Sicherheit unter Windows NT

Unter Microsoft® Windows NT® kann ein Administrator oder ein Programm Benutzern und Gruppen unterschiedliche Zugriffsstufen auf Systemressourcen gewähren. Benutzer mit Benutzerkonten auf Windows NT müssen ihre Anmeldeinformationen (Benutzername und Kennwort) zur Identifizierung eingeben, bevor sie Zugriff auf eine Windows NT-Ressource erhalten. Gruppenkonten stehen unter Windows NT ebenfalls zur Verfügung. Sie besitzen keine Kennwörter, stellen aber eine bequeme Möglichkeit dar, gleichzeitig mehreren Benutzerkonten Berechtigungen zu erteilen.

Windows NT führt spezielle Anwendungen aus, sogenannte Dienste. Dienste sind Programme, die zusammen mit dem Betriebssystem gestartet und im Hintergrund ohne Benutzeroberfläche ausgeführt werden. (Bei dem Webserver IIS handelt es sich um einen Dienst.) Dienste und alle Anwendungen, die unter Windows NT ausgeführt werden, müssen im Kontext eines Benutzerkontos ausgeführt werden, das von einem Token dargestellt wird.

Token und Sicherheitsbezeichner

Ein Token bezeichnet einen Benutzer und die Windows NT-Gruppen, zu denen der Benutzer gehört. Es enthält darüber hinaus den Sicherheitsbezeichner des Benutzers (SID) sowie die SIDs aller Gruppen, zu denen der Benutzer gehört. Ein SID identifiziert eindeutig jeden Benutzer und jede Gruppe in Windows NT. Programme unter Windows NT werden im Kontext eines Tokens ausgeführt. Wenn ein Programm ein anderes Programm startet, übergibt es seinen Token an das neue Programm.

Zugriffskontrolllisten

Bei einer Zugriffskontrollliste (ACL) handelt es sich um eine Liste von Einträgen, die einer Datei oder einem Ordner zugeordnet sind, und angibt, welche Benutzer und Gruppen auf den Ordner oder die Datei zugreifen dürfen. Jeder Eintrag in einer ACL weist einem Benutzer oder einer Gruppe eine oder mehrere der folgenden Zugriffsstufen für Dateien zu:

• Kein Zugriff erlaubt einem Benutzer keinen Dateizugriff.
• Lesen (Daten lesen unter Windows 2000) erlaubt einem Benutzer, Daten in einer Datei anzuzeigen.
• Schreiben (Daten schreiben unter Windows 2000) erlaubt einem Benutzer, die Daten einer Datei zu ändern.
• Ausführen (Datei ausführen unter Windows 2000) erlaubt einem Benutzer, eine Programmdatei auszuführen.
• Löschen erlaubt einem Benutzer, eine Datei zu löschen.
• Berechtigungen ändern erlaubt einem Benutzer, die Berechtigungen für eine Datei zu ändern.
• Besitz übernehmen erlaubt einem Benutzer, den Besitz einer Datei zu übernehmen.
• Für Ordner können ähnliche Privilegien festgelegt werden:
• Kein Zugriff erlaubt dem Benutzer keinen Zugriff auf den Ordner.
• Lesen (Ordner auflisten unter Windows 2000) erlaubt einem Benutzer, Namen von Dateien und Unterordnern anzuzeigen.
• Schreiben (Dateien erstellen unter Windows 2000) erlaubt einem Benutzer, Dateien und Unterordner hinzuzufügen.
• Ausführen (Ordner durchsehen unter Windows 2000) erlaubt einem Benutzer, Unterordner zu ändern.
• Löschen (Untergeordnete Ordner und Dateien löschen unter Windows 2000) erlaubt einem Benutzer, einen Unterordner zu löschen.
• Berechtigungen ändern erlaubt einem Benutzer, die Berechtigungen für einen Ordner zu ändern.
• Besitz übernehmen erlaubt einem Benutzer, den Besitz eines Ordners zu übernehmen.

Identitätsübertragung von Benutzern

Beim Ausführen einer Anwendung nimmt diese die "Identität" des Benutzers an, der für die Verwendung der betreffenden Anwendung authentifiziert wurde. Wenn die Anwendung anschließend versucht, eine andere Anwendung oder eine Systemressource, wie z. B. das Dateisystem, aufzurufen, wird der Zugriff auf die neue Anwendung oder Systemressource abhängig von den Berechtigungen des Benutzers, dessen Identität angenommen wurde, erteilt oder abgelehnt. Durch die Erfordernis, dass Anwendungen als Benutzer ausgeführt werden, gewährleistet Windows NT, dass Anwendungen nur auf Systemressourcen zugreifen können, auf die auch der Benutzer zugreifen darf, der die betreffenden Anwendungen ausführt. Ferner reduziert der Identitätswechsel die Häufigkeit, mit der ein Benutzer sein Kennwort eingeben muss, da eine Vielzahl von Anwendungen und Systemdiensten aufgerufen werden kann, nachdem sich der Benutzer authentifiziert hat.

Der Identitätsübertragung funktioniert auch remote. Wenn ein Benutzer über die entsprechenden Privilegien auf einem Remote-Computer verfügt, nimmt eine Anwendung auf dem Remote-Computer die Identität des Benutzers an, der sie remote aufruft. Wenn beispielsweise ein Benutzer mit Schreibprivilegien auf einem Remote-Windows NT-Server versucht, Inhalte auf diesem Server zu erstellen, wird die FrontPage-DLL zur Texterstellung als Benutzer, dessen Identität angenommen wurde, ausgeführt und sichergestellt, dass der Benutzer nur auf die Dateien zugreifen kann, die dem betreffenden Benutzerkonto zur Verfügung stehen.