Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Terminologie der Zugriffssteuerung 59
Warum zählt Windows rückwärts?
Abbildung 3.1 und die nachfolgenden Abbildung zeigen Tabellen mit Bitstrukturen. Die
Nummerierung ganz oben scheint dabei verkehrt herum zu laufen. Dies sind die Bitpositionen
für die Objekte in der Struktur. Zum Beispiel umfasst die Versionsangabe einer SD
8 Bits, die in den Bits 0 bis 7 der SD liegen. Der Zeiger auf den Besitzer beginnt bei Bitposition
32 und so weiter.
Die Spalten sind so nummeriert, weil Windows ein sogenanntes Little-endian-Betriebssystem
ist. Alle Speicherstrukturen sind so gespeichert, dass die Bits von rechts nach links
gezählt werden. Das ist eigentlich ein Artefakt der Prozessorarchitektur, im Fall von Windows
basiert dies auf der x86-Architektur, die bis vor Kurzem die weitaus wichtigste Architektur
für Windows war. Auch die x64-Architektur arbeitet im Little-endian-Format.
Die Vor- und Nachteile des Little-endian-Formats und seinem Gegenstück, dem Bigendian-Format,
haben geradezu religiöse Debatten unter den Leuten ausgelöst, die sich
mit solchen Dingen beschäftigen. Beide Methoden haben Vorteile, und in der Praxis brauchen
Sie sich ohnehin kaum darum zu kümmern, sofern Sie kein Entwickler sind.
Die letzten vier Zeilen in der SD sind Zeiger auf etwas anderes. Die zweite Zeile in Abbildung
3.1 ist ein Zeiger auf eine Sicherheits-ID (Security Identifier, SID), die für den Besitzer
des Objekts steht. Die dritte Zeile ist ein Zeiger auf eine SID, die für die primäre Gruppe
des Besitzers steht. Das Konzept der primären Gruppe wird ausschließlich für POSIX-Kompatibilität
benötigt, nicht für native Windows-Operationen. In POSIX werden Berechtigungen
nur drei Entitäten gewährt: dem Besitzer, der Gruppe des Besitzers und allen Benutzern.
Damit es eine Gruppe gibt, der eine Berechtigung gewährt werden kann, verwendet Windows
ein Konzept für eine primäre Gruppe. Dies ist der entsprechende Eintrag in einer SD.
Die letzten zwei Zeilen sind Zeiger auf die SACL (System Access Control List, Systemzugriffssteuerungsliste)
beziehungsweise DACL (Discretionary Access Control List, freigegebene
Zugriffssteuerungsliste).
Die erste Zeile enthält eine Versionsnummer, die momentan immer 1 ist, 8 reservierte Bits
und ein Steuerfeld. Das Steuerfeld enthält eine Reihe von Flags, die die Aufgabe der Sicherheitsbeschreibung
festlegen. Das Feld kann eine Kombination unterschiedlicher Flagwerte
sein. Die meisten Werte sind in Tabelle 3.1 aufgeführt. Dort ist auch das SDDL-Flag (Security
Descriptor Definition Language) für den Wert angegeben (sofern vorhanden). Die Aufgabe
dieses Flags wird weiter unten in diesem Kapitel noch ausführlich erklärt. Vorerst können
Sie es ignorieren.
Tabelle 3.1 Steuerflags in einer Sicherheitsbeschreibung
Flagname SDDL-
Flag
Flagwert Beschreibung
SE_OWNER_DEFAULTED 0x0001 Die Sicherheits-ID (Security Identifier, SID), auf die das Besitzerfeld
verweist, wurde durch einen Standardmechanismus
bereitgestellt.
SE_GROUP_DEFAULTED 0x0002 Die Sicherheits-ID, auf die das Gruppenfeld verweist, wurde
durch einen Standardmechanismus bereitgestellt.
SE_DACL_PRESENT 0x0004 Diese SD verweist auf eine DACL. Falls dieses Flag nicht
gesetzt ist, hat die SD eine NULL-DACL.