Маркер доступу - це
Маркер доступу - це об'єкт, що інкапсулює дескриптор безпеки процесу [1]. Доданий до процесу, дескриптор безпеки ідентифікує власника об'єкта [2] [3]. Поки маркер використовується для представлення тільки інформації з безпеки, він технічно вільний за своїм змістом і може містити будь-які дані. Маркер доступу використовується Windows. коли процес намагається взаємодіяти з об'єктами, дескриптори безпеки яких вимагають контроль доступу [1]. Маркер доступу представлений системним об'єктом типу Token. У зв'язку з тим, що маркер - звичайний системний об'єкт, доступ до самого маркера може бути проконтрольована за допомогою дескриптора безпеки, але це зазвичай ніколи не робиться на практиці.
Маркер доступу генерується сервісом входу в систему, коли користувач реєструється і його справжність успішно встановлена, визначаючи права користувача в дескрипторі безпеки, укладеному в маркер. Маркер додається до кожного процесу, створеному сесією користувача (процеси, власником яких є користувач) [1]. Коли б такий процес ні запитував будь-який ресурс, доступ до якого контролюється, Windows дивиться в дескрипторі безпеки в маркері доступу, чи має користувач, власник даного процесу, право доступу до даних, і, якщо так, які операції (читання, запис / зміна) йому дозволені. Якщо операція дозволена в контексті даного користувача, Windows дозволяє процесу її продовжувати, якщо немає, то відмовляє в доступі.
Типи маркерів доступу
Існує два типи маркерів доступу:
Первинний маркер доступу
Первинні маркери доступу можуть бути асоційовані тільки з процесом і є суб'єкт безпеки процесу. Створення первинних маркерів і їх асоціація з процесом є привілейованими операціями, такими, що потребують двох різних привілеї (для поділу привілеїв) - типовий сценарій бачить створює маркер доступу сервіс ідентифікації та сервіс входу в систему, асоціює його з оболонкою операційної системи. Процес спочатку успадковує копію первинного маркера батьківського процесу. Імперсоналізірующіе маркери доступу можуть бути асоційовані тільки з потоками і є суб'єкти безпеки клієнтського процесу.
Імперсоналізірующіе маркер доступу
Імперсоналізація - це концепт безпеки властивий тільки Windows NT. що дозволяє серверному додатку тимчасово «бути» клієнтом для доступу до охоронюваного об'єкту. Імперсоналізація складається з трьох можливих рівнів: ідентифікація, що дозволяє сервера перевіряти справжність клієнта, імперсоналізація, що дозволяє серверу працювати від імені клієнта, і делегація, то ж, що і імперсоналізація, тільки розширена на роботу з віддаленими системами, з якими зв'язується сервер. Клієнт може вибрати максимально можливий рівень імперсоналізаціі на сервері в параметрі підключення. Делегація і імперсоналізація - привілейовані операції.
Складові маркера доступу
Маркер доступу складається з різних полів, включаючи, але не обмежуючись, наступні:
Власник за замовчуванням, первинна група і ACL для об'єктів, створених суб'єктом, асоційованим з маркером користувача.