3. Упр-е доступом в ос. Дискрец. Упр-е дост. Особ-ти реал-ции в ос unix и Linux

Механизмы упр-я доступом в ОС Linux:

• Механизм дискреционного упр-я доступом (DAC): все процессы запускаются от имени польз-ля и группы. Эти процессы имеют доступ ко всем файлам и каталогам, доступ к которым могут получить польз-ль и группа. Т.о. ошибочный процесс может разрушить все файлы, кот. принадлежат польз-лю.

• Механизм, реализующий списки контроля доступа (ACL): позволяет расширять привилегии для не администраторов при доступе к файлам, но все же только root имеет полную свободу действий над файловой системой.

• Сущ-ют доп. средства разграничения доступа, позволяющие реализовать механизм мандатного упр-я доступом (MAC): позволяет установить разрешения на то, как процессы взаимодействуют с др. частями системы: файлами, устройствами, портами, др, процессами. Это осущ-ся с помощью политик, установленных администратором и полностью определяющих доступ польз-ля. Напр, SELinux.

DAC реализуется в виде прав доступа для файлов. При этом права разделяются на права владельца файла, права группы владельцев и права остальных. Суперпольз-ль может изменить права доступа к любым файлам и каталогам.

Пример: $ ls –al

drwxr-xr-x 2 dale other …

-rw-r----- 1 dale admin …

Изменение прав доступа: chmod [u/g/o/a] [=+-] [r/w/x] файлы 

[u/g/o/a] – кому [польз-ль/группа/остальные/всем (=ugo)]

[=+-] – [установить/добавить/удалить]

[r/w/x] – право на [чтение/запись/выполнение]

Пример: chmod ug=rw files

Изменение владельца: chown {-R} владелец[:группа] файл

Права, устанавливаемые на директорию:

r – можно просмотреть список файлов в дир-и (не подразумевает доступ к самим файлам)

w – можно создать, переименовать, удалить файлы в директории;

x – можно переходить в директорию и иметь доступ к файлам в ней.

Чтобы создать файл в директории:

--x – разрешение на все папки в директории;

-wx – разрешение на последнюю папку в указанном пути.

Чтобы прочитать файл в директории:

--x – разрешение на все папки в указанном пути;

r-- – разрешение на файл.

Чтобы писать в файл:

--x – разрешение на все папки в пути

-w- – разрешение на файл

Так же есть такие биты как SetUID, SetGID, sticky-bit.

	File	directory
u + s	Запуск с правами владельца файла	В большинстве версий игнорируется
g + s	Запуск с правами группы файла	При создании папок (файлов) в этой директории группа владельца наследуется от группы каталога
o + t	(в основном исп-ся для каталогов)	Удалять файлы может только владелец и root

4.Упр-е дост. В ос. Принудит. Упр-е дост. Особ-ти реализации в ос unix и Linux.

Сущ-ет 3 основных подхода к упр-ю доступом:

• Дискреционный метод (избирательный/произвольный) разграничения доступа к объектам (файлам) основан на учете личности субъекта (польз-ля) или группы, в которую субъект входит. Произвольность упр-я состоит в том, что некоторое лицо (обычно владелец объекта) может по своему усмотрению предоставлять другим субъектам или отбирать у них права доступа к объекту.

• Ролевой метод предполагает наличие вместо субъекта ролей (абстрактных сущностей, с которыми связаны наборы ограниченных и непротиворечивых полномочий) и польз-лей, которые обладают одной или несколькими ролями.

• Принудительный метод (мандатный) представляет собой ассоциацию с субъектами и объектами меток без-ти. Как правило, метки без-ти образуют иерархию. Напр, совершенно секретно -> секретно -> конфиденциально -> не секретно.

Рассмотрим подробнее принудит. метод. Субъект может читать инф-цию из объекта, если уровень секретности субъекта не ниже, чем у объекта (читать можно только то, что положено). Субъект может записывать инф-цию в объект, если метка без-ти объекта доминирует над меткой субъекта. Преимущества метода: отсутствие избыточной детализации отн-я субъект-объект, невозм-ть полного упр-я польз-лем доступом к создаваемым им ресурсам, возм-ть запрещать доступ польз-лям или процессам к сущностям более высокого уровня. Недостатки метода: зачастую в пределах одного уровня доступа происходит избыточность прав доступа субъекта. Несмотря на то, что в ОС семейства UNIX в качестве основной исп-ся дискрец. модель доступа, для них сущ-ют реализации систем упр-я принудит. доступом (напр, SELinix, AppArmor, TOMOYO Linux). Система принудит. контроля доступа SELinux включена в ядро Linux. SELinux существенно расширяет ядро Linux, делая ОС, построенные на его основе, пригодными к исп-ю в сферах, где доступ к инф-ции д.б. строго разграничен, а приложения, запускаемые польз-лями, должны иметь опр. набор прав, который не выходит за рамки минимально необходимого. При этом SELinux позволяет параллельно работать с классической дискреционной моделью доступа.