Přístupový token

Aktuální verze stránky ještě nebyla zkontrolována zkušenými přispěvateli a může se výrazně lišit od verze recenzované 24. února 2019; kontroly vyžadují 6 úprav .

Přístupový token je programový objekt operačních systémů třídy Microsoft Windows , který obsahuje informace o  zabezpečení relace a identifikuje uživatele, skupinu uživatelů a uživatelská oprávnění.

Přehled

Přístupový token je objekt, který zapouzdřuje popisovač zabezpečení procesu [1] . Při použití na proces identifikuje deskriptor zabezpečení vlastníka objektu [2] [3] . Pokud je značka používána pouze k reprezentaci bezpečnostních informací, je její obsah technicky volný a může obsahovat jakákoli data. Přístupový token používá systém Windows , když se proces pokouší o interakci s objekty, jejichž popisovače zabezpečení vyžadují řízení přístupu [1] . Přístupový token je reprezentován systémovým objektem typu Token . Protože token je běžný systémový objekt, lze přístup k samotnému tokenu řídit pomocí deskriptoru zabezpečení, ale to se v praxi obvykle nikdy nedělá.

Přihlašovací služba generuje přístupový token, když se uživatel zaregistruje, a je úspěšně ověřen zadáním práv uživatele v popisovači zabezpečení, který je součástí tokenu. Token je připojen ke každému procesu vytvořenému relací uživatele (procesy vlastněné uživatelem) [1] . Kdykoli takový proces požaduje jakýkoli zdroj s řízeným přístupem, systém Windows hledá v popisovači zabezpečení v přístupovém tokenu, zda má uživatel, vlastník procesu, přístup k datům, a pokud ano, jaké operace (čtení, zápis/ upravit) je mu povoleno. Pokud je operace povolena v kontextu daného uživatele, Windows umožní pokračování procesu, pokud ne, odepře přístup.

Typy přístupových tokenů

Existují dva typy přístupových tokenů:

Primární přístupový token

Primární přístupové tokeny mohou být spojeny pouze s procesem a jsou předmětem zabezpečení procesu. Vytváření primárních tokenů a jejich přiřazování k procesu jsou privilegované operace, které vyžadují dvě různá oprávnění (k oddělení oprávnění). V typickém scénáři služba identity vytvoří token a přihlašovací služba jej přidruží k prostředí operačního systému uživatele . Při vytváření zdědí nové procesy kopii primárního tokenu nadřazeného procesu.

Vydávání se za přístupové tokeny

Zosobnění je koncept zabezpečení jedinečný pro systém Windows NT , který umožňuje serverové aplikaci dočasně "být" klientem pro přístup k chráněnému objektu. Zosobnění se skládá ze tří možných úrovní: identifikace, která serveru umožňuje ověřit klienta, zosobnění, která serveru umožňuje jednat jménem klienta, a delegování, stejné jako zosobnění, rozšířené pouze na práci se vzdálenými systémy, které server komunikuje s. Klient si může v parametru připojení zvolit maximální možnou míru zosobnění na serveru. Delegování a zosobnění jsou privilegované operace. Zosobnění přístupových tokenů lze přidružit pouze k vláknům a jsou předmětem zabezpečení klientského procesu. Tokeny zosobnění se obvykle vytvářejí a přiřazují k aktuálnímu vláknu implicitně pomocí mechanismů IPC , jako jsou DCE RPC , DDE a pojmenované kanály .

Komponenty přístupového tokenu

Přístupový token se skládá z různých polí, mimo jiné z následujících:

  • identifikátor ;
  • identifikátor přidružené přihlašovací relace. Relace je udržována službou identity a je naplněna pakety identity se sbírkou všech informací (pověřovacích údajů) poskytnutých uživatelem během přihlášení. Mandát se používá pro přístup ke vzdáleným systémům bez nutnosti opětovné identifikace klienta za předpokladu, že všechny zúčastněné systémy sdílejí informace o identitě.
  • uživatelské ID. Toto pole je nejdůležitější a je chráněno proti zápisu.
  • identifikátor skupin, kterých je uživatel (resp. subjekt) součástí. ID skupiny nelze odstranit, ale lze je deaktivovat. Maximálně jedné ze skupin je přiřazen identifikátor relace, libovolná skupina představující relaci přihlášení, která umožňuje přístup k různým objektům spojeným s relací.
  • omezení skupinových identifikátorů (pole je volitelné). Toto je další sada skupin, která neposkytuje další přístup, ale omezuje jej: přístup k objektu je otevřený pouze tehdy, je-li otevřen také jedné z těchto skupin. Tento typ skupiny nelze smazat ani zakázat.
  • privilegia, tedy speciální schopnosti uživatele. Většina oprávnění je ve výchozím nastavení zakázána, aby se předešlo možnému poškození špatně chráněnými programy. Počínaje Windows XP Service Pack 2 a Windows Server 2003 lze oprávnění odebrat z přístupového tokenu voláním AdjustTokenPrivileges() s atributem SE_PRIVILEGE_REMOVE.

Výchozí vlastník, primární skupina a ACL pro objekty vytvořené subjektem spojeným s tokenem uživatele.

Poznámky

  1. ↑ 1 2 3 Přístupové tokeny archivovány 21. července 2012 na Wayback Machine  
  2. ↑ Bezpečnostní deskriptory Archivováno 5. srpna 2011 na Wayback Machine  
  3. ↑ Zabezpečitelné objekty Archivováno 5. srpna 2011 na Wayback Machine