31. Безопасность. Идентификация пользователя. Права доступа

1) Безопасность.

Задачи:

Защита данных очень важна. Однако она не имеет смысла без защиты самой системы: если злоумышленник имеет возможность модифицировать код системы или ПО, он может встроить в него «трояны». Кроме того, следует учитывать возможность проникновения в систему с целью нарушить ее работу.

Особо защищаются код системы и ее конфигурационные данные.

***

2) Идентификация пользователя.

В вопросах обеспечения безопасности необходимо установление соответствия между машинным идентификатором пользователя и реальным человеком.

Вход в систему – Log in, выход – log out, или регистрация/«разрегистрация».

Наиболее широкое распространение получил метод, основанный на символьных паролях, т.к. он не требует дополнительного дорогостоящего оборудования, достаточно клавиатуры.

Пароль – последовательность символов. Основной минус парольной защиты в том, что придумать и запомнить по-настоящему уникальный пароль довольно сложно, а пароль, содержащий в себе своего рода «зацепку», зачастую можно легко взломать на основе подбора последовательностей из конкретного ассоциативного ряда.

– 1-й слой защиты – увеличение времени подбора. При неверном вводе пароля система генерирует небольшую задержку.

– 2-й слой защиты – усложнение пароля, т.е. увеличение количества перебираемых вариантов. Подбор пароля, который длиннее 6 символов, содержит буквы разных регистров и хотя бы один спецсимвол, займет много дней.

– 3-й слой защиты – ограничение числа попыток.

– 4-й слой защиты – оповещение пользователя или администратора системы о неудачных попытках входа.

Пароли должны храниться в базе данных, и из соображений безопасности даже администратор системы не должен иметь к ним прямого доступа. Практически все современные системы хранят данные о паролях в односторонне зашифрованном виде в файле, недоступном обычным пользователям для чтения. При одностороннем шифровании по зашифрованному значению нельзя восстановить исходное слово.

***

3) Права доступа.

Существует несколько моделей предоставления прав доступа к файлам и другим объектам. Наиболее простая модель используется в системах семейства Unix.

Каждый файл или каталог имеют идентификаторы хозяина и группы. Определено три набора прав доступа:

– для хозяина

– для группы (т.е., для пользователей, входящих в группу, к которой принадлежит файл)

– для всех остальных.

Пользователь может принадлежать к нескольким группам одновременно, файл всегда принадлежит только одной группе.

Бывают три права:

– чтения, записи и исполнения.

Для каталога право исполнения означает право на поиск файлов в этом каталоге.

Права на удаление или переименование файла не существует. В Unix не определено операции удаления файла, существует лишь операция удаления имени unlink. Для удаления или изменения имени достаточно иметь право записи в каталог, в котором это имя содержится.

В Unix System V появились объекты, не являющиеся файлами и идентифицируемые численными ключами доступа вместо имен. Все эти объекты являются средствами межпроцессного взаимодействия: это семафоры, очереди сообщений и сегменты разделяемой памяти. Каждый такой объект имеет маску прав доступа, аналогичную файловой, и доступ к ним контролируется точно так же, как и к файлам.

Многие современные системы, не входящие в семейство Unix, используют более сложную и гибкую систему управления доступом, основанную на списках управления доступом (ACL).

С каждым защищаемым объектом, кроме ID его хозяина, связан список записей, состоящих из ID пользователя или группы и списка прав для этого пользователя или группы. Есть возможность задать права для многих пользователей одним элементом списка.

В большинстве современных многопользовательских ОС, не входящих в семейство Unix, с каждым пользователем ассоциирован список привилегий, которыми этот пользователь обладает. В системах семейства Unix все гораздо проще: обычные пользователи не обладают никакими привилегиями. Для выполнения привилегированных функций существует пользователь с ID = 0 – суперпользователь, который обладает всеми мыслимыми правами, привилегиями и атрибутами.