A hozzáférési jogkivonat a Microsoft Windows osztályba tartozó operációs rendszerek programobjektuma , amely munkamenet-biztonsági információkat tartalmaz, és azonosítja a felhasználót, a felhasználói csoportot és a felhasználói jogosultságokat.
A hozzáférési jogkivonat egy olyan objektum, amely egy folyamat biztonsági leíróját tartalmazza [1] . Egy folyamatra alkalmazva a biztonsági leíró azonosítja az objektum tulajdonosát [2] [3] . Mindaddig, amíg a jelölő csak biztonsági információk megjelenítésére szolgál, a tartalom technikailag ingyenes, és bármilyen adatot tartalmazhat. A hozzáférési jogkivonatot a Windows akkor használja, amikor egy folyamat olyan objektumokkal próbál kapcsolatba lépni, amelyek biztonsági leírói hozzáférés-szabályozást igényelnek [1] . A hozzáférési jogkivonatot egy Token típusú rendszerobjektum képviseli . Mivel a token egy szokványos rendszerobjektum, a tokenhez való hozzáférés egy biztonsági leíróval szabályozható, de ez a gyakorlatban általában soha nem történik meg.
A bejelentkezési szolgáltatás hozzáférési jogkivonatot hoz létre, amikor a felhasználó regisztrál, és sikeresen hitelesíti a felhasználó jogait a tokenben található biztonsági leíróban. A token minden, a felhasználó munkamenete által létrehozott folyamathoz csatolva van (a felhasználó tulajdonában lévő folyamatok) [1] . Amikor egy ilyen folyamat hozzáférés-vezérelt erőforrást kér, a Windows a hozzáférési jogkivonat biztonsági leírójában megnézi, hogy a felhasználó, a folyamat tulajdonosa hozzáfér-e az adatokhoz, és ha igen, milyen műveleteket hajt végre (olvasás, írás/írás). módosítani) megengedett neki. Ha az adott felhasználó környezetében engedélyezett a művelet, akkor a Windows engedélyezi a folyamat folytatását, ha nem, akkor megtagadja a hozzáférést.
Kétféle hozzáférési token létezik:
Elsődleges hozzáférési tokenAz elsődleges hozzáférési jogkivonatok csak folyamatokhoz társíthatók, és a folyamat biztonsági tárgyai. Az elsődleges tokenek létrehozása és egy folyamathoz való társítása olyan privilegizált műveletek, amelyek két különböző jogosultságot igényelnek (a jogosultságok elkülönítéséhez). Egy tipikus forgatókönyv szerint az identitásszolgáltatás létrehoz egy tokent, és a bejelentkezési szolgáltatás társítja azt a felhasználó operációs rendszerhéjához . Létrehozáskor az új folyamatok öröklik a szülőfolyamat elsődleges jogkivonatának másolatát.
Hozzáférési tokenek megszemélyesítéseA megszemélyesítés a Windows NT egyedi biztonsági koncepciója, amely lehetővé teszi a kiszolgálóalkalmazások számára, hogy ideiglenesen kliensként „legyenek” egy védett objektum eléréséhez. A megszemélyesítés három lehetséges szintből áll: azonosítás, amely lehetővé teszi a szerver számára a kliens hitelesítését, a megszemélyesítés, amely lehetővé teszi a szerver számára, hogy a kliens nevében járjon el, és a delegálás, amely megegyezik a megszemélyesítéssel, csak olyan távoli rendszerekkel való együttműködésre terjeszthető ki, amelyeket a szerver. -vel kommunikál. Az ügyfél a kapcsolati paraméterben kiválaszthatja a megszemélyesítés maximális lehetséges szintjét a szerveren. A delegálás és a megszemélyesítés kiemelt műveletek. A megszemélyesítő hozzáférési jogkivonatok csak szálakhoz társíthatók, és az ügyfélfolyamat biztonsági tárgyai. A megszemélyesítési tokeneket általában implicit módon hozzák létre és társítják az aktuális szálhoz olyan IPC - mechanizmusok segítségével, mint a DCE RPC , DDE és az elnevezett csövek .
A hozzáférési token különböző mezőkből áll, beleértve, de nem kizárólagosan, a következőket:
A felhasználói tokenhez társított alany által létrehozott objektumok alapértelmezett tulajdonosa, elsődleges csoportja és ACL -je.