Sicurezza in Windows NT Fabrizio Inguglia

Tratteremo: Struttura generale di Windows NT 4 Gestione delle politiche di sicurezza

Come Strutturato NT? NT e Object Oriented, in pratica: – Ogni risorsa, servizio, entità e un oggetto. – Vantaggi: Livelli di protezione definiti logicamente: campi e metodi delloggetto sono invocati solo da chi ne ha i permessi coerentemente con la nozione di oggetto. Accesso coerente ad ogni tipo di componente del sistema: non vi è differenza logica tra le varie risorse dai file alle stampanti. Fornisce nomi leggibili alle risorse del sistema, vedremo NT e multiutente e multithread. – Gestione di più utenti e processi distinti tramite un architettura distribuita.

Oggetti in NT Il Kernel di NT e detto executive, a questo livello abbiamo due tipi di oggetti: – Oggetti executive:sono oggetti visibili ai processi utente – Oggetti Kernel: oggetti più primitivi, visibili solo dallexecutive

Struttura di un oggetto in NT Object Name: unico per loggetto. Object Directory:Struttura logica di cui loggetto e componente. Security Descriptor: implementa lauditing delloggetto. Security Descriptor Quota charges: campo necessario per il resource accounting. Open Handle counter: numero di processi che utilizzano loggetto. Open Handle Database: quali processi utilizzano loggetto. Type Object pointer: contiene i campi comuni a tutte le istanze. Reference Count: Indica il numero di processi kernel che usano loggetto.

Object Manager E la componente che si occupa della gestione degli oggetti, caratteristiche: – Centralizzato: tramite il security descriptor viene gestito lauditing da una sola componente. – Riferimento delle risorse ai processi in modo indiretto tramite lhandling, così i processi utente non hanno accesso diretto alla memoria. – Gestisce il resource accounting: la contabilità delle risorse in modo che singoli processi utente non monopolizzino il sistema.

Object Manager Object manager si occupa, su richiesta di un processo utente di: Allocare memoria per loggetto Specificare il dominio di protezione delloggetto Attaccare alloggtto un descrtittore di sicurezza e gestire gli accessi dei vari processi utente. Creare un handle e restituirlo al chiamante

Handling Ai processi Object Manager fornisce dei riferimenti agli oggetti: I processi utente non possono interferire con le strutture dati del sistema Facile monitorare chi e quale oggetto sta utilizzando Una volta assegnato un handle ad un processo non e più necessario conoscerne il nome, riferendosi ad una tabella OM sa per ogni processo quali operazioni gli sono permesse

Handling: esempio Handling Table del processo A

Handling: algoritmo Il processo che effettua la richiesta specifica un insieme di diritti desiderati, cioè quello che intende fare con quel oggetto. Object Manager chiama il monitor dei riferimenti della sicurezza, RSM, spedendo linsieme dei diritti desiderati dal processo. RSM, reference sicurity monitor, controlla se il descrittore di sicurezza del processo prevede quei diritti. Se e così, viene ritornata a Object Manager la lista dei diritti. Viene aggiunta un Handle nella handle table del processo dove specifichiamo anche i diritti. In questo modo object Manager li controllerà velocemente.

Resource Accounting Nellintestazione degli oggetti esiste un campo che definisce il suo numero di handle aperti Object Monitor sa in ogni istante qual e la disponiblilita delle risorse. Sempre nellintestazione degli oggetti vi e una quota, da sottrarre alla quota totale di memoria che e riservata ad un processo di un utente. Questa operazione serve a limitare gli accessi degli utenti alle risorse del sistema.

Domini di protezione: Un dominio di protezione e una coppia:. Specificano quali diritti abbia un processo su un oggetto, in analogia con Unix. Non necessariamente i domini sono disgiunti.

Domini di Protezione: Esempio Ogni processo fa parte di un dominio. Tipicamente i domini sono rappresentati tramite matrici.

La Sicurezza in NT Lidea che sta dietro la sicurezza in NT: – Creare una porta attraverso la quale ogni utente delle risorse del sistema deve passare – Le risorse sono gli oggetti – La porta è quindi Object Manager – Le operazioni critiche relative alla sicurezza sono oggetti kernel

Controllo dellAccesso Queste le funzionalità principali che controllano e limitano laccesso. – Gli account utente. – Lista di controllo degli accessi. – Descrittore di sicurezza e permessi.

Account Utente Gli account utente comprendono informazioni su: – Informazioni sullutente – Appartenenza ai gruppi – Informazioni sulla politica di sicurezza In questo modo si specificano i limiti in cui ad un utente e permesso di operare, definendo i diritti dellutente nel sistema

Account Utenti Al momento della creazione di un account vengono specificati i diritti di quell utente sulle risorse del sistema. Ad ogni account del sistema è associato un SID (identificatore di sicurezza) univoco. Quando un utente si collega ogni suo processo ha allegato un Access token che è una sorta di carta di identità dellutente.

Access Token Privileges: indica se lutente può accedere a servizi di sistema particolari, uno di essi potrebbe essere, ad esempio il debug delle applicazioni. Primary Group: mantiene il SID del gruppo Default ACL: se lutente crea un oggetto il campo contiene la lista di utenti e gruppi con i rispettivi diritti di accesso. Collegamento con access control list degli oggetti.access control list

Descrittore di sicurezza e permessi E possibile rendere sicuri tutti gli oggetti denominati in NT. Esiste un descrittore di sicurezza che descrive gli attributi di sicurezza di un oggetto comprende: – Un identificatore di sicurezza (SID) dellutente o del proprietario delloggetto – Una ACL discrezionale che identifica i diritti di altri utenti sulloggetto. – Una ACL di sistema che gestisce i messaggi di controllo che vengono generati dal sistema.

Descrittore di Sicurezza E proprio grazie allesistenza dei descrittori di sicurezza che NT implementa lauditing,cioè tutta quella serie di politiche e soluzioni che permettono di determinare in ogni istante, chi è in possesso di ogni risorsa e che utilizzo ne sta facendo, in modo da impedire abusi o utilizzi non autorizzati. Questo importante controllo è demandato allObject Manager e all Reference Security Monitor come visto in precedenza.

Lista di controllo degli accessi Componente principale del security descriptor è gestita dallutente a sua discrezione.security descriptor Abbiamo una Access Control Entry per ogni utente o gruppo che ha diritti sul nostro oggetto. Se lutente al momento della creazione non la specifica viene utilizzata quella contenuta nel suo token di accesso.token

Domini Dominio di rete è un raggruppamento logico di server di rete e altri computer che condividono informazioni comuni sulla sicurezza e sugli account per ogni utente. Allinterno dei domini gli amministratori creano un account per ogni utente. Gli utenti si collegano poi al dominio e non ai server singoli del dominio. Esiste un database che mantiene le informazioni sulla sicurezza e sugli account per ogni dominio. Al momento del logon questo database viene utilizzato per controllare lesattezza i dati inseriti. Tutti gli utenti accedono a una serie di risorse condivise.

Gestire più domini Unesigenza importante può essere quella di avere più domini per una singola organizzazione. In tal caso NT propone soluzioni diverse: – Modello a dominio singolo: ogni dominio è isolato dagli altri, anche se un utente ha accesso ad un altro dominio non può entrare. – Modello a Dominio principale: progettato per grosse organizzazioni, ha una struttura gerarchica con un dominio principale.Un utente può appartenere a più domini. – Modello su fiducia:non vi è alcun dominio principale, ogni dominio gestisce i propri utenti, ma si fida anche degli altri domini, un utente che vi ha accesso e autorizzato ad entrare.

Componenti dei domini Ogni dominio ha delle componenti in modo indipendente dal modello scelto: – Domain Controller – Relazioni di fiducia – Servizio di NetLogon

I Domain Controller I domain controller sono computer con Windows NT Server, la loro funzione è molteplice: – Mantengono le informazioni di sicurezza sui domini utilizzando una directory condivisa detta Database Directory – Gestiscono tutte le relazioni utente/dominio come ad esempio lautenticazione di un utente che si collega ad un account di dominio. – Sono Previsti due tipi di domain controller: Primary Domain Controller: tiene traccia dei cambiamenti effettuati agli account e memorizza le informazioni nella DBdirectory; è unico per ogni dominio Backup Domain Controller: mantiene un backup del Dbdirectory è sincronizzato regolarmente.

Relazioni di fiducia Una relazione di fiducia è la politica adottata da due domini in ununità amministrativa per autorizzare o meno laccesso alle risorse presenti su entrambi i domini. Possono essere di due tipi: – Monodirezionale: un dominio concede fiducia agli utenti dellaltro dominio per lutilizzo delle risorse. Le risorse che si rendono disponibili sono nel dominio che concede fiducia (trusting) e i gli account che possono utilizzarli sono nel dominio che riceve fiducia (trusted). – Bidirezionale:è costituita da due relazioni di fiducia monodirezionale ogni dominio concede fiducia agli utenti dellaltro dominio.

Il servizio di NetLogon Le funzionalità offerte dal servizio NetLogon sono: – Autenticazione dellutente, cioè fornire agli utenti un singolo punto daccesso al PDC. – Sincronizzazione dei cambiamenti nel database directory tra il PDC e il vari domain controller Se un utente tenta il logon su un computer che non e PDC o BDC allora il computer utilizzato elabora le richieste di logon e le passa ad un domain controller..

Autenticazione dellutente Il servizio NetLogon autentica la richiesta in tre passaggi: 1. Scoperta: quando il computer viene avviato, deve determinare la posizione di un domain controller allinterno del dominio ad esso si farà riferimento per ogni richiesta di logon. La localizzazione del domain controller e detta scoperta. 2. Impostazione del canale di sicurezza: viene utilizzato un account di sicurezza che rende il canale di comunicazione sicuro. 3. Pass-through autentication che viene verificata quando lutente intende collegarsi ad un dominio che non e quello locale, come ad esempio il log di ogni studente al dominio EDUC.

Autenticazione: Pass-through autentication Pass-through autenticaion: la richiesta perviene al domain controller che controlla che il dominio corrisponda il proprio, se lo e convalida il logon altrimenti controlla per i domini trusted. Se esiste un domain controlled trusted che riconosce laccount utente il logon viene accettato.