Security in Windows Dank

Transkript

1 Security in Windows 2000 Diplomarbeit mit dem Thema: Security in Windows 2000/XP für NTFS und Registry Autor: Michael Achleitner (ein Mitarbeiter des SAT-Teams Teams am FIM) FIM Institut für Informationsverarbeitung und Mikroprozessortechnik Johannes Kepler Universität Linz, A-4040 A Linz, Austria sat@fim.uni-linz.ac.at, Web: Dank Dieses SAT-Projekt, in dessen Rahmen dieser Vortrag entstand, wird von Microsoft Research Cambridge UK ( unterstützt. 1

2 Gliederung Sicherheitskonzept in Windows 2000 Login Accesstoken Security Identifier Rights / Permissions Access Control List / ACE Inheritance Dateisysteme Fat (Fat12/16/32) NTFS Neuerungen Reparse Points Mount Volumes Special Permissions Inheritance Fallbeispiele Gliederung (2) 2

3 Registry Gliederung (3) Aufbau Special Permissions Inheritance Gliederung (4) Struktur der Diplomarbeit SAT Projekt Objektkonzept Service Datenbank Tabellen Beispiel Datensatz 3

4 Security in Windows 2000 Login (1) Login Authorization Authentication Two-Factor Authentication Smartcards Bioware Authentication Protocols Kerberus v5 (Domains) NTLM Security in Windows 2000 Login (2) NTLM Authentication LAN Manager Security f. Shares mit Windows 95/98 NTLM Version 1 Verbindungen mit NT 4 Service Pack 3 Servern NTLM Version 2 Verbindungen mit NT 4 Service Pack 4+ Servern 4

5 Access Token Funktion Datenstruktur mit User- und Security Informationen Security Identifier (SID) Eindeutige Identifikation innerhalb des Contexts Beispiele User Mike auf Computer Vampire: S Computer Vampire S Wellknown SID Users: S Local Group Test Group S

6 S SID (2) S: Bezeichnung f. SID 1: Versionsnummer f. Windows2000 5: Identifier Authority: S-1-5 S 5 bezeichnet NT-Authority Subauthorities (meist ComputerSID) 1002: Bezeichner f. die User/Gruppe etc. Well-known SIDs SID (3) Everyone: S-1-1-0S Network: S-1-5-2S Authenticated Users: S S 11 Administrators: S S Power Users: S S Administrator: S-1-5-<domain> S <domain>-500 Domain Admins: S-1-5-<domain> S <domain>-512 6

7 Privileges/Permissions Privileges Zuordnung zu einem User/Gruppe Gelten Systemweit Gespeichert im Access Token Vergabe im Policy Editor Beispiele: Privileges Backup files and directories Change system time Shutdown Take ownership Logon locally Access this computer from a network 7

8 Vergabe ad Objekt Mit dem Objekt gespeichert Securitydsecriptor Owner System ACL Discretionary ACL Permissions Access Control List SACL (System Audit Control List) Überwachnungsfunktion DACL (Discretionary Access Control List) Bestehend aus Access Control Entries (ACE) ACE Enthält: SID, Bitmaske und Flags zur Vererbung 8

9 ACE/ACL (2) Es gibt einen gravierenden Unterschied zwischen einer leeren und einer nicht vorhanden ACL. Eine nicht vorhandene ACL bedeutet vollen Zugriff für alle, also das gleiche wie [Everyone Full Control]. Im Gegensatz dazu blockiert eine leere ACL alle Versuche. Aufbau einer ACL: ACE/ACL (3) Explicit Deny ACE Explicit Allow ACE Inherited Deny ACE Inherited Allow ACE Eine Zugriffsabfrage erfolgt von oben nach unten bis eine explizite Ablehnung gefunden wurde (Deny) oder ein passendes Allow 9

10 Vererbung allgemein Im Kontext der Vererbung teilt W2K Objekte in zwei Gruppen: Container Noncontainer Vererbung ist der Prozess, bei dem das Containerobjekt (in Zukunft Vater genannt) Informationen an Objekte innerhalb weitergibt sowohl Container als auch Noncontainer Vererbung (2) Wie im vorherigen Kapitel gezeigt kann eine ACL sowohl explizite als auch vererbte ACEs enthalten. Welcher Art der Eintrag ist, wird durch einen Wert im Header der ACE festgelegt. INHERITED_ACE: : zeigt nur, dass die ACE vom Vater vererbt wurde. Vererbte ACEs können nicht modifiziert werden, und sind im GUI grau dargestellt. 10

11 Vererbung (3) INHERIT_ONLY_ACE: : Dieser Eintrag wird zwar an Kinder weitervererbt, gilt aber nicht für das Vaterobjekt selbst. CONTAINER_INHERIT_ACE: : Diese ACE wird nur an Containerobjekte weitervererbt. Wird in Verbindung mit inherit_only_ace verwendet OBJECT_INHERIT_ACE: : Das Equivalent zur Container_inherit_ace wirkt nur auf noncontainer Objekte und wird dort in eine normale inherited ACE umgewandelt. NO_PROPAGATE_INHERIT_ACE: : Dieser Eintrag gilt nur für den Vatercontainer und seine Kinder, er wird nicht weiter vererbt. Vererbung (GUI) Im Kontext der Vererbung teilt W2K Objekte in zwei Gruppen: Container Noncontainer Der Windows Explorer bietet folgende Schnittstelle zum Einstellen der Vererbung 11

12 Unterbrechen der Vererbung Ein expliziter Bruch der Vererbung bedeutet, dass auch später keine weiteren ACEs diesem Punkt vererbt werden Securable Objects Files and directories Pipes Processes Threads Access tokens Window stations Registry keys Active Directory... 12

13 Dateisysteme - Übersicht FAT Allgemein FAT12 FAT16 FAT32 NTFS Dateisystem Übersicht Allgemein Aufbau Eigenschaften, Funktionen Neuerungen in Windows 2000 Verschlüsselung Quotas Reparse points Volume mountpoints 13

14 Aufbau des NTFS Die kleinste Einheit im NTFS ist ein Cluster und liegt je nach Partitionsgröße zwischen 512 Bytes und 64 KB. Diese Werte sind jedoch nicht fix, sondern können vom Administrator bei der Formatierung verändert werden. Komprimierung wird auf NTFS Laufwerken nur bis zu einer Clustergröße bis 4 KB unterstützt, auch haben einige andere Disktools Probleme mit größeren Clustern. Der Bootsektor liegt am Anfang der Partition und enthält BIOS-Parameter sowie die Adresse und Art der Startupfiles zum Laden des Betriebssystems. Bei x86- Computern die Datei ntldr Aufbau des NTFS Kern des NTFS ist der Master File Table (MFT) der bei der Formatierung angelegt wird. Die ersten 16 Blöcke sind reserviert. Alle Informationen über die Dateien wird dort abgespeichert, bei sehr kleinen Dateien sogar der Datenblock. Wenn die Dateiinformationen (ACE etc.) zu groß werden, kann ein File auch mehrere MFT- Einträge belegen. 14

15 Disc Quotas Das Quotenmanagemen muß erst für ein Volume aktiviert werden bevor man dann die Einträge für individuelle User anlegen kann. Das GUI bietet dazu eine Defaulteinstellung für neue Benutzer. Disc Quotas Weitere Eigenschaften Recoverable Fehlerhafte Blöcke werden in eine BadBlocks- Table geschrieben und nicht mehr verwendet. Change Log Distributed link tracking Reparse Points 15

16 NTFS Reparse points Erweiterung der Dateiattribute ID Datenblock Filesystem übergibt den Handle an den entsprechenden Filesystem filter driver. Bisherige Verwendung: Volume Mountpoints Encryption Compression Sparse Files Native Structured Storage Volume Mountpoints Mountpoint ist ein leeres Verzeichnis in beliebiger Tiefe. Jedes andere Dateisystem kann in einer NTFS-Partition als Mountpoint eingetragen werden 16

17 Probleme mit Mountpoints Sparse Files Wenn dieses Attribut gesetzt is, entfernt NTFS leere Blöcke aus Dateien (zeros) Bsp: Videobearbeitung NTFS Sparse files 17

18 Rechte im NTFS Full Control Modify Read & Execute List Folder Contents Read Write Hierarchie der Rechte Full Modify RX Write List Read 18

19 Rechte - Advanced 13 Rechtepaare Jeweils Allow/Deny Deny hat Vorrang Vererbte Rechte sind grau dargestellt Zuordnung Simple/Advanced Read List Write Read/Execute Modify Full Control ReadData, ReadAttr, ReadEA, ReadPerm Traverse/Execute, List, ReadAttr, ReadEA, ReadPerm Create/ReadData, AppendData, WriteAttr, WriteEA, Read + List RX + Write Modify + Delete + TakeOwnership 19

20 Owner Creator Implizite Rechte Kann alle Rechte ändern Backup Operator Leserecht auf alle Objekte Administrator Systemweites Recht auf Take Ownership Verschlüsselte Objekte können nur vom Owner gelesen werden NTFS - Vererbung 0 1 x C-- This folder only ( = do not inherit) CBB This folder, subfolders and files (default) CSS This folder and subfolders CFF This folder and files C -BF Subfolders and files only S F -SS Subforders only B -FF Files only Current Folder Subfolders Files Both 20

21 Registry In der Registry haben nur Container Rechte Simple: Read Full Control Registry - Rechte 21

22 Registry Rechte (2) Registry - Vererbung C = current key S = subkeys 0 1 x C-- This key only ( = do not inherit) CSS This key and subkeys -SS Subkeys only CS- This key and subkeys & propagate inheritable permissions one level only -S- Subkeys only & propagate inheritable permissions one level only 22

23 Aufteilung der Diplomarbeit Auslesen der ACL/ACEs der Objekte im NTFS Auslesen der ACL/ACE der Registrykeys Komprimierung der Informationen Speicherung in der Datenbank (MS-SQL) SQL) Sonderbehandlung mancher SID s Speziabehandlung der Mountpoints Komponenten des SAT-Systems Systems Datenbank Controller Service auf den lokalen Rechnern ADS Scanner NTFS Scanner Registry Scanner User/Group info etc. 23

24 Objekt-Hierarchie SecObject RegObject FSObject FSDirectory FSFile Objekt-Hierarchie (2) CScanner CRegScanner CNtfsScanner 24

25 ACL Acl_id Hashwert Benötigte Tabellen Über den Hash läßt sich ein schneller Vergleich anstellen Tabellen (2) ACE ACL_id SID Mask Type Flags ObjectType (NULL) Inherited_ObjectType (NULL) fromstdsecurity (NULL) 25

26 Tabellen (3) Object_Table ObjectID Name ObjectGUID Amount ObjectTypeGUID Path Date Parent ACL_ID OwnerSID BreaksStdSecurity BreaksInheritance FullPath Version Level 0 Komprimierung Keine Komprimierung, alle Objekte werden in die DB geschrieben ( Datensätze) Level 1 Objekte gleichen Typs mit gleicher ACL werden zusammengefasst Bsp: Vortrag.doc doc Files mit Vortrag.doc als neueste/älteste Datei (konfigurierbar) 26

27 Level 2 Komprimierung (2) Falls alle Dateien eines Verzeichnisses die gleiche Security haben, wird nur *.* und die Anzahl in die Datenbank geschrieben. Ansonsten gleich wie Level 1 Komprimierung (3) Weitere Optionen Zusammenfassen von Dokumenten die gleichen Applikationen zugeordnet sind Z.B. html/htm Es werden nur Objekte geschrieben, bei denen die Security von der Vererbung abweicht. 27

28 Specials Pfad in der ObjectTable ist eine Abbildung der Hierarchie auf einem Basis62 System D-0 D-0-1 D-0-2 D-0-3 D-0-4 Dies ermöglicht vereinfachte Range-Abfragen in der DB. Wenn nur die Punkte mit veränderter Security in die DB geschrieben werden, bleibt dieses Feld leer, da die nötigen Verzeichnisse dazwischen nicht vorhanden sind Well-known SIDs Specials (2) Sind auf allen Computern gleich Bedeutung aber oft nicht gleich. Qualifiziert mit der ComputerSID Bsp: Administrator SID: S-1-5-<domain> S <domain>-500 Lokale Admin ist jedoch unterschiedlich, aber alle Administrator-Accounts Accounts in einer Domain haben die gleiche SID Betrifft alle Lokalen Gruppen/User mit SIDs der obigen Form, nicht jedoch Gruppen wie Everyone, Users,... 28