Sicherheitsdeskriptoren in Dateisystemen
Windows-Dateisysteme können die Speicherung und Verwaltung von Sicherheitsdeskriptoren unterstützen, die einzelnen Speichereinheiten innerhalb des Dateisystems zugeordnet sind. Die Granularität der Sicherheitskontrolle liegt ganz im Dateisystem. Zum Beispiel:
- Ein Dateisystem kann einen einzelnen Sicherheitsdeskriptor verwalten, der alles auf einem bestimmten Speichervolume abdeckt.
- Ein anderes Dateisystem stellt möglicherweise Sicherheitsdeskriptoren bereit, die verschiedene Teile einer einzelnen Datei abdecken.
Die Modelle, mit denen die meisten Entwickler vertraut sind, sind die Modelle, die von den vorhandenen Windows-Dateisystemen bereitgestellt werden:
NTFS unterstützt ein Sicherheitsdeskriptormodell pro Datei (oder Verzeichnis). NTFS ist in seinem Speicher von Sicherheitsdeskriptoren effizient und speichert nur eine einzige Kopie jeder Sicherheitsbeschreibung, auch wenn sie von vielen verschiedenen Dateien verwendet wird.
FAT, CDFS, UDFS unterstützen keine Sicherheitsbeschreibungen.
RDBSS und der SMB-Netzwerk-Redirector bieten Unterstützung, die mit der Unterstützung des Remotevolumes vergleichbar ist.
Diese Dateisysteme stellen jedoch nicht alle möglichen Implementierungen der Windows-Sicherheit für Dateisysteme dar.
Ein Windows-Sicherheitsdeskriptor besteht aus vier verschiedenen Teilen:
Die Sicherheits-ID (SID) des Besitzers des Objekts. Der Besitzer eines Objekts hat immer die Möglichkeit, die Sicherheit für das Objekt zurückzusetzen. Dadurch wird sichergestellt, dass beispielsweise der gesamte Zugriff auf ein Objekt entfernt werden kann. Denn selbst wenn Besitzer ihre Fähigkeit zum Ausführen aller Vorgänge entfernen, ermöglicht es ihnen, ihre Sicherheitsrechte für das Objekt wiederherzustellen.
Eine optionale Sicherheits-ID (SID) der Standardgruppe des Objekts. Das Konzept des Gruppenbesitzes ist eine, die in Windows nicht erforderlich ist, aber für einige Anwendungen nützlich ist.
Die Systemzugriffssteuerungsliste (System Access Control List, SACL), die die Überwachungsrichtlinie der Sicherheitsbeschreibung beschreibt.
Die diskretionäre Zugriffskontrollliste (DACL), die die Zugriffsrichtlinie des Sicherheitsdeskriptors beschreibt.
Die folgende Abbildung zeigt einen Windows-Sicherheitsdeskriptor.
Sicherheitsdeskriptoren sind Objekte mit variabler Größe, wobei jede einzelne Unterkomponente auch in der Größe variabel ist. Um die Offlinespeicherung von Sicherheitsdeskriptoren zu erleichtern, kann ein Sicherheitsdeskriptor im selbstrelativen Format vorliegen. In diesem Fall ist der Header der Offset innerhalb des Puffers auf die spezifische Komponente des Sicherheitsdeskriptors. Ein Speicherformat besteht aus Zeigerwerten auf die verschiedenen Teile der Sicherheitsbeschreibung. Für ein Dateisystem ist das selbstrelative Format normalerweise am nützlichsten, da es das einfache Speichern und Abrufen des Sicherheitsdeskriptors aus dem beständigen Speicher ermöglicht. Anwendungen, die Sicherheitsdeskriptoren erstellen, verwenden eher das Speicherformat. Der Sicherheitsreferenzmonitor stellt Konvertierungsroutinen bereit, die von einem Format in das andere konvertiert werden.
Dieser Abschnitt umfasst die folgenden Artikel: