- Mức 4: Mô tả các công cụ điều khiển truy nhập tới mạng vật lý.
CHƯƠNG 3: ĐI SÂU TÌM HIỂU VẤN ĐỀ AN NINH, AN TOÀN CỦA HỆ ĐIỀU HÀNH WINDOWS
3.3. Phân quyền đối với thư mục, tệp
Phần trên đã đề cập đến giai đoạn đầu, giai đoạn “quyền” của tính năng thẩm định quyền “hai chiều” trong hệ thống mạng an toàn. Phần này sẽ trình bày giai đoạn hai, giai đoạn cho phép “permission” của một đối tượng cụ thể.
Như em đã trình bày ở trên, các đối tượng trong các hệ điều hành của Microsoft bao gồm mọi thứ từ các tệp, các cổng truyền thông, đến các xâu thi hành. Mỗi đối tượng đều có thể được phân quyền riêng lẻ hoặc dưới dạng một nhóm tuỳ thuộc vào hệ điều hành. Các đối tượng có các kiểu permission khác nhau được dùng để giao hoặc khước từ quyền truy cập chính chúng. Ta đã đề cập đến đối tượng cần phân quyền là thư mục và tệp. Đối với đối tượng này có thể có permission Read, Write, và Execute. Các thư mục là các đối tượng “thùng chứa” lưu giữ các tệp, do đó permission gán cho “thùng chứa” đều được thừa kế bởi các đối tượng tệp chứa trong nó. Để xem xét tính năng phân quyền thư mục và tệp, chúng ta cần tìm hiểu các hệ thống tệp được các hệ điều hành Microsoft hỗ trợ, và sau đó là các permission của chúng.
Nên lưu ý rằng, các điều khiển truy cập và các quyền tài khoản người sử dụng là hai khía cạnh khác nhau của hệ bảo mật Windows NT. Hệ bảo mật tài khoản người sử dụng định danh và hợp lệ hoá người sử dụng, trong khi các điều khiển truy cập lại hạn chế những người sử dụng nào, mới có thể làm việc với các đối tượng.
Cũng như mọi đối tượng khác, đối tượng thư mục và tệp có một dấu mô tả bảo mật (security descriptor) để mô tả các thuộc tính bảo mật. Dấu mô tả bảo mật bao gồm:
• ID bảo mật của người sử dụng sở hữu đối tượng, thường là những người tạo ra đối tượng và được gọi là chủ nhân (owner).
• ACL (Access Control List - danh sách điều khiển truy cập), lưu giữ thông tin về những người sử dụng và nhóm nào có thể truy cập đối tượng.
• ACL hệ thống, có liên quan đến hệ kiểm toán.
• ID bảo mật nhóm.
Các ACL là điểm then chốt của phần thảo luận này. Về cơ bản, ACL là một danh sách người sử dụng và nhóm có permission truy cập vào đối tượng. Đối tượng thư mục và tệp có ACL riêng của nó. Các chủ nhân có thể tạo các mục trong ACL thông qua các công cụ như File Manager hoặc bằng cách ấn định các tính chất cho các tệp và thư mục (trong Windows NT 4.0). Network và Services trong Control panel cũng là những trình tiện ích khác dùng để ấn định permission.
Người sử dụng có thể có nhiều mục trong ACL của một đối tượng, cung cấp các mức truy cập khác nhau cho chúng. Ví dụ, một người sử dụng có thể có giấy phép Read đối với một tệp dựa trên tài khoản người sử dụng của họ và giấy phép Read/Write dựa trên tư cách là thành viên của một nhóm. Mỗi giấy phép này được nêu trong một mục riêng biệt trong ACL.
Khi người sử dụng truy cập một đối tượng, họ thường có một quyền truy cập thoả đáng nhất định, như Read hay Read/Write. Để giao (hay khước từ) truy cập, SRM sẽ đối chiếu thông tin trong thẻ bài truy cập của người sử dụng với các mục trong ACL. Thẻ bài truy cập chứa các ID bảo mật và danh sách các nhóm mà người sử dụng đó thuộc về. SRM sẽ đối chiếu thông tin này với một hay nhiều mục trong ACL cho đến khi tìm thấy đủ giấy phép để trao quyền truy cập thoả đáng. Nếu không thấy đủ giấy phép, việc truy cập bị khước từ.
Nếu SRM tìm thấy vài mục dành cho người sử dụng, nó sẽ xem xét từng mục để xem (tổ hợp các) mục đó có thể giao cho người sử dụng giấy phép thoả đáng để dùng đối tượng đó hay không.