2.5. Ідентифікатори безпеки
Для кожного облікового запису операційна система створює ідентифікатор безпеки (Security Identifier, SID), який зберігається в базі даних менеджера облікових записів SAM. Ідентифікатор безпеки є бінарним представленням облікового запису і використовується системою безпеки при своїй роботі для ідентифікації облікових записів. Фактично ідентифікатор безпеки ідентифікує користувача на рівні системи безпеки. Використання ідентифікатора безпеки прискорює роботу системи безпеки, оскільки в цьому випадку система при ідентифікації користувачів працює з числовими, а не символьними даними.
Символічно структура ідентифікатора безпеки може бути описана таким чином:
S - R - I – SA0 – SA1 - SA2 -SA3 - SA4 …
Тут кожен символ позначає групу біт, що мають певне значення, а саме:
s - представляє символ S, який означає, що подальше числове значення є ідентифікатором безпеки;
r - представляє версію (Revision Level) формату ідентифікатора безпеки, зачинаючи з операційної системи Windows NT версії 3.1, формат ідентифікатора безпеки не змінювався і тому значення R завжди дорівнює 1;
i - представляє 48-бітове число, яке позначає рівень авторизації облікового запису (Top-level Authority або Identifier Authority), який пов'язаний з даним ідентифікатором безпеки. Це значення також називається ідентифікатором авторизації облікового запису;
sa - представляє 32-бітове число, яке уточнює рівень авторизації облікового запису (Subauthority), пов'язаного з даним ідентифікатором безпеки. Це число також називається відносним ідентифікатором облікового запису (Relative Identifier, RID).
Тут під рівнем авторизації розуміється рівень, на якому був створений обліковий запис, або, іншими словами, безліч облікових записів, якій належить обліковий запис. Зумовлені значення рівнів авторизації облікових записів приведені в таблиці. 36.1.
У свою чергу, відносні ідентифікатори облікового запису призначені для конкретизації або, іншими словами, однозначної ідентифікації облікових записів.
У спільному випадку кількість бітових полів типа sa в ідентифікаторі безпеки може бути довільною. У нашому конкретному випадку розгледимо структуру ідентифікатора безпеки, який має тільки п'ять бітових полів типа sa:
S - R - I – SA0 – SA1 - SA2 -SA3 - SA4
Такі ідентифікатори безпеки створюються для користувачів і груп. В цьому випадку бітові поля типа sa мають наступний сенс:
поле SAo уточнює авторизацію облікового запису, який пов'язаний з даним ідентифікатором безпеки;
поля sai, sa2 і sa3 представляють унікальний 96-бітовий ідентифікатор комп'ютера, на якому встановлена система;
поле SA4 нумерує ідентифікатори безпеки, створювані усередині системи. Номери від 0 до 999 зарезервовані для використання
системою. А номери, зачинаючи з 1000, привласнюються новим ідентифікаторам безпеки, при цьому значення SA4 збільшується на 1 при створенні кожного нового ідентифікатора безпеки для користувача або групи усередині системи.
У таблиці. 36.1-36.4 приведені символьні представлення деяких зумовлених констант і ідентифікаторів безпеки, використовуваних в операційних системах Windows. При цьому відзначимо, що ідентифікатори безпеки зумовлених груп зазвичай мають наступну структуру:
S - R - I - SAo
У таблиці. 36.1 представлені зумовлені універсальні ідентифікатори безпеки. Тут слово "універсальний" означає, що ці ідентифікатори безпеки мають сенс в будь-якій системі, яка використовує дискреційну модель безпеки.
У таблиці. 36.2 представлені зумовлені універсальні ідентифікатори облікового запису (Identifier Authority), які визначені в системах з дискреційною політикою безпеки.
Таблиця 36.1. Зумовлені універсальні SID
Таблиця 36.2. Зумовлені значення типа облікового запису
Перші чотири ідентифікатори облікового запису з таблиці. 36.2 використовуються в зумовлених універсальних дескрипторах безпеки. Останній ідентифікатор використовується в дескрипторах безпеки, відомих на платформах Windows. Ці дескриптори безпеки приведені в таблиці. 36.3.
Таблиця 36.3 представляє символьні позначення для відносних ідентифікаторів (RID), використовуваних із зумовленим ідентифікатором безпеки SECURITY_NT_AUTHORITY (S-1-5) для створення SID, які не є універсальними, але відомі на платформі Windows.
Таблиця 36.3. Дескриптори безпеки, відомі на платформах Windows
У таблиці. 36.4 приведені зумовлені відносні ідентифікатори облікового запису, які використовуються в універсальних дескрипторах безпеки SID.
Таблиця 36.4. Зумовлені відносні ідентифікатори облікового запису
Текстові представлення встановлених ідентифікаторів безпеки можна проглянути в ключі реєстру HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ProfileList. Клацнувши кнопкою миші на потрібному ідентифікаторі безпеки, можна побачити обліковий запис, пов'язаний з цим ідентифікатором безпеки.