Реализация моделей куд в современных ис

Модель контроля и управления доступом операционной системы Linux

Сегодня Unix системы используются на самых разнообразных аппаратных платформах. На их базе реализовано множество систем управления и обработки данных. Как и в любой другой Unixсистеме, Linux предоставляет широкие возможности по организации дискреционного контроля доступа.

В ОС Linux определен один тип объектов, в котором содержатся данные, — файл. Файлы в Linux играют ключевую роль, что не всегда справедливо для других ОС. Вся информация хранится в виде файлов, доступ к периферии осуществляется в виде чтения/записи в специальный файл. Когда запускается программа, ядро загружает соответствующий исполняемый файл. Ядро Linux само является исполняемым файлом.

Важное понятие, связанное с файлами — каталог. Каталог представляет собой набор файлов, тем самым позволяя формировать некоторую логическую структуру содержащейся в системе информации. Кроме файлов каталоги могут содержать подкаталоги. Таким образом, в ОС Linux файлы организованы в иерархическую древовидную структуру, в которой каждый узел соответствует каталогу. Такая система названа файловой системой. Помимо функции информационного хранилища файлы в ОС Linux определяют привилегии субъектов (пользователей) поскольку права пользователей в большинстве случаев контролируются с помощью прав доступа к файлам.

В Linux системе с каждым файлом сопоставлены два владельца: владелец-пользователь (UID) и владелец-группа (GID). Особенностью является то, что владелец-пользователь может не быть членом владельцагруппы. Это придает гибкость и организации доступа к файлам. Кроме этого с файлом связана маска прав доступа, которая определяет права доступа для трех классов пользователей файла:

• • владелец файла,
• • все пользователи, кроме владельца файла, принадлежащие к

связанной с файлом группе;

• все остальные пользователи, не входящие и ранее названные категории.

Для каждой категории пользователей определены три основных типа прав доступа к файлам: право па чтение ® право на запись (w), право на исполнение (х). Если пользователь не является суперпользователем, который имеет любой доступ ко всем объектам независимо от прав доступа к ним, то при попытке действия над объектом тип запрашиваемого доступа сверяется с маской. Система хранит связанные с файлом права доступа в битовой маске, называемой кодом доступа к файлу.

Каждый каталог ОС Linux, почти как обычный файл, имеет набор прав доступа, которые влияют на доступность файлов в каталоге, но права r, w, х для каталога имеют свое предназначение.

Помимо маски прав файл имеет дополнительные атрибуты управления доступом, обычно имеющие смысл, когда файл содержит исполняемый код:

• • бит SUID (set UID, задать идентификатор пользователя при выполнении файла);
• • бит SGID (set GID, задать идентификатор группы при выполнении файла);
• • бит «sticky bit» (бит фиксации, сохранить сегмент кода). Данные биты имеют значение только, для файлов, у которых установлено право х для какой — либо категории пользователей.

Таблица 1.1 Функции защиты, выполняемые дополнительными атрибутами доступа.

Таким образом, маска прав доступа для файла в ОС Linux выглядит следующим образом:

Изменение идентификатора используется для управления доступом к критическим данным. Конфиденциальная информация может быть защищена от публичного доступа или изменения при помощи стандартных прав доступа на чтение/запись/выполнение. Владелец файла создает программу, которая будет предоставлять ограниченный доступ к файлу. Затем для файла программы устанавливается флаг доступа SUID, что позволяет другим пользователям получать ограниченный доступ к файлу только при помощи данной программы. Очевидно, возможна компрометация SUIDпрограммы мы для нарушения зашиты. Самое простое правило защиты SUID программы — запрет чтения такой программы.

Пример SUID-программы —passwd. Никто не может производить записи в файл паролей. Но пользователи все же имеют возможность менять свой пароль. Достигается это посредством программы passwd, так как ее владельцем является суперпользователь и для нее установлен флаг SUID.

Не столь полезна установка флага SGUD, которая выполняет те же функции, но для идентификатора группы файла.

Бит фиксации sticky bit исторически использовался для исполняемых файлов и назывался флагом сохранения сегмента кода (save-text-image). В ранних версиях ОС Linux, если для файла был установлен этот бит, при его выполнении образ программы (код и данные) оставался в файле подкачки до выключения системы. Поэтому при следующем запуске программы системе не приходилось искать файл в структуре каталогов системы, а можно было быстро переместить программу из файла подкачки в память. В современных системах данный бит избыточен и определен только для каталогов.

Первоначально права доступа к файлу задаются в момент его создания при помощи вызовов create и open. С каждым процессом связано значение, называемое маской создания файла. Эта маска используется для автоматического выключения битов прав доступа при создании файлов, независимо от режима, заданного соответствующим вызовом create или open. Это полезно для защиты всех создаваемых процессом файлов, так как предотвращается случайное включение лишних прав доступа. Если в маске создания задан какой-либо бит, то при создании файла соответствующий бит маски доступа будет выключен. Дополнительные права доступа не имеют смысла для маски создания.

Подобный прием часто используется при создании общедоступных FTP-архивов, когда некоторые его разделы доступны только доверенным пользователям. Бит фиксации позволяет установить дополнительную защиту файлов в каталоге. Из такого каталога пользователь может удалить только те файлы, которыми он владеет или на которые он имеет явное право доступа на запись, даже при наличии права на запись в каталог. (Примером является каталог /Ттр.).

Атрибут set GID также имеет иное значение для каталога. При его установке дня каталога вновь созданные файлы этого каталога будут наследовать владельца-группу по владельцу-группе каталога. В BSDсистемах такое наследование выполняется по умолчанию.

Различия доступа к файлам и к каталогам представлены в табл. 1.2.

Таблица 1.2 Различия доступа к файлу каталогу.

Наличие права чтения для запуска исполняемого файла, написанного в виде скрипта командного интерпретатора, объясняется тем, что интерпретатор должен считывать команды из файла.

Изменять права доступа может владелец файла или суперпользователь. Таким образом, ОС Linux реализует дискреционную модель безопасности. Характер взаимодействия пользователей, процессов, файлов, каталогов в системе, т. е, доступ субъектов к защищаемым объектам, определяется комбинацией прав доступа.