Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Sicherheits-IDs 13
Komponenten einer SID
Eine SID setzt sich aus mehreren erforderlichen Elementen zusammen. Abbildung 1.8 zeigt
die unterschiedlichen Komponenten einer SID.
SIDs beginnen immer mit dem Text »S«, das kennzeichnet sie als SID. Sie enden immer mit
einer relativen ID (Relative Identifier, RID). Dazwischen haben sie 0 oder mehr Teilautoritäten
(engl. sub-authority). Der zweite Wert in einer SID ist immer die Version, momentan ist
das immer 1.
SID-Autoritäten
Nach dem Präfix »S-1-« kann sich der Rest von SIDs stark unterscheiden, er beginnt aber
immer mit einer ID-Autorität (engl. identifier authority), die angibt, welche Entität die SID
ausgestellt hat. Tabelle 1.1 zeigt die momentan verwendeten ID-Autoritäten.
Tabelle 1.1 ID-Autoritäten für SIDs
ID-Autorität Beschreibung
0 SECURITY_NULL_SID_AUTHORITY. Wird für Vergleiche verwendet, wenn die ID-Autorität unbekannt ist.
1 SECURITY_WORLD_SID_AUTHORITY. Wird benutzt, um SIDs zusammenzustellen, die für alle Benutzer
stehen. Zum Beispiel lautet die SID für die Gruppe Jeder S-1-1-0; sie wird erstellt, indem die WORLD-RID
(0) an diese ID-Autorität angehängt wird, sodass alle Benutzer aus dieser Autorität gewählt werden.
2 SECURITY_LOCAL_SID_AUTHORITY. Wird benutzt, um SIDs für Benutzer zusammenzustellen, die sich
an einem lokalen Terminal anmelden.
3 SECURITY_CREATOR_SID_AUTHORITY. Wird benutzt, um SIDs zusammenzustellen, die für den Ersteller
oder Besitzer eines Objekts stehen. Zum Beispiel ist die SID für Ersteller-Besitzer S-1-3-0; sie wird
generiert, indem die Ersteller-Besitzer-RID (ebenfalls 0) an diese ID-Autorität angehängt wird. Falls S
-1-3-0 in einer vererbbaren ACL verwendet wird, wird sie in untergeordneten Objekten, die diese ACL
erben, durch die SID des Besitzers ersetzt. S-1-3-1 ist die SID von ERSTELLERGRUPPE, sie hat
dieselbe Funktion, wird aber durch die SID der primären Gruppe des Erstellers ersetzt.
5 SECURITY_NT_AUTHORITY. Das Betriebssystem selbst. SIDs, die mit S-1-5 beginnen, wurden von
einem Computer oder einer Domäne ausgestellt. Die meisten SIDs, die Sie sehen, beginnen mit S-1-5.
Direkt von der Quelle: Die Geschichte der SIDs
Das ursprüngliche Konzept der SID nutzte sämtliche Schichten der Hierarchie aus. Jede
Schicht enthielt eine neue Teilautorität, und ein Unternehmen konnte beliebig komplizierte
Hierarchien für die ausstellenden Autoritäten entwerfen. Jede Schicht konnte wiederum
zusätzliche Autoritäten unter sich selbst anlegen. In der Praxis bedeutete das eine Menge
Aufwand bei Setup und Bereitstellung, und es ließ das Verwaltungsmodell sogar noch
altertümlicher wirken. Das Konzept, Identitäten in beliebig tiefer Verschachtelung zu
erstellen, wurde schon in frühen Entwicklungsstadien zu Grabe getragen. Allerdings war
die Struktur damals bereits zu tief integriert, als dass sie hätte entfernt werden können.