Bevoegdheden beheren in een bestandssysteem

Privilege is een mechanisme dat het besturingssysteem gebruikt om specifieke bewerkingen te beheren. Aan elke bevoegdheid zijn bepaalde bewerkingen gekoppeld die de aanroeper van de bewerking kan uitvoeren als aan de volgende twee voorwaarden wordt voldaan:

• De bevoegdheid moet worden bewaard door de beller.
• De bevoegdheid moet ook worden ingeschakeld.

Het principe van deze vereisten staat bekend als minimale bevoegdheden. Het minste privilege vereist dat bevoegdheden worden ingeschakeld voordat ze worden gebruikt, in plaats van aangenomen. Deze vereiste minimaliseert de kans dat een gebruiker per ongeluk een bewerking kan uitvoeren die niet van plan was. SeRestorePrivilege zou bijvoorbeeld normaal gesproken toestaan dat de beller de gebruikelijke controles voor schrijftoegang tot een bestand omzeilt. Een beheerder wil bijvoorbeeld de normale beveiligingscontroles niet daadwerkelijk negeren bij het kopiëren van een bestand; Ze willen dit echter mogelijk doen bij het herstellen van hetzelfde bestand met behulp van een hulpprogramma voor back-up/herstel.

Voor bestandssystemen zijn er veel bevoegdheden die vaak worden gebruikt om het normale gedrag (met name beveiligingscontroles) voor het systeem te wijzigen. Deze bevoegdheden zijn:

• SeBackupPrivilege staat het ophalen van bestandsinhoud toe, zelfs als de beveiligingsdescriptor op het bestand deze toegang mogelijk niet verleent. Een beller waarvoor SeBackupPrivilege is ingeschakeld, maakt een beveiligingscontrole op basis van ACL mogelijk.

• SeRestorePrivilege staat het wijzigen van bestandsinhoud toe, zelfs als de beveiligingsdescriptor op het bestand deze toegang mogelijk niet verleent. Deze functie kan ook worden gebruikt om de eigenaar en beveiliging te wijzigen.

• SeChangeNotifyPrivilege biedt doorkruisrechten. Deze bevoegdheid is een belangrijke optimalisatie in Windows omdat hiermee de kosten voor het uitvoeren van een beveiligingscontrole op elke map in een pad worden verwijderd.

• SeManageVolumePrivilege staat specifieke beheerbewerkingen op volumeniveau toe, zoals vergrendelingsvolume, defragmenteren, volume ontkoppelen en geldige gegevenslengte instellen op Windows XP en hoger. Een bestandssysteemstuurprogramma dwingt deze specifieke bevoegdheid expliciet af op basis van FSCTL-bewerkingen. In dit geval neemt het bestandssysteem een beleidsbeslissing om deze bevoegdheid af te dwingen. De bepaling of deze bevoegdheid wordt aangehouden door de beller wordt gedaan door de beveiligingsreferentiemonitor als onderdeel van de normale bevoegdheidscontrole.

Hoewel er talloze andere bevoegdheden zijn, zijn ze normaal gesproken ondoorzichtig voor bestandssystemen en worden ze alleen door de SRM (Security Reference Monitor ) geïnterpreteerd.

De belangrijkste Windows-routines voor het beheren van bevoegdheden in een bestandssysteem zijn:

• SePrivilegeCheck voert een controle uit op een specifieke set benodigde bevoegdheden.

• SeSinglePrivilegeCheck voert een controle uit op één specifieke bevoegdheid; het is een geoptimaliseerde versie van SePrivilegeCheck.

• SeAccessCheck voert normale toegangscontrole uit op een object (normaal gesproken een bestandsobject voor een bestandssysteem).

• SeFreePrivileges freest het bevoegdheidsblok dat wordt geretourneerd door een eerdere aanroep naar SeAccessCheck.

• SeAppendPrivileges voegt ingeschakelde bevoegdheden toe aan een ACCESS_STATE-structuur. Normaal gesproken zou een bestandssysteem de ACCESS_STATE gebruiken die aan het systeem is doorgegeven tijdens de IRP_MJ_CREATE-verwerking.