uprawnienia dostępu

Uprawnienia dostępu to zbiorcze określenie zasad wyznaczających zakres działań dozwolonych danej osobie.

Zakres działań określany przez uprawnienia dostępu

Uprawnienia dostępu określają, jakie operacje może wykonać użytkownik, grupa użytkowników albo proces działający w systemie. Najczęściej dotyczą odczytu pliku, zapisu nowych danych, modyfikowania istniejącej zawartości, usuwania obiektów oraz uruchamiania programu. System operacyjny sprawdza te zasady przy próbie otwarcia pliku, wejścia do katalogu, instalacji aplikacji lub zmiany ustawień. Samo posiadanie konta na komputerze nie oznacza więc automatycznie dostępu do wszystkich zasobów.

Model uprawnień zwykle rozdziela tożsamość podmiotu od zasobu, do którego podmiot próbuje się odwołać. Podmiotem może być konto lokalne, konto domenowe, grupa albo usługa systemowa. Zasób może stanowić plik, katalog, urządzenie, klucz rejestru, drukarka lub udział sieciowy. Reguła może zezwalać na daną operację albo jej zabraniać. W praktyce końcowy wynik zależy również od członkostwa w grupach, dziedziczenia ustawień z katalogu nadrzędnego oraz reguł obowiązujących na poziomie udziału sieciowego.

Uprawnienia plików w systemie Windows i systemach uniksowych

W systemie Windows uprawnienia plików i katalogów są przechowywane przede wszystkim w listach kontroli dostępu ACL powiązanych z systemem plików, na przykład NTFS. Wpis ACL może przyznać albo odebrać określone prawo konkretnemu użytkownikowi lub grupie. Do typowych praw należą odczyt, zapis, wykonywanie, usuwanie oraz zmiana uprawnień. Katalog może dodatkowo przekazywać część swoich reguł obiektom tworzonym wewnątrz, co nazywa się dziedziczeniem.

W systemach uniksowych, w tym w wielu dystrybucjach Linuksa, podstawowy zapis uprawnień rozróżnia właściciela pliku, grupę oraz pozostałych użytkowników. Dla każdej z tych kategorii występują bity odczytu, zapisu i wykonania, oznaczane odpowiednio jako r, w i x. Dla katalogu bit odczytu pozwala wyświetlać jego zawartość, bit zapisu umożliwia tworzenie lub usuwanie wpisów, a bit wykonania pozwala przechodzić przez katalog i odwoływać się do znanych nazw plików. Dodatkowe listy POSIX ACL pozwalają ustalać bardziej szczegółowe reguły dla wskazanych kont.

Ważne jest rozróżnienie uprawnień do pliku przechowywanego lokalnie od uprawnień do udziału sieciowego. W środowisku Windows dostęp przez SMB może podlegać jednocześnie regułom udziału oraz uprawnieniom NTFS. Efektywne prawo jest ograniczone przez bardziej restrykcyjną z tych warstw. Nadanie użytkownikowi pełnego dostępu do udziału nie znosi więc odmowy zapisanej w uprawnieniach NTFS.

Dziedziczenie, grupy i podwyższenie uprawnień

Uprawnienia często przypisuje się grupom zamiast pojedynczym kontom. Użytkownik należący do grupy może otrzymać prawa wynikające z jej wpisów ACL, a po zmianie członkostwa zakres dostępu może zmienić się bez modyfikowania każdego pliku osobno. Takie rozwiązanie upraszcza zarządzanie, ale utrudnia analizę sytuacji, gdy konto należy do wielu grup o różnych regułach. Przy diagnozowaniu problemu trzeba sprawdzić rzeczywiste członkostwo konta oraz to, z jakiego konta uruchomiono konkretny program.

Dziedziczenie sprawia, że nowy plik lub podkatalog może otrzymać reguły z katalogu nadrzędnego. Zmiana ustawień na wyższym poziomie może zatem wpłynąć na dużą liczbę obiektów, szczególnie gdy administrator zastosuje ją rekurencyjnie. Przerwanie dziedziczenia tworzy niezależny zestaw reguł, lecz może również spowodować odejście od przyjętej struktury dostępu. Dlatego przed zmianą warto ustalić, czy problem dotyczy jednego pliku, całego katalogu, czy wszystkich zasobów tworzonych w danej lokalizacji.

W Windows mechanizm Kontroli konta użytkownika, czyli UAC, ogranicza domyślny zakres działania procesów uruchomionych przez użytkownika należącego do administratorów. Operacja wymagająca praw administracyjnych może wyświetlić monit o zatwierdzenie albo o podanie poświadczeń. Uruchomienie programu jako administrator zmienia kontekst jego działania, ale nie powinno być traktowane jako uniwersalne rozwiązanie problemów z dostępem. Jeżeli przyczyną jest błędny właściciel, odmowa ACL, zaszyfrowany plik albo niedostępny udział, samo podwyższenie procesu może nie usunąć problemu.

Rozpoznawanie odmowy dostępu i bezpieczne przywracanie działania

Komunikat „Odmowa dostępu” nie wskazuje jednej konkretnej przyczyny. Może oznaczać brak prawa odczytu lub zapisu, próbę modyfikacji pliku używanego przez inny proces, brak uprawnień administracyjnych, ograniczenie programu antywirusowego, zasady kontroli folderów albo niedostępność zasobu sieciowego. Najpierw należy ustalić dokładną ścieżkę, nazwę konta oraz operację, która zakończyła się błędem. Inne prawa mogą być wymagane do odczytu pliku, a inne do usunięcia go lub zmiany jego właściciela.

W systemie Windows stan uprawnień można sprawdzać graficznie we właściwościach pliku lub katalogu, na karcie zabezpieczeń. Przydatne są również polecenia icacls, które wyświetla i modyfikuje listy ACL, oraz whoami /groups, pokazujące grupy przypisane do bieżącego konta. W systemach uniksowych podstawową kontrolę zapewniają polecenia ls -l, stat, chmod, chown i getfacl. Zmian nie należy wykonywać mechanicznie dla całego dysku, ponieważ nadanie wszystkim użytkownikom zapisu może umożliwić przypadkowe usuwanie plików lub modyfikację programów.

Przywracanie dostępu powinno polegać na nadaniu minimalnego zestawu praw potrzebnych do wykonania konkretnej czynności. Bezpieczniej dodać konto do właściwej grupy albo zmienić jedną regułę dla wskazanego katalogu niż wyłączyć kontrolę dostępu w całym systemie. Po zmianie należy ponowić test z konta użytkownika, którego dotyczy problem, sprawdzić tworzenie, odczyt i usuwanie przykładowego pliku oraz upewnić się, że pozostałe zasoby zachowały zamierzony poziom ochrony. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z dostępem do plików, katalogów oraz urządzeń systemowych.