Идея NTFS и разграничение доступа обращения к файлам

Ни одна из FAT-таблиц не хранит информации о правах пользователей на конкретные файлы. Эту информацию хранит NTFS.

Во-первых NTFS хранит таблицу использования диска, аналогичную FAT32.

Во-вторых, хранится таблица каталогов, аналогичная FAT 32, но с добавлением колонки идентификатора:

Таблица 6.1.

Добавляется ещё одна таблица - таблица пользователей:

Таблица 6.2.

Теперь таблица каталогов и таблица пользователей увязываются в одно целое (используется методология релятивных СУБД, могу порекомендовать прочитать первую главу книги Попова "FoxPro 2.5 - 2.6") с использованием ещё одной таблицы - соотнесения прав:

Таблица 6.3.

То есть в отношении файла index.dat у пользователя vas_vic действует как право на запись, так и право на открытие.

В отношении того же файла у пользователя kolia действует только право на открытие.

В отношении файла vas.txt у пользователя petia включен мощный признак запрещения записи (принудительного), а остальные права не определены. значит их нет.

Примечание. Чтобы в WinXP включить настройку безопасности: {_Сервис_}-> {Свойства папки}-> снять галочку Использовать простой общий доступ к файлам.

Для терминального сервера (управляемого WinXP). Администратор asd создаёт пользователя probaAsus12. Однако этот пользователь не получает права входа на удалённый рабочий стол. Необходимо ещё и включить его в группу "Пользователи удалённого рабочего стола":

• рис.1
• рис.2
• рис.3
• рис.4
• рис.5
• рис.6
• рис.7
• рис.8
• рис.9
• рис.10
• рис.11
• рис.12

Задание А. Применение NTFS и сетевого доступа для организации простейшей локальной почты ("Чёрный ящик", когда положить может любой, а взять - только владелец).

Задание А (версия 2). Тот же "ящик" Пандоры, только организация его на терминальном сервере, когда клиентские машины - под Linux'ом.

Задание А (версия 3). Почта Пандоры. Решено для Win7 Приваловым Максимом. Безукоризненное оформление. Аплодисменты автору.

Смена владельца папки на разделе NTFS (сокращённая версия):

• рис.1
• рис.2
• рис.3
• рис.4
• рис.5

Смена владельца объекта (папки, файла) и, как следствие, получение полного контроля над незашифрованным объектом (версия 2, делалось на терминальном сервере в условиях Linux-лаборатории)

Шифрование

Теория шифрования

Изначальный постулат. При создании нового пользователя и вводе его пароля операционной системой формируется уникальный ключ (128 бит длинной). Этот ключ неразрывно связан с паролем пользователя. То есть если позже поменять пароль, то ключ невозможно будет использовать при расшифровке. Если ключ в системе погибнет (предположительно он хранится в отдельном файле), то набора пароля при регистрации пользователя в системе так же не хватит, для расшифровки данных. СОХРАНЯЙТЕ ключи в виде отдельных файлов на иных носителях.

AND - если бит данных и соответствующий ему бит ключа равны (1=1 или 0=0), то зашифрованный бит данных равен 1, иначе 0.

Логическое сравнение отличается от арифметического суммирования, рассмотренного в вовпросе "Циклическая контрольная сумма".

При логическом сравнении верны следующие колонки данных:

Пусть изначальный ключ всего 3 байта (3 символа), то есть 3*8=24 бита.

Красным показано ошибочное значение.

Продолжите ряд.

Вывод. Если взять цифровой фотоаппарат с высоким разрешением и снять несколько пейзажей за окном (и сохранить в формате BMP, записав на CD), то получится несколько файлов псевдо случайных чисел огромного обёма. После этого можно создать программу шифратор-дешифратор (в курсе "Программирование для начинающих" рассматривается создание подобной программы для побайтного шифрования), которая будет использовать содержимое этих файлов в качестве ключа. Зашифровав секретные файлы и получив результатные можно будет удалить оригинальные (секретные). В таком случае не имея ключевых файлов будет не возможно (или очень сложно) дешифровать имеющиеся результатные файлы.

Подобную операцию Windows выполняет динамически: при сохранении файла шифрует, при открытии из-под профиля, имеющего доступ, дешифрует. Вся разница в том, что ключ используемый Windows обычно короткий - 128 битный.

Более подробно идея ключей шифрования PGP будет рассмотрена позже по сайту. Ссылка находится здесь лишь для полноты.

Практика шифрования в WinXP

• ШИФР1. Действия в профиле администратора, направленные на создание нового пользователя.
• ШИФР2. Работа в профиле пользователя, по созданию, ограничению доступа и шифрованию документов.
• ШИФР3. Действия в профиле администратора по удалению пользователя, открытию доступа к документу и неудачная попытка (в Win2000Server она будет удачной) по дешифровке документов.

Linux. Внимание! WinXPE для эксперимента не подходит, так как в ней невозможно создать нового пользователя. Её рабочий стол изначально - FAT.

Linux. Внимание! Сервер терминалов для эксперимента можно использовать при условии, что только один новый пользователь заходит в систему и до тех пока не будут выполнены его локальные настройки и не прогрузится его рабочий стол второму пользователю заходить нельзя!!!.

ЗАДАНИЕ 01.

WinXP. Прогрузитесь в Windows XP. Зайдите с профилем администратора (пароль gotozoo). Попробуйте всё, что описано на рисунках.

Linux.

• Подключитесь к терминальному серверу под пользователем asd (он администратор) с паролем gotozoo (попросите преподавателя включить этого пользователя).
• Создайте пользователя proba_asusX с паролем 123 (пароль не может быть пустым!). Занесите этого пользователя в группу "Пользователи удалённого рабочего стола".
• Завершите сеанс asd.
• Договоритесь с присутствующими, что только Вы сейчас осуществите вход под новым пользователем. Подключитесь к серверу под пользователем proba_asusX.
• Когда появится рабочий стол пользователя proba_asusX , то скажите присутствующим, что Ваш пользователь уже вошёл и они могут работать со своими пользователями.
• Перейдите в "Мой компьютер". Откройте NTFS-раздел (скорее всего съёмный диск F:).
• На диске F: создайте папку papka_proba_asusX , откройте её и внутри этой папки выполните всё, что описано в действии ШИФР2 по созданию двух документов, ограничении доступа на карточке /безопасность\ и шифровке одного из документов (см. выше).
• Завершив сеанс работы с пользователем proba_asusX войдите в систему под пользователем asd. В отношении папки F:\papka_proba_asusX отработайте всё, что описано в действии ШИФР3.

ЗАДАНИЕ 02.

Зайдите с профилем администратора (пользователь asd, пароль gotozoo). Перейдите на диск с меткой COMMON (скорее всего он D:). на этом диске создайте папку 777asusX. Внутри этой папки создайте несколько документов Word и дайте им имена.

Настройте доступ к этой папке таким образом, чтобы ТОЛЬКО пользователь admin (в случае терминального сервера asd) (и никто больше даже из администраторов) не имел права доступа к содержимому этой папки. Проверьте этой выйдя из профиля администратора и зайдя под профилем user (в случае терминального сервера asusX).

Сохранение пароля (!), ключей шифрования (комментарии на лекции, а пробовать - на домашней машине)

• Самый примитивный и самый надёжный способ при смене пароля пользователя: предварительно дешифровать все его документы (для надёжности они просто перемещаются на диск FAT32), потом пользователю изменяют пароль (сюда образы экранов при выполнении этой операции), потом те же документы возвращают в зашифрованную папку пользователя (на диск NTFS).
• Фактически существует встроенное средство смены пароля без предварительной дешифровки документа:
  • вызвать окно Безопасность Windows (см. рис.1 или попробовать нажать однократно Ctrl-Alt-Del);
  • произвести смену пароля (см. рис.2).
• Дискета сброса паролей (Справка и Применение). Эту дискету можно рассматривать и как средство понижения безопасности компьютера и ... дальнейшее устарело... как средство изменения пароля без дополнительных операций по дешифровке документов.
• Необходимое действие в отношении пользователя, шифрующего документы - сохранение сертификатов /ключей/ (Справка и Применение: первая попытка разобраться - результативная, но долгая; вторая попытка решить проблему извлечния сертификатов EFS и передачи их сторонним пользователям).

Вывод. Любой вирус, программа автозапуска CD или USB Flash способен откопировать ключи EFS на почтовый ящик своего владельца (или по локальной сети на файловый сервер или на FAT-раздел локального компьютера). При этом ему даже нет необходимости знать пароль атакуемого пользователя, достаточно, чтобы на момент запуска вредоносной программы был запущен сеанс этого пользователя. При этом получение ключей даёт злоумышленнику возможность получить доступ к зашифрованным данным.

Соответственно, нормальная разбивка жёсткого диска предполагает:

• наличие системного диска (можно NTFS, с шифрованием);
• наличие диска с нешифруемыми документами (FAT32)
• и крошечного размера диск с шифруемыми документами (NTFS).

Направления сохранения:

• Системный диск будет сохраняться в ghost-образ.
• Документы на диске FAT32 будут архивироваться на дополнительный носитель, например с использованием MS BackUp.
• Шифруемые длокументы будут сохраняться на шифруемый носитель
• Ключи (сертификаты) от шифруемого диска будут сохраняться на доп. носитель.