Dosya sistemlerinde güvenlik tanımlayıcıları

Windows dosya sistemleri, dosya sistemi içindeki tek tek depolama birimleriyle ilişkili güvenlik tanımlayıcılarının depolanmasını ve yönetilmesini destekleyebilir. Güvenlik denetiminin ayrıntı düzeyi tamamen dosya sistemine kadardır. Örneğin:

• Tek bir dosya sistemi, belirli bir depolama birimindeki her şeyi kapsayan tek bir güvenlik tanımlayıcısı bulundurabilir
• Farklı bir dosya sistemi, belirli bir dosyanın farklı bölümlerini kapsayan güvenlik tanımlayıcıları sağlayabilir.

Çoğu geliştiricinin rahatça kullanabilecekleri modeller, mevcut Windows dosya sistemleri tarafından sağlanan modellerdir:

• NTFS, dosya başına (veya dizin) bir güvenlik tanımlayıcısı modelini destekler. NTFS, birçok farklı dosya tarafından kullanılıyor olsa bile her güvenlik tanımlayıcısının yalnızca tek bir kopyasını depolayarak güvenlik tanımlayıcılarının depolanmasında verimlidir.

• FAT, CDFS, UDFS güvenlik tanımlayıcılarını desteklemez.

• RDBSS ve SMB Ağ Yeniden Yönlendiricisi, uzak birim tarafından sağlanan destekle karşılaştırılabilir destek sağlar.

Ancak bu dosya sistemleri, dosya sistemleri için Windows güvenliğinin tüm olası uygulamalarını temsil etmemektedir.

Windows güvenlik tanımlayıcısı dört ayrı parçadan oluşur:

• Nesne sahibinin güvenlik tanımlayıcısı (SID). Bir nesnenin sahibi her zaman nesne üzerindeki güvenliği sıfırlayabilir. Bu özellik, örneğin bir nesneye tüm erişimin kaldırılabilmesini sağlar. Çünkü sahipler tüm işlemleri gerçekleştirme yeteneklerini kaldırsalar bile, bu doğal hak nesne üzerindeki güvenlik haklarını geri yüklemelerine olanak tanır.

• Nesnenin varsayılan grubunun isteğe bağlı güvenlik tanımlayıcısı (SID). Grup sahipliği kavramı, Windows'ta gerekli olmayan ancak bazı uygulamalar için yararlı olan kavramlardan biridir.

• Güvenlik tanımlayıcısının denetim ilkesini açıklayan sistem erişim denetimi listesi (SACL).

• Güvenlik tanımlayıcısının erişim ilkesini açıklayan isteğe bağlı erişim denetimi listesi (DACL).

Aşağıdaki şekilde bir Windows güvenlik tanımlayıcısı gösterilmektedir.

Güvenlik tanımlayıcıları değişken boyutlu nesnelerdir ve her bir alt bileşenin de boyutu değişkendir. Güvenlik tanımlayıcılarının çevrimdışı depolanmasını kolaylaştırmak için, bir güvenlik tanımlayıcısı kendi kendine göreli biçimde olabilir; bu durumda üst bilgi, arabellek içindeki güvenlik tanımlayıcısının belirli bileşenine uzaklıktır. Bellek içi biçim, güvenlik tanımlayıcısının çeşitli bölümlerine yönelik işaretçi değerlerinden oluşur. Bir dosya sistemi için, güvenlik tanımlayıcısının kalıcı depolamadan basit bir şekilde depolanmasına ve alınmasına izin verdiğinden, normalde en kullanışlı biçim kendi kendine göreli biçimdir. Güvenlik tanımlayıcıları oluşturan uygulamaların bellek içi biçimini kullanma olasılığı daha yüksektir. Güvenlik referans izleyicisi, bir biçimden diğerine çevirmek için dönüştürme yordamları sağlar.

Bu bölüm aşağıdaki makaleleri içerir:

Güvenlik Tanımlayıcısı

Erişim Maskesi

Erişim Denetimi Girdisi

Erişim Denetimi Listesi