Descripteurs de sécurité dans les systèmes de fichiers

Les systèmes de fichiers Windows peuvent prendre en charge le stockage et la gestion des descripteurs de sécurité associés à des unités de stockage individuelles au sein du système de fichiers. La granularité du contrôle de sécurité appartient entièrement au système de fichiers. Par exemple, un système de fichiers peut conserver un seul descripteur de sécurité qui couvre tout sur un volume de stockage donné, tandis qu’un autre peut fournir des descripteurs de sécurité qui couvrent différentes parties d’un seul fichier donné. Les modèles que la plupart des développeurs sont à l’aise avec ceux fournis par les systèmes de fichiers Windows existants :

• NTFS prend en charge un modèle de descripteur de sécurité par fichier (ou répertoire). NTFS est efficace dans son stockage des descripteurs de sécurité, en stockant une seule copie de chaque descripteur de sécurité, même s’il est utilisé par de nombreux fichiers différents.

• FAT, CDFS et UDFS ne prennent pas en charge les descripteurs de sécurité.

• RDBSS et le redirecteur réseau SMB fournissent une prise en charge comparable à celle fournie par le volume distant.

Toutefois, ces systèmes de fichiers ne représentent pas toutes les implémentations possibles de la sécurité Windows pour les systèmes de fichiers.

Un descripteur de sécurité Windows se compose de quatre éléments distincts :

• Identificateur de sécurité (SID) du propriétaire de l’objet. Le propriétaire d’un objet a toujours la possibilité de réinitialiser la sécurité sur l’objet. Il s’agit d’un bon moyen de s’assurer que, par exemple, tous les accès à un objet peuvent être supprimés. Car même si les propriétaires suppriment leur capacité à effectuer toutes les opérations, ce droit inhérent leur permet de restaurer leurs droits de sécurité sur l’objet.

• Identificateur de sécurité facultatif (SID) du groupe par défaut de l’objet. Le concept de propriété de groupe n’est pas obligatoire dans Windows, mais il est utile pour certaines applications.

• Liste de contrôle d’accès système (SACL) qui décrit la stratégie d’audit du descripteur de sécurité.

• Liste de contrôle d’accès discrétionnaire (DACL) qui décrit la stratégie d’accès du descripteur de sécurité.

La figure suivante illustre un descripteur de sécurité Windows.

Les descripteurs de sécurité sont des objets de taille variable, chacun des sous-composants individuels étant également de taille variable. Pour faciliter le stockage hors connexion des descripteurs de sécurité, un descripteur de sécurité peut être au format auto-relatif, auquel cas l’en-tête est le décalage dans la mémoire tampon vers le composant spécifique du descripteur de sécurité. Un format en mémoire se compose de valeurs de pointeur vers les différentes parties du descripteur de sécurité. Pour un système de fichiers, le format auto-relatif est normalement le plus utile, car il permet un stockage et une récupération simples du descripteur de sécurité à partir d’un stockage persistant. Les applications qui génèrent des descripteurs de sécurité sont plus susceptibles d’utiliser le format en mémoire. Le moniteur de référence de sécurité fournit des routines de conversion à convertir d’un format à l’autre.

Cette section comprend les rubriques suivantes :

Identificateur de sécurité

Masque d’accès

entrée Access Control

liste Access Control