Descripteurs de sécurité dans les systèmes de fichiers
Les systèmes de fichiers Windows peuvent prendre en charge le stockage et la gestion des descripteurs de sécurité associés aux unités de stockage individuelles au sein du système de fichiers. La granularité du contrôle de la sécurité dépend entièrement du système de fichiers. Par exemple :
- Un système de fichiers peut maintenir un seul descripteur de sécurité qui couvre tout sur un volume de stockage donné.
- Un autre système de fichiers peut fournir des descripteurs de sécurité couvrant différentes parties d’un même fichier donné.
Les modèles avec lesquels la plupart des développeurs sont à l’aise sont ceux fournis par les systèmes de fichiers Windows existants :
NTFS prend en charge un modèle de descripteur de sécurité par fichier (ou répertoire). NTFS est efficace dans son stockage des descripteurs de sécurité, ne stockant qu’une seule copie de chaque descripteur de sécurité, même s’il est utilisé par de nombreux fichiers différents.
FAT, CDFS, UDFS ne prennent pas en charge les descripteurs de sécurité.
RDBSS et le Redirecteur Réseau SMB fournissent un support comparable à celui offert par le volume distant.
Ces systèmes de fichiers, cependant, ne représentent pas toutes les implémentations possibles de la sécurité des systèmes de fichiers Windows.
Un descripteur de sécurité Windows se compose de quatre parties distinctes :
L’identificateur de sécurité (SID) du propriétaire de l’objet. Le propriétaire d’un objet a toujours la capacité de réinitialiser la sécurité sur l’objet. Cette capacité garantit, par exemple, que tout accès à un objet peut être supprimé. Parce que même si les propriétaires suppriment leur capacité à effectuer toutes les opérations, ce droit inhérent leur permet de restaurer leurs droits de sécurité sur l’objet.
Un identificateur de sécurité (SID) facultatif du groupe par défaut de l’objet. Le concept de propriété de groupe n’est pas requis dans Windows, mais est utile pour certaines applications.
La liste de contrôle d’accès système (SACL) qui décrit la politique d’audit du descripteur de sécurité.
La liste de contrôle d’accès discrétionnaire (DACL) qui décrit la politique d’accès du descripteur de sécurité.
La figure suivante illustre un descripteur de sécurité Windows.
Les descripteurs de sécurité sont des objets de taille variable, chacun des sous-composants individuels ayant également une taille variable. Pour faciliter le stockage hors ligne des descripteurs de sécurité, un descripteur de sécurité peut être en format auto-relatif, auquel cas l’en-tête est le décalage dans le tampon vers le composant spécifique du descripteur de sécurité. Un format en mémoire se compose de valeurs de pointeurs vers les différentes parties du descripteur de sécurité. Pour un système de fichiers, le format auto-relatif est normalement le plus utile car il permet un stockage et une récupération simples du descripteur de sécurité à partir du stockage persistant. Les applications qui construisent des descripteurs de sécurité sont plus susceptibles d’utiliser le format en mémoire. Le moniteur de référence de sécurité fournit des routines de conversion pour convertir d’un format à l’autre.
Cette section comprend les articles suivants :