Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Terminologie der Zugriffssteuerung 75
Entwickler ACLs erstellen, deren ACEs in der falschen Reihenfolge vorliegen. Das kann
dazu führen, dass Zugriffsversuche, die eigentlich verweigert werden müssten, gewährt
werden.
Und falls explizit definierte Zulassen-ACEs einem Benutzer Zugriff gewähren, haben diese
ACEs Vorrang gegenüber geerbten Verweigern-ACEs. Das hat in der Vergangenheit ebenfalls
immer wieder für Verwirrung bei Administratoren gesorgt.
Eingeschränkte Token
Die Standardzugriffsprüfung kann auf mehrere Arten verändert werden. Ein solcher Fall
liegt zum Beispiel vor, wenn der Benutzer ein Privileg besitzt, das ein Überschreiben der
Zugriffsprüfung erlaubt. Zum Beispiel kann ein Benutzer, der das Recht zum Sichern von
Dateien besitzt, jegliche ACL umgehen, um die Daten zu lesen. Und ein Benutzer mit dem
Recht, Dateien wiederherzustellen, kann alle ACLs umgehen, um die Daten zu schreiben.
Eine andere Methode, die in Windows Vista und Server 2008 deutlich häufiger genutzt wird
als in der Vergangenheit, ist der Einsatz von eingeschränkten Token.
Ein eingeschränktes Token (engl. restricted token) wird mit der API-Funktion (Application
Programming Interface) CreateRestrictedToken erstellt. Falls ein Prozess ein Zugriffstoken
vorweist, das eingeschränkt ist, führt das Betriebssystem zwei getrennte Zugriffsprüfungen
durch. Die erste Zugriffsprüfung ist die normale. Sie stellt sicher, dass die ACL des Objekts
einer Kombination der SIDs im Token alle angeforderten Zugriffsmethoden gewährt. Die
zweite Zugriffsprüfung funktioniert genauso, überprüft die ACL aber ausschließlich auf die
einschränkenden SIDs. An einem Beispiel lässt sich das besser verstehen: Nehmen wir an,
ein Zugriffstoken hat Administratoren als normale SID und Benutzer als eingeschränkte
SID. Nehmen wir außerdem an, dass es ein Objekt gibt, das Administratoren Vollzugriff und
Benutzer Lesezugriff gewährt. Falls ein Prozess mit einem solchen Token versucht, das Objekt
zum Lesen und Ausführen zu öffnen, schlägt der Zugriffsversuch fehl, weil die Zugriffsprüfung
anhand der einschränkenden SID durchgeführt wird, und das ist die Benutzer-SID.
In diesem Fall hat Benutzer nur die Berechtigung Lesen, und der Zugriffsversuch hat Lesen,
Ausführen angefordert.
Eingeschränkte Token umfassen eine spezielle SID: S-1-5-12, falls es ein normales eingeschränktes
Token ist, und S-1-5-33, falls es ein schreibeingeschränktes Token ist (zu sehen
in Abbildung 3.12). Normal eingeschränkte Token gibt es schon lange. In Windows Vista
und Windows Server 2008 wurde eine neue Variante eingeführt, das schreibeingeschränkte
Token (engl. write-restricted token). Bei einem schreibeingeschränkten Zugriffstoken wird
die zweite Zugriffsprüfung nur für Schreibzugriff durchgeführt. Nehmen wir an, das Token
in unserem letzten Beispiel war schreibeingeschränkt, nicht nur eingeschränkt. In diesem
Fall wird der Zugriff trotzdem gewährt, weil die zweite Zugriffsprüfung nicht durchgeführt
wird (der Zugriffsversuch betraf keine Schreiboperation). Nehmen wir nun an, der Zugriffsversuch
wurde stattdessen für Lesen und Schreiben durchgeführt. In diesem Fall führt ein
schreibeingeschränktes Zugriffstoken dazu, dass der Zugriffsversuch fehlschlägt, weil diesmal
die zweite Zugriffsprüfung fehlschlägt, denn Benutzer ist schreibeingeschränkt und hat
nur die Berechtigung Lesen für das Objekt.