Bezpenos operanch systmovMarek Urbank2003/2004

vodSasn operan systmy poskytuj spravidla viaclohov prostredie pre jednho alebo viacerch pouvateov sasnePracuj na potaoch s jednm alebo viacermi procesormiVyuvaj HW podporu procesora pre manament virtulnej pamti a multitaskingOtzka bezpenosti je mimoriadne komplexn problematika, a preto sa zameriam len na niektor oblasti

Hardvrov predpoklady pre modern operan systmy

Sprva pamte vrelnom reime procesora 8086

20-bitov adresn zbernica monos adresova 2^20 bitov = 1MBPre pouvatea je dostupnch len 640kB, zvyok je rezervovan pre BIOS, gr. pam, apod.Adresa sa sklad z dvoch ast, kad z nich je uloen v osobitnom 16-bitovom registri procesora, zapisuje sa v tvare segment:offset, takto adresa nie je jednoznanFyzick adresa sa vypota posunom segmentu o 4 bity vavo a pripotanm offsetuTto architektra neumoovala HW kontrolu prstupu do pamti a nebola vhodn pre multitasking

Procesory 80386 a vyie32-bitov adresn zbernica, monos adresova 4GB pamteZ dvodu sptnej kompatibility aj tieto procesory po tarte potaa pracuj v relnom reime, prstup k pamti je toton s 8086 (1MB)Mu vak prejs do chrnenho (protected) reimu, vyuva HW podporu pre virtulnu pam vekosti 4GB pouitm strnkovania (paging)Vetky 32-bitov OS (Win 9x a vyie, Linux, ...) pracuj v chrnenom reime

Sprva pamti v chrnenom reimeSasou procesora je MMU (Memory Management Unit), ktor zabezpeuje preklad virtulnej adresy na HW rovni:Vetky procesy pouvaj 32-bitov adresy a pracuj v linernom virtulnom pamovom priestore vekosti 4GB bez akejkovek nvznosti na fyzick pamVirtulny pamov priestor je rozdelen na strnky (pages) rovnakej vekosti, spravidla 4KB (zvisl od procesora)Fyzick pamov priestor je rozdelen na rmce (page frames) rovnakej vekosti ako strnky

Preklad adresy v chrnenom reimePred pouitm MMU mus operan systm vytvori v pamti tabuku nazvan page directory table (alebo tie page directory index) - adresr strnkovacch tabuliek.Jej adresu ulo OS do pecilneho registra procesoraObsahuje 1024 32-bitovch fyzickch adries strnkovacch tabuliek (page tables), jej vekos je 1024*4 = 4KB Strnkovacie tabuky s poslednm stupom prekladu adresy, obsahuj fyzick adresy 4kB rmcov

Priebeh prekladu adresyProcesor (MMU) rozdel virtulnu adresu na 3 asti:10 najvych bitov sa pouije ako index do page directory tableTakto zskan fyzick adresu pouije procesor na prstup do prslunej tabuky strnok (page table)alch 10 bitov virtulnej adresy MMU pouije ako index v tabuke strnok zskanej v predolom krokuStanm zvynch 12 bitov virtulnej adresy s obsahom prslunej poloky tabuky strnok sa zska poadovan fyzick adresa, ktor sa odole po adresnej zbernici procesoraPDT okrem odkazov na PT obsahuje aj bity indikujce prtomnos PT, analogicky poloky PT okrem adresy rmca obsahuj daj o jeho dostupnostiAk preklad virtulnej adresy nebol spen (na ktoromkovek stupni), procesor vyvol vnimku page fault tto mus oetri operan systm

Priebeh prekladu adresyPage DirectoryPage TablePage Frame

10b10b12b32-bitov virtulna adresa

Dvod pouitia dvojrovovej nepriamej adrescieTakto mechanizmus etr pamou kad tabuka zaber 4KB pamtiMlokedy je potrebn pre aplikciu definova cel 4GB adresn priestor (tabuka strnok by zaberala 4MB)Sta definova page directory table (4KB) a len potrebn poet tabuliek strnok, ostatn poloky PDT mono oznai ako neexistujceTakto preklad adries je pomal, na urchlenie sa pouva asociatvna pam obsahujca niekoko najpouvanejch virtulnych adries, nazvan Translation Look-aside Buffer

Operan systmySprva virtulnej pamti a multitaskingVemi zko svisiace zleitosti

Multitasking zkl. pojmyBudem uvaova jednoprocesorov systmMultitasking ilzia behu viacerch programov sasneas procesora je rozdelen na tzv. kvant (Windows 20 120 ms, Linux 10 300 ms)Tieto kvant s prideovan striedavo prideovan jednotlivm procesomDnen OS pouvaj tzv. preemptvny multitasking, to znamen, e OS ur, kedy bude vykonvanie procesu pozastaven a bude spusten in proces

lohy OS multitasking a VMMPrideli spustenmu procesu as 4GB adresnho priestoruVytvorenie PDT tabuky pre kad proces a prslunch tabuliek strnok poda pamovch nrokov procesuTabuky musia by vytvoren tak, aby pri pokuse procesu o prstup do pamti inho procesu alebo pamti vyhradenej pre systm dolo k vnimkePlnovanie procesovPrideova as procesora tak, aby bola zachovan dostaton interaktivita interaktvnych procesov (textov editor) a sasne dostaton vkon vpotovo nronch procesov (archivan programy, kdovanie videa, ...)

lohy OS multitasking a VMMContext Switching zmena prve beiaceho procesuSpova v uloen aktulneho stavu procesora a nahraden tohto stavu inm (predovetkm obsah registrov, s tm svis aj pamov priestor aplikcie (register obsahujci adresu PDT danho procesu)Implementcia virtulnej pamti strnkovanieViacero sasne beiacich aplikci ahko vyerp dostupn fyzick pamOS mus niektor rmce fyzickej pamte (na zklade uritej stratgie, napr. neaktvnych procesov na pozad) presun na disk (page-out)Strnku, ktor odkazovala na tento rmec, ozna ako neplatn v tabuke strnok danho procesu

lohy OS multitasking a VMMObsluha vnimky page fault procesora nespech prekladu virtulnej adresy:OS mus na zklade internch truktr zisti:Pokus o neleglny prstup do pamte (napr. do adresnho priestoru, ktor nie je pridelen danmu procesu) v takomto prpade je proces, ktor vnimku vyvolal, spravidla ukonenPokus o prstup na strnku, ktor bola odsunut na disk v takomto prpade OS mus odsun nejak in strnku na disk (poda nejakej stratgie, napr. LRU, odstrni ju z adresnho priestoru danho procesu a do takto uvonenho rmca nahra z disku poadovan strnku (page-in) a zaradi strnku do adresnho priestoru beiaceho procesu, nakoniec retartova intrukciu, ktor vyvolala vnimku

Operan systmy identifikcia a autentifikcia, sprva pouvateov

Oprvnen pouitie OSZklad bezpenosti operanch systmov:K potaovmu systmu a dtam by mali ma prstup len oprvnen pouvateliaOprvnen pouvate m v operanom systme vytvoren et, prostrednctvom ktorho pristupuje k potau a dajomToto sa zabezpeuje identifikciou a autentifikciou potencilneho pouvatea

Identifikcia a autentifikciaSpravidla prebieha zadanm pouvateskho mena a heslaPouvatesk meno (username) je identifiktor, ktor poskytuje operanmu systmu informciu o tom, kto ste (a napr. ak mte prva)Heslo (password) najastejia forma autentifikcie pouitm hesla potvrdte operanmu systmu, e ste naozaj ten, za koho sa vydvate (identifikujete)alie monosti autentifikcie zahaj pouitie hardvrovch kov (napr. mag. karty) alebo biometrickch dajov (zriedkav)

Autentifikcia heslomIde o najastej spsob autentifikcie voi operanmu systmu, zasli si trochu pozornosti

Dobr a zl heslZl heslo je heslo, ktor sa d ahko uhdnuHesl s v sasnosti zkladom potaovej bezpenosti a preto im treba venova patrin pozornosoho sa treba vyvarova:Prezradi komukovek hesloHeslo toton s pouvateskm menomMen osb, firmy, koly,Meno potaa, operanho systmuDtum narodenia, rodn slo, telefnne slo, adresaMen miestSlovo zo slovnka (aj cudzojazynho)Postupnos psmen na klvesnici, napr. qwertzokovek z predolho napsan odzadu

Dobr a zl heslDobr heslo je heslo, ktor sa ned ahko uhdnuDobr heslo by malo spa tieto kritri:Obsahuje mal aj vek psmenOkrem psmen obsahuje aj sla a/alebo interpunkn znamienkaMe obsahova medzery Je ahko zapamtatenJe spo 8 znakov dlhDobr heslo mono naprklad vytvori striedanm spoluhlsok a samohlsok, prida niekoko sel vznikne nezmyseln slovo, ktor sa ahko pamt, napr. hAriQe25

alie monosti zvenia bezpenosti hesielPouvatesk ty v operanch systmoch mono nastavi tak (UNIX, Linux, W2K/XP), aby sa po uritom pote nespench pokusov o prihlsenie zablokovali, snaha zabrni potencilnemu tonkovi hda hesloTento prstup sa vak neodpora, ovea vhodnejie je po nespenom pokuse o prihlsenie do systmu umoni pokus o alie prihlsenie a o niekoko seknd

Implementcia hesiel, pouvateov a skupnUNIX/Linux

Sbor /etc/passwd Tradine UNIX/Linux eviduje vetkch pouvateov v tomto sbore, jeho riadok me vyzera naprklad takto:

Identifiktor pouvatea (UID) Skuton meno pouvatea Predvolen shellPouvatesk meno Identifiktor skupiny(GID) Domovsk adresr

Jednotliv poloky s oodelen znakom :X znamen, e zakryptovan (MD5) heslo pouvatea je uloen v sbore /etc/shadow, ku ktormu m prstup len root

rachel:x:181:100:Rachel Cohen:/u/rachel:/bin/ksh

Superpouvate - rootTakmer kad systm odvoden od UNIX-u obsahuje pecilneho pouvatea uvedenho v sbore /etc/passwd s UID 0Ide o takzvanho superpouvatea, jeho pouvatesk meno je rootHlavnou lohou root-a je sprva systmu takmer vetky bezpenostn obmedzenia s ignorovan pre programy spusten tmto pouvateom

Pouvatelia a skupinyKad pouvate systmu patr do jednej alebo viacerch skupnSkupina m podobne ako et nzov a identifikan slo (GID)Skupiny sa pouvaj spravidla na zoskupenie pouvateov s podobnmi prvami na prstup k sborom, zariadeniam, apod.Kad pouvate patr do primrnej skupiny, uvedenej v sbore /etc/passwd

Sbor /etc/groupTento sbor obsahuje zoznam skupn v systme, ich GID a priradench pouvateov, me vyzera naprklad takto (uvdzam len 2 riadky):

Nzov skupiny Identifiktor skupiny (GID) lenovia skupinyJednotliv poloky s oodelen znakom :* znamen, e pre skupinu me existova heslo

vision:*:101:keith,arlin,janice startrek:*:102:janice,karen,arlin

Niektor prkazy pre sprvu pouvateov a skupn

groupaddVytvor nov skupinugroupdelZru skupinugroupmodModifikuje skupinugroupsVype skupiny, do ktorch patr pouvateidVype ID a GID pouvatealognameVype login pouvateapasswdZmen heslo pouvateasuZmen identitu pouvateauseraddPrid pouvatesk etuserdelOdstrni pouvatek etusermodModifikuje et pouvateawhoZobraz prihlsench pouvateovwhoamiVype efektvne UID

Niektor distribcie Linuxu poskytuj grafick prostredie na sprvu pouvateov a skupn (Mandrake 9.1)

Sprva pouvateov a skupn v operanom systme Windows XP

Sprva pouvateskch tovMe pracova v dvoch reimoch: tandardnom (Win XP Home obsahuje len tento reim), alebo v plnohodnotnom reime (tieto reimy som pomenoval ja)Informcie pecifick pre pouvatea/et sa spravidla ukladaj v adresri Documents And Settings\[Meno pouvatea], ktor je umiestnen na tej istej logickej jednotke ako intalcia OS

tandardn sprva tov: Ovldac panel Uvatesk ty

Tu mono nastavi aj spsob prihlasovania pouvateov :Kliknutm na meno na vodnej obrazovke a prpadnm zadanm heslaZadanm mena a prpadnho hesla

tandardn reimPodporuje len tri typy pouvateskch tov:Sprvca potaa (je automaticky lenom skupiny Administrators)Obmedzen et (je lenom skupiny Users)Guest etalej mono nastavi:Pouvatek menoHesloObrzok pri prihlsen

Sprva pou. tov

Sprva tu

Zmena typu tu

Obmedzen etZisten metdou pokus-omylPredpokladom je tandardn nastavenie NTFS filesystmuNiektor limity:Zakzan vytvranie a modifikcia sborov v intalanom adresri OS, tie v adresri Program FilesZakzan modifikcia existujcich sborov, ktor vytvoril akkovek in pouvatePouvate s takmto tom neme konfigurova a intalova HW zariadenia (Device Manager / Sprvca zariaden)Neme spravova ty inch pouvateov na svojom te me zmeni heslo a obrzokDo registra systmu me zapisova len do vetvy HKEY_CURRENT_USER

Obmedzen etalie obmedzenia:Pouvate nem prstup do adresra Documents and settings iadneho inho pouvatea (okrem zdieanch dokumentov)Mnoh programy neme korektne naintalova

et guest je toton s obmedzenm tom, jedin rozdiel je v nemonosti zmeni heslo (aj tomuto tu me by priraden)

AdministrtorPre administrtora existuje jedno dleit obmedzenie:Ak zmen heslo inho pouvatea, me djs k strate nasledujcich dajov:Osobn certifiktyZapamtan internetov heslSbory zaifrovan pomocou NTFS

Pokroil monosti sprvy pouvateovLen OS Windows XP

Nstroj Sprva potaaUmouje komplexn sprvu pouvateov (pouvate mus patri do skupiny Administrators)Ovldac panel Nstroje pre sprvu Sprva potaaTento nstroj umouje (okrem mnohch inch vec) vytvranie skupn pouvateov a priraovanie pouvateov do jednotlivch skupn, pouvate me by lenom aj viacerch skupn

Sprva pouvateov

Sprva skupnOS obsahuje mnostvo preddefinovanch skupn pouvateov

Group Policy EditorV preklade Ovldac panel Nstroje pre sprvu Miestne nastavenie bezpenostiVemi irok monosti rznych bezpenostnch nastavenPrklady:Zsady hesiel:Minimlna dka hesla, maximlny vek heslaHistria hesiel (zabrauje opakovanmu pouitiu hesielUzamknutie tu Monosti audituNapr. prihlasovanie a odhlasovanie pouvateov

Nastavenie zsad hesiel

Nastavenie uzamykania tov

Nastavenie auditu

Sborov systmyZkladn prvok bezpenosti operanho systmu

Charakteristika sborovho systmuSborov systm organizuje fyzick diskov priestorRiadi spsob ukladania pouvateskch informci (sbory, adresre, apod.)Spravidla okrem ukladania tchto informci k nim takisto riadi prstupJe zkladnm mechanizmom na vyntenie bezpenosti operanho systmu

Sborov systmy typu FATWindows 9x, ME, (2K, XP)

FAT12/16/32Prv verzie tohto FS (FAT12) vznikli koncom 70-tych rokov minulho storoiaOhad na jednoduchos, nie na bezpenosNeskr vznikli modifikcie FAT16, FAT32Tieto filesystmy neobsahuj iadnu podporu pre bezpenos (riadenie prstupu k sborom, kvty, apod.)OS WXP mono naintalova aj na partciu s FAT filesystmom, ale v takomto prpade nebud funkn takmer iadne bezpenostn prvky OS WXP!!!!Jednoznane sa z bezpenostnho hadiska odpora poui sborov systm NTFS

Sborov systmy Ext2, Ext3V sasnosti tandardn sborov systmy pre UNIX/Linux

Atribty sborov a prvaZklad bezpenosti OS UNIX/LinuxKadmu sboru a adresru v tchto FS je pridelen mnoina atribtov:Menoasov dajeVekos (len pre sbory)VlastnkSkupinaPrstupov prva

Prkaz lsVetky spomenut atribty sborov/adresrov mono zisti prkazom ls -l, vsledok me vyzera napr. takto:total 2128drwx---r-- 2 mx mx 4096 Apr 2 10:57 d1/drwx-----x 2 mx mx 4096 Apr 2 11:02 d2/drwx------ 2 mx mx 4096 Apr 2 11:07 d3/drwxrwxr-x 2 mx mx 4096 Apr 3 22:38 d4/drwxrwxr-x 4 mx mx 4096 Apr 1 21:40 Desktop/drwxr-xr-x 11 mx mx 4096 Mar 12 20:19 Documents/drwxr-xr-x 2 mx mx 4096 Mar 2 08:50 driver/-rw-rw-r-- 1 mx mx 467746 Mar 5 21:16 kscan_0001.png-rw-rw-r-- 1 mx mx 244661 Mar 5 21:21 kscan_0002.pngdrwxr-xr-x 4 mx mx 4096 Mar 2 08:41 libstdc++doc/drwxr-xr-x 6 mx mx 4096 Feb 20 14:14 p2c/drwxr-xr-x 2 mx mx 4096 Mar 8 13:54 pkg/-rw-rw-rw- 1 mx mx 129844 Mar 19 22:25 print.pdfdrwxrwxr-x 4 mx mx 4096 Mar 6 14:34 prj001/-rw----r-- 1 mx games 921654 Jan 31 17:30 screenshot1.bmp

Prkaz lsPrv riadok vpisu znamen, e sbory v aktulnom adresri zaberaj 2128KBprva skupiny poet odkazov skupina asov daj posl. modifikcieadresr prva vlastnka prva ostatnch vlastnk vekos nzov sboruPrva: - prvo nie je pridelenpsmeno prvo je pridelen

-rw-rw-r--1mxmx467746Mar 5 21:16kscan_0001.png

Prstupov prva pre sboryrprvo ta obsah sboruwprvo zapisova = meni obsah sboru, zmaza sborxprvo spusti sbor zmyslupln len pre binrne spustiten sbory alebo pre skripty

Pre root-a neplatia iadne obmedzenia v tejto oblasti!!!

Prvo na spustenie sboruna spustenie programu nie je potrebn prstup na tanie to znamen, e pouvate me takto program sce spusti, ale neme vytvori jeho kpiuak pouvate nem prvo na spustenie programu, ale iba na tanie, me si vytvori kpiu tohto sboru a spusti ju. Takto spusten program vak bude ma inho vlastnka a in absoltne meno sboru

Prstupov prva pre adresrerprvo zisti len men sborov v adresri (nie prva, vekosti, apod.)xprvo zisti ostatn informcie o sboroch v adresri (okrem mien)prvo vstpi do adresra (pomocou cd)prvo pristupova k obsahu sborov v adresriwprvo pridva, meni, premenova a maza poloky adresra, a to aj v prpade, e to prstupov prva k sborom danmu pouvateovi neumouj!!!Pre root-a neplatia iadne obmedzenia v tejto oblasti!!!

Prkladyuvaujme adresre zo snmky 53:

drwx---r-- 2 mx mx 4096 Apr 2 10:57 d1/drwx-----x 2 mx mx 4096 Apr 2 11:02 d2/drwx------ 2 mx mx 4096 Apr 2 11:07 d3/drwxrwxr-x 2 mx mx 4096 Apr 3 22:38 d4/

Nech kad z adresrov obsahuje tieto sbory:

total 16-rw-r--r-- 1 mx mx 357 Apr 2 11:07 hello2.php-rw-rw-r-- 1 mx mx 111 Apr 2 11:07 hello.php-rw-r--r-- 1 mx mx 19 Apr 2 11:07 PHPInfo.php-rw-r--r-- 1 mx mx 140 Apr 2 11:07 test001.html

Pokus o vpis obsahu a prstup k sborom v adresri d1 (in pouvate)ls l d1

ls: d1/hello2.php: Permission deniedls: d1/hello.php: Permission deniedls: d1/PHPInfo.php: Permission deniedls: d1/test001.html: Permission deniedtotal 0

cat d1/hello.phpcat: d1/hello.php: Permission denied

Pokus o vpis obsahu a prstup k sborom v adresri d2 (in pouvate)ls l d2ls: d2: Permission denied

cat d2/hello.php

PHP Test >

Pokus o vpis obsahu a prstup k sborom v adresri d3 (in pouvate)ls l d3ls: d3: Permission denied

cat d3/hello.phpcat: d3/hello.php: Permission denied

Pokus o vpis obsahu a prstup k sborom v adresri d4 (in pouvate)ls l d4total 16-rw-r--r-- 1 mx mx 357 Apr 2 11:07 hello2.php-rw-rw-r-- 1 mx mx 111 Apr 2 11:07 hello.php-rw-r--r-- 1 mx mx 19 Apr 2 11:07 PHPInfo.php-rw-r--r-- 1 mx mx 140 Apr 2 11:07 test001.html

cat d4/hello.php

PHP Test >

Prkazy chmod a umaskKe pouvate vytvor sbor, prvotn nastavenie prstupovch prv k tomuto sboru je spravidla -rw-rw-r--Toto predvolen nastavenie mono zmeni pomocou prkazu umaskprstupov prva k existujcim sborom a adresrom mono zmeni pomocou prkazu chmodPrstupov prva k sboru me meni iba vlastnk sboru alebo rootPod Linuxom spravidla existuj grafick nstroje na zmenu prstupovch prv sborov a adresrov

Prkazy chown a chgrpTieto dva prkazy me pouva iba rootPrkaz chown sli na zmenu vlastnka sboru alebo adresraPrkaz chgrp analogicky sli na zmenu skupiny sboru alebo adresra

SUID, SGIDNiekedy je potrebn, aby neprivilegovan pouvate vykonal lohu, na ktor s potrebn vyie prvaPrkladom je zmena hesla program passwd potrebuje meni sbor /etc/shadow, ku ktormu nem ben pouvate prstupPrve pre takto programy sa nastav bit SUID a/alebo SGID, ktor spsob, e program nepobe s prvami toho, kto ho spustil, ale s prvami vlastnka programu a/alebo skupiny

Sticky bitPre sbory nem zmyselAk je nastaven pre adresr, znamen to, e sbory v adresri me maza len ich vlastnk alebo root (nie ktokovek s prvom zpisu do adresra, snmka 57)

Oznaenie SUID, SGID, Sticky bitznak x sa nahrad s alebo t

Prklad:-rwsr-sr-tSUIDSGIDSticky

OznaenieVznam---s------SUID------s---SGID---------tSticky

Zmena prstupovch prv, vlastnka a skupiny Mandrake 9.1

Atribty programu passwd Mandrake 9.1

Zver UNIX/LinuxPopsan spsob riadenia prstupu a bezpenosti k prostriedkom OS len na zklade vlastnka a skupiny je dos hrubJe znane problematick efektvne nakonfigurova prstup napr. 100 pouvateov k 1000 sborom, ak s medzi nimi zloitejie vzahyRieenm s tzv. ACL Acces Control List zoznam pouvateov oprvnench manipulova s danm prostriedkom OS priraden ku kadmu prostriedku OSZatia neexistuje jednotn implementcia ACL pre UNIX/Linux, aj ke niektor spolonosti ponkaj proprietrne rieenia

Sborov systm NTFSOperan systmy Windows NT, 2K, XP

Charakteristika NTFSMedzi zkladn vlastnosti NTFS patr:tandardn vekos alokanej jednotky je 4KB nezvisle od vekosti diskupodporuje partcie vie ako 2 TBvekos sboru je obmedzen len vekosou partciepodporuje ACLpodporuje kompresiu a ifrovanie sborov

NTFS a WXPtandardn sprvanie sa NTFS filesystmu som popsal na snmkach 36-37Aby sa dali vyui vetky monosti riadenia prstupu k adresrom a sborom, najprv treba deaktivova poloku: Ovldac panel Monosti sloky Zobrazen Pout zjednoduen sdlen soubor

Teraz mono kadmu sboru a adresru nastavi zkladn prstupov prva pre jednotliv skupiny a pouvateov

PopisV hornej asti okna vidme zoznam pouvateov a skupn, v dolnej asti ich prva, ktor meme povoli alebo odoprie kadmu pouvateovi alebo skupineAk je zakrtvacie polko siv, prvo je zdeden od nadobjektuOdopretie prva m prednos pred pridelenmPrva sa dedia od nadobjektov Prva sa potaj na zklade lenstva pouvatea v skupinch

Popis oprvnen pre sbory a adresre (1)

Popis oprvnen pre sbory a adresre (2)

Popis oprvnen pre sbory a adresre (3)

Zkladn prstupov prva na snmke 75 s nasledujcimi kombinciami prstupovch prv:

Zvltn oprvnn pln zenMnitst aspouttZobrazovat obsah sloky (pouze sloky)stZapisovatProchzet slokou / Spoutt souboryxxxxZobrazovat obsah sloky / st dataxxxxxst atributyxxxxxst rozen atributyxxxxxVytvet soubory / Zapisovat dataxxxVytvet sloky / Pipojovat dataxxxZapisovat atributyxxxZapisovat rozen atributyxxxOdstraovat podsloky asouboryxOdstraovatxxst oprvnnxxxxxxMnit oprvnnxPebrat vlastnictvxSynchronizovatxxxxxx

Pomocou tlaidla Upesnit mono nastavi alie vlastnosti prstupuVlastnosti dedenia prstupovch prv od nadobjektovAuditovanie udalost tkajcich sa zvolench objektovZmeni vlastnkaDetailne nastavi vetky spomnan oprvnenia

Dialgov okno detailnho nastavenia prstupu

Nastavenie vetkch prstupovch prv

Zmena vlastnka

Fyzick bezpenos operanho systmu

Zdanliv bezpenos OSV mnohch potaoch s uloen citliv informcie, ktorch zneuitie by mohlo spsobi koduOS a dta, ktor spravuje, s bezpen len vtedy, ak sa k tmto dajom d dosta jedine prostrednctvom danho operanho systmuv praxi existuje mnostvo monost, ako operan systm a jeho ochrann mechanizmy obsJedinou ochranou v takomto prpade je ifrovanie citlivch dajov

Prklady niku informci chrnench opera. systmomkrde potaa/diskuOperan systmy v mnohch prpadoch vedia ta (niekedy aj zapisova) sborov systmy inch operanch systmov s tm, e ignoruj nastavenia prstupovch prv:Linux vie ta aj zapisova z/do FAT filesystmu to z hadiska bezpenosti nie je a tak zaujmavTie ta NTFS partcie a ignoruje prstupov prva, a existuje podpora aj pre zpis (nie sce 100%-n, ale o tom alej), m ale problmy s diakritikou v mench sborovPod Win 2K/XP existuje driver (ext2fsd), ktor ta a zapisuje do ext2 fs (ignoruje prstupov prva, nie je problm editova /etc/shadow apod.), podporuje aj tanie ext3

Prklad 1Uvaujme pota, na ktorom je sasne naintalovan WinXP a LinuxChceme sa naprklad pozrie do adresra root na linuxovom disku alebo chceme editova sbory /etc/passwd a /etc/shadowPostup:Spustme WXP a naintalujeme ext2fsd driver, potom namountujeme prslun linuxov disk (partciu)Vsledok uvidme na nasledujcich obrzkoch

Linuxov disk pod WinXP

A teraz u ni nestoj v ceste ...

Prklad 2Uvaujme pota, na ktorom je sasne naintalovan WinXP a LinuxChceme sa naprklad pozrie do adresra test na partcii E:\ (NTFS), kde si niekto uloil nieo vemi tajn ...Postup:Spustme Linux a alej to ide samo ...

Prklad 2 - vsledok

Prklad 3alie monosti prieniku do OS s zaloen na pouit bootovania z vymenitenho mdiaExistuje bootovaten disketa (d sa ahko njs a stiahnu), ktor obsahuje pecilnu verziu Linuxu, pecilne uren na zmenu / odstrnenie administrtorskho hesla z Windows-u 2K/XPZver: Zakza bootovanie z vymenitench mdi v BIOS-e a zaheslova ho

Sborov systmy a ifrovanie

Transparentn ifrovanie - NTFSZabezpeuje transparentn prstup k sborom jedine pouvateovi, ktor ich zaifroval (nem k nim prstup ani administrtor)K dajom nemono pristupova ani z inho OS, avak ni nebrni napr. ich zmazaniuPre pouvatea pouvajceho EFS (as NTFS) sa pred prvm pouitm vygeneruje pr kov pre asymetrick ifrovanie a vytvor sa z nich certifikt vystaven danm pouvateom pre samho seba (nedveryhodn)ifrovanie sborov prebieha symetricky (DES) pomocou nhodne generovanho ka ifrovanho pomocou verejnej asti spomnanho certifiktuDeifrovanie pouva skromn k

Princp ifrovania NTFS - EFS

Princp deifrovania NTFS - EFS

ifrovanie adresra aj s obsahom

Sprva certifiktovPrkazov riadok mmc Soubor Pidat nebo odebrat modul Snap-in ... Pidat CertifiktyZobraz sa zoznam vetkch certifiktov, ktor systm pozn, n certifikt na ifrovanie sborov njdeme v asti Osobn

Sprva certifiktovPomocou tohto nstroja mono napr. certifikty exportova a importova (o je celkom rozumn, lebo zaifrovan dta spolu s certifiktom skladova na tom istom disku nie je poda ma prli bezpen ...Pokia tento certifikt zmaeme, nebudeme u mc dta deifrova (to ist plat napr. pri reintalcii systmu) asi na to je tam ten export a import

ifrovanie pod Linux-omExistuje viacero prstupov pre transparentn ifrovanieJednou z monost je pouitie tzv. loop devicePostup (Mandrake 9.1):V normlnom sborovom systme sa vytvor sbor primeranej vekostiTento sbor sa asociuje s loop zariadenm, priom sa nastav ifrovanie (stane sa prstupn cez urit zariadenie ako napr. disk, ale bude ifrovan v relnom ase) pomocou prkazu losetupDan zariadenie sa naformtuje na poadovan sborov systm a namountujeifrovanie pouva algoritmus AES s dkou ka 128, 192 alebo 256 bitovViac informci man losetup

ifrovanie pod Linux-omExistuj aj pecializovan ifrovan filesystmy, napr.:CryptFS:ifrovanie algoritmom Blowfish so 128-bitovm kom rchly algoritmusdta neifruje po sboroch, ale po 4K blokoch

Transparent Cryptographic File Systempouva DES ifrovanie

Mandrake 9.1V tejto distribcii mono priamo zaifrova ubovon partciu disku (okrem partcie, z ktorej sa bootuje, mount point /) u pri rozdelen disku (napr. pri intalcii, ale mono to urobi aj neskr), spravidla sa mountuje ako /homeToto ifrovanie pouva algoritmus AES s dkou ka 128 bitov, na jeho generovanie vyaduje zada 20 (!!!) znakov heslo

Pouit zdroje[1] Simson Garfinkel, Alan Schwartz, Gene Spafford:Practical Unix & Internet Security, 3rd Edition[2] Jay Ramachandran: Designing Security Architecture Solutions[3] http://www.filesystems.org/docs/cryptfs/cryptfs.pdf[4] http://www.tcfs.it[5] http://www.digit-life.com/articles/ntfs/?68558[6] http://www.microsoft.com/windows2000/techinfo/howitworks/security/encrypt.asp[7] http://www.comptechdoc.org/os/linux/commands/linux_cruserman.html[8] http://www.internals.com/articles/articles.htm[9] http://www.deinmeister.de/x86modes.htm[10] http://www.informit.com/articles/article.asp?p=101760[11] http://www.winntmag.com/Articles/Index.cfm?IssueID=22&ArticleID=302[12] http://www.winntmag.com/Article/ArticleID/3774/3774.html[13] WinXP help

Dfam, e som na ni nezabudol ...

Ext3 je toton s Ext2, navye m iba tzv. urnl (ist druh transaknho spracovania operci), ktor zvyuje schopnos filesystmu zvldnu nekorektn ukonenie jeho innostikto je zvedav na syntax prkazov, nech si pozrie mankto je zvedav na syntax prkazov, nech si pozrie man