More Related Content
More from eroglu (20)
Accesscont
- 1. Eriim Denetim Mekanizmalar脹 i巽ek avdar Biliim Enstit端s端, B聴lgisayar Bilimleri
- 2. 聴巽erik Eriim Kontrol Listeleri (ACL) E riim Kontrol Listelerinin K脹salt脹lmas脹 E riim Kontrol Listelerinin Yarat脹lmas脹 ve Bak脹m脹 H aklar脹n geri al脹nmas脹 rnek: WinNT Eriim Kontrol Listeleri Yetenekler (C-lists) Yeteneklerin Uygulanmas脹 K opyalama ve yetenekleri g端巽lendirme H aklar脹n geri al脹nmas脹 Y eteneklerin s脹n脹rlar脹 E riim Kontrol Listeleri (ACL) ile kar脹lat脹rma Kilitler ve Anahtarlar Tip Kontrol端 Gizli deerlerin payla脹m脹油 H alka tabanl脹 eriim kontrol端 reyen Eriim Kontrol Listeleri (PACL)
- 3. Giri Eriim Kontrol Matrisi, sistemdeki 旦znelerin (kullan脹c脹lar, s端re巽ler) nesneler 端zerindeki kullan脹m haklar脹n脹n tan脹mland脹脹 bir matristir P ratikte matris modelinin pek 巽ok karma脹k yan脹 bulunmaktad脹r : Sistemdeki nesnelerin ve 旦znelerin say脹lar脹n脹n b端y端kl端端 d端端n端ld端端nde matrisin boyutlar脹 ciddi miktarda yer tutar. Matrisin pek 巽ok alan脹 ya 0 kabul edilecek deerleri (eriim yok anlam脹nda) ya da balang脹巽 deeri olarak atanan eriim deerlerini tutmaktad脹r. Bir 旦znenin veya nesnenin eklenip silinmesi halinde matris sahip olduu alan脹 yeniden organize edebilecek y旦netim mekanizmas脹na sahip olmal脹d脹r.
- 4. Eriim Kontrol Listeleri Sistemdeki her nesne i巽in ayr脹 eriim kontrol listesi (acl) tutulur. L istede ikililer halinde nesneye eriecek 旦zneler ve 旦znelerin eriim bilgileri bulunur: acl(Dosya1)={ (s端re巽1, {read, write, own}), (s端re巽2, {append}) }
- 5. Eriim Kontrol Listeleri Aer bir 旦zne acl i巽inde ge巽miyorsa ilgili nesne 端zerinde herhangi bir eriim hakk脹na sahip deildir. ok say脹da 旦zne ayn脹 nesne 端zerinde ayn脹 eriim haklar脹na sahipse grup tan脹mla n脹r . (kullan脹c脹, grup, haklar) 油 * iareti de 端巽 giriten herhangi biri yerine kullan脹labilir ve t端m端 anlam脹na gelir.
- 6. Eriim Kontrol Listelerinin K脹salt脹lmas脹 Baz脹 iletim sistemleri 旦rnein UNIXte olduu gibi kullan脹c脹lar脹 eriim a巽脹s脹ndan gruplara b旦ler. rnein eriim tan脹mlan脹rken 端巽 巽eit kategoride 旦znelere haklar verilir: (sahip, grup, dier) (read, write, execute) Her kullan脹c脹n脹n dahil olduu grup 旦nceden belirlidir. Bir kullan脹c脹 taraf脹ndan dosya yarat脹l脹rken kullan脹c脹 dosyan脹n sahibi olarak belirlenmi olur.
- 7. K脹saltman脹n dezavantaj脹 E riim ko ntrol mekanizmas脹n脹n hassasiyetini k旦t端 etkiler. rnein bu sistem bir kullan脹c脹n脹n yaratt脹脹 dosya i巽in Aye ye sadece okuma ve yazma izni, Fatmaya sadece okuma izni, Aliye ise sadece 巽al脹t脹rma izni vermesine uygun deildir.
- 8. 旦z端m UNIXin IBM versiyonu AIXte extended permissions denen base permissions a ek olarak tan脹mlanan istisna durumlar脹 i巽eren eriim haklar脹 tan脹mlanabilir.
- 9. Eriim Kontrol Listelerinin Yarat脹lmas脹 ve Bak脹m脹 Baz脹 spesifik ACL uygulamalar脹 aa脹daki detaylar 端zerinden farkl脹laabilir: Bir nesnenin ACLine hangi 旦zneler m端dahale edebilir? ACL imtiyazl脹 kullan脹c脹lara da uygulanabilir mi? (UNIXteki root veya W聴NNTdeki administrator gibi) A CL gruplar脹 destekleyecek mi? Eriim control izinlerinde 巽elikili tan脹mlamalar nas脹l kotar脹lacak? Eer varsay脹lan eriim kurallar脹n脹n ge巽erlilii kabul edildiyse ACL bu kurallar脹n 端zerine mi gelecek yoksa varsay脹lan kurallar ACLin olmad脹脹 durumlarda m脹 ge巽erlilik kazanacak?
- 10. Haklar脹n geri al脹nmas脹 Bir 旦znenin nesneye eriimini engellemek i巽in 旦zneye ait girilerin nesnenin eriim k ontrol listesinden silinmesi gereklidir. Eriim izinlerinin verilmesi sadece nesnenin sahibi taraf脹ndan k ontrol ediliyorsa sorun yoktur rnek: Aye Fatmaya dosyas脹n脹 g端ncelleme izni verdi. Fatma da Tun巽a dosyay脹 g端ncelleme izni verdi. Aye Fatmaya verdii hakk脹 kald脹rmak istediinde Tun巽un izni de kalkmal脹d脹r. Bu durumda bir balant脹 bilgisi tutulmal脹d脹r.
- 11. Yetenekler(Capabilities) Yetenekler, bir 旦znenin hangi nesnelere, hangi eriim haklar脹 olduunu tan脹mlar. Sistemde her 旦znenin bir C-listi vard脹r. C-list de bulunan nesnelerin isimlerinin listede nas脹l temsil edilecei bir problemdir. 端nk端 ayn脹 isimde nesneler mevcut olabilir. 旦z端m 1: ilgili nesneyi tarif edebilmek i巽in nesnelerin adres ve uzunluklar脹n脹n tutulmas脹 旦z端m2: benzersiz, nesneye 旦zg端 bitdizilimleri ile nesneleri temsil etmek
- 12. C-listin taklit edilemez olmas脹 Bunun i巽in 端巽 mekanizma kullan脹l脹r Donan脹m e tiketi(Tag) Korumal脹 bellek ifreleme
- 13. 1. Donan脹m Etiketi(Tag) Her donan脹m kelimesiyle ilikili bir etiket Etiketin iki durumu : Kur-b脹rak. Kur aktifse s端re巽 kelimeyi okuyabilir fakat deitiremez. 端nk端 o kelime bir c-list i巽eriyordur. B脹rak aktifse s端re巽 kelimeyi hem okur hem de deitirebilir. S脹radan bir s端re巽 etiketin durumunu deitiremez. Yetkili ilemci deiiklik yapabilir.
- 14. 2. Korumal脹 Bellek Bellein, programlar taraf脹ndan eriilemeyen baz脹 alanlar脹nda c-list tutulur. S端re巽le c-list dorudan ilikilend i rilmek yerine tabloya iaret e d en indis tutulur. S端recin sadece bu indise eriimine izin vard脹r. S端re巽 sahip olduu yetenekler i okuyabilir ama yetenekleri deitiremez. Meta-komutlar : c-list yarat脹p deiiklik yapabilirler. Yeni c-list yarat, bir c-liste yeni yetenek ekle, bir c-listten yetenek sil.
- 16. 3. ifreleme C-list ifreli olarak veya 旦z端 al脹nm脹 hali sonuna eklenerek tutulur. Deitirilip deitirilmedii tekrar 旦z端 al脹narak k ontrol edilebilir. ifreleme ilemi iletim sistemi 巽ekirdei taraf脹ndan yap脹l脹r.
- 17. Kopyalama ve yetenekleri g端巽lendirme B ir kullan脹c脹(A) dier bir kullan脹c脹ya(B) bir dosyay脹 okuma izni vermek istediinde Kullan脹c脹 旦nce o nesne 端zerinde gerekli izne sahip olduuna dair kendi yeteneini sunucuya g旦nderir ve okuma i巽in k脹s脹tlanm脹 bir yetenek ister. Sunucu ilgili nesne i巽in yetenei 端retir. G端巽lendirme : yeteneklerin art脹r脹lmas脹d脹r. Bu ilem genellikle belirli koullar alt脹nda ge巽ici olarak yap脹l脹r.
- 18. Haklar脹n geri al脹nmas脹 Bir nesneye eriim haklar脹 geri al脹n脹rken yetenekler i巽erisinde o nesneye eriimle ilgili olanlar脹n hepsinin de geri al脹nmas脹 gerekir. Bu ilemin getirecei y端k 巽ok fazla olduundan alternati f y旦ntemler gelitirilmitir. En basit y旦ntem indirection dur. Bunun i巽in bir ya da birden fazla global nesne tablosu tan脹mlan脹r. Yetenek yok edilirken global nesne tablosundaki giri yok edilir.
- 19. Eriim Kontrol Listeleri (ACL) ile kar脹lat脹rma ACLde bir nesne verilir. Bu nesneye hangi 旦znelerin nas脹l eriebileceinin listesi tutulur. C-listesinde ise bir 旦zne verilir. Bu 旦znenin eriebildii nesneler ve eriim bi巽imi listede tutulur. ACL temelli sistemlerin say脹s脹 daha fazlad脹r.
- 20. 3. Kilitler ve Anahtarlar (Locks and Keys) ACL ve C-list tekniklerinin kar脹脹m脹d脹r. Bir par巽a bilgi (kilit) nesne ile ilikilendirilirken bir baka par巽a bilgi (anahtar) de nesneye eriim hakk脹 olan 旦zneler ve eriim bi巽imleri ile ilikilendirilir. Bir 旦zne nesneye erimeye 巽al脹t脹脹nda 旦znenin anahtar seti kontrol edilir. Eer 旦znenin anahtar脹 nesnenin kilitlerinden herhangi biriyle uyuuyorsa belirtilen tipte eriim hakk脹 tan脹n脹r.
- 21. Kilitler ve Anahtarlar Bu metodun dierlerinden fark脹 dinamik olmas脹d脹r. ACL statiktir. Eriim control listesinde yap脹lacak t端m deiikliklerin elle yap脹lmas脹 gerekir. Kilit ve anahtarlar ise sistem k脹s脹tlar脹na yan脹t olarak deime 旦zelliine sahiptirler.
- 22. Tip Kontrol端 Eriim 旦znenin veya nesnenin tipine g旦re k脹s脹tlan脹r. Kilit anahtar y旦nteminin bir versiyonudur. rne k: Baz脹 sistemler de dosya sistemlerinin b端t端nl端端n端 korumak i巽in yap脹l脹r ekirdek, dosya sistemi nesneleri aras脹nda directory tipli olan nesneye yazma iznini s脹n脹rlar. Komutlar脹 dier verilerden ay脹rmak i巽in tip kontrol端 yap脹l脹r ve execute izni sadece komut dosyalar脹 端zerinde
- 23. Gizli deerlerin payla脹m脹 Kilit anahtar mekanizmas脹nda gizli bir verinin belirlenen kullan脹c脹lar aras脹nda payla脹m脹 nas脹l salan脹r? rn1: 端巽 kiinin balatabilecei bir program s旦zkonusu Bu durumda eriilecek dosya ifrelendikten sonra ifre 巽旦z端c端 anahtar 端巽e b旦l端nerek kiilere da脹t脹l脹r. rn2: 10 kiiden 端巽端n端n biraraya gelmesi halinde eriim
- 24. A(t,n) threshold scheme n adet kullan脹c脹dan veya s端re巽ten t tanesinin ibirlii yapmas脹 sonucunda eriim salanabilir. Bir veri n par巽aya b旦l端n端r fakat t adet par巽adan bilginin b端t端n端 elde edilebilir. N par巽aya ise shadow ad脹 verilir.
- 25. Halka tabanl脹 eriim kontrol端 0dan 63e kadar bir dizi koruma halkas脹 tan脹mlan脹r. ekirdek 0. halkada temsil edilir. Halka numaras脹 artt脹k巽a halkadaki segmanlar脹n veya o halkada 巽al脹an prosed端rlerin yetkileri azal脹r. Halkalar s端re巽lerin tamam脹yla deil sadece segmanla ilikilendirilir. Diskteki bir segmandan eriilmek 端zere bellee 巽ekilen bir dosya ile bellekte zaten var olan bir dosyaya koruma mekanizmas脹 a巽脹s脹ndan ayn脹 muamele yap脹l脹r.
- 26. 1. r halkas脹nda 巽al脹an bir s端re巽 bir veri segman脹na erimek istesin Her veri segman脹na bal脹 bir 巽ift halka numaras脹 tutulur. (a,b: a<=b) r<=a ise eriim izni verilir. a<r<=b ise okuma ve 巽al脹t脹rma izni verilir, yazma ve ekleme izni verilmez. b<r ise t端m eriimler yasakt脹r
- 27. 2. r halkas脹nda 巽al脹an bir s端re巽 bir prosed端re erimek istesin P rogramlar脹n i巽inde tan脹mlanan ge巽itler devreye girer. Prosed端rler i巽in bir de a<c olacak ekilde 巽ar脹 ikilisi tan脹ml脹d脹r. r<a ise eriim tamam fakat halka ge巽i hatas脹 oluur a<=r<b ise eriim tamam ve hata yok. b<r<=c ise uygun ge巽itten yap脹ld脹脹 s端rece eriim izni verilir. c<=r ise t端m eriimler yasakt脹r. .
- 28. reyen Eriim Kontrol Listeleri (Propagated Access Control Lists-PACL) Nesnenin yarat脹c脹s脹 nesneye kimlerin eriebileceini belirler. PACLde yarat脹c脹 da tutulur ve PACLyi yaln脹zca o deitirebilir. Bir dosya yarat脹ld脹脹nda yaratc脹n脹n PACLsi dosyan脹nkiyle eitlenir. Yarat脹c脹 (A) baka birine (B) eriim izni verdiinde PACL(B)=PACL A kesiim PACL B .
- 29. PACL ve ACL nin farkl脹l脹klar脹 PACL veri ile ilikilendirilirken ACL nesnelerle ilikilendirili r. PACL sistemin 巽evresinde akan bilgiyi takip ederken ACL nesneye ba脹ml脹 kal脹r.
- 30. Sonu巽 Eriim control mekanizmalar脹 nesnelere ve 旦znelere eriimi control ederler. ACLde veri nesneye balan脹rken C-listesinde 旦zne 端zerinden eriim bilgisi tutulur. Kilit anahtar mekanizmas脹nda ise veri 旦zneler ile nesneler aras脹nda da脹t脹l脹r. Halka tabanl脹 mekanizmalar genellikle zorunlu eriim kontrolleri i巽in uygundur. G e巽ilerde bariyerler iletim sistemi taraf脹ndan belirlenir. PACL de veri ta脹yan nesnelerle deil dorudan verinin kendisiyle ilikilendirme s旦zkonusudur.
- 31. Kaynaklar Capability Based Access Control Mechanisms, Lecture Notes, http://www.cs.cornell.edu/Courses/cs513/2000sp/L08.html Computer Security,Art and Science, M.Bishop, Addison Wesley Handbook of Information Security Management , Micki Krause, Harold F. Tipton , CRC Press LLC