1. Доступ к данным. Этапы идентификации и аутентификации, реализуемые ос Windows. Разграничение доступа к устройствам.

Доступ пользователя к информационным ресурсам компьютера осуществляется при успешном выполнении процедуры идентификации и аутентификации.

Идентификация – процесс распознавания элемента системы, обычно с помощью заранее определенного идентификатора или другой уникальной информации – каждый субъект или объект системы должен быть однозначно идентифицируем.

Аутентификация– проверка подлинности идентификации пользователя, процесса, устройства или другого компонента системы (обычно осуществляется перед разрешением доступа к ресурсу).

Этапы идентификации и аутентификации, реализуемые ОС Windows

Первый шаг реализуется при входе пользователя в систему. Здесь следует выделить возможность входа в штатном и в безопасном режиме. Принципиальным отличием безопасного режима является то, что при запуске системы в безопасном режиме можно отключить загрузку сторонних по отношению к системе драйверов и приложений. Поэтому, если в системе используется добавочная СЗИ от НСД, можно попытаться загрузить систему в безопасном режиме без компонент СЗИ от НСД, т.е. без средства защиты. С учетом того, что загрузить систему в безопасном режиме может любой пользователь (в Unix системах – только Root), то СЗИ от НСД должна обеспечивать возможность входа в систему в безопасном режиме только под учетной записью администратора.

Второй шаг состоит в запуске пользователем процессов, которые порождают потоки (именно потоки осуществляют обращение к ресурсам). Все работающие в системе процессы и потоки выполняются в контексте защиты пользователя, от имени которого они были запущены. Для идентификации контекста защиты потока используется маркер доступа (access token). В контекст защиты входит информация, описывающая привилегии, учетные записи и группы, сопоставленные с процессом и потоком. При регистрации пользователя в системе создается начальный маркер, представляющий пользователя. Все программы, запускаемые пользователем, наследуют копию этого маркера. Механизмы защиты используют маркер, определяя набор действий, разрешенных потоку или процессу.

В общем случае пользователь имеет возможность запуска процесса под учетной записью другого пользователя (только после выполнения процедуры аутентификации). Это полезно, например, когда на одном компьютере требуется обрабатывать конфиденциальные и открытые данные, например, под одной учетной записью обрабатывать необходимым приложением конфиденциальные данные, под другой учетной записью запустить Internet-приложение. Реализация данной возможности выставляет дополнительные требования к СЗИ (при подобном запуске приложения не изолируется буфер обмена, который является "принадлежностью" рабочего стола). Важнейшей особенностью этого способа запуска процесса является то, что система начинает функционировать в многопользовательском режиме. Следовательно, может возникнуть проблема идентификации пользователя при доступе к ресурсу.

Третий шаг состоит в порождении процессом потоков, которые собственно и обращаются к ресурсам. Система предоставляет разработчикам приложений сервисы олицетворения. Сервис олицетворения (impersonation) предоставляет возможность отдельному потоку выполняться в контексте защиты, отличном от контекста защиты процесса, его запустившего, т.е. запросить олицетворить себя с правами другого пользователя. Именно на этом этапе и возникают вопросы корректности И/А при доступе, и задача сводится к контролю корректности олицетворения. Аналогичная ситуация и в ОС семейства Unix, где существуют понятия идентификатора и эффективного идентификатора (под которым осуществляется запрос доступа к ресурсам).

Задача защиты при этом сводится к контролю корректности олицетворения при запросах доступа к ресурсам, т.к. именно использование сервиса олицетворения может привести к неконтролируемой смене исходного идентификатора. При запросе доступа к ресурсу должны выявляться факты произошедшего олицетворения и проверяться их корректность в соответствии с заданными разрешениями. Проверка прав доступа к ресурсу должна осуществляться уже после проверки корректности его идентификации.

Разграничение доступа к устройствам

Разграничение доступа к устройствам – это задача противодействия внутренним ИТ-угрозам, в частности, для защиты информации от санкционированных пользователей.

В ОС семейства Unix рассматриваемые проблемы не столь критичны, т.к. устройства в них монтируются к файловой системе. ОС Windows проблема состоит в том, что многие устройства предполагают возможность взаимодействия с ними приложения не напрямую, а через драйвер. В этом случае запрос доступа к устройству осуществляется от лица пользователя System. Трудность состоит в определении идентификатора пользователя, который инициировал обращение. Можно "посмотреть", какой пользователь зарегистрирован, и фильтровать запросы доступа применительно к его учетной записи (подобный подход реализуется некоторыми специализированными средствами защиты). Но уже Windows XP возможность входа в многопользовательский режим вынесена в интерфейс (из проводника можно запустить приложение с правами другого пользователя – многопользовательский режим). При этом выявление учетной записи, от которой осуществлен запрос доступа к устройству, становится весьма сложной задачей. Возникает задача корректного разграничения доступа пользователей к устройствам, доступ к которым осуществляется через драйверы от имени пользователя System, которая напрямую не решается современными средствами ОС. Это возможно лишь опосредованно, например, через механизм обеспечения замкнутости программной среды, разрешив/запретив пользователю запуск приложения для работы с устройствами.