Бағдарламалық қамтамасыз етуде өкілеттіктерді бөлу және қауіпсіздік шаралары

Кіріспе

Компьютерлік бағдарламалау және компьютерлік қауіпсіздікте, артықшылықтарды бөлу – ең аз артықшылық принципін іске асыруға арналған бағдарламалық тәсілдердің бірі. Артықшылықтарды бөлу арқылы бағдарлама белгілі бір міндетті орындау үшін қажетті нақты артықшылықтармен шектелген бөліктерге бөлінеді. Бұл компьютерлік қауіпсіздіктің осал тұстарын пайдаланудың ықтимал зардаптарын азайту үшін қолданылады. Артықшылықтарды бөлуді іске асырудың әдеттегі тәсілі – компьютерлік бағдарламаны екі процеске бөлу. Бағдарламаның негізгі бөлігі артықшылықтарынан айырылады, ал кіші бөлігі белгілі бір міндетті орындау үшін артықшылықтарын сақтайды. Екі бөлік содан кейін сокет жұбы арқылы байланысады. Осылайша, үлкен бағдарламаға қарсы жасалған кез келген сәтті шабуыл, екі бағдарлама артықшылықты операцияларды орындауға қабілетті болғанымен, минималды қолжетімділікке ие болады. Артықшылықтарды бөлу дәстүрлі түрде POSIX стандартында көрсетілген setuid(2)/setgid(2) және байланысты жүйелік шақыруларды пайдалана отырып, нақты пайдаланушы ID/топ ID-ін тиімді пайдаланушы ID/топ ID-нен ажырату арқылы жүзеге асырылады. Егер олар дұрыс орналаспаса, бұл желіге кеңінен енуге мүмкіндік береді. Көптеген желілік қызметтерге шикі сокетті немесе белгілі порттар диапазонындағы интернет сокетін ашу сияқты артықшылықты операцияларды орындау қажет болуы мүмкін. Әкімшілік құралдар да орындалу кезінде нақты артықшылықтарды талап етуі мүмкін. Мұндай бағдарламалық жасақтама, маңызды бөлім аяқталғаннан кейін артықшылықтарды толығымен алып тастап, одан кейін оны орындау үшін пайдаланылатын пайдаланушыны артықшылықтары жоқ тіркелгіге ауыстыруға бейім. Бұл әрекет Unix сияқты операциялық жүйелерде root құқықтарынан бас тарту деп белгілі. Артықшылықтары жоқ бөлік әдетте "nobody" пайдаланушысы немесе оған балама жеке пайдаланушы тіркелгісі арқылы іске қосылады. Артықшылықтарды бөлуді бір бағдарламаның функционалдығын бірнеше кіші бағдарламаларға бөлу арқылы, содан кейін файлдық жүйе рұқсаттарын пайдалана отырып, кеңейтілген артықшылықтарды нақты бөліктерге беру арқылы да жасауға болады. Осылайша, әртүрлі бағдарламалар операциялық жүйе арқылы бір-бірімен байланысады, сондықтан ықтимал осалдықтардың ауқымы шектеледі (өйткені артықшылықтары аз бөлігіндегі апатты пайдалануға болмайды, тек қызметтен бас тарту шабуылына себеп болады). Артықшылықтарды бөлу – OpenBSD қауіпсіздігінің маңызды ерекшеліктерінің бірі. Postfix іске асырылуы артықшылықтарды толық бөлуді іске асыруға бағытталған. Артықшылықтарды бөлу және қауіпсіздік принципін ескере отырып жасалған тағы бір электрондық пошта сервері – Dovecot. Solaris артықшылықтарды бөлуге арналған функциялар жиынтығын ұсынады.

In computer programming and computer security, privilege separation is one software based technique for implementing the principle of least privilege. With privilege separation, a program is divided into parts which are limited to the specific privileges they require in order to perform a specific task. This is used to mitigate the potential damage of a computer security vulnerability. A common method to implement privilege separation is to have a computer program fork into two processes. The main program drops privileges, and the smaller program keeps privileges in order to perform a certain task. The two halves then communicate via a socket pair. Thus, any successful attack against the larger program will gain minimal access, even though the pair of programs will be capable of performing privileged operations. Privilege separation is traditionally accomplished by distinguishing a real user ID/group ID from the effective user ID/group ID, using the setuid(2)/setgid(2) and related system calls, which were specified by POSIX. If these are incorrectly positioned, gaps can allow widespread network penetration. Many network service daemons have to do a specific privileged operation such as open a raw socket or an Internet socket in the well known ports range. Administrative utilities can require particular privileges at run time as well. Such software tends to separate privileges by revoking them completely after the critical section is done, and change the user it runs under to some unprivileged account after so doing. This action is known as dropping root under Unix like operating systems. The unprivileged part is usually run under the "nobody" user or an equivalent separate user account. Privilege separation can also be done by splitting functionality of a single program into multiple smaller programs, and then assigning the extended privileges to particular parts using file system permissions. That way the different programs have to communicate with each other through the operating system, so the scope of the potential vulnerabilities is limited (since a crash in the less privileged part cannot be exploited to gain privileges, merely to cause a denial of service attack). Separation of privileges is one of the major OpenBSD security features. The implementation of Postfix was focused on implementing comprehensive privilege separation. Another email server software designed with privilege separation and security in mind is Dovecot. Solaris implements a separate set of functions for privilege bracketing.