Сравнение функций авторизации привилегий - Comparison of privilege authorization features

Количество компьютеров операционные системы использовать функции безопасности, чтобы помочь предотвратить вредоносное ПО от получения достаточных привилегий для компрометации компьютерной системы. Операционные системы, в которых отсутствуют такие функции, как ДОС, Windows реализации до Windows NT (и его потомки), CP / M-80 и все операционные системы Mac до Mac OS X имели только одну категорию пользователей, которым разрешалось делать что угодно. Благодаря раздельным контекстам выполнения несколько пользователей могут хранить личные файлы, несколько пользователей могут использовать компьютер одновременно, защищать систему от злонамеренных пользователей и защищать систему от вредоносных программ. Первая многопользовательская безопасная система была Мультики, начавшая разработку в 1960-х годах; это не было до UNIX, BSD, Linux, и NT в конце 80-х - начале 90-х годов контексты многозадачной безопасности стали x86 бытовые машины.

Введение в реализации

Майкрософт Виндоус
Диалоговое окно запроса контроля учетных записей пользователейКонтроль учетных записей пользователей (ОАК):
Включено в Виндоус виста и позже Майкрософт Виндоус операционные системы, ОАК запрашивает у пользователя авторизацию, когда приложение пытается выполнить задачу администратора.[1]
Беги как:
Инструмент командной строки и команда контекстного меню, представленные в Windows 2000 что позволяет запускать программу, апплет панели управления, или Оснастка MMC как другой пользователь.[2] Runas использует «Дополнительный вход» Служба Windows, также представленный в Windows 2000.[3] Эта служба позволяет приложениям, работающим от имени отдельного пользователя, взаимодействовать с рабочим столом вошедшего в систему пользователя. Это необходимо для поддержки перетаскивания, совместного использования буфера обмена и других функций интерактивного входа в систему.
Mac OS
АутентифицироватьMac OS X включает Аутентифицировать диалоговое окно, в котором пользователю предлагается ввести пароль для выполнения задач администратора. По сути, это графический интерфейс судо команда.
Unix и Unix-подобные
PolicyKit в GNOMEPolicyKit / pkexec:
Функция авторизации привилегий, разработанная, чтобы быть независимой от используемой среды рабочего стола и уже принятая ГНОМ[4] В отличие от более ранних систем, приложения, использующие PolicyKit, никогда не запускаются с привилегиями выше, чем у текущего пользователя. Вместо этого они косвенно запрашивают PolicyKit. демон, это единственная программа, которая запускается от имени пользователя root.
судоSudo, запущенный в окне терминала в Ubuntuвс:
Инструмент командной строки для Unix. su (замещающий пользователь) позволяет пользователям переключать терминал на другую учетную запись, вводя имя пользователя и пароль этой учетной записи. Если имя пользователя не указано, операционная система суперпользователь используется учетная запись (известная как "root"), что обеспечивает быстрый способ получения логина ракушка с полными привилегиями в системе. Выпуск выход команда возвращает пользователя в его собственный аккаунт.
судо:
Создан примерно в 1980 году,[5] судо это инструмент командной строки Unix с широкими возможностями настройки, похожий на вс, но он позволяет некоторым пользователям запускать программы с привилегиями root, не создавая оболочку root и не требуя пароля root.[6]
gksudoГКСу и GKsudo:
GTK + Графический внешний интерфейс к вс и судо.[7] ГКсу появляется автоматически, когда поддерживаемое приложение должно выполнить действие, требующее привилегий root. Замена, "gksu PolicyKit", который использует PolicyKit скорее, чем вс/судо, разрабатывается в рамках ГНОМ.[8]
KdesuKdesu:
А Qt графический интерфейс к вс команда для KDE.[9]
KdesudoKdesudo:
Графический интерфейс Qt для судо это заменило Kdesu в Кубунту, начиная с Kubuntu 7.10.[10]
Ktsussкцусс:
кцусс означает "kип тон вс sорудие stupid "и представляет собой графическую версию вс. Идея проекта - оставаться простым и свободным от ошибок.
пчелапчела:
Графический интерфейс к вс команда, которая заменила гксу в Красная шляпа на базе операционных систем. Он был разработан в основном для RHEL и Fedora.[11]
делай как:
замена sudo с OpenBSD 5.8 (октябрь 2015 г.)

Соображения безопасности

Фальсифицированный / перехваченный ввод пользователя

Важным фактором безопасности является способность вредоносных приложений имитировать нажатия клавиш или щелчки мыши, таким образом обманывая или спуфинг функция безопасности для предоставления вредоносным приложениям более высоких привилегий.

  • Использование клиента на основе терминала (автономного или в рамках рабочего стола / графического интерфейса): вс и судо запускаются в терминале, где они уязвимы для подделки ввода. Конечно, если бы пользователь не запускал многозадачную среду (т.е. только один пользователь в оболочке), это не было бы проблемой. Окна терминала обычно отображаются для пользователя как обычные окна, поэтому в интеллектуальном клиенте или настольной системе, используемой в качестве клиента, пользователь должен взять на себя ответственность за предотвращение манипулирования, имитации или захвата ввода другими вредоносными программами на своем рабочем столе.
  • Использование графического интерфейса пользователя / рабочего стола, тесно интегрированного с операционной системой: Обычно настольная система блокирует или защищает все распространенные средства ввода перед запросом паролей или другой аутентификацией, чтобы их нельзя было перехватить, манипулировать или смоделировать:
  • PolicyKit (ГНОМ - руководит Икс сервер для захвата всего ввода с клавиатуры и мыши. Другие среды рабочего стола, использующие PolicyKit, могут использовать свои собственные механизмы.
  • gksudo - по умолчанию «блокирует» фокус клавиатуры, мыши и окна,[12] предотвращение чего-либо, кроме фактического пользователя, от ввода пароля или иного вмешательства в диалог подтверждения.
  • UAC (Windows) - по умолчанию запускается в Безопасный рабочий стол, предотвращая вредоносные приложения от имитации нажатия кнопки «Разрешить» или иного вмешательства в диалоговое окно подтверждения.[13] В этом режиме рабочий стол пользователя затемнен, и с ним невозможно взаимодействовать.
Если функция блокировки gksudo или Secure Desktop UAC были скомпрометированы или отключены, вредоносные приложения могли получить права администратора, используя регистрация нажатий клавиш записать пароль администратора; или, в случае UAC, если вы работаете от имени администратора, подделав щелчок мыши на кнопке «Разрешить». По этой причине распознаванию голоса также запрещено взаимодействовать с диалогом.[нужна цитата ] Обратите внимание: поскольку запрос пароля gksu запускается без особых привилегий, вредоносные приложения могут по-прежнему вести журнал нажатий клавиш, например, то Strace инструмент.[14] (ptrace был ограничен в более поздних версиях ядра)[15]

Поддельные диалоги аутентификации

Еще одно соображение безопасности - это способность вредоносного ПО обман диалоговые окна, которые выглядят как законные запросы подтверждения безопасности. Если бы пользователь ввел учетные данные в фальшивый диалог, полагая, что диалог был законным, вредоносное программное обеспечение узнало бы пароль пользователя. Если бы Secure Desktop или аналогичная функция были отключены, вредоносное ПО могло использовать этот пароль для получения более высоких привилегий.

  • Хотя это не поведение по умолчанию по причинам удобства использования, ОАК может быть настроен так, чтобы пользователь нажимал Ctrl + Alt + Del (известный как последовательность безопасного внимания ) как часть процесса аутентификации. Поскольку только Windows может обнаружить эту комбинацию клавиш, требование этой дополнительной меры безопасности предотвратит поведение поддельных диалоговых окон так же, как и нормальных диалогов.[16] Например, поддельное диалоговое окно может не предлагать пользователю нажать Ctrl + Alt + Del, и пользователь может понять, что диалоговое окно было поддельным. Или, когда пользователь действительно нажал Ctrl + Alt + Del, пользователь будет выведен на экран, Ctrl + Alt + Del обычно выводит их вместо диалогового окна подтверждения UAC. Таким образом, пользователь мог определить, было ли это диалоговое окно попыткой обманом заставить его ввести пароль к вредоносной программе.
  • В GNOME PolicyKit использует разные диалоги в зависимости от конфигурации системы. Например, диалог аутентификации для системы, оснащенной Считыватель отпечатков пальцев может отличаться от диалогового окна аутентификации в системе без него. Приложения не имеют доступа к конфигурации PolicyKit, поэтому у них нет возможности узнать, какой диалог появится и как его подделать.[17]

Соображения юзабилити

Еще одно соображение, которое вошло в эти реализации: удобство использования.

Отдельная учетная запись администратора

  • вс требовать, чтобы пользователь знал пароль как минимум к двум учетным записям: учетной записи для обычного использования и учетной записи с более высокими привилегиями, например корень.
  • судо, Kdesu и gksudo используйте более простой подход. С помощью этих программ пользователь предварительно настроен на предоставление доступа к определенным административным задачам, но должен явно разрешить приложениям запускаться с этими привилегиями. Пользователь вводит свой пароль вместо пароля суперпользователя или какой-либо другой учетной записи.
  • ОАК и Аутентифицировать объедините эти две идеи в одну. С помощью этих программ администраторы явно разрешают программам запускаться с более высокими привилегиями. Не администраторам предлагается ввести имя пользователя и пароль администратора.
  • PolicyKit можно настроить для принятия любого из этих подходов. На практике дистрибутив выберет один.

Простота диалога

  • Чтобы предоставить приложению административные привилегии, судо,[18] gksudo, и Аутентифицировать предложить администраторам повторно ввести пароль.
  • С ОАК, при входе в систему как стандартный пользователь, пользователь должен вводить имя администратора и пароль каждый раз, когда ему необходимо предоставить приложению повышенные привилегии; но при входе в систему как член группы администраторов они (по умолчанию) просто подтверждают или отклоняют, вместо того, чтобы каждый раз повторно вводить свой пароль (хотя это вариант). Хотя подход по умолчанию проще, он также менее безопасен,[16] поскольку, если пользователь физически уходит от компьютера, не блокируя его, другой человек может подойти и получить права администратора в системе.
  • PolicyKit требует, чтобы пользователь повторно ввел свой пароль или предоставил другие средства аутентификации (например, отпечаток пальца).

Сохранение учетных данных

  • ОАК запрашивает авторизацию каждый раз, когда вызывается для повышения уровня программы.
  • судо,[6] gksudo, и Kdesu не просите пользователя повторно вводить пароль каждый раз, когда он вызывается для повышения уровня программы. Скорее всего, пользователя спрашивают пароль один раз при запуске. Если пользователь не использовал свои административные привилегии в течение определенного периода времени (по умолчанию sudo - 5 минут)[6]), пользователь снова ограничен привилегиями стандартного пользователя, пока он снова не введет свой пароль.
Подход sudo - это компромисс между безопасностью и удобством использования. С одной стороны, пользователю нужно только один раз ввести свой пароль для выполнения ряда административных задач, вместо того, чтобы вводить свой пароль для каждой задачи. Но в то же время поверхность для атаки больше, потому что все программы, которые запускаются на этом tty (для sudo) или все программы, не работающие в терминале (для gksudo и kdesu), имеют префикс любой из этих команд до истечения времени ожидания, получаемого администратором привилегии. Пользователи, заботящиеся о безопасности, могут удалить временные права администратора после выполнения задач, требующих их, с помощью sudo -k команда, когда с каждого tty или pts, в которых использовалось sudo (в случае pts, закрытие эмулятора терминала нет достаточный). Эквивалентная команда для kdesu: kdesu -s. В gksudo нет возможности сделать то же самое; однако бег sudo -k не в экземпляре терминала (например, через диалоговое окно Alt + F2 «Запуск приложения», снятие флажка «Запуск в терминале») будет иметь желаемый эффект.
  • Аутентифицировать не сохраняет пароли. Если пользователь является стандартным пользователем, он должен ввести имя пользователя и пароль. Если пользователь является администратором, имя текущего пользователя уже заполнено, и нужно только ввести его пароль. Имя все еще можно изменить для запуска от имени другого пользователя.
Приложение требует аутентификации только один раз и запрашивается в то время, когда приложению требуются привилегии. После «повышения» приложение не нуждается в повторной аутентификации до тех пор, пока приложение не будет завершено и перезапущено.
Однако существуют различные уровни аутентификации, известные как права. Требуемое право можно показать, развернув треугольник рядом с «подробностями» под паролем. Обычно приложения используют system.privilege.admin, но можно использовать другой, например, нижний правый для безопасности или более высокий, если требуется более высокий доступ. Если права, которыми обладает приложение, не подходят для задачи, приложению может потребоваться повторная аутентификация для повышения уровня привилегий.
  • PolicyKit может быть настроен для принятия любого из этих подходов.

Определение того, когда необходимы права администратора

Чтобы операционная система знала, когда запрашивать у пользователя авторизацию, приложение или действие должны идентифицировать себя как требующие повышенных привилегий. Хотя технически возможно, чтобы пользователь получил подсказку в тот момент, когда выполняется операция, требующая таких привилегий, часто не идеально запрашивать привилегии во время выполнения задачи. Если бы пользователь не смог предоставить правильные учетные данные, работу, проделанную до того, как потребовались права администратора, пришлось бы отменить, потому что задачу нельзя было увидеть до конца.

В случае пользовательских интерфейсов, таких как панель управления в Microsoft Windows и панели настроек в Mac OS X, точные требования к привилегиям жестко запрограммированы в системе, так что пользователю будет представлено диалоговое окно авторизации в соответствующее время ( например, перед отображением информации, которую должны видеть только администраторы). Различные операционные системы предлагают приложениям разные методы определения требований к безопасности:

  • судо централизует всю информацию об авторизации привилегий в одном файле конфигурации, / и т. д. / sudoers, который содержит список пользователей и привилегированных приложений и действий, которые разрешено использовать этим пользователям. Грамматика файла sudoers должна быть достаточно гибкой, чтобы охватить множество различных сценариев, таких как наложение ограничений на параметры командной строки. Например, пользователю может быть предоставлен доступ для изменения любого пароля, кроме учетной записи root, следующим образом:
 pete ALL = / usr / bin / passwd [A-z] *,! / usr / bin / passwd root
  • Контроль учетных записей пользователей использует комбинацию эвристического сканирования и «манифестов приложения», чтобы определить, требуются ли приложению права администратора.[19] Манифест (.manifest ), впервые представленные в Windows XP, XML файлы с тем же именем, что и приложение, и суффиксом ".manifest", например Notepad.exe.manifest. Когда приложение запускается, манифест просматривается для получения информации о том, какие требования безопасности предъявляются к приложению. Например, этот фрагмент XML будет указывать, что приложению потребуется доступ администратора, но не потребуется неограниченный доступ к другим частям рабочего стола пользователя вне приложения:
<security>    <requestedPrivileges>         уровень ="requireAdministrator" uiAccess ="ложный" />    </requestedPrivileges></security>
Файлы манифеста также могут быть скомпилированы в исполняемый файл приложения как встроенный ресурс. Также используется эвристическое сканирование, в первую очередь для обратной совместимости. Одним из примеров этого является просмотр имени исполняемого файла; если он содержит слово «Setup», предполагается, что исполняемый файл является установщиком, и перед запуском приложения отображается запрос UAC.[20]
UAC также делает различие между запросами на повышение прав от подписанного исполняемого файла и неподписанного исполняемого файла; а если первое, то является ли издатель «Windows Vista». Цвет, значок и формулировка запросов различаются в каждом случае: например, попытка передать большее чувство предупреждения, если исполняемый файл без подписи, чем в противном случае.[21]
  • Приложения, использующие PolicyKit запрашивать определенные привилегии при запросе аутентификации, и PolicyKit выполняет эти действия от имени приложения. Перед аутентификацией пользователи могут видеть, какое приложение запросило действие и какое действие было запрошено.

Смотрите также

Рекомендации

  1. ^ «Обзор управления учетными записями пользователей». Microsoft. 2006-10-02. Архивировано из оригинал на 2011-08-23. Получено 2007-03-12.
  2. ^ "Беги как". Документация по продукту Windows XP. Microsoft. Получено 2007-03-13.
  3. ^ ""RunAs "основные (и промежуточные) темы". WebLog Аарона Маргозиса. Блоги MSDN. 2004-06-23. Получено 2007-03-13.
  4. ^ «О PolicyKit». Справочное руководство по языку PolicyKit. 2007. Архивировано с оригинал на 2012-02-18. Получено 2017-11-03.
  5. ^ Миллер, Тодд С. «Краткая история судо». Архивировано из оригинал на 2007-02-22. Получено 2007-03-12.
  6. ^ а б c Миллер, Тодд С. "Судо в двух словах". Получено 2007-07-01.
  7. ^ «Домашняя страница ГКСу».
  8. ^ "gksu PolicyKit в Gnome wiki".
  9. ^ Bellevue Linux (20 ноября 2004 г.). "Команда KDE su". Архивировано из оригинал на 2007-02-02. Получено 2007-03-12.
  10. ^ Canonical Ltd. (2007-08-25). "GutsyGibbon / Tribe5 / Kubuntu". Получено 2007-09-18.
  11. ^ Вы можете прочитать больше о пчела В архиве 2011-07-25 на Wayback Machine и скачать это из Коджи
  12. ^ "gksu - страница руководства Linux для Gtk + su". Архивировано из оригинал на 2011-07-15. Получено 2007-08-14.
  13. ^ «Запросы контроля учетных записей на безопасном рабочем столе». UACBlog. Microsoft. 2006-05-03. Получено 2007-03-04.
  14. ^ "gksu: блокировки мыши / клавиатуры недостаточно для защиты от кейлоггеров".
  15. ^ "ptrace Protection".
  16. ^ а б Оллчин, Джим (2007-01-23). «Функции безопасности против удобства». Блог группы разработчиков Windows Vista. Microsoft. Получено 2007-03-12.
  17. ^ «Агент аутентификации». 2007. Архивировано с оригинал на 2012-02-18. Получено 2017-11-15.
  18. ^ Миллер, Тодд С. "Руководство Судоэра". Получено 2007-03-12.
  19. ^ «Рекомендации и рекомендации для разработчиков для приложений в наименее привилегированной среде». MSDN. Microsoft. Получено 2007-03-15.
  20. ^ «Понимание и настройка контроля учетных записей пользователей в Windows Vista». TechNet. Microsoft. Получено 2007-03-15.
  21. ^ "Доступные подсказки UAC". Блог Windows Vista. Microsoft. Архивировано из оригинал на 2008-01-27. Получено 2008-02-13.