При проверке на уровне ресурса с каждым сетевым ресурсом сервера (share) связывается один или несколько паролей доступа. Для разных ресурсов одного и того же сервера пароли могут быть разными. Чтобы получить доступ к ресурсу, клиент должен предъявить пароль, связанный с этим ресурсом. Таким образом, для доступа к нескольким сетевым ресурсам одного и того же сервера пользователю придется несколько раз указать разные пароли. Проверка на уровне ресурса — защита простая, но ненадежная, поскольку здесь не заложена возможность получения информации о том, кто персонально осуществляет доступ. Администратору трудно проследить за тем, кому известен пароль на определенный сетевой ресурс. Подобный режим контроля доступа используется в сервере Windows for Workgroups. Операционная система Windows NT не поддерживает доступ на уровне ресурса.
При проверке на уровне пользователя сервер выполняет идентификацию пользователя на основе базы учетных записей. Для доступа к ресурсам сервера пользователь, открыв сеанс, указывает свое имя, пароль и домен, в котором находится его учетная запись. Сервер проверяет подлинность полученной информации и связывает с сеансом указанную учетную запись. При последующих запросах клиента контроль доступа осуществляется по связанной с сеансом учетной записи. Таким образом, пользователь указывает только один пароль для доступа ко всем ресурсам сервера.
Учтите, однако, что протокол SMB, обеспечивая защиту в момент открытия сеанса, в дальнейшем все данные пользователя передает по сети в открытом виде. Злоумышленник может незаметно для сервера и клиента перехватить или даже модифицировать эти данные. Поэтому, если требуется обеспечить конфиденциальность информации, надо применить программные или аппаратные средства шифрования транспортного канала, например, протокол РРТР (Point-to-Point Tunneling Protocol) — средство для создания виртуальных частных сетей из состава Windows NT.
Функционирование протокола
Не имея представления о 8MB, говорить о том, как этот протокол влияет на безопасность сети, невозможно. Однако его полная спецификация весьма объемна. К тому же различные диалекты обладают множеством особенностей. Поэтому ниже мы рассмотрим лишь основные механизмы протокола, связанные с проверкой подлинности и контролем доступа к информации.
Формат сообщения
В качестве транспортной основы протокола обычно используется сеанс NetBIOS. Можно работать и по сетевому протоколу без соединения: пример — реализация SMB, основанная на протоколе IPX. В этом случае работа SMB несколько усложняется, но принципиального влияния на способы обеспечения безопасности это не оказывает. Поэтому мы будем предполагать, что SMB использует «виртуальный канал», по которому клиент и сервер свободно обмениваются информацией.
Передаваемые от клиента к серверу и в обратном направлении информационные пакеты называются блоками серверных сообщений (Server Message Blocks, SMBs). Каждое сообщение содержит запрос на выполнение определенной операции (команду) или результат выполнения операции. Пакет может содержать сразу несколько таких сообщений. Примером передаваемой в сообщении операции может служить команда считывания порции информации из файла, ответом на которую будет сообщение, содержащее считанные данные. Сообщения SMB имеют фиксированную структуру:
Структура сообщения SMB
Уважаемый посетитель!
Чтобы распечатать файл, скачайте его (в формате Word).
Ссылка на скачивание - внизу страницы.