13.3. Розмежування доступу

13.3.1. Основні принципи реалізації системи розмежування

доступу

Windows реалізує дискреційну модель розмежування доступу і підтримує 4 типи суб'єктів і 13 типів об'єктів доступу. Керування доступом здійснюється за допо­могою модуля SRM і реалізується шляхом виклику функції SeAccessCheck ядра операційної системи за будь-яких спроб суб'єкта отримати доступ до об'єкта. При цьому використовуються дві структури даних — маркер доступу суб'єкта, що є носієм його повноважень, і дескриптор захисту об'єкта, що містить ідентифіка­тори власника об'єкта та його первинної групи, список дискреційного керування доступом (Discretionary Access Control List, DACL) та системний список керу­вання доступом (System Access Control List, SACL). Таким чином, матриця досту­пу зберігається у вигляді множини списків контролю доступу об'єктів. Ці списки мають нефіксовану довжину і можуть містити довільну кількість елементів кон­тролю доступу (Access Control Entry, АСЕ), які дозволяють або забороняють дос­туп. АСЕ, що забороняють доступ, мають вищий пріоритет. За відсутності АСЕ, що дозволяє доступ, суб'єкту в доступі буде відмовлено. Задавати права доступу до файлових об'єктів можна за допомогою службової програми Windows Explorer і консольної команди cacls.

13.3.2. Суб'єкти доступу Windows

Windows підтримує такі суб'єкти доступу.

• Користувачі (звичайні та псевдокористувачі). Псевдокористувачі у стандарт­ній конфігурації Windows — це:

• SYSTEM — ОС локального комп'ютера;

• псевдокористувачі з іменами <ім'я_комп'ютера>$, де ім'я_комп'ютера — мережне ім'я комп'ютера; ці псевдокористувачі відображають ОС інших комп'ютерів у мережі та використовуються під час автентифікації робочої станції на контролері домену.

• Групи користувачів. У Windows кожний користувач може входити до кіль­кох груп. Для сумісності з програмним інтерфейсом POSIX серед груп, до яких входить користувач, виокремлюють первинну групу.

• Спеціальні (тимчасові) групи. Належність користувача до спеціальних груп на відміну від звичайних, визначає операційна система залежно від дій цього користувача. Наприклад, до групи INTERACTIVE належать ті користувачі, що працюють із системою інтерактивно, до групи NETWORK — користувачі, як задіюють систему через мережу, до групи DIAL_UP — користувачі, які входять до системи через модем. Спеціальна група не може бути первинною групою користувача.

• Відносні суб'єкти. Це такі суб'єкти, які мають сенс лише у контексті об'єкта для якого визначено права доступу, наприклад:

• CREATOR_OWNER - власник об'єкта;

• CREATOR_GROUP — первинна група власника об'єкта.

У Windows є такі суб'єкти доступу, що мають наперед визначені ідентифікатори: SYSTEM, INTERACTIVE, NETWORK, DIALJUP, CREATOR_OWNER CREATOR_GROUP, EVERYONE (останній суб'єкт не було описано раніше; ця група, до якої належать усі користувачі та псевдокористувачі). Під час інсталяці операційна система Windows автоматично створює такі визначені наперед суб'єкти доступу:

• Administrator — адміністратор операційної системи;

• Guest — гість, користувач з мінімальними правами, який входить до системі анонімно; цей обліковий запис з міркувань безпеки доцільно блокувати;

• Administrators — група адміністраторів ОС; оскільки переважну більшість прав і привілеїв адміністратора визначено саме для цієї групи, користувача достатньо включити до неї, щоб надати йому права адміністратора;

• Users — група користувачів ОС; за умовчанням члени цієї групи мають дуже обмежені права;

• Backup Operators — група операторів резервного копіювання;

• Replicator — суб'єкт доступу, що використовується для автоматичної реплікації файлів і ключів реєстру між комп'ютерами домену;

♦ Power Users (лише на робочих станціях) — група користувачів, які маючі більші права, ніж звичайні користувачі;

• Account Operators (лише па серверах) — група користувачів, які можуть працювати з обліковими записами непривілейованих суб'єктів доступу;

• Print Operators (лише на серверах) — група адміністраторів друку;

• Server Operators (лише на серверах) — група операторів сервера, які за умовчанням мають дещо більші повноваження, ніж звичайні користувачі.

У доменах Windows також є наперед визначені глобальні групи, спільні для всіх

комп'ютерів домену:

• Domain Admins — адміністратори домену;

• Domain Users — користувачі домену;

• Domain Guests — гості домену.