Popisovač zabezpečení

Popisovač zabezpečení (anglicky Security descriptor) je datová struktura s informacemi, které v operačním systému Windows umožňují nebo znemožňují přístup k securable objektu. Securable objekt je libovolný objekt, který lze identifikovat jednoznačným jménem – soubor, složka, sdílení, položka v registru Windows, proces, vlákno, pojmenovaná roura, služba, úloha nebo jiný prostředek.[1]

Základem popisovače zabezpečení jsou nepovinné (anglicky discretionary) Access control lists (DACLs), které obsahují položky pro řízení přístupu (anglicky access control entries, ACEs) umožňující nebo znemožňující přístup uživatelům nebo skupinám (souhrnně anglicky trustees). Popisovač může obsahovat i systémové seznamy řízení přístupu (SACLs), které řídí auditování přístupu k objektu.[2][3] ACEs mohou být explicitně definovány pro daný objekt, nebo mohou být zděděny z nadřízeného objektu. Na pořadí ACEs v ACL záleží, položky znemožňující přístup jsou před položkami umožňujícími přístup. Součástí popisovače zabezpečení je také informace o vlastníkovi objektu.

Popisovače zabezpečení mohou obsahovat také informace pro povinné Mandatory Integrity control, které jsou v popisovačích zabezpečení implementovány novým typem ACE[4].

Oprávnění k souborům a složkám (adresářům) lze upravovat různými prostředky – grafickými programy Windows Explorer nebo WMI, nástroji pro příkazový řádek jako Cacls, XCacls, ICacls, SubInACL,[5][6] freewarovým programem FILEACL pro Win32 konzoli,[7][8] svobodnou utilitou SetACL a dalšími programy. Pro úpravy popisovače zabezpečení musí mít uživatel oprávnění WRITE_DAC k příslušnému objektu,[9], které je obvykle implicitně delegováno správcům systému a vlastníkovi objektu.

Oprávnění v NTFS

NTFS disponuje sadou 14 (ve starších systémech 12) oprávnění pro soubory a složky (anglicky permissions for files and folders), která jsou v podobě ACL uložena v popisovačích zabezpečení. Popis oprávnění na NTFS je komplikován několika vrstvami mapování oprávnění; na oprávnění pro soubory a složky uvedená v jednotlivých řádcích tabulky jsou mapována generická přístupová práva (anglicky generic access rights) (v tabulce sloupce GR, GE, GW a GA pro GENERIC_READ, GENERIC_EXECUTE, GENERIC_WRITE a GENERIC_ALL), standardní přístupová práva (anglicky standard access rights) a speciální oprávnění (anglicky special permissions)[10][11][12]. Různé programy používají pro stejná oprávnění různá jména a zkratky (sloupce icacls a cacls):

winnt.hsouborysložkyGRGEGWGABMicaclscacls
0x01Read DataList Folder++++RDFILE_READ_DATA
0x80Read Attributes++++RAFILE_READ_ATTRIBUTES
0x08Read Extended Attributes++++REAFILE_READ_EA
0x20Execute FileTraverse Folder+++XFILE_EXECUTE
0x20000Read Permissions+++++RCREAD_CONTROL
0x100000Synchronize+++++SSYNCHRONIZE
0x02Write DataCreate Files+++WDFILE_WRITE_DATA
0x04Append DataCreate Folders+++ADFILE_APPEND_D
0x100Write Attributes+++WAFILE_WRITE_ATTRIBUTES
0x10Write Extended Attributes+++WEAFILE_WRITE_EA
0x10000Delete++DEDELETE
0x40000Change Permissions+WDACWRITE_DAC
0x80000Take Ownership+WOWRITE_OWNER
0x40Delete Subfolders and Files+DCFILE_DELETE_CHILD

Odkazy

Reference

V tomto článku byl použit překlad textu z článku Security descriptor na anglické Wikipedii.

  1. ↑ Securable Objects [online]. Microsoft, 2008-04-24 [cit. 2008-07-16]. Dostupné online. 
  2. ↑ What Are Security Descriptors and Access Control Lists? [online]. Microsoft [cit. 2008-07-16]. Dostupné v archivu pořízeném dne 2008-05-05. 
  3. ↑ DACLs and ACEs [online]. Microsoft, 2008-04-24 [cit. 2008-07-16]. Dostupné online. 
  4. ↑ https://msdn.microsoft.com/en-us/library/bb625957.aspx What is the Windows Integrity Mechanism?
  5. ↑ SUBINACL.exe [online]. ss64.com [cit. 2019-11-29]. Dostupné online. /
  6. ↑ SubInACL domovská stránka [online]. Microsoft. Dostupné online. 
  7. ↑ Domovská stránka FILEACL. www.gbordier.com [online]. [cit. 2017-10-10]. Dostupné v archivu pořízeném dne 2012-08-29. 
  8. ↑ FILEACL v3.0.1.6 [online]. Microsoft, 2004-03-23 [cit. 2008-07-25]. Dostupné v archivu pořízeném dne 2008-04-16. 
  9. ↑ ACCESS_MASK Data Type [online]. Microsoft, 2008-04-24 [cit. 2008-07-23]. Dostupné online. 
  10. ↑ How Permissions Work [online]. Microsoft, 2013-06-21 [cit. 2017-11-24]. Dostupné online. 
  11. ↑ CIVIL, Richard. How IT works NTFS Permissions, Part 2 [online]. Microsoft [cit. 2017-11-24]. Dostupné online. 
  12. ↑ CIVIL, Richard. How IT works NTFS Permissions [online]. Microsoft [cit. 2017-11-24]. Dostupné online. 

Externí odkazy

Související články