Politechnika Białostocka Wydział Elektryczny Katedra Elektrotechniki Teoretycznej i Metrologii Materiały pomocnicze do zajęć z przedmiotu SYSTEMY OPERACYJNE Kod przedmiotu: F***** Ćwiczenie pt. ZARZĄDZANIE MECHANIZMAMI BEZPIECZEŃSTWA W SYSTEMIE WINDOWS 2000. UŻYTKOWNICY, GRUPY, PRAWA DOSTĘPU, SYSTEM PLIKÓW NTFS Pracownia numer 4 Autor: Jarosław Forenc (2004) Aktualizacja: Jarosław Forenc (2006) Białystok 2006 1
1. MECHANIZMY BEZPIECZEŃSTWA W WINDOWS 2000 W systemie Windows 2000 do podstawowych mechanizmów bezpieczeństwa pozwalających kontrolować dostęp do danych i programów należą: - Konta użytkowników oraz hasła dostępu - każdy użytkownik przed rozpoczęciem pracy w systemie Windows 2000 musi zalogować się podając swój identyfikator i hasło dostępu (chociaż istnieje możliwość takiego skonfigurowania systemu, aby zawsze ładował się domyślny użytkownik bez konieczności wprowadzania jego identyfikatora i hasła). - Bezpieczny proces logowania do systemu - w systemie Windows 2000, aby rozpocząć pracę należy podać identyfikator użytkownika oraz hasło dostępu. Użytkownik wprowadza powyższe dane w oknie, które pojawia się po wciśnięciu kombinacji klawiszy Ctrl+Alt+Del. Wprowadzenie nieprawidłowego identyfikatora użytkownika bądź nieprawidłowego hasła blokuje dostęp do danych znajdujących się na komputerze. Wyjątkiem od powyższej zasady jest specjalne konto Gość (zob. pkt. 5). W starszych systemach, Windows 95/98, także istniało okno logowania, w którym wprowadzało się identyfikator użytkownika i hasło, jednakże można było zalogować się wprowadzając dowolne dane lub wciskając klawisz Esc. W systemie Windows 2000 nie da się obejść etapu logowania w ten sposób, gdyż Windows 2000 sprawdza czy podane informacje są zgodne z danymi o autoryzowanych użytkownikach, zapisanymi w wewnętrznej bazie danych. - Kontrola dostępu do plików i katalogów - w systemie Windows 2000 istnieją prawa dostępu do poszczególnych plików, katalogów lub dysków. Prawa te mogą istnieć tylko w przypadku zainstalowania systemu plików NTFS. - Grupy użytkowników - stosowane są w przypadku, gdy kilku lub kilkunastu użytkowników powinno posiadać takie same prawa dostępu. Tworzy się wtedy grupę użytkowników, której nadaje się odpowiednie prawa a następnie przypisuje użytkowników do tej grupy. Konto użytkownika w takim przypadku dziedziczy uprawnienia grupy, do której użytkownik należy. - Zasady zabezpieczeń dla użytkownika lub grupy - określają zasady zabezpieczeń dla pojedynczego użytkownika lub grupy użytkowników. 2. GRUPY ROBOCZE I DOMENY W systemie Windows 2000 sieć komputerowa, w której znajduje się komputer może być oparta na grupach roboczych lub domenach: 2
- Grupa robocza (ang. Workgroup) - jest to połączenie komputerów typu peer-to-peer, umożliwiające wymianę danych, współużytkowanie drukarek i innych zasobów. Każdy komputer stanowi oddzielną część i sam odpowiada za bezpieczeństwo swoich danych. Udostępnienie zasobów innym członkom grupy roboczej wymaga utworzenia kont lokalnych i przydzielenia odpowiednich praw dostępu. Do grupy roboczej może przyłączyć się każdy, kto zna jej nazwę i odpowiednio skonfiguruje ustawienia sieciowe swojego komputera. - Domena (ang. Domain) - bezpieczeństwem i prawami dostępu w domenie zajmuje się specjalny dedykowany serwer - kontroler domeny (może nim być tylko serwer Windows 2000). Nazwy użytkowników, grup i komputerów przechowywane są w Active Directory - centralnej bazie danych o zasobach domeny. Dodanie komputera do domeny wymaga zgody administratora. Administrator może zdefiniować zasady bezpieczeństwa dla wszystkich komputerów w domenie. Ponieważ w trakcie zajęć będziemy korzystać z komputerów tworzących grupę roboczą to wszystkie informacje znajdujące się w dalszej części instrukcji będą dotyczyły głównie takiego połączenia komputerów. 3. GRUPY UŻYTKOWNIKÓW LOKALNYCH Konta użytkowników korzystających z tych samych uprawnień można organizować w grupy. Stając się członkiem grupy, użytkownik dziedziczy wszystkie jej uprawnienia. Ułatwia to znacznie pracę administratora, gdyż nie musi on nadawać uprawnień pojedynczym kontom tylko jednorazowo grupie użytkowników. W systemie Windows 2000 każdy użytkownik musi należeć (a mówiąc inaczej - być członkiem) przynajmniej jednej grupy użytkowników. Istnieje pięć predefiniowanych grup użytkowników: - Użytkownicy zaawansowani (ang. Power Users) - mają uprawnienia do instalowania nowego oprogramowania oraz nowych sterowników urządzeń, mogą modyfikować ustawienia systemowe, np. datę i czas, ale nie mogą zmieniać konfiguracji sieci. Użytkownicy należący do tej grupy nie mają także praw dostępu do plików innych użytkowników. - Użytkownicy (ang. Users) - mają uprawnienia do uruchamiania już zainstalowanego oprogramowania, nie mogą natomiast instalować nowego oprogramowania ani zmieniać konfiguracji systemu. - Administratorzy (ang. Administrators) - użytkownicy należący do tej grupy mają wszystkie prawa, mogą m.in. instalować i uruchamiać oprogramowanie, instalować nowe sterowniki urządzeń, dodawać i usuwać użytkowników, itp. 3
- Operatorzy kopii zapasowych (ang. Backup Operators) - użytkownicy należący do tej grupy mają dostęp do wszystkich plików znajdujących się na komputerze, ale tylko wtedy, gdy używają oprogramowania do wykonywania kopii zapasowych. Mogą zatem kopiować pliki, ale nie mogą przeglądać ich zawartości. - Goście (ang. Guests) - użytkownicy o najmniejszych uprawnieniach. Zazwyczaj mogą uruchamiać zainstalowane oprogramowanie, ale nie mają dostępu do sieci i nie mogą dokonywać zmian w konfiguracji komputera. Poza powyższymi pięcioma grupami w systemie Windows 2000 można tworzyć także własne grupy użytkowników i nadawać im uprawnienia. 4. ADMINISTRATOR Podczas instalacji Windows 20000 tworzy predefiniowane konto o nazwie Administrator i prosi o określenie dla niego hasła dostępu. Tworzona jest także grupa o nazwie Administratorzy - każdy użytkownik należący do tej grupy będzie pełnoprawnym administratorem systemu. Administrator ma wszystkie prawa w systemie, m.in. może instalować i usuwać oprogramowanie, instalować i usuwać sterowniki urządzeń, konfigurować sieć, dodawać i usuwać użytkowników oraz nadawać im prawa. Administrator ma też dostęp do wszystkich plików i katalogów znajdujących się w systemie. Generalnie zalecane jest korzystanie z tego konta tylko w przypadku wykonywania czynności administracyjnych, a normalna praca powinna być wykonywana na zwykłym koncie użytkownika. Praca na koncie z uprawnieniami administratora jest niebezpieczna zwłaszcza podczas korzystania z internetu, gdyż wtedy jesteśmy najbardziej narażeni na ataki wirusów, snifferów, itp. Pracując jako zwykły użytkownik można część programów uruchomić z uprawnieniami administratora. W tym celu należy z menu kontekstowego danego programu wybrać polecenie Uruchom jako (ang. Run As...) i w oknie, które pojawi się wpisać nazwę i hasło użytkownika mającego uprawnienia administratora. Jeśli menu kontekstowe programu nie zawiera polecenia uruchom jako to należy kliknąć ikonę uruchamianego programu przy wciśniętym klawiszu Shift. Metoda ta działa we wszystkich sytuacjach poza zmianą ustawień sieci (do zmiany ustawień sieci wymagane jest zalogowanie użytkownika z uprawnieniami administratora). Konta administratora nie można usunąć z systemu (ale można zmienić jego nazwę), konto to nie zostanie też nigdy zablokowane przez nieprawidłowe próby logowania. 4
5. KONTO GOŚĆ W systemie tworzone jest także specjalne konto - Gość (ang. Guest). Dostęp do tego konta możliwy jest po podaniu dowolnego identyfikatora użytkownika oraz dowolnego hasła dostępu. Rozwiązanie takie stosowane jest w przypadku, gdy do określonego komputera mają mieć dostęp wszyscy użytkownicy. Stwarza to niestety niebezpieczeństwo włamania do systemu i z tego powodu konto to jest domyślnie zablokowane. 6. TWORZENIE KONTA NOWEGO UŻYTKOWNIKA Stworzenie konta nowego użytkownika wymaga posiadania uprawnień administratora. Otwieramy Panel sterowania i dwukrotnie klikamy ikonę Użytkownicy i hasła. Pojawia się okno zawierające listę wszystkich użytkowników w systemie. W oknie tym klikamy przycisk Dodaj. Wyświetlone zostaje okno Dodawanie nowego użytkownika, przedstawione na Rys. 1. Rys. 1. Okno dodawania nowego użytkownika. Wprowadzamy następujące dane: - Nazwa użytkownika - określa nazwę użytkownika wprowadzaną podczas logowania do systemu. Nazwa konta musi być niepowtarzalna, może składać się z maksymalnie 64 znaków i może zawierać dowolną kombinację liter, cyfr oraz większości symboli (za wyjątkiem: @ \ / < > [ ] : ; + = *,?.). Zalecane jest stosowanie krótkich nazw (do 15 znaków) i unikanie znaku spacji w nazwie użytkownika, gdyż mogą wystąpić problemy z obsługą sieci. Z tego ostatniego powodu nie zaleca się również, aby nazwa użytkownika była taka sama jak nazwa komputera. - Imię i nazwisko - imię i nazwisko użytkownika. - Opis - krótki opis właściciela konta. 5
Po wciśnięciu przycisku Dalej wprowadzamy i potwierdzamy hasło dla nowego użytkownika. Przechodzimy Dalej. Pojawia się okno przedstawione na Rys. 2. Rys. 2. Przypisanie użytkownika do grupy. W oknie tym określamy do jakiej grupy będzie należał użytkownik. Użytkownik może być użytkownikiem standardowym lub użytkownikiem z ograniczonym dostępem. Użytkownik standardowy jest domyślnie członkiem grupy Użytkownicy zaawansowani, natomiast Użytkownik z ograniczonym dostępem jest domyślnie członkiem grupy Użytkownicy. Wybranie opcji Inny umożliwia wybranie innej grupy, np. Administratorzy, Goście. 7. MODYFIKACJA USTAWIEŃ KONT UŻYTKOWNIKÓW Do zarządzania kontami użytkowników służy aplet Użytkownicy i hasła w Panelu sterowania. Aby zmodyfikować ustawienia konta uruchamiamy aplet, zaznaczamy konto a następnie naciskamy przycisk Właściwości (Rys. 3). Rys. 3. Właściwości konta użytkownika. 6
W oknie, które pojawiło się możemy zmienić dane wprowadzane podczas tworzenia konta (Nazwa użytkownika, Imię i nazwisko, Opis) oraz zmienić przynależność do grupy. Bardziej szczegółowe informacje odnośnie ustawień konta znajdziemy w jego właściwościach zaawansowanych (Rys. 4). Okno to wyświetlane jest po wybraniu: Panel sterowania Użytkownicy i hasła, na zakładce Zaawansowane wybieramy przycisk Zaawansowane, pojawia się okno Lokalni użytkownicy i grupy, w lewym panelu zaznaczamy Użytkownicy, w prawym panelu wyświetlana jest lista wszystkich użytkowników, zaznaczamy interesującego nas użytkownika i z menu kontekstowego wybieramy Właściwości. W zakładce Ogólne mamy: Rys. 4. Okno właściwości użytkownika. - Pełna nazwa - zawiera to samo co Imię i nazwisko przy zakładaniu konta. - Opis - to samo co Opis przy zakładaniu konta. - Użytkownik musi zmienić hasło przy następnym logowaniu - zaznaczenie tej opcji wymusza na użytkowniku konieczność zmiany hasła przy najbliższym logowaniu. - Użytkownik nie może zmienić hasła - zaznaczenie tej opcji spowoduje wyłączenie możliwości zmiany hasła przez użytkownika. - Hasło nigdy nie wygasa - w domyślnych ustawieniach co 42 dni użytkownik musi zmienić swoje hasło, zaznaczenie tej opcji spowoduje, że użytkownik nie będzie monitowany o konieczności zmiany hasła. - Konto jest wyłączone - zaznaczenie tej opcji spowoduje wyłączenie konta, po wyłączeniu konta jego ikonka na liście użytkowników wyświetlana jest 7
z czerwonym znakiem x. Próba zalogowania się spowoduje wyświetlenie komunikatu z prośbą o skontaktowanie się z administratorem systemu. Zawsze zalecane jest wyłączanie nieużywanych kont. - Konto jest zablokowane - konto jest automatycznie blokowane, gdy włączona jest opcja automatycznego blokowania konta po kilku nieudanych próbach logowania. Zablokowane konto może odblokować tylko administrator. Każdy użytkownik może zmienić swoje hasło wciskając w dowolnym momencie kombinację klawiszy Ctrl+Alt+Del i wybierając opcję Zmień hasło. Zmiana hasła wymaga wpisania starego hasła i wprowadzenia nowego. Ta sama kombinacja klawiszy może posłużyć do zablokowania dostępu do komputera w sytuacji, gdy nikogo nie ma przed komputerem. Często administrator systemu ustawia opcję blokowania komputera po określonym czasie bezczynności. Odblokowanie dostępu do komputera wymaga wprowadzenia nazwy użytkownika i hasła. 8. PROFILE UŻYTKOWNIKÓW Kiedy użytkownik loguje się po raz pierwszy, system Windows 2000 tworzy zestaw plików i katalogów przeznaczonych specjalnie dla użytkownika - jest to tzw. profil użytkownika. Domyślnie system Windows 2000 przechowuje profile użytkowników w katalogu Documents and Settings znajdującym się na tym samym dysku, na którym zainstalowany jest system operacyjny. Każdy użytkownik ma w tym katalogu podkatalog o nazwie takiej samej jak identyfikator użytkownika. W profilu użytkownika zapisane są wszystkie dane użytkownika oraz informacje o ustawieniach (np. kolory, tapeta pulpitu, dźwięki, itp.). W Windows 2000 mogą być stosowane trzy rodzaje profilów użytkowników: - Profil lokalny - tworzony automatycznie podczas pierwszego logowania użytkownika na danym komputerze. Profil ten przechowywany jest na dysku lokalnym w katalogu Documents and Settings. - Profil mobilny - tworzony przez administratora sieci i przechowywany na serwerze Windows 2000. Każda zmiana profilu zapisywana jest na serwerze i dlatego jeśli użytkownik loguje się na różnych komputerach, to zawsze ma ten sam profil. - Profil obowiązkowy - jest odmianą profilu mobilnego, zawiera on ustawienia, których użytkownik nie może zmieniać. 8
Konto Gość nie posiada własnego profilu użytkownika. Kiedy ktoś loguje się na takie konto to użytkownikowi takiemu przypisywany jest domyślny profil użytkownika. 9. ZARZĄDZANIE MECHANIZMAMI BEZPIECZEŃSTWA Dużo więcej opcji związanych z mechanizmami bezpieczeństwa znajduje się w ustawieniach zabezpieczeń lokalnych: Panel sterowania Narzędzia administracyjne Zasady zabezpieczeń lokalnych. Po lewej stronie mamy wyświetlone grupy ustawień w formie drzewa, natomiast po prawej szczegółowe ustawienia. Dostępne opcje można podzielić na cztery grupy: - Zasady konta - określają zasady jaki podlegają użytkownicy przy tworzeniu i zmienianiu haseł (Rys. 5a i Rys. 5b). Domyślnie użytkownicy muszą zmieniać hasła co 42 dni, można określić także po ile próbach wprowadzenia nieprawidłowego hasła konto zostanie zablokowane. Rys. 5a. Ustawienia zabezpieczeń lokalnych - Zasady konta - Zasady haseł. Rys. 5b. Ustawienia zabezpieczeń lokalnych - Zasady konta - Zasady blokady konta. - Zasady lokalne - dzielą się na: Zasady prowadzenia inspekcji (Rys. 6a): określają jakie rodzaje zdarzeń w systemie mają być zapisywane, np. udane i nieudane próby wykonania czynności. Zdarzenia te mogą być odczytane w Podglądzie zdarzeń: Panel sterowania Narzędzia administracyjne Podgląd zdarzeń Dziennik zabezpieczeń. 9
Rys. 6a. Ustawienia zabezpieczeń lokalnych - Zasady lokalne - Zasady prowadzenia inspekcji. Przypisywanie praw użytkownikom: określają, którzy użytkownicy i grupy mają prawo wykonywania określonych czynności - Rys. 6b). Rys. 6b. Ustawienia zabezpieczeń lokalnych - Zasady lokalne - Przypisywanie praw użytkownika. Opcje zabezpieczeń: opcje dotyczące komputera lokalnego (Rys. 6c). 10
Rys. 6c. Ustawienia zabezpieczeń lokalnych - Zasady lokalne - Opcje zabezpieczeń - Zasady kluczy publicznych - zawierają wyspecjalizowane narzędzia wykorzystywane do obsługi zaszyfrowanych plików. - Zasady zabezpieczeń IP w Komputer lokalny - zawierają zaawansowane narzędzia pozwalające kontrolować ruch sieciowy wykorzystujący protokół TCP/IP. Jeśli komputer jest członkiem domeny Windows 2000, to ustawienia domeny są zawsze nadrzędne do ustawień lokalnych. Stąd dla każdej zasady wyświetlane są Ustawienia lokalne (wprowadzone na komputerze na którym pracujesz) i Ustawienia efektywne (uwzględniające ewentualne ustawienia w domenie). 11
10. SYSTEM PLIKÓW NTFS System plików NTFS (ang. New Technology File System) pojawił się pierwszy raz, w wersji 1.0, w systemie Windows NT 3.1 (1993 r.). W systemach Windows NT 3.51 i Windows NT 4.0 stosowana była wersja 1.2 (niektóre źródła podają numer 1.1), znana też jako NTFS 4.0 od numeru wersji systemu Windows. Wraz z systemem Windows 2000 pojawił się NTFS 5.0 (nazywany też 3.0), w którym wprowadzono dużo zmian w stosunku do wcześniejszej wersji. W systemach Windows XP i Windows 2003 stosowany jest NTFS 5.1 (3.1). W systemie Windows 2000 obsługę NTFS 5.1 wprowadzono w SP1, zaś w systemie Windows NT 4.0 w SP4. Teoretycznie partycja NTFS może mieć rozmiar 2 64-1 klastrów. Windows potrafi obsłużyć tylko 2 32-1 klastrów, co przy klastrze o wielkości 64 kb daje partycję o maksymalnym rozmiarze 256 terabajtów minus 64 kb. Jeszcze większym ograniczeniem jest tabela partycji w MBR dysku twardego, która ogranicza rozmiar partycji do 2 terabajtów. Teoretyczna wielkość pliku wynosi 2 64 bajtów minus 1 kb (16 eksabajtów minus 1 kb), ale ograniczeniem systemu Windows jest 2 44 bajtów minus 64 kb (16 terabajtów minus 64 kb). Struktura wolumenu (dysku) NTFS jest następująca: Boot Sector MFT (Master File Table) Pliki i katalogi Kopia zapasowa MFT Rys. 7. Struktura wolumenu (dysku) w systemie plików NTFS. Boot Sector (sektor startowy) zajmuje pierwsze sektory dysku. W pierwszym sektorze znajdują się następujące dane: - instrukcja skoku do początku programu ładującego (3 bajty), - nazwa wersji systemu operacyjnego - OEM ID (8 bajtów), - struktura BPB - blok parametrów BIOS (25 bajtów), - rozszerzony BPB (48 bajtów), - wykonywalny kod startowy uruchamiający system operacyjny - kod bootstrap (426 bajtów). - znacznik końca Boot Sectora - 55AAH (2 bajty). Boot Sector rozpoczyna się od zerowego sektora partycji i może zajmować 16 kolejnych sektorów. Przechowuje podobne dane jak w systemie FAT. W pierwszej części znajduje się tzw. BIOS Parameter Block (BPB) zawierający dane o systemie plików (m.in. bajty na sektor, sektory na klaster, sektory na ścieżkę, liczbę głowic, liczbę sektorów, itp.) i geometrii dysku, pozwalające kodowi wykonywalnemu zawartemu w sektorze startowym na 12
odnalezienie pliku NTLDR, załadowanie go do pamięci, i przekazanie mu kontroli celem uruchomienia systemu Windows. Rozszerzony BPB umożliwia odnalezienie MFT. Jeśli uszkodzeniu ulegną klastry należące do MFT, to mogą one zostać przeniesione w inne miejsce dysku, a informacja o tym zostanie zapisana w rozszerzonym MFT. Tabela 1. Struktura BPB i rozszerzonego BPB w systemie NTFS Bajty Rozmiar Zawartość 0BH-0CH 2 Rozmiar jednego sektora w bajtach (512 bajtów) 0DH 1 Liczba sektorów w jednostce alokacji plików (JAP) 0EH-0FH 2 10H-12H 3 Zawsze 0 Liczba sektorów zarezerwowanych na początku dysku - zawsze 0 13H-14H 2 Nieużywane w NTFS - zawsze 0 15H 1 Bajt identyfikacji nośnika (zawsze F8 - dysk twardy) 16H-17H 2 Zawsze 0 18H-19H 2 Liczba sektorów na ścieżce 1AH-1BH 2 Liczba głowic (stron) dysku 1CH-1FH 4 Liczba sektorów ukrytych 20H-23H 4 Nieużywane w NTFS 24H-27H 4 Nieużywane w NTFS 28H-2FH 8 Całkowita liczba sektorów 30H-37H 8 Numer klastra logicznego pliku $MFT 38H-3FH 8 Numer klastra logicznego pliku $MFTMirr 40H-43H 4 Liczba jednostek alokacji w rekordzie MFT 44H-47H 4 Wielkość indeksu MFT (liczba jednostek alokacji) 48H-4FH 8 Numer seryjny woluminu 50H-53H 4 Suma kontrolna Za Boot Sectorem znajduje się tablica MFT (ang. Master File Table). MFT jest to specjalny plik, niewidoczny dla użytkownika, jedynie dla systemu. Pełni on rolę tablicy alokacji plików w systemie FAT. Są w nim zapisane wszystkie dane niezbędne do odczytania pliku z dysku. Plik ten jest hierarchiczną, obiektową bazą danych, składającą się z rekordów o stałej długości 1 kb. W każdym rekordzie zapisane są atrybuty, które jednoznacznie określają położenie i zawartość odpowiadających im plików lub katalogów. Pierwsze 16 (NTFS4) lub 26 (NTFS5) rekordów jest zarezerwowane dla tzw. metaplików. Pełną listę metaplików przedstawia Tabela 2. 13
Plik systemowy Główna tablica plików Główna tablica plików 2 Plik dziennika (log operacji dyskowych) Tabela 2. Metapliki przechowywane w MFT Nazwa pliku Rekord MFT $Mft 0 $MftMirr 1 $LogFile 2 Wolumin $Volume 3 Definicje atrybutów Indeks katalogu głównego Mapa bitowa klastrów Funkcja pliku Zawiera jeden bazowy rekord dla każdego pliku w woluminie NTFS. Jeżeli informacje dotyczące pliku lub katalogu są zbyt duże, aby zmieściły się w pojedynczym rekordzie, to alokowane są rekordy dodatkowe - w MFT lub poza nim. Kopia pierwszych czterech rekordów w MFT. Plik ten gwarantuje dostęp do MFT w przypadku awarii pojedynczego sektora. W starszych systemach umieszczany był w połowie woluminu, zaś w nowszych - na jego końcu. Zawiera listę kroków transakcji, używaną przez funkcje związane z odzyskiwaniem NTFS, a mówiąc prościej są to informacje o wszystkich operacjach wykonywanych na plikach i katalogach, np. kopiowanie i kasowanie plików, przenoszenie katalogów, itp. Rozmiar pliku dziennika zależy od rozmiaru woluminu i może osiągać do 4 MB. Plik ten jest używany przez Windows 2000 do przywracania spójności systemu plików po awarii systemu. Zawiera informacje o woluminie, takie jak jego etykieta, rozmiar i wersja NTFS użyta do formatowania dysku. $AttrDef 4 Tabela nazw atrybutów, ich numerów i opisów. $ 5 Katalog główny. $Bitmap 6 Sektor startowy $Boot 7 Plik błędnych klastrów Plik zabezpieczeń Tabela wielkich znaków Plik rozszerzeń NTFS Reprezentacja woluminów, ilustrująca które klastry są zajęte. Jednemu klastrowi odpowiada jeden bit rekordu $Bitmap. Zawiera informacje używane podczas instalowania woluminu oraz dodatkowy kod ładujący, używany jeżeli wolumin jest startowy. $BadClus 8 Zawiera listę uszkodzonych klastrów w woluminie. $Secure 9 $UpCase 10 $Extend 11 Zawiera unikalne deskryptory zabezpieczeń dla wszystkich plików w woluminie, czyli mówiąc prościej - informacje o prawach dostępu. Służy do konwersji małych znaków na odpowiadające im wielkie znaki w standardzie Unicode. Wykorzystywany przez różnorodne opcjonalne rozszerzenia, takie jak przydziały, dane punktów specjalnych i identyfikatory obiektów. 12 15 Zarezerwowane dla przyszłych zastosowań. Pozostała część pliku MFT przeznaczona jest na rekordy wszystkich plików i katalogów umieszczonych na dysku. Ponieważ takich plików i katalogów może być dużo to system już wstępnie rezerwuje znaczną część dysku na MFT (domyślnie jest to 12,5 % miejsca na dysku nazywane strefą 14
MFT, ang. MFT zone). Jeśli pierwszy rekord MFT jest uszkodzony to system automatycznie odczytuje drugi rekord, w którym zapisana jest kopia pierwszego. Położenie obu metaplików $Mft i $MftMirr zapisane jest w sektorze startowym partycji. Każdy plik lub katalog otrzymuje przynajmniej jeden rekord w MFT. Jeśli są to małe pliki lub katalogi (zazwyczaj poniżej 1500 bajtów) to są one w całości przechowywane w obszarze danych MFT. W przypadku, gdy plik zawiera dużą liczbę atrybutów lub też jest mocno pofragmentowany wówczas może wymagać użycia większej ilości rekordów. W takim przypadku pierwszy rekord (bazowy) zawiera informację o alokacji kolejnych rekordów pliku, ale już poza tablicą MFT. System plików NTFS traktuje każdy plik jako zbiór atrybutów. Elementy takie jak nazwa, prawa dostępu, a nawet dane są atrybutami pliku. Każdy atrybut jest opisany przez kod typu atrybutu oraz opcjonalnie przez jego nazwę. Wszystkie atrybuty mają dwie części składowe: nagłówek i blok danych. Nagłówek zawiera informacje opisujące atrybut, np. całkowitą liczbę bajtów zajmowanych przez atrybut, rozmiar bloku danych atrybutu, przesunięcie liczone od początku atrybutu określające położenie bloku danych, znacznik czasu, wskaźniki stanu, itp. W bloku danych atrybutu znajdują się informacje zgodne z przeznaczeniem atrybutu. Atrybut nie musi być całkowicie zapisany w rekordzie MFT. Jeśli atrybut jest duży (najczęściej dotyczy to atrybutu $Data), to w rekordzie umieszczany jest tylko nagłówek oraz wskaźnik do bloku danych atrybutu, który to blok przenoszony jest na dysk poza MFT. Atrybuty takie nazywane są nierezydentnymi. System plików, przenosząc blok danych atrybutu poza MFT, stara się zapisać dane w przyległych klastrach. Jeśli nie jest to możliwe, to dane zapisywane są w kilku ciągach jednostek alokacji i wtedy każdemu ciągowi odpowiada wskaźnik w rekordzie MFT. Jeśli wszystkie atrybuty mieszczą się wewnątrz pojedynczego rekordu MFT, wówczas tworzone atrybuty nazywane są rezydentnymi. Takimi atrybutami są zawsze nazwa pliku i znaczniki czasu. Kod atrybutu Typ atrybutu Numer atrybutu $Standard_Information Informacje standardowe 16 / 0x10 $Attribute_List Lista atrybutów 32 / 0x20 Tabela 3. Typy atrybutów plików w systemie NTFS Opis Zawiera atrybuty pliku (R, S, A, H), liczniki aktualizacji i połączeń oraz znaczniki określające datę i czas utworzenia pliku, modyfikacji danych, modyfikacji atrybutów i ostatniego dostępu do pliku. W NTFS 5.1 są to także prawa dostępu. Zawiera lokalizację wszystkich rekordów atrybutów, które nie mieszczą się w rekordzie MFT. 15
$File_Name Nazwa pliku 48 / 0x30 $Volume_Version Wersja woluminu 64 / 0x40 $Object_Id ID obiektu 64 / 0x40 $Security_Descriptor Deskryptor zabezpieczeń 80 / 0x50 $Volume_Name Nazwa woluminu 96 / 0x60 $Volume_Information Informacje o woluminie 112 / 0x70 $Data Dane 128 / 0x80 $Index_Root Indeks główny 144 / 0x90 $Index_Allocation Alokacje indeksu 160 / 0xA0 $Bitmap Mapa bitowa 176 / 0xB0 $Symbolic_Link Łącze symboliczne 192 / 0xC0 $Reparse_Point Punkt specjalny 192 / 0xC0 $Ea_Information Informacje o atrybucie rozszerzonym 208 / 0xD0 $Ea Atrybut rozszerzony 224 / 0xE0 $Logged_Utility_Stream Rejestrowany strumień pomocniczy 256 / 0x100 Atrybut powtarzalny dla długich i skróconych nazw plików. Długa nazwa pliku może składać się z maksymalnie 255 znaków w standardzie Unicode. Skrócona nazwa pliku jest zapisywana w formacie 8.3 i niewrażliwa na wielkość znaków. Wersja woluminu. Atrybut usunięty wraz z NTFS 5.0. Wcześniej istniał, ale nie był używany. Identyfikator pliku unikalny w obrębie woluminu. Jest wykorzystywany przez usługę śledzenia łączy. Nie wszystkie pliki posiadają identyfikatory obiektu. Atrybut wprowadzony w NTFS 5.0. Identyfikuje właściciela pliku oraz użytkowników, którzy mogą z danego pliku korzystać. Usunięty w NTFS 5.1. Używany jedynie w przypadku pliku systemowego $Volume. Zawiera etykietę woluminu. Usunięty w NTFS 5.1. Używany jedynie w przypadku pliku systemowego $Volume. Zawiera wersję woluminu, a od NTFS 5.1 także nazwę woluminu. Dane pliku. System NTFS zezwala na występowanie wielu atrybutów danych dla jednego pliku: jeden nienazwany atrybut danych + jeden lub więcej nazwanych atrybutów danych, z których każdy posiada indywidualną składnię. Atrybut $Data jest zmieniany podczas kompresji i szyfrowania. Używany do implementowania katalogów i innych indeksów. Zawiera kopię atrybutu $File_Name wszystkich plików i podkatalogów. Używany do implementowania katalogów i innych indeksów. Używany do implementowania katalogów i innych indeksów. Używany do łączy symbolicznych. Usunięty w NTFS 5.0. Wcześniej istniał, ale nie był używany. Używany przez punkty instalacji woluminów, a także przez sterowniki filtrów IFS (Installable File System) w celu oznaczenia niektórych plików jako specjalnych dla danego sterownika. Wprowadzony w NTFS 5.0. Używany dla zgodności z OS/2, tj. kompatybilności z systemem plików HPFS. Używany dla zgodności z OS/2, tj. kompatybilności z systemem plików HPFS. Zbliżony do strumienia danych, ale operacje na nim są rejestrowane w pliku dziennika NTFS podobnie, jak zmiany metadanych NTFS. Jest używany przez szyfrowanie EFS. 16
Pliki w systemie NTFS są reprezentowane w MFT przez rekord zawierający trzy wspólne atrybuty: $Standard_Information, $File_Name i $Security_Descriptor razem z czwartym atrybutem $Data. Blok danych atrybutu $Data może być modyfikowany podczas kompresji i szyfrowania. Jak już wcześniej wspomniano, małe pliki zapisywane są bezpośrednio w MFT. Struktura takiego pliku jest przedstawiona na Rys. 8. Rys. 8. Struktura małego pliku w systemie NTFS. W przypadku większych plików struktura ma postać przedstawioną na Rys. 9. Rys. 9. Struktura dużego pliku w systemie NTFS. Katalogi reprezentowane są przez rekordy zawierające takie same atrybuty jak pliki, ale zamiast atrybutu $Data umieszczone są trzy atrybuty $Index_Root, $Index_Allocation i $Bitmap przeznaczone do tworzenia list, sortowania oraz lokalizowania plików i podkatalogów. System plików NTFS posiada bardzo rozbudowane uprawnienia dostępu do plików i katalogów. Każdy plik lub katalog znajdujący się na partycji NTFS ma dwie listy: - SACL (ang. System Access Control List) - lista wykorzystywana przez system do inspekcji, - DACL (ang. Discretionary Access Control List) - lista zawierająca uprawnienia przyznane użytkownikom i grupom użytkowników. Każda z list kontroli dostępu zawiera wpisy ACE (ang. Access Control Entry) zawierające kod użytkownika lub grupy użytkowników i spis przyznanych im uprawnień. Każdy użytkownik systemu Windows 2000 przed rozpoczęciem pracy loguje się na określone konto. Przed wykonaniem operacji dotyczącej pliku lub katalogu, system sprawdza listę uprawnień dotyczących tego pliku lub katalogu i decyduje czy zezwolić na operację. 17
Zapis Tabela 4. Uprawnienia i standardowe grupy uprawnień w systemie Windows 2000 Odczyt Wyświetlenie zawartości folderu Zapis i wykonanie Modyfikacja Pełna kontrola Przechodzenie przez folder / Wykonanie pliku Wyświetlenie zawartości folderu / Odczyt danych Odczyt atrybutów Odczyt rozszerzonych atrybutów Tworzenie plików / Zapis danych Tworzenie katalogów / Dołączanie danych Zapis atrybutów Zapis rozszerzonych atrybutów Usuwanie podfolderów i plików Usuwanie Odczyt uprawnień Zmiana uprawnień Przejęcie na własność 18
W systemie NTFS występuje 14 uprawnień, z czego 13 jest widocznych dla użytkowników. Wszystkie 13 uprawnień przedstawionych jest w Tabeli 4 (pierwsza kolumna tej tabeli). Czternaste uprawnienie służy do synchronizacji i kontroluje dostęp przez aplikacje wielowątkowe. Aby ustawianie uprawnień było łatwiejsze, w systemie Windows 2000 dostępne są standardowe zestawy uprawnień (pierwszy wiersz Tabeli 4). Zestawy te wyświetlane są na zakładce Zabezpieczenia po wybraniu Właściwości pliku (Rys. 10) lub katalogu (Rys. 11). Rys. 10 Uprawnienia dla plików. Rys. 11 Uprawnienia dla katalogów. 19
W celu wyświetlenia lub zmiany wszystkich uprawnień należy we Właściwościach pliku lub katalogu przejść do zakładki Zabezpieczenia, następnie wcisnąć przycisk Zaawansowane, w oknie Ustawienia kontroli dostępu dla... (Rys. 12) zaznaczyć odpowiedniego użytkownika lub grupę i wcisnąć przycisk Wyświetl/Edytuj (Rys. 13). Rys. 12 Ustawienia kontroli dostępu dla użytkownika lub grupy użytkowników. Rys. 13 Zmiana uprawnień dla użytkownika lub grupy użytkowników. Uprawnienia do pliku lub katalogu może ustawiać tylko jego właściciel. Aby przejąć plik innego użytkownika należy mieć uprawnienia do 20