مجوز هاي امنيتي Permissions ها در ويندوز

[Nethunter]

Permission ها:


Permission یا مجوز، برای دادن اجازه ی دسترسی به یک فایل و یا پوشه، تحت شبکه و یا به صورت Local است. با Permission ها شما می توانید تعیین کنید که مثلا فقط خودتان بتوانید پوشه های خاصی را ببینید و بچه هایتان اجازه ی دسترسی به این پوشه ها را نداشته باشند.
یا اینکه می توانید در شبکه ی شرکت خود، پوشه ای بسازید که تمامی کارکنانتان فایل های خود را در آن قرار دهند. هر کدام از کارکنان بتوانند هر بلایی که می خواهند سر پوشه و فایل های خود بیاورند؛ ضمن اینکه نتوانند هیچ اقدامی علیه پوشه و فایل های سایر کارکنان کنند.

برای فعال کردن این بخش، همان طور که در پست های قبل هم ذکر شد، باید وارد Folder Option شده و تیک گزینه ی Use simple file sharing را بردارید. حال از یک پوشه Properties بگیرید و وارد تب Security شوید.


هر پوشه و فایل، برای دادن مجوز دسترسی دارای دو قسمت است. اولی ACL یا Access Control List است و دومی ACE یا Access Control Entry. هنگامی که می خواهید پوشه ای را باز کنید، ویندوز ابتدا قسمت ACL را چک می کند تا ببیند اصلن نام کاربری شما در این لیست وجود دارد یا خیر.
(در این پست کامل در مورد یوزر ها و گروه ها صحبت کردیم) مثلا اگر نام User شما admin باشد، و بخواهید مثلا کاربر itvillage نتواند پوشه ای را باز کند، ساده ترین راه پاک کردن نام کاربری itvillage از این لیست است. اما گاهی مانند مثالی که در مورد کارمندان یک شرکت زدم، قصد دارید تنها مقداری از قدرت یک User را کم کنید. مثلا اجازه ندهید کاربر itvillage فایلی را پاک کند. اینجاست که که قسمت ACE وارد عمل می شود.



شما کاربر itvillage را وارد ACL می کنید، و از قسمت ACE مثلا قدرت پاک کردن پوشه را از آن می گیرید. بنابراین ابتدا قسمت ACL چک می شود، اگر نام کاربری که شما با آن قصد باز کردن پوشه را دارید، در این لیست وجود داشت، قسمت ACE بررسی می شود تا مقدار قدرت شما برای استفاده از این پوشه ی خاص مشخص شود.


حال فرض کنید می خواهیم برای پوشه ای به نام Test سطح دسترسی تعریف کنیم. ابتدا باید یوزری را که می خواهیم سطح دسترسی در آن اعمال شود، وارد لیست کنیم. برای این کار بعد از وارد شدن به تب Security، بر روی گزینه ی Add کلیک می کنیم. در کنسولی که باز می شود، نام یوزر مربوطه را وارد می کنیم.

مثلا وارد می کنیم itvillage. توجه کنید اگر نام یوزر را نمی دانید یا

به املای آن شک دارید، می توانید بعد از کلیک کردن بر روی دکمه ی Advanced، بر روی Find Now کلیک کنید تا تمام یوزر ها به نمایش در بیاید. به این صورت شما اولین قدم را برداشتید. حال باید تعریف کنید که یوزر itvillage دارای چه قدرت هایی نسبت به این پوشه باشد
.
برای انجام این کار بر روی یوزری که اضافه کردید کلیک کنید تا در قسمت پایین مجوز ها برای این یوزر ظاهر شود. تعدادی گزینه مشاهده می کنید که هر کدام دارای دو گزینه ی Allow و Deny هستند.



حال هر کدام از این گزینه ها را تعریف خواهیم کرد و می گوییم مثلا اگر به یوزری مجوز Modify بدهید، قادر به انجام چه کارهایی خواهد بود. اگر به یوزر


itvillage مجوز:
Read بدهید: می تواند از پوشه ها عبور کند. می تواند محتویات پوشه ها و فایل ها را ببیند. می تواند Attribute ها را ببیند، Permission ها را ببیند و … . در کل هر چیزی که به دیدن مربوط است با این مجوز قابل انجام است. اما یوزر قدرت هیچ گونه تغییر را ندارد .
Write بدهید: هیچ کاری نمی تواند بکند! البته در صورتی که فقط Write بدهید. چون یوزر اصلن اجازه ی عبور از پوشه را نخواهد داشت که بخواهد کاری کند. اما مجوز Write اگر با Read همراه باشد، یوزر را قادر خواهد کرد تا علاوه بر دیدن، محتوییات پوشه ها و فایل ها را نیز تغییر بدهد. همچنین می توانید فایل و یا پوشه ای را ایجاد کند و آن را تغییر بدهد.
List folder content بدهید: می تواند از پوشه عبور کند. کاربرد این گزینه در مواردی است که بخواهید مثلا فردی پوشه ای را ایجاد کند، اما نتواند به محتویات بقیه فایل ها دسترسی پیدا کند. دقیقن مصداق مثالی است که ابتدا این پست در مورد کارمندان یک شرکت زده ام. یک کارمند خاص می تواند پوشه ای ایجاد کند اما در عین حال نمی تواند به سایر فایل ها دسترسی داشته باشد. البته برای اینکه به پوشه ی خودش دسترسی کامل داشته باشد، باید به گروه Creator Owenr دسترسی لازم را بدهیم که در ادامه در این مورد نیز صحبت خواهیم کرد.
Read & Execute بدهید: می توانید از پوشه ها رد شوید، محتویات را مشاهده کنید و همچنین فایل های اجرایی را هم اجرا کنید.
Modify بدهید: با این مجوز، یوزر به تمامی قدرت های بالا مجهز خواهد بود، ضمن اینکه اجازه ی پاک کردن یک پوشه را هم خواهد داشت. اگر این گزینه را تیک بزنید، خواهید دید که گزینه های زیر آن به صورت اتومات، تیک خواهد خورد.
و اگر Full Control بدهید: شامل تمام قدرت های گزینه ی Modify خواهد بود. به انضمام اینکه اجازه ی تغییر دادن لیست دسترسی را هم خواهد داشت. بدیهیست که به یوزری که مثلا اجازه ی دسترسی Read می دهیم، نخواهد توانست لیست دسترسی ها را تغییر دهد. کاربری که دارای Full Control باشد می تواند دسترسی سایر یوزر ها را دستخوش تغییرات کند. نکته ی بسیار مهمی که اینجا وجود دارد این است که اعضای گروه Administrators از این قاعده مستثنی هستند. یعنی چه دارای Full Control باشند و چه نباشند، می توانند Permission ها را تغییر بدهند.


تا اینجای کار با اصول ابتدایی دادن مجوز آشنا شدیم. سعی کردم تا حد امکان ساده و روان توضیح بدهم. این مبحث کمی گیج کننده است و نیاز به تمرین زیاد دارد. ممکن است اتفاقاتی که در عمل میفتد، با محتویات این پست مغایرت داشته باشد. عجله نکنید! در پست های بعدی علت این تفاوت ها را خواهید فهمید.​

 

[Nethunter]

ارث بری:

شاید با مطالعه ی پست قبل، علاقه مند به کار با مجوز ها شده باشید و خواسته باشید مجوز های یک پوشه را دچار تغییر کنید. اما با کمال تعجب دید که چنین کاری امکان پذیر نیست و نمی توانید تغییری در Permission ها ایجاد کنید. اما چرا؟


یکی از مهمترین دلایل این اتفاق(دلیل بعدی در انتها بررسی می شود) این است که مجوز ها قابلیت ارث بری دارند. یعنی هر پوشه ای که ایجاد می شود، مجوز ها را به صورت پیش فرض از فولدر بالایی خود به ارث می برد. به همین صورت تمام فولدر ها Permission را از فولدر بالایی خود به ارث می برند تا به درایو برسند. بنابراین نحوه ی ارث بری به شکل زیر خواهد بود:

برای غیر فعال کردن این حالت، بعد از وارد شدن به تب Security، گزینه ی Advanced را انتخاب کنید تا وارد صفحه ی جدیدی شوید. در این صفحه با برداشتن تیک گزینه ی … Inherit from parent the permission قابلیت ارث بری پوشه ی مورد نظر را غیر فعال کنید.



ضمن اینکه اگر گزینه ی … Replace permission entries on را انتخاب کنید، مجوز های در نظر گرفته شده برای پوشه، به تمامی زیر پوشه ها نیز اعمال می شود. این حالت برای زمانی است که شما از قبل، قابلیت ارث بری بعضی از زیر پوشه ها را غیر فعال کرده باشید و حالا بخواهید تمامی پوشه ها از یک مجوز خاص پیروی کنند.

Special Permission:

اگربخواهید برای یک گروه یا یوزر، به صورت دقیق تر مجوز تعریف کنید، باز هم ویندوز شما را نا امید نخواهد کرد. برای این کار بعد از اضافه کردن یوزر مورد نظر، بر روی گزینه ی Advanced کلیک کرده و در صفحه ی باز شده گزینه ی Edit را انتخاب کنید. در این قسمت همان طور که میبینید، قادر خواهید بود به صورت کامل جزیی و دقیق مجوز ها را تعریف و تنظیم کنید.

Deny:
همان طور که حدس زده اید، Deny برای گرفتن قدرتی خاص از یک گروه یا کاربر است. برای روشن شدن این موضوع به این مثال توجه کنید. تصور کنید گروهی به نام Power Users در کامپیوتر وجود دارد که 10عضو دارد. شما به این گروه قدرتی که مد نظرتان بود، اعمال کرده اید. بنابراین تمام این 10 کاربری که عضو این گروه هستند، دارای قدرتی خاص شدند.

حال ممکن است شما از یکی از این 10 نفر خوشتان نیاید و بخواهد قدرتش را کم کنید! برای انجام این کار چه راهی پیشنهاد می کنید؟ اگر بخواهید قدرت گروه Power Users را تغییر دهید، بدون شک قدرت 9 کاربر دیگر نیز دچار تغییر می شود. بنابراین این راه مناسب نیست. راه حل این است که شما نام کاربری که به او علاقه ندارید در لیست ACL اضافه کنید و سپس قدرتی را که می خواهید از او سلب شود، با زدن تیک دکمه ی Deny از او بگیرید. به این صورت، این کاربر تمام قدرت های گروه Power Users را خواهد داشت، منهای قدرتی که به صورت اختصاصی از او سلب کرده اید.

انواع مجوز ها:
تا الان توانایی تعریف کردن مجوز را بدست آورده اید. این مجوز هایی که تا الان تعریف کردیم، همگی مربوط به دسته ای از مجوز ها به نام NTFS Permission بودند. در واقع شما برای پوشه هایی مجوز تعریف می کرده اید که بر روی درایو هایی با فرمت NTFS قرار داشته اند. البته نوع دیگر مجوز هم بر روی همین درایو ها تعریف می شود، اما یک نکته ی ظریف این وسط وجود دارد!


وقتی شما NT Permission تعریف می کنید، هم افرادی که به صورت محلی از کامپیوتر استفاده می کنند، زیر سایه ی این مجوز ها قرار می گیرند و هم افرادی که از طریق شبکه وارد سیستم شما می شوند. اما شاید شما بخواهید، فقط افرادی که از طریق شبکه وارد سیستم شما می شوند، دارای محدودیت هایی نسبت به یک پوشه باشند و افرادی که به صروت Local از سیستم استفاده می کنند، محدودیتی نداشته باشند. چاره ی کار در تعریف Share Permission نهفته است.


برای تعریف SH Permission از فولدری که به اشتراک گذاشته اید(بنابراین این نوع مجوز تنها بر روی پوشه های به اشتراک گذاشته قابل تعریف است) Properties بگیرید و وارد تب Sharing شوید. در این صفحه مشاهده می کنید دکمه ای به نام Permission وجود دارد.



بعد از کلیک کردن بر روی این دکمه، به صفحه ای، مشابه صفحه ای که در هنگام تعریف NT Permission مشاهده می کردید، هدایت خواهید شد. همان طور که می بینید، SH P نسبت به NT P دارای محدودیت های بسیار بیشتری است. تنها تفاوت این قسمت با قسمت NT P وجود گزینه ای به نام Change است که تقریبن کار Write را انجام می دهد.

گوشه کنار مجوز ها:
مبحث مجوز ها به صورت کامل مواردی بودند که در بالا و پست قبل ذکر شدند. اما ریزه کاری هایی هم باقی مانده است که از قضا بعضی از آنها مانند Take Owner Ship بسیار مهم است. ممکن است شما پوشه ای ساخته باشید و از طریق مجوز ها، تمامی قدرت ها را از خودتان سلب کرده باشید، اما با این حال باز هم نسبت به پوشه دسترسی کامل داشته باشید! علت این موضوع این است که شما خودتان پوشه را ساخته اید و در واقع خالق آن هستید.


در قسمت مجوز های پوشه، نام کاربری شما به عنوان خالق ذخیره شده است و بنابراین هیچ مجوزی برای شما موثر نخواهد بود. برای تغییر این قسمت، بعد از وارد شدن به تب Security، دکمه ی Advanced را انتخاب کرده و وارد تب Owner شوید. در این قسمت می توانید Owner پوشه را تغییر دهید. برای درک اهمیت این موضوع، همین بس که هستند مدیران شبکه ای که از این نکات خبر ندارند و به این صورت به راحتی می توان آنها را اذیت کرد! اصولن این فکر باطل را که تمام مدیران شبکه، خدای شبکه هستند را از سرتان بیرون کنید. چون بسیاری از آنها از جزیی ترین اطلاعات شما نیز آگاهی ندارند. بنابراین اعتماد به نفس را فراموش نکنید!


منبع ​