44. Управління доступом до файлів і каталогів.

Потужна система захисту від несанкціонованого доступу визначає чотири рівні відповідальності: звичайний користувач, оператор серверу, менеджер, супервізор. Файли мають двох власників: користувача (user owner) і групи користувачів (group owner). Для кожного файлу є індивідуальні права доступу, які розбиті на три групи:

1. Доступ для користувача-власника файлу (owner).

2. Доступ для групи-власника файлу (group).

3. Доступ для інших користувачів (others).

Для кожної категорії встановлюються три види доступу: (x) - право на запуск файлу, (r) - право на читання файлу, (w) - право на зміну (редагування) файлу. Вього передбачено вісім типів доступу до файлів: R – відкриття та читання відкритого файла (запуск програми); W – відкриття та запис у відкритий файл; С – створення нового файла та відновлення знищеного; E – знищення файла; M – перейменування та зміна атрибутів файла, F – пошук файла в директорії; A – управління доступом до файла (надання всіх прав (окрім супервізора) всім користувачам); S – право супервізора поєднує всі інші права доступу. Висока продуктивність системи управління файлами забезпечується тотальним кешуванням дискових директорій, а захист файлів від апаратних збоїв – дублюванням дисків та дзеркальним відображенням даних.

Права доступу для каталогів не настільки очевидні. Це в першу чергу пов'язано з тим, що система трактує операції читання і запису для каталогів відмінно від інших файлів. Право читання каталогу дозволяє Вам отримати імена (і тільки імена) файлів, що знаходяться в даному каталозі. Щоб отримати додаткову інформацію про файли каталогу (наприклад, докладний лістинг команди ls-l), системи доведеться "зазирнути" в метадані файлів, що вимагає права на виконання для каталогу. Право на виконання також буде потрібно для каталогу, в який Ви захочете перейти (тобто зробити його поточним) за допомогою команди cd. T-бит, SUID та SGID

Найбільш уважні користувачі швидко помічають, що крім стандартних "rwx" значень існують ще й літери "s" і "t". В дійсності, бітів маска прав доступу до файлів містить 4 групи по 3 біти в кожній. Таким чином, команда chmod 755 це всього лише коротка запис повної форми команди: chmod 0755. t-біт звичайно використовується з каталогами.

Зазвичай, коли t-біт для каталогу не встановлений, файл у цьому каталозі може знищити будь-який користувач, що має доступ на запис до даного файлу. Встановлюючи t-біт на каталог ми змінюємо це правило таким чином, що видалити файл з каталогу може тільки власник цього каталогу чи файлу.

Встановити t-біт можна за допомогою команд chmod a + tw somefile або chmod 1777 somefile.

Атрибути SUID та SGID дозволяють змінити права користувача при запуску на виконання файлу, який має ці атрибути.

Захист від несанкціонованого доступу.

Окремі комп'ютери, навіть не включені в локальну мережу, можуть вимагати дотримання особливих правил Політики безпеки, якщо на них обробляються конфіденційні відомості. Для захисту локальних комп'ютерів від несанкціонованого доступу та реалізації строгих правил Політики безпеки застосовуються організаційні та технічні заходи, які реалізують чіткий регламент обробки конфіденційної інформації. Засобами реалізації технічних заходів є кошти двухфакторной аутентифікації, засоби шифрування у файловій системі, програмно-апаратні комплекси захисту інформації від несанкціонованого доступу.

Засоби двухфакторной аутентифікації призначені для запобігання несанкціонованого локального входу в систему. Санкціоновані вхід в систему здійснюється тільки тим користувачем, який пред'являє системі апаратний ідентифікатор (електронний ключ USB Alladin eToken) і ПІН-код.

Для захисту конфіденційної інформації на жорсткому магнітному диску комп'ютера застосовуються засоби шифрування файлової системи. Засоби шифрування файлової системи забезпечують підключення сертифікованого в Російській системі сертифікації продуктів і послуг криптографічного модуля і створення зашифрованого розділу на жорсткому диску комп'ютера. Доступ до зашифрованих розділів можна отримати тільки в тому випадку, якщо засобу криптозахисту (Aladdin Secret Disk або StrongDisk фірми Фізтех-Софт) пред'явлений зовнішній носій (дискета або електронний ключ USB Aladdin eToken) з ключем шифрування. Зашифрований розділ без введення ключа шифрування буде недоступний, навіть у випадку крадіжки комп'ютера або отримання зловмисником доступу до системи, фізичного доступу до жорсткого диску.