Организация контроля доступа в ОС UNIX

В ОС UNIX права доступа к файлу или каталогу определяются для трех субъектов:

владельца файла (идентификатор User ID, UID);

членов группы, к которой принадлежит владелец (Group ID, GID);

всех остальных пользователей системы.

С учетом того что в UNIX определены всего три операции над файлами и каталогами (чтение, запись, выполнение), характеристики безопасности файла включают девять признаков, задающих возможность выполнения каждой из трех операций для каждого из трех субъектов доступа. Например, если владелец фай-ла разрешил себе выполнение всех трех операций, для членов группы — чтение и выполнение, а для всех остальных пользователей — только выполнение, то де-вять характеристик безопасности файла выглядят следующим образом:

User Group Other.

rwx r-х r-;

Здесь r, w и х обозначают операции чтения, записи и выполнения соответственно. Именно в таком виде выводит информацию о правах доступа к файлам команда просмотра содержимого каталога ls la. Суперпользователю UNIX все виды доступа позволены всегда, поэтому его идентификатор (он имеет значение 0) не фигурирует в списках управления доступом.

С каждым процессом UNIX связаны два идентификатора: пользователя, от имени которого был создан этот процесс, и группы, к которой принадлежит данный пользователь. Эти идентификаторы носят название реальных идентификаторов пользователя: Real User ID, RUID и реальных идентификаторов группы: Real Group ID, RGID. Однако при проверке прав доступа к файлу используются не эти идентификаторы, а так называемые эффективные идентификаторы пользователя: Effective User ID, EUID и эффективные идентификаторы группы: Effective Group ID, EGID.

Введение

эффективных идентификаторов позволяет процессу выступать в некоторых случаях от имени пользователя и группы, отличных от тех, которые ему достались при порождении. В исходном состоянии эффективные идентификаторы совпадают с реальными.

В ОС UNIX случаи, когда процесс выполняет системный вызов ехес запуска приложения, хранящегося в некотором файле, связаны с заменой процессом исполняемого кода. В рамках данного процесса начинает выполняться новый код, и если в характеристиках безопасности этого файла указаны признаки разрешения смены идентификаторов пользователя и группы, то происходит смена эффективных идентификаторов процесса. Файл имеет два признака разрешения смены идентификатора — Set User ID on execution (SUID) и Set Group ID on execution (SGID), которые разрешают смену идентификаторов пользователя и группы при выполнении данного файла.

Механизм эффективных идентификаторов позволяет пользователю получать некоторые виды доступа, которые ему явно не разрешены, а только с помощью вполне ограниченного набора приложений, хранящихся в файлах с установленными признаками смены идентификаторов.

Использование модели файла как универсальной модели разделяемого ресурса позволяет в UNIX применять одни и те же механизмы для контроля доступа к файлам, каталогам, принтерам, терминалам и разделяемым сегментам памяти.

Система управления доступом ОС UNIX была разработана в 70е годы и с тех пор мало изменилась. Эта достаточно простая система позволяет во многих случаях решить поставленные перед администратором задачи по предотвращению несанкционированного доступа, однако такое решение иногда требует слишком больших ухищрений или же вовсе не может быть реализовано.

Вопросы для самопроверки

• 168. Файлы и принтеры — это единственный разделяемый ресурс, до-ступ к которым контролируется операционной системой?
• 169. Каким образом пользователи осуществляют доступ к разделяемым ресурсам?
• 170. Одинаковы ли допустимые наборы операций для различных разделяемых ресурсов?
• 171. Какие основные подходы к определению прав доступа Вам известны?
• 172. В чем отличие реальных и эффективных идентификаторов пользователей и групп пользователей, используемых в ОС UNIX?

Контрольные вопросы

• 173. Является ли владелец разделяемого ресурса единственным субъектом, который может выполнять с объектом любые допустимые операции?
• 174. Существует ли система жестких иерархических отношений при избирательном методе доступа?
• 175. Существует ли система жестких иерархических отношений при мандатном методе доступа?
• 176. Какие операции с файлами и каталогами определены в ОС Unix?
• 177. Какое количество уровней работы с операциями над файлами реализовано в Windows NT?
• 178. Как называют список, связанный с файлами и каталогами, описывающий права пользователей и групп пользователей на выполнение операций с файлом или каталогом?
• 179. Укажите файловую систему, поддерживаемую ОС Windows NT, в которой список управления доступом не используется.
• 180. Для каких трех субъектов в ОС UNIX определяют права доступа к файлу?
• 181. Какое число признаков включает характеристика безопасности файлов в ОС UNIX?
• 182. Может ли модель файла, как универсальная модель разделяемого ресурса в ОС UNIX, применяться для контроля доступа к другим ресурсам, например терминалам, принтерам, разделяемым сегментам памяти?