廖常武(南京工業(yè)職業(yè)技術(shù)學院，南京 210016)

基于NTFS的數(shù)據(jù)有效訪問權(quán)限計算模型

廖常武
(南京工業(yè)職業(yè)技術(shù)學院，南京 210016)

應用Windows的NTFS文件系統(tǒng)提供的文件、文件夾的安全權(quán)限功能，提出了通過本地訪問Windows文件系統(tǒng)的本地訪問有效權(quán)限，以及通過網(wǎng)絡(luò)訪問共享文件夾的網(wǎng)絡(luò)訪問有效權(quán)限，并給出了本地訪問有效權(quán)限和網(wǎng)絡(luò)訪問有效權(quán)限的計算模型，實現(xiàn)了本地用戶數(shù)據(jù)和共享數(shù)據(jù)的安全性管理。利用NTFS權(quán)限提高了存儲在計算機中數(shù)據(jù)的安全。

NTFS文件系統(tǒng)； NTFS權(quán)限； 共享權(quán)限； 有效權(quán)限

0 引言

Windows Server的默認文件系統(tǒng)是NTFS[1](New Technology File System)。NTFS文件系統(tǒng)具有較好的穩(wěn)定性和安全性，具有用戶權(quán)限、文件系統(tǒng)配額、數(shù)據(jù)壓縮、數(shù)據(jù)加密等功能。在NTFS中，文件以簇的形式分配，最小的單位為扇區(qū)，n個扇區(qū)為一簇。NTFS的數(shù)據(jù)可分為 4 個部分[2]：(1)引導扇區(qū)(Partition boot sector，BPB)，所有磁盤格式都共有，占用一個扇區(qū)，但具體的內(nèi)容各不相同；(2)主文件列表(Master File Table，MFT)，是卷上所有文件的列表，每個文件對應一個記錄項；(3)系統(tǒng)文件(System files)，NTFS 系統(tǒng)一共有16個系統(tǒng)文件，和8個保留文件；(4)數(shù)據(jù)區(qū)(File area)，留給用戶的空間。

1 NTFS權(quán)限類型

Windows只有NTFS類型的文件系統(tǒng)可以設(shè)置文件和文件夾的安全權(quán)限，所以安全權(quán)限又稱為NTFS權(quán)限，NTFS通過對文件、文件夾、網(wǎng)絡(luò)共享、打印機、進程、服務(wù)等安全對象設(shè)置ACL實現(xiàn)安全性。

1.1 NTFS標準權(quán)限

對每一個文件對象，NTFS標準文件權(quán)限有5種[3]。(1)讀?。嚎梢圆榭丛撐募?；(2)寫入：可以更改或覆蓋文件的內(nèi)容、屬性，查看文件的所有者和權(quán)限；(3)讀取及運行：具有“讀取”的所有權(quán)限，還具有運行應用程序的權(quán)限；(4)修改：擁有讀取、寫入、讀取及運行的所有權(quán)限，還可以修改和刪除文件；(5)完全控制：有上述(1)-(4)的所有權(quán)限，還具有更改權(quán)限和取得所有權(quán)的權(quán)限。

對每一個文件夾對象，NTFS標準文件夾權(quán)限有6種。(1)讀取，可以查看該文件夾中的文件和子文件夾；(2)寫入：在文件內(nèi)可以添加文件和子文件夾，并對文件夾的屬性進行修改；(3)列出文件夾目錄：具有讀取的所有權(quán)限，而且還具有遍歷子文件夾的權(quán)限；(4)讀取及運行：具有讀取、列出文件夾目錄的所有權(quán)限；(5)修改：具有寫入、讀取及運行的所有權(quán)限，具有刪除文件夾權(quán)限；(6)完全控制：具有NTFS文件夾的所有權(quán)限。

每種標準權(quán)限都有未授權(quán)或空、允許、拒絕3 種狀態(tài)。允許和空狀態(tài)之間可以相互轉(zhuǎn)化，分別對應授權(quán)和撤消權(quán)利，拒絕和空狀態(tài)相互轉(zhuǎn)化，分別對應著明令禁止和解除禁令，允許和拒絕狀態(tài)之間不能直接轉(zhuǎn)化。

1.2 NTFS特殊權(quán)限

NTFS特殊文件權(quán)限有14個：(1)完全控制；(2)執(zhí)行文件；(3)讀取數(shù)據(jù)；(4)讀取屬性；(5)讀取擴展屬性；(6)寫入數(shù)據(jù)；(7)添加數(shù)據(jù)；(8)寫入屬性；(9)寫入擴展屬性；(10)刪除子文件夾和文件；(11)刪除；(12)讀取權(quán)限；(13)更改權(quán)限；(14)獲得所有權(quán)。

NTFS特殊文件夾權(quán)限有14個：(1)完全控制；(2)遍歷文件夾；(3)列出文件夾；(4)讀取屬性；(5)讀取擴展屬性；(6)創(chuàng)建文件；(7)創(chuàng)建文件夾；(8)寫入屬性；(9)寫入擴展屬性；(10)刪除子文件夾和文件；(11)刪除；(12)讀取權(quán)限；(13)更改權(quán)限；(14)獲得所有權(quán)。

2 NTFS有效權(quán)限

NTFS文件系統(tǒng)的每個文件、文件夾均可以設(shè)置各自不同的權(quán)限，在設(shè)置NTFS權(quán)限時，必需注意權(quán)限的繼承性、累加性、優(yōu)先性。

2.1 本地訪問有效權(quán)限

(1) 權(quán)限的繼承性

在一個文件夾中創(chuàng)建新的文件或文件夾，新創(chuàng)建的文件或文件夾會自動繼承父文件夾或驅(qū)動器的NTFS權(quán)限，稱為權(quán)限的繼承性。例如，如果用戶User1對文件夾ABC具有“讀取”權(quán)限，則User1對ABC文件夾的子文件夾同樣具有“讀取”權(quán)限，要打斷這種繼承關(guān)系，就必須重新設(shè)置權(quán)限。

移動、復制文件或文件夾，其權(quán)限的繼承性規(guī)則如下。

文件或文件夾權(quán)限不變的情況。在相同NTFS分區(qū)內(nèi)移動文件或文件夾，其權(quán)限保持不變，繼承未移動前的權(quán)限。

文件或文件夾權(quán)限改變的情況。在不同NTFS分區(qū)之間移動文件或文件夾，在同一個NTFS分區(qū)、不同NTFS分區(qū)之間復制文件、文件夾，文件、文件夾的權(quán)限會繼承目的文件夾的權(quán)限。

從 NTFS 分區(qū)復制或移動文件、文件夾到 FAT 格式分區(qū)時，因為 FAT 分區(qū)沒有權(quán)限的功能，所以移動或復制到FAT分區(qū)的文件或文件夾不能設(shè)置權(quán)限。

(2) 權(quán)限的優(yōu)先級

文件權(quán)限優(yōu)先于文件夾權(quán)限。例如，文件夾ABC中有文件A.doc，用戶User1對文件夾ABC是讀取權(quán)限，對A.doc具有修改權(quán)限，User1仍然對A.doc可以修改。

拒絕權(quán)優(yōu)先于其他權(quán)限。拒絕權(quán)限是指某個用戶帳戶或用戶組對某個特定文件的訪問權(quán)限。拒絕權(quán)限可以覆蓋所有其他的權(quán)限，即優(yōu)先于所有的允許權(quán)限。如果一個組的成員有權(quán)訪問文件或文件夾，但是該組被拒絕訪問，則該用戶也不能訪問該文件或文件夾。例如，User1對ABC文件夾有讀取權(quán)限，User1所屬的組Group1對文件夾ABC有拒絕讀取的權(quán)限，則用戶User1就不能讀取ABC文件夾。

(3) 本地訪問有效權(quán)限模型

將權(quán)限與角色聯(lián)系起來可實現(xiàn)基于角色的訪問控制[4]。用戶User1屬于組Group1、Group2……Groupn， Group1、Group2……Groupn對文件夾ABC的權(quán)限分別為r1、r2……rn，User1對文件夾ABC的權(quán)限R計算：

2.2 網(wǎng)絡(luò)訪問有效權(quán)限

文件服務(wù)器的建立是以數(shù)據(jù)共享為目的[5]，應用Windows Server 2008實現(xiàn)文件服務(wù)器，必須設(shè)置共享文件夾的共享權(quán)限。共享權(quán)限是以控制文件夾及其子文件夾進行共享的[6]。FAT16/32和NTFS分區(qū)格式，都具有文件夾共享的功能。共享文件夾只對從網(wǎng)絡(luò)訪問才有效，本機訪問無效。共享權(quán)限優(yōu)先于NTFS安全權(quán)限。Windows系統(tǒng)中，文件沒有共享權(quán)限，只有文件夾才有共享權(quán)限。

文件夾的共享權(quán)限有讀取、更改、完全控制3種。讀取權(quán)限：查看文件名與子文件夾名稱，查看文件內(nèi)的數(shù)據(jù)，執(zhí)行程序。更改權(quán)限：(1)具有讀取權(quán)限的所有能力；(2)新增加以下功能：新建與刪除文件、文件夾，更改文件內(nèi)的數(shù)據(jù)。完全控制權(quán)限具有的能力：(1)具有讀取+更改權(quán)限的所有能力；(2)新增加功能：更改權(quán)限(只適用于NTFS內(nèi)的文件或文件夾)。

為了使數(shù)據(jù)安全性有保證，需要對共享文件夾設(shè)置共享權(quán)限和NTFS權(quán)限兩個權(quán)限。只有設(shè)置共享權(quán)限后，用戶才能通過網(wǎng)絡(luò)從另一臺計算機訪問到共享文件夾。

當用戶從網(wǎng)絡(luò)訪問另一臺計算機的共享文件夾時，系統(tǒng)第一步校驗共享權(quán)限，檢查該用戶是否有允許訪問共享文件夾的共享權(quán)限，如果允許訪問第二步再校驗安全權(quán)限。因此當一個文件夾同時設(shè)置了共享權(quán)限和NTFS權(quán)限后，從網(wǎng)絡(luò)訪問該文件夾的權(quán)限則是共享權(quán)限和NTFS權(quán)限的交集，如圖1所示。

圖1 網(wǎng)絡(luò)訪問有效權(quán)限

設(shè)計算機PC1的文件夾的共享權(quán)限R1={x1,x2,x3}，NTFS權(quán)限R2={y1,y2……yn}，則計算機PC2通過網(wǎng)絡(luò)訪問PC1的網(wǎng)絡(luò)訪問有效權(quán)限R3為R1和R2的交集，即網(wǎng)絡(luò)訪問有效權(quán)限模型是：R3=R1∩R2。

3 權(quán)限設(shè)置應用

3.1 NTFS權(quán)限應用

下面通過具體應用案例分析NTFS權(quán)限設(shè)置問題。

某企業(yè)的服務(wù)器，除管理員外還有3個用戶需要在服務(wù)器上存儲數(shù)據(jù)，設(shè)這3個用戶User1、User2、User3將數(shù)據(jù)分別存儲在服務(wù)器的A1、A2、A 3文件夾中，要求每個用戶只能訪問自己相應文件夾，不能訪問其他文件夾的數(shù)據(jù)。即，User1只能進入A1文件夾，不能進入A2、A3文件夾。通過這種方式，確保用戶的數(shù)據(jù)不能被其他用戶訪問，保證數(shù)據(jù)的安全性。以User1用戶使用A1文件夾為例說明。

只有Administrators組內(nèi)的成員、文件/文件夾的所有者、具有完全控制權(quán)限的用戶，才有權(quán)限來分配這個文件/文件夾的NTFS權(quán)限。

(1) 以管理員Administrator登錄，創(chuàng)建User1、User2、User3帳戶，User1、User2、User3帳戶默認屬于Users組，創(chuàng)建A1、A2、A3文件夾。

(2) Users組對A1的權(quán)限是“讀取和執(zhí)行”、“列出文件夾目錄”、“讀取”，因此，User1、User2、User3對A1均有訪問權(quán)限，這不符合要求，因而必須將Users組從權(quán)限的用戶列表中刪除。但Users組的權(quán)限是文件夾從它的父文件夾磁盤分區(qū)根目錄繼承而來的，對于這些繼承而來的權(quán)限無法直接改動，因而要刪除組，首先必須要斷開權(quán)限繼承關(guān)系。

(3) 在A1文件夾屬性的“安全”選項卡中，點擊“高級”按鈕，在打開的“高級安全設(shè)置”中點擊“編輯”按鈕，然后去掉“包括可從該對象的父項繼承的權(quán)限”的勾選。在隨后出現(xiàn)的警告對話框中選擇“復制”，保留原先的用戶列表，現(xiàn)在可以將Users組從用戶列表中刪除。根據(jù)案例要求，只有User1可以使用A1文件夾，User1對A1文件夾有完全控制權(quán)限，根據(jù)權(quán)限繼承規(guī)則，這個權(quán)限將自動傳遞到A1文件夾中和各個子文件夾和文件,如圖2所示。

圖2 User1對A1的權(quán)限

(5) 以User1帳戶在計算機本地登錄，可以進入A1文件夾做任何操作。以User2在計算機本地登錄，則不能進入A1文件夾，如圖3所示。

圖3 拒絕User2訪問A1

3.2 共享權(quán)限應用

只有Administrators、Server Operators、Power Users等組的成員才能設(shè)置共享文件夾。以Administrator登錄Server 2008，設(shè)置A1共享文件夾。點擊A1屬性的“共享”選項卡→“高級共享”→“權(quán)限”，系統(tǒng)默認Everyone組有讀取權(quán)限。

設(shè)置Server 2008和WIN7計算機的IP地址分別為192.168.1.10和192.168.1.11。在WIN7的“網(wǎng)絡(luò)”中點擊Server 2008計算機圖標，彈出用戶認證，輸入用戶名User2和相應密碼。進入Server 2008計算機，并且能顯示A1文件夾，這是因為在設(shè)置A1的共享權(quán)限是Everyone組有讀取權(quán)限，而且User2屬于Everyone組，所以User2能夠訪問WIN 2008計算機，如圖4所示。

圖4 訪問2008計算機

點擊A1文件夾，彈出拒絕對話框，如圖5所示。

圖5 拒絕訪問A1文件夾

這是因為A1文件夾的NTFS權(quán)限對User2用戶是拒絕訪問的，所以，此時User2并不能進入A1文件夾。

4 總結(jié)

應用Windows NTFS文件系統(tǒng)的安全權(quán)限功能，實現(xiàn)了在服務(wù)器中用戶只能將數(shù)據(jù)存儲在指定目錄，并不允許其他用戶訪問，保證了數(shù)據(jù)在服務(wù)器中的安全性。通過網(wǎng)絡(luò)訪問其他計算機的共享文件，對訪問用戶進行相應的權(quán)限設(shè)置，保證了提供共享計算機的數(shù)據(jù)安全。

[1] 陳培德,吳建平,王麗清. B-樹NTFS索引目錄管理中的應用研究[J].計算機技術(shù)與發(fā)展,2016,26(9):30-33.

[2] 欒詠紅. NTFS與EXT2文件系統(tǒng)互訪探究[J].計算機時代,2010,(12):34-36.

[3] 戴祖旭. Windows NTFS文件(夾)權(quán)限計算模型[J].計算機工程與設(shè)計,2009,30(12):2902-2904.

[4] 徐國棟,朱亮. Windows下文件過濾驅(qū)動技術(shù)[J]. 微型電腦應用,2016,32(8):74-76.

[5] 戴有煒. Windows Server 2012 R2系統(tǒng)配置指南[M].北京：清華大學出版社，2017.

[6] 李志東. Win Server 2003文件服務(wù)器權(quán)限與審核研究[J].計算機應用,2011,(2):59-61.

AnEffectiveDataAccessPermissionComputingModelBasedonNTFS

Liao Changwu
(Nanjing Institute of Industry Technology, Nanjing 210016)

Using security permissions function for files and folders provided by Windows NTFS file system, this paper proposes the effective permission for local access to the Windows file system, as well as the effective permission for network access to the shared folders. In addition, it also gives the effective permission computing model for local access and network access to achieve security management of the local user data and shared data. Furthermore, NTFS permission is used to improve the security of data stored in the computer.

NTFS file system; NTFS permission; Shared permission; Effective permission

江蘇省現(xiàn)代教育技術(shù)研究課題(2016-R-49522)

廖常武(1964-)，男，副教授，碩士，研究方向：計算機網(wǎng)絡(luò)技術(shù).

1007-757X(2017)11-0024-03

TP393

A

2017.08.05)