O identificador de segurança
Os sistemas operacionais Windows usam SIDs para representar todos os princípios de segurança. Os SIDs são apenas cadeias de comprimento variável de caracteres alfanuméricos que representam máquinas, usuários e grupos. Os SIDs são adicionados às ACLs (Listas de Controle de Acesso) toda vez que você concede permissão a um usuário ou grupo a um arquivo ou pasta. Por trás da cena, os SIDs são armazenados da mesma forma que todos os outros objetos de dados são, em binário. No entanto, quando você vê um SID no Windows, ele será exibido usando uma sintaxe mais legível. Não é sempre que você verá qualquer forma de SID no Windows, o cenário mais comum é quando você concede permissão a alguém a um recurso e, em seguida, sua conta de usuário é excluída, ele será exibido como um SID na ACL. Então, vamos dar uma olhada no formato típico em que você verá SIDs no Windows.
- Um prefixo "S"
- Número de revisão da estrutura
- Um valor de autoridade de identificador de 48 bits
- Um número variável de sub-autoridade de 32 bits ou valores de identificador relativo (RID)
Usando o meu SID na imagem abaixo, vamos dividir as diferentes seções para obter uma melhor compreensão.
The SID Structure:
‘S’ – The first component of a SID is always an ‘S’. This is prefixed to all SIDs and is there to inform Windows that what follows is a SID. ‘1’ – The second component of a SID is the revision number of the SID specification, if the SID specification was to change it would provide backwards compatibility. As of Windows 7 and Server 2008 R2 the SID specification is still in the first revision. ‘5’ – The third section of a SID is called the Identifier Authority. This defines in what scope the SID was generated. Possible values for this sections of the SID can be:
- 0 – Null Authority
- 1 – World Authority
- 2 – Local Authority
- 3 – Creator Authority
- 4 – Non-unique Authority
- 5 – NT Authority
’21’ – The forth component is sub-authority 1, the value ’21’ is used in the forth field to specify that the sub-authorities that follow identify the Local Machine or the Domain. ‘1206375286-251249764-2214032401’ – These are called sub-authority 2,3 and 4 respectively. In our example this is used to identify the local machine, but could also be the the identifier for a Domain. ‘1000’ – Sub-authority 5 is the last component in our SID and is called the RID (Relative Identifier), the RID is relative to each security principle, please note that any user defined objects, the ones that are not shipped by Microsoft will have a RID of 1000 or greater.
Princípios de segurança
Um princípio de segurança é qualquer coisa que tenha um SID anexado, estes podem ser usuários, computadores e até grupos. Os princípios de segurança podem ser locais ou estar no contexto do domínio. Você gerencia os princípios de segurança locais por meio do snap-in Usuários e Grupos Locais, em gerenciamento de computadores. Para chegar lá, clique com o botão direito do mouse no atalho do computador no menu Iniciar e escolha gerenciar.
Permissões de compartilhamento e permissão NTFS
No Windows existem dois tipos de permissões de arquivos e pastas, em primeiro lugar, existem as permissões de compartilhamento e, em segundo lugar, há permissões de NTFS também chamadas de permissões de segurança. Observe que, quando você compartilha uma pasta por padrão, o grupo "Everyone" recebe permissão de leitura. A segurança nas pastas geralmente é feita com uma combinação de Compartilhamento e Permissão NTFS, se for o caso, é essencial lembrar que a mais restritiva sempre se aplica, por exemplo, se a permissão de compartilhamento estiver definida como Everyone = Read (que é o padrão) mas a Permissão NTFS permite que os usuários façam uma alteração no arquivo, a Permissão de Compartilhamento terá preferência e os usuários não poderão fazer alterações. Quando você define as permissões, o LSASS (Local Security Authority) controla o acesso ao recurso. Quando você faz logon, recebe um token de acesso com seu SID, quando acessa o recurso, o LSASS compara o SID que você adicionou à ACL (Lista de Controle de Acesso) e, se o SID estiver na ACL, ele determina se permitir ou negar acesso. Não importa quais permissões você usa, existem diferenças, então vamos dar uma olhada para entender melhor quando devemos usar o quê.
Permissões de compartilhamento:
- Aplica-se apenas a usuários que acessam o recurso pela rede. Eles não se aplicam se você fizer logon localmente, por exemplo, por meio de serviços de terminal.
- Aplica-se a todos os arquivos e pastas no recurso compartilhado. Se você quiser fornecer um tipo de esquema de restrição mais granular, use a Permissão NTFS, além das permissões compartilhadas.
- Se você tiver volumes formatados em FAT ou FAT32, essa será a única forma de restrição disponível para você, pois as permissões NTFS não estão disponíveis nesses sistemas de arquivos.
Permissões NTFS:
- A única restrição em permissões de NTFS é que eles só podem ser definidos em um volume que é formatado para o sistema de arquivos NTFS
- Lembre-se de que os NTFS são cumulativos, o que significa que as permissões efetivas de um usuário são o resultado da combinação das permissões atribuídas pelo usuário e as permissões de qualquer grupo ao qual o usuário pertença.
As novas permissões de compartilhamento
O Windows 7 comprou uma nova técnica de compartilhamento "fácil". As opções mudaram de Read, Change e Full Control para. Leia e leia / escreva. A ideia fazia parte de toda a mentalidade do grupo Home e facilita o compartilhamento de uma pasta para pessoas não alfabetizadas em informática. Isso é feito através do menu de contexto e compartilha facilmente com o seu grupo de usuários.
Se você quisesse compartilhar com alguém que não está no grupo inicial, você poderia sempre escolher a opção "Pessoas específicas …". O que traria um diálogo mais "elaborado". Onde você poderia especificar um usuário ou grupo específico.
- Read permission is the “look, don’t touch” option. Recipients can open, but not modify or delete a file.
- Read/Write is the “do anything” option. Recipients can open, modify, or delete a file.
O caminho da velha escola
A caixa de diálogo de compartilhamento antiga tinha mais opções e nos deu a opção de compartilhar a pasta com um alias diferente, isso nos permitiu limitar o número de conexões simultâneas, bem como configurar o cache. Nenhuma dessas funcionalidades é perdida no Windows 7, mas está oculta em uma opção chamada "Compartilhamento Avançado". Se você clicar com o botão direito do mouse em uma pasta e acessar suas propriedades, poderá encontrar essas configurações de “Compartilhamento avançado” na guia de compartilhamento.
- Read permission allows you to view and open files and subdirectories as well as execute applications. However it doesn’t allow any changes to be made.
- Modify permission allows you to do anything that Read permission allows, it also add the ability to add files and subdirectories, delete subfolders and change data in the files.
- Full Control is the “do anything” of the classic permissions, as it allows for you to do any and all of the previous permissions. In addition it gives you the advanced changing NTFS Permission, this only applies on NTFS Folders
Permissões NTFS
A permissão NTFS permite um controle muito granular sobre seus arquivos e pastas. Com isso, a quantidade de granularidade pode ser assustadora para um recém-chegado. Você também pode definir a permissão NTFS em uma base por arquivo, bem como uma base por pasta. Para definir a Permissão NTFS em um arquivo, clique com o botão direito do mouse e vá para as propriedades dos arquivos, onde você precisará ir para a guia de segurança.
- Full Control allows you to read, write, modify, execute, change attributes, permissions, and take ownership of the file.
- Modify allows you to read, write, modify, execute, and change the file’s attributes.
- Read & Execute will allow you to display the file’s data, attributes, owner, and permissions, and run the file if its a program.
- Read will allow you to open the file, view its attributes, owner, and permissions.
- Write will allow you to write data to the file, append to the file, and read or change its attributes.
As permissões NTFS para pastas têm opções ligeiramente diferentes, então vamos dar uma olhada nelas.
- Full Control allows you to read, write, modify, and execute files in the folder, change attributes, permissions, and take ownership of the folder or files within.
- Modify allows you to read, write, modify, and execute files in the folder, and change attributes of the folder or files within.
- Read & Execute will allow you to display the folder’s contents and display the data, attributes, owner, and permissions for files within the folder, and run files within the folder.
- List Folder Contents will allow you to display the folder’s contents and display the data, attributes, owner, and permissions for files within the folder.
- Read will allow you to display the file’s data, attributes, owner, and permissions.
- Write will allow you to write data to the file, append to the file, and read or change its attributes.
A documentação da Microsoft também afirma que “List Folder Contents” permitirá que você execute arquivos dentro da pasta, mas ainda será necessário ativar o recurso “Ler e executar” para fazer isso. É uma permissão muito confusa e documentada.
Resumo
Em resumo, os nomes e grupos de usuários são representações de uma cadeia alfanumérica chamada SID (Identificador de Segurança), Compartilhamento e Permissões NTFS vinculadas a esses SIDs. As Permissões de Compartilhamento são verificadas pelo LSSAS somente quando estão sendo acessadas pela rede, enquanto as Permissões do NTFS são válidas somente nas máquinas locais. Espero que todos tenham uma boa compreensão de como a segurança de arquivos e pastas no Windows 7 é implementada. Se você tiver alguma dúvida, sinta-se livre para soar nos comentários.
