Интерфейсы прикладного программирования (API) сетевой аутентификации Windows, являющиеся частью SSPI (Security Support Provider Interface). Приложения и службы Windows 2000 используют SSPI для изоляции протоколов прикладного уровня от деталей протоколов сетевой безопасности. Windows 2000 поддерживает интерфейс SSPI в целях сокращения кода уровня приложений, необходимого для работы с многочисленными протоколами аутентификации. Интерфейс SSPI представляет уровень, поддерживающий различные механизмы аутентификации и шифрации, использующие протоколы с симметричными или асимметричными ключами.
SSPI — это инструмент, с помощью которого реализована вся внутренняя система безопасности Windows 2000 и ее сервисов. SSPI обеспечивает существование 3 основных механизмов сетевой безопасности: аутентификацию, гарантию целостности и конфиденциальность. Под аутентификацией понимается возможность проверки того, что полученные вами данные пришли действительно от того, чей адрес стоит в поле отправителя. Гарантия целостности подразумевает наличие набора средств, позволяющих проверить получение тех данных, которые были посланы вам. Соблюдение конфиденциальности требует, чтобы сообщение было получено и прочитано только тем пользователем, кому оно адресовано.
С использованием SSPI разработчики получают возможность создания приложений со встроенными средствами сетевой безопасности и соблюдением открытых стандартов. Это позволяет гарантировать безопасный обмен данными с любыми организациями — партнерами, заказами, поставщиками по общедоступным каналам связи, например, Интернет.[4]
В Windows 2000 каждый пользователь должен зарегистрироваться в системе перед началом работы. Это необходимо как на локальной рабочей станции без подключения к сети, так и на станции в компьютерной сети. Внутри системы каждый пользовательл имеет свой ID (идентификатор или уникальное имяпользователя, состоящее из имени и пароля). Каждый пользователь также может войти в систему в качестве гостя (Guest). В этом случае ему предоставляется возможность обращения к файлам других компьютеров сети, которрые разрешены для совместного использования, но не к файлам, расположенным на NT-сервере.
Каждый пользователь должен зарегистрироваться в системе индивидуально. Это позволяет организовать защиту файлов таким образом, что некоторые каталоги или диски для одних пользователей могут быть закрыты, а для других – открыты. Это относится к предоставлению всех прав доступа.
Пользователю, обладающему правами админитсратора, доступны все ресурсы, имеющиеся в данной системе. И если он однажды забудет свой пароль, то это приведет к необходимости форматирования диска и переустановки операционной системы. Следует, однако, отметить, что полный ассортимент средств защиты доступен лишь тогда, когда установлена файловая система NTFS.
Без проблем можно подключить несколько рабочих станций Windows 2000 к Peer-to-peer-сети (одноранговая сеть). Для этого нужно вставить в компьютер сетевую плату и с помощью Панели управления настроить параметры кабельного соединения. Необходимо также запустить Сервер обслуживания. В такой сети тоже можно предоставить отдельным пользователям праава доступа к ресурсам со всеми или ограниченными возможностями, а также организовать коллективное использование принтера. В одноранговую сеть могут объединяться компьютеры с другими операционными системамми, такими как Windows for Workgroups, Windows 95/98 и Novell-клиент.
Сеть может обладать дополнительной возможностью обеспечения лоступа посредством RAS (Remote Acces Service-служба удаленного доступа). С помощью RAS из Windows 2000-компьютера можно обращаться к сети через модем по телефону и работать в ней как обычный клиент.[2]
2. Защита файлов
Файловая система FAT для каждого файла в томе сохраняет имя файла, его размер, дату последнего изменения и собственно информацию. Система NTFS , кроме перечисленного, также выдает список контроля доступа (access control list, ACL), который определяет степень доступа к файлам и папкам системы, имеющуюся у пользователя. Каждый файл и папка в томе NTFS имеют свой ACL.
Защитой файлов в томе NTFS можно управлять с помощью вкладки Security (Безопасность) в диалоговом окне свойств файла:
1. Щелкнуть правой кнопкой мыши на файле в Проводнике.
2. Выбрать во всплывающем меню пункт Properties (Свойства).
3. Щелкнуть на вкладке Security (Безопасность), чтобы открыть диалоговое окно, изображенное на рис.1.
Если выделенный файл не хранится в томе NTFS, вкладка Security(Безопасность) не появится, поскольку защита файла возможна только в томе NTFS.
Рис.1. На вкладке Безопасность отображены пользователи, имеющие разрешения на доступ к файлу
Диалоговое окно используется для просмотра и изменения степени доступа пользователя к файлу. При выделении имени в поле Name (Имя) в поле Permissions (Разрешения) в нижней части диалогового окна отображается степень доступа данного пользователя или группы к данному файлу. Затененные флажки определяют наличие разрешения «по наследству». Это значит, что разрешение было предоставлено родительским объектом. Например, родительский объект для файла – папка, в которой он содержится. Затененный флажок дает знать, что разрешение дано по умолчанию, поскольку файл создан в папке, у которой помечен соответствующий флажок.[1]
2.1 Разрешения для файлов
Поле Permissions (Разрешения) включает список основных разрешений, и использовать их можно в различных сочетаниях, чтобы они подходили именно вам. По сути, каждое разрешение из списка представляет собой установленный набор разрешений. В табл. 1 показано, что именно включено в то или иное разрешение из списка в поле Permissions (Разрешения).
Таблица 1.
Основные разрешения для файла
|Разрешение |Описание |Индивидуальные разрешения | |Read (Чтение)|Позволяет |- List Folder/Read Data (Содержание | | |пользовате- |папки/ | | |лю просматривать |Чтение данных) | | |информацию файла |- Read Attributes (Чтение атрибутов)| | | | | | | |- Read Extended Attributes (Чтение | | | |дополни- | | | |тельных атрибутов) | | | |- Read Permissions (Чтение | | | |разрешений ) | | | |- Synchronize (Синхронизация) | |Read & |Позволяет |- Все разрешения, перечисленные выше| |Execute |запускать | | |( Чтение |Программы |- Traverse Folder/Execute Files | |и | |(Обзор папок | |выполнение) | |Выполнение файлов) | |Write |Позволяет изменять|- Creates Files/Write Data (Создание| |(Запись), | |файлов/ | |Содержимое |Файлы |Запись данных) | |Файла | |- Creates Folders/Append Data | | | |(Создание па- | | | |пок/Дозапись данных) | | | |- Write Attributes (Запись | | | |атрибутов) | | | |- Write Extended Attributes (Запись | | | |дополни- | | | |тельных атрибутов) | | | |- Read Permissions (Чтение | | | |разрешений) | | | |- Synchronize (Синхронизация) | |Modify |Позволяет читать, |- Все перечисленные выше разрешения | |(Изменить) | |- Delete (Удаление) | | |изменять и удалять| | | | | | | |файл | | |Full Control |Позволяет осущест-|- Все перечисленные выше разрешения | |( Полный | |- Delete Subfolders and Files ( | | |влять полный |Удаление | |доступ) |контроль над |подпапок и файлов) | | |файлом |- Change Permissions ( Смена | | | |разрешений) | | | |- Take Ownership (Смена владельца) |
В некоторых случаях установленный набор разрешений не обеспечивает контроль над доступом пользователей или групп к файлу. В таких ситуациях следует присваивать разрешения в индивидуальном порядке. Для этого необходимо выполнить следующие действия:
1. На вкладке Security (Безопасность) в диалоговом окне свойств файла щелкнуть на кнопке Advansed (Дополнительно).
2. На вкладке Permissions (Разрешения) появившегося диалогового окна Access Control Settings (Параметры управления доступом) выделить нужную группу или пользователя и щелкнуть на кнопке
View/Edit (Показать). Как показано на рис.2, появляется список разрешений, похожий на список со вкладки Security (Безопасность) из диалогового окна свойств, но в этом списке можно устанавливать индивидуальные разрешения.[3]
Рис.2. Щелчок на вкладке Дополнительно и далее на кнопке Показать приводит в диалоговое окно, где можно выбрать комбинацию разрешений
1 Как устранить конфликт с разрешениями
Использование групп позволяет легко разрешать или запрещать доступ к файлам и папкам сразу многим пользователям. Однако добавление или удаление разрешения для группы часто создает проблемы. Одна из проблем – дать разрешение группе, тогда как некоторым ее участникам доступ должен быть запрещен.
При изменении степеней защиты следует помнить, что разрешения накапливаются. Следует просматривать список членов группы, чтобы быть уверенным, что разрешение получат только те, кому следует.
Использование групп для настройки разрешений. Поскольку разрешения накапливаются, следует проявлять осторожность при осуществлении защиты. Проще дать разрешение группе в целом, а не присваивать его в индивидуальном порядке каждому члену группы. Следует однажды дать разрешение группе, а затем добавлять или исключать пользователей из списка. Допустим, что группа Бухгалтерский отдел имеет степень доступа к файлам со счетами Modify (Изменить). Мария Ивановна работает в бухгалтерии и соответственно имеет разрешение на изменение файлов со счетами. Существует также группа пользователей Контролеры бухгалтерского отдела, у которой имеется разрешение на полный доступ. Если Марию Ивановну повысят, и она станет контролером, ее будет необходимо переместить из группы с разрешением изменять файлы в группу полного контроля. Если прямо изменить ее степень доступа, она не сможет автоматически получить все нужные ей разрешения. Более того, менять разрешения для отдельных пользователей в большой организации – занятие весьма трудоемкое.
Страницы: 1, 2, 3, 4
