- •Введение
- •Введение в основы защиты информации
- •1.1. Основные направления защиты информации
- •1.2. Информация как предмет защиты
- •1.3. Основные угрозы компьютерной безопасности
- •1.5. Способы мошенничества в информационных системах
- •2. Классификация методов и средств защиты информации
- •2.1. Методы защиты информации
- •2.2. Классификация средств защиты информации
- •2.3. Организационные средства защиты информации
- •2.4. Законодательные средства защиты информации
- •2.5. Физические средства защиты данных
- •2.6. Аппаратные и программные средства защиты информации
- •Программно-аппаратные средства защиты
- •2.7. Требования к комплексным системам защиты информации
- •Стандарты безопасности кс
- •3. Криптографические методы и средства защиты данных
- •3.1. Общие определения
- •3.2. Общие сведения о криптографических системах
- •3.3. Методы шифрования
- •Алфавиты исходного и шифротекста
- •Шифрование с помощью ключа «Ключ»
- •Шифрование с автоключом при использовании открытого текста
- •Шифрования с автоключом при использовании
- •Используем следующую замену:
- •4. Современные симметричные и асимметричные криптосистемы
- •4.1. Стандарт шифрования данных (des)
- •Функция расширения е
- •4.2. Основные режимы работы алгоритма des
- •4.3. Криптографическая система гост 28147-89
- •4. Последовательность битов блока открытого текста
- •С обратной связью
- •В результате получают блоки открытых данных
- •4.4. Асимметричные криптографические системы
- •4.5. Криптосистема шифрования данных rsа
- •Получает
- •Получает
- •4.6. Криптосистемы Диффи-Хеллмана и Эль-Гамаля
- •4.7. Электронная цифровая подпись и ее применение
- •5. Защита информации в ос
- •5.1. Дискреционное управление доступом к объектам компьютерных систем
- •5.2. Мандатное управление доступом к объектам компьютерных систем
- •5.3. Классы защищенности
- •5.4. Подсистема безопасности защищенных версий
- •5.5. Разграничение доступа субъектов к объектам кс
- •6. Алгоритмы аутентификации пользователей
- •6.1. Способы аутентификации пользователей в кс
- •6.2. Аутентификация пользователей на основе паролей и модели «рукопожатия»
- •6.3. Аутентификация пользователей по их биометрическим характеристикам
- •6.4. Способы аутентификации, основанные на особенностях клавиатурного почерка и росписи мышью пользователей
- •6.5. Двухфакторная аутентификация
- •7.2. Межсетевой экран и политика сетевой безопасности
- •7.3. Основные компоненты межсетевых экранов
- •7.4. Основные схемы сетевой защиты на базе межсетевых экранов
- •7.5. Защищенные сетевые протоколы
- •8.2. Методы обнаружения и удаления вирусов
- •Методы защиты от программных закладок
- •8.4. Принципы построения систем защиты от копирования
- •8.5. Методы защиты от копирования
- •Заключение
- •Библиографический список
- •Оглавление
- •Учебное издание
- •394026 Воронеж, Московский просп., 14
5.5. Разграничение доступа субъектов к объектам кс
Для разграничения доступа субъектов к объектам КС в защищенных версиях ОС Windows используется дискреционное управление доступом.
С объектом разграничения доступа связывается дескриптор безопасности SD (security descriptor), содержащий следующую информацию:
идентификатор безопасности (SID) владельца объекта;
идентификатор безопасности первичной группы владельца;
дискреционный список контроля доступа (DACL);
системный список контроля доступа (SACL).
Список SACL управляется администратором системы. Список DACL управляется владельцем объекта и предназначен для идентификации пользователей и групп, которым предоставлен или запрещен определенный тип доступа к объекту. Каждый элемент списка DACL (access control entry, ACE) определяет права доступа к объекту для одного пользователя или группы. Каждый ACE содержит следующую информацию:
идентификатор безопасности SID субъекта, для которого определяются права доступа;
маска доступа (access mask, AM), которая специфицирует права доступа к контролируемым данным;
тип ACE;
признак наследования прав доступа к объекту, определенных для родительского объекта.
Элементы списка DACL могут быть двух типов: разрешающие и запрещающие права доступа. Элементы, запрещающие доступ, располагаются в начале списка перед элементами, разрешающими доступ.
Право доступа субъекта к объекту означает возможность обращения субъекта к объекту с помощью определенного метода (типа) доступа. В защищенных версиях ОС Windows различают специальные, стандартные и общие (generic) права доступа к объектам.
Специальные права доступа к объектам определяют возможность обращения к объекту по свойственному только данной категории объектов методу: чтение данных из объекта, запись данных в объект, чтение атрибутов объекта, выполнение программного файла и т.д.
Стандартные права доступа к объектам определяют возможность доступа к объекту по методу, применимому к любому объекту, - изменение владельца объекта, изменение списка DACL объекта, удаление объекта и т.д.
Каждое из общих прав доступа к объектам представляет собой комбинацию специальных и стандартныъ прав и предоставляет возможность обращения к объекту с помощью некоторого набора методов доступа.
Определены следующие общие права доступа:
чтение, включающее в себя чтение DACL объекта, чтение данных из объекта, чтение его атрибутов и расширенных атрибутов, использование объекта для синхронизации;
запись, включающая в себя чтение DACL объекта, запись и добавление данных в объект, запись его атрибутов и расширенных атрибутов, использование объекта для синхронизации;
выполнение, включающее в себя чтение DACL объекта, чтение его атрибутов, выполнение программного файла и использование объекта для синхронизации;
все действия с объектом.
Маркер доступа субъекта, обращающегося к некоторому объекту КС, поступает в локальную службу безопасности LSA. От LSA маркер доступа поступает к монитору безопасных ссылок (security reference monitor, SRM), который просматривает DACL из дескриптора безопасности SD соответствующего объекта и принимает решение R о предоставлении доступа субъекту или отказе в доступе (рис.28).
Рис. 28. Проверка прав доступа субъекта к объекту
Получив от SRM результат R, LSA передает его субъекту, запросившему доступ к объекту.
Монитор безопасных ссылок использует следующий алгоритм проверки запрошенных субъектом прав доступа к объекту.
1. Если SID из маркера доступа субъекта АТ не совпадает с SID, содержащемся в элементе АСЕ списка контроля доступа к объекту, то осуществляется переход к следующему АСЕ, в противном случае – переход к п.2.
2. Если в элементе АСЕ запрешается доступ к объекту для субъекта с данным SID, но этот субъект является владельцем объекта (его идентификатор безопасности совпадает с SID владельца из дескриптора безопасности SD объекта) и запрашиваемая маска доступа содержит только попытку доступа к объекту по методу «чтение (или) изменение дискреционного списка контроля доступа к объекту», то доступ субъекта к объекту разрешается, в противном случае – осуществляется переход к п. 3.
3. Если в элементе АСЕ запрещается доступ к объекту для субъекта с данным SID , то сравниваются запрашиваемая маска доступа и маска доступа, определенная в АСЕ. Если при сравнении находится хотя бы один общий метод доступа, то попытка доступа субъекта к объекту отклоняется, в противном случае – происходит переход к следующему АСЕ.
4. Если в элементе АСЕ разрешается доступ к объекту для субъекта с данным SID, то также сравниваются запрашиваемая маска доступа и маска доступа, определенная в АСЕ. Если при этом маски доступа полностью совпадают, то доступ субъекта к объекту разрешается, в противном случае – происходитпереход к следующему АСЕ.
5. Если достигнут конец списка DACL из дескриптора безопасности объекта, то попытка доступа субъекта к объекту отклоняется.
Если у объекта КС нет дескриптора безопасности (например, у папок и файлов, размещенных на дисках под управлением файловой системы FAT), то любые пользователи и группы могут получить любые права доступа к данному объекту.
Пользователи КС для назначения субъектам КС прав доступа к файлам и папкам на дисках с файловой системой NTFS, чьими создателями-владельцами они являются, должны применять средства проводника Windows. Для этого выполняются команды «Общий доступ и безопасность» или «Свойства» контекстного меню папки либо команда «Свойства» контекстного меню файла (в операционной системе Windows XP необходимо выключить режим «Использовать простой общий доступ к файлам» на вкладке «Вид» окна свойств папки). Кнопки «Добавить» и «Удалить» позволяют изменять число элементов АСЕ в списке DACL, а в окне «Разрешения для имя субъекта» можно устанавливать общие права доступа к объекту конкретным пользователям и группам.
Нажатие кнопки «Дополнительно» позволяет отобразить окно настроек дополнительных параметров безопасности для объекта. На вкладке «Разрешения» можно посмотреть и при необходимости изменить любые (в том числе и специальные) права доступа к объекту. На вкладке «Владелец» можно просмотреть и при наличии соответствующей привилегии изменить информацию о владельце объекта (записать в SID владельца в дескрипторе безопасности объекта свой SID).
На вкладке «Действующие разрешения» можно проверить, какие права доступа к объекту установлены для конкретного пользователя или группы, которые выбираются с помощью кнопки «Выбрать».
Разграничение доступа субъектов к разделам реестра Windows XP производится с помощью системной программы regedit (команда «Разрешения» меню «Правка»), а в ОС Windows NT/2000 – с помощью системной программы regedt32 (меню «Безопасность»). Отметим, что разграничение доступа к разделам реестра возможно при любой используемой для хранения реестра файловой системе.
В защищенных версиях ОС Windows реализован подход, в соответствии с которым каждому процессу выделяется индивидуальное адресное пространство, которое аппаратно изолировано от адресных пространств других процессов. В этом случае, какой бы адрес оперативной памяти не использовался в процессе, невозможно обращение к памяти, выделенной другому процессу, так как одному и тому же значению адреса в разных адресных пространствах соответствуют различные физические адреса оперативной памяти компьютера.