44. Управління доступом до файлів і каталогів. Захист від несанкціонованого доступу.

Наличие в системе многих пользователей предполагает организацию контролируемого доступа к файлам. Выполнение любой операции над файлом должно быть разрешено только в случае наличия у пользователя соответствующих привилегий. Обычно контролируются следующие операции: Read, Write, Execute, Append, Delete, List

Другие операции, например,  копирование файлов  или их переименование также могут контролироваться. Однако они чаще реализуются через перечисленные.

Наиболее общий подход к защите файлов от несанкционированного доступа - сделать доступ зависящим от идентификатора пользователя, то есть связать с каждым файлом или папкой список прав доступа (access control list), где перечислены имена пользователей и типы разрешенных для них способов доступа к файлу. Любой запрос на выполнение операции сверяется с таким списком.  Основная проблема  реализации такого способа -  список может быть длинным.  Чтобы разрешить всем пользователям читать файл, необходимо всех их внести в список. У этой техники есть два нежелательных следствия:

·        Конструирование такого списка может быть сложной задачей, особенно если мы не знаем заранее список пользователей системы.

·        Запись в папки должна теперь иметь переменный размер (включать список потенциальных пользователей).

Для решения этих проблем  создают классификации пользователей, например, в ОС Windows 2000/NT/XP/ Unix все пользователи разделены на следующие группы:

- Администраторы. Ч лены группы «Администраторы» могут выполнять все действия, поддерживаемые операционной системой. Параметры безопасности по умолчанию не запрещают административный доступ к любому объекту реестра или файловой системы. Администраторы могут наделять себя всеми правами, которые у них отсутствуют по умолчанию.

Пользователи. Группа «Пользователи» предоставляет самую безопасную среду для выполнения программ. На томе с файловой системой NTFS параметры безопасности по умолчанию только что установленной (не обновленной) системы разработаны, чтобы предотвратить нарушение целостности операционной системы и установленных программ членами этой группы. Пользователи не могут изменять параметры реестра на уровне системы, файлы операционной системы или программы. Пользователи могут выключать рабочие станции, но не серверы. Пользователи могут создавать локальные группы, но управлять могут только теми, которые они создали.

Опытные пользователи. Члены группы «Опытные пользователи» имеют больше разрешений, чем члены группы «Пользователи», и меньше, чем члены группы «Администраторы». Опытные пользователи могут выполнять любые задачи с операционной системой, кроме задач, зарезервированных для группы «Администраторы».

Операторы архива. Члены группы «Операторы архива» могут архивировать и восстанавливать файлы на компьютере, независимо от всех разрешений, которыми защищены эти файлы. Также они могут входить на компьютер и выключать его, но не могут изменять параметры безопасности.