла (каталога) устанавливаются администратором сети с по­ мощью утилиты (например FLAG) и управляют доступом к этому файлу или каталогу. Атрибуты файлов и каталогов перечислены в табл. 8.17.

516

8.6. Механизмы защиты информации

Таблица 8.17. Атрибуты файлов и каталогов NetWare

517

Права доступа к объектам NDS и их свойствам

Выше отмечалось, что СБДСР представляет собой совокупность объек­ тов, их свойств и значений этих свойств. В NetWare 4.х/5.х эта БД называется NDS (NetWare Directory Services), а в NetWare 3.x - Bindery. Отличия NDS от Bindery описаны в отдельном разделе, который посвящен глобальному сетево­ му каталогу (NDS).

Объекты NDS связаны между собой в иерархическую структуру, которую часто называют деревом NDS. На верхних уровнях дерева (ближе к корню [Root]) описываются логические ресурсы, которые принято называть контей­ нерными объектами. На самом нижнем (листьевом) уровне располагаются описания физических ресурсов, которые называют оконечными объектами.

Вкачестве контейнерных объектов используются объекты типа [Root] (ко­ рень), С (страна), О (организация), OU (организационная единица). Оконечные объекты - это User (пользователь), Group (группа), NetWare Server (сервер NetWare), Volume (том файлового сервера). Directories (директория тома) и т. д. Оконечные объекты имеют единое обозначение - CN.

ВNetWare 4.х/5.х разработан механизм защиты дерева NDS. Этот меха­ низм очень похож на механизм защиты файловой системы, который был рас­ смотрен вьппе. Чтобы облегчить понимание этого механизма, оконечный объект можно интерпретировать как файл, а контейнерный объект - как каталог, в котором могут быть созданы другие контейнерные объекты (как бы подката­ логи) и оконечные объекты (как бы файлы). На рис. 8.52 представлена схема дерева NDS.

Вотличие от файловой системы в механизме защиты дерева права по отно­ шению к какому-либо объекту можно предоставить любому контейнерному или оконечному объекту дерева NDS. В частности допустимо рекурсивное на­ значение прав объекта по отношению к этому же объекту.

518

8.6, Механизмы защиты информации

[Root]

] с

О

Н ^ои

CN

CN

1 ои

CN

CN

Рис. 8.52. Схема дерева М^^:

[Root], С, О, о и - KOHreiiHq)Hbie объекты; CN - оконечные объекты

Права, которые могут быть предоставлены объекту по отношению к друго­ му или тому же самому объекту, перечислены в табл. 8.18.

Таблица 8.18. Список возможных прав по отношению к объекту

Администратор сети может для каждого объекта в дереве NDS опреде­ лить значения свойств этого объекта. Для объекта User - это имя Login, тре­ бования к паролю, пароль пользователя, пользовательский сценарий подключе­ ния и т. д. Механизм защиты NDS предоставляет также возможность назначать права по отношению к свойствам любого объекта (табл. 8.19).

519