Как было показано в статье «базовые права доступа«, базовые права доступа, дополнительные атрибуты SUID/SGID, владельцы, счетчик имен и другие основные свойства файлов хранятся в их метаданных. Кроме этого, файлам могут быть назначены списки контроля доступа и метки безопасности SELinux, которые являются их дополнительными свойствами и хранятся за пределами метаданных, при помощи расширенных атрибутов attr. Каждый… Читать далее »
Еще одна известная реализация мандатных механизмов разграничения доступа в RedHat/CentoOS/Fedora Linux называется W:[SELinux] (Security Enhanced Linux) и имеет несколько моделей применения и соответствующих им наборов мандатных правил, называемых политиками. Политики SELinux описывают ограничения доступа субъектов — программ к объектам операционной системы — файлам, сетевым портам протоколов TCP и UDP и пр. на основе меток безопасности..… Читать далее »
В Unix мандатные механизмы разграничения являются дополнительными и активируются по желанию пользователя или дистрибьютора. Так, например, в Ubuntu Unux по умолчанию устанавливается и активируется модуль принудительного разграничения доступа apparmor. Модуль W: [АppАrmor] имеет некоторое количество готовых к употреблению наборов мандатных правил (называемых профилями) для ограничения (англ, confine) доступа субъектов — программ к объектам операционной системы… Читать далее »
В Linux дискреционные механизмы разграничения доступа (DAC, discretionary access control) являются основными и всегда активны. Их использование предполагает, что владельцы объектов правильно распоряжаются правами доступа к находящимся в их владении объектам. Например, пользовательские закрытые ключи, используемые службой W:[SSH], в каталоге ~/.ssh или ключи W:[GnuPG] в каталоге ~/.gnupg, и прочие секретные данные (подобные ключи доступа в… Читать далее »
Режим доступа к файлу (access mode), определяющий базовые разрешения r, w и х только для трех субъектов доступа (владельца, группы-владельца и всех остальных), не является достаточно гибким и удобным инструментом разграничения доступа. Списки контроля доступа (W: [ACL], access control lists), согласно стандарту POSIX.1e, расширяют классический режим доступа к файлу дополнительными записями, определяющими права доступа… Читать далее »
Для разграничения действий над файлами определены три базовых права доступа (базовые разрешения): чтение r — «read», запись w — «write» и выполнение х — «execute», соответствующие разрешению выполнять системные вызовы read, write и execve (точнее, системному вызову open с флагами O_RDONLY и O_WRONLY, но для простоты можно считать r — read, a w — write).… Читать далее »
В Linux, как и в любой многопользовательской системе, абсолютно естественным образом возникает задача разграничения доступа субъектов — пользователей к объектам — файлам дерева каталогов. Один из подходов к разграничению доступа — так называемый дискреционный (от англ, discretion — чье-либо усмотрение) — предполагает назначение владельцев объектов, которые по собственному усмотрению определяют права доступа субъектов (других пользователей)… Читать далее »
Сосуществование разных по своей сути файловых систем в едином дереве файлов и каталогов позволяет использовать для работы с его файлами «обычные» программы, ничего не знающие ни о местоположении, ни о свойствах самих источников информации этих файлов. Таким же «файловым» образом можно организовать доступ к файлам внутри GZ/ZIP/…-архивов, файлам внутри ISO-образов CD/DVD-дисков, файлам зашифрованных каталогов, файлам… Читать далее »
Развитие идеи файла, как единицы обеспечения доступа к информации, привело к тому, что абстракцию файловой системы перенесли и на другие сущности, доступ к которым стал организовываться в виде иерархии файлов. Например, информацию о процессах, нитях и прочих сущностях ядра операционной системы и используемых ими ресурсах предоставляет программам в виде файлов псевдофайловая система proc. Таким же… Читать далее »
Разные файловые системы fs, как упоминалось ранее, предназначены для хранения информации на внешних носителях и преследуют различные цели, например, обеспечивают надежное хранение при помощи журнала транзакций или быстрый поиск метаданных файла (среди множества каталогов, подкаталогов и других файлов) по его имени, либо учитывают специфику свойств самого носителя и т. д. Дисковые файловые системы В большинстве… Читать далее »