基于NTFS的數據有效訪問權限計算模型

廖常武(南京工業職業技術學院，南京 210016)

基于NTFS的數據有效訪問權限計算模型

廖常武
(南京工業職業技術學院，南京 210016)

應用Windows的NTFS文件系統提供的文件、文件夾的安全權限功能，提出了通過本地訪問Windows文件系統的本地訪問有效權限，以及通過網絡訪問共享文件夾的網絡訪問有效權限，并給出了本地訪問有效權限和網絡訪問有效權限的計算模型，實現了本地用戶數據和共享數據的安全性管理。利用NTFS權限提高了存儲在計算機中數據的安全。

NTFS文件系統； NTFS權限； 共享權限； 有效權限

0 引言

Windows Server的默認文件系統是NTFS[1](New Technology File System)。NTFS文件系統具有較好的穩定性和安全性，具有用戶權限、文件系統配額、數據壓縮、數據加密等功能。在NTFS中，文件以簇的形式分配，最小的單位為扇區，n個扇區為一簇。NTFS的數據可分為 4 個部分[2]：(1)引導扇區(Partition boot sector，BPB)，所有磁盤格式都共有，占用一個扇區，但具體的內容各不相同；(2)主文件列表(Master File Table，MFT)，是卷上所有文件的列表，每個文件對應一個記錄項；(3)系統文件(System files)，NTFS 系統一共有16個系統文件，和8個保留文件；(4)數據區(File area)，留給用戶的空間。

1 NTFS權限類型

Windows只有NTFS類型的文件系統可以設置文件和文件夾的安全權限，所以安全權限又稱為NTFS權限，NTFS通過對文件、文件夾、網絡共享、打印機、進程、服務等安全對象設置ACL實現安全性。

1.1 NTFS標準權限

對每一個文件對象，NTFS標準文件權限有5種[3]。(1)讀取：可以查看該文件；(2)寫入：可以更改或覆蓋文件的內容、屬性，查看文件的所有者和權限；(3)讀取及運行：具有“讀取”的所有權限，還具有運行應用程序的權限；(4)修改：擁有讀取、寫入、讀取及運行的所有權限，還可以修改和刪除文件；(5)完全控制：有上述(1)-(4)的所有權限，還具有更改權限和取得所有權的權限。

對每一個文件夾對象，NTFS標準文件夾權限有6種。(1)讀取，可以查看該文件夾中的文件和子文件夾；(2)寫入：在文件內可以添加文件和子文件夾，并對文件夾的屬性進行修改；(3)列出文件夾目錄：具有讀取的所有權限，而且還具有遍歷子文件夾的權限；(4)讀取及運行：具有讀取、列出文件夾目錄的所有權限；(5)修改：具有寫入、讀取及運行的所有權限，具有刪除文件夾權限；(6)完全控制：具有NTFS文件夾的所有權限。

每種標準權限都有未授權或空、允許、拒絕3 種狀態。允許和空狀態之間可以相互轉化，分別對應授權和撤消權利，拒絕和空狀態相互轉化，分別對應著明令禁止和解除禁令，允許和拒絕狀態之間不能直接轉化。

1.2 NTFS特殊權限

NTFS特殊文件權限有14個：(1)完全控制；(2)執行文件；(3)讀取數據；(4)讀取屬性；(5)讀取擴展屬性；(6)寫入數據；(7)添加數據；(8)寫入屬性；(9)寫入擴展屬性；(10)刪除子文件夾和文件；(11)刪除；(12)讀取權限；(13)更改權限；(14)獲得所有權。

NTFS特殊文件夾權限有14個：(1)完全控制；(2)遍歷文件夾；(3)列出文件夾；(4)讀取屬性；(5)讀取擴展屬性；(6)創建文件；(7)創建文件夾；(8)寫入屬性；(9)寫入擴展屬性；(10)刪除子文件夾和文件；(11)刪除；(12)讀取權限；(13)更改權限；(14)獲得所有權。

2 NTFS有效權限

NTFS文件系統的每個文件、文件夾均可以設置各自不同的權限，在設置NTFS權限時，必需注意權限的繼承性、累加性、優先性。

2.1 本地訪問有效權限

(1) 權限的繼承性

在一個文件夾中創建新的文件或文件夾，新創建的文件或文件夾會自動繼承父文件夾或驅動器的NTFS權限，稱為權限的繼承性。例如，如果用戶User1對文件夾ABC具有“讀取”權限，則User1對ABC文件夾的子文件夾同樣具有“讀取”權限，要打斷這種繼承關系，就必須重新設置權限。

移動、復制文件或文件夾，其權限的繼承性規則如下。

文件或文件夾權限不變的情況。在相同NTFS分區內移動文件或文件夾，其權限保持不變，繼承未移動前的權限。

文件或文件夾權限改變的情況。在不同NTFS分區之間移動文件或文件夾，在同一個NTFS分區、不同NTFS分區之間復制文件、文件夾，文件、文件夾的權限會繼承目的文件夾的權限。

從 NTFS 分區復制或移動文件、文件夾到 FAT 格式分區時，因為 FAT 分區沒有權限的功能，所以移動或復制到FAT分區的文件或文件夾不能設置權限。

(2) 權限的優先級

文件權限優先于文件夾權限。例如，文件夾ABC中有文件A.doc，用戶User1對文件夾ABC是讀取權限，對A.doc具有修改權限，User1仍然對A.doc可以修改。

拒絕權優先于其他權限。拒絕權限是指某個用戶帳戶或用戶組對某個特定文件的訪問權限。拒絕權限可以覆蓋所有其他的權限，即優先于所有的允許權限。如果一個組的成員有權訪問文件或文件夾，但是該組被拒絕訪問，則該用戶也不能訪問該文件或文件夾。例如，User1對ABC文件夾有讀取權限，User1所屬的組Group1對文件夾ABC有拒絕讀取的權限，則用戶User1就不能讀取ABC文件夾。

(3) 本地訪問有效權限模型

將權限與角色聯系起來可實現基于角色的訪問控制[4]。用戶User1屬于組Group1、Group2……Groupn， Group1、Group2……Groupn對文件夾ABC的權限分別為r1、r2……rn，User1對文件夾ABC的權限R計算：

2.2 網絡訪問有效權限

文件服務器的建立是以數據共享為目的[5]，應用Windows Server 2008實現文件服務器，必須設置共享文件夾的共享權限。共享權限是以控制文件夾及其子文件夾進行共享的[6]。FAT16/32和NTFS分區格式，都具有文件夾共享的功能。共享文件夾只對從網絡訪問才有效，本機訪問無效。共享權限優先于NTFS安全權限。Windows系統中，文件沒有共享權限，只有文件夾才有共享權限。

文件夾的共享權限有讀取、更改、完全控制3種。讀取權限：查看文件名與子文件夾名稱，查看文件內的數據，執行程序。更改權限：(1)具有讀取權限的所有能力；(2)新增加以下功能：新建與刪除文件、文件夾，更改文件內的數據。完全控制權限具有的能力：(1)具有讀取+更改權限的所有能力；(2)新增加功能：更改權限(只適用于NTFS內的文件或文件夾)。

為了使數據安全性有保證，需要對共享文件夾設置共享權限和NTFS權限兩個權限。只有設置共享權限后，用戶才能通過網絡從另一臺計算機訪問到共享文件夾。

當用戶從網絡訪問另一臺計算機的共享文件夾時，系統第一步校驗共享權限，檢查該用戶是否有允許訪問共享文件夾的共享權限，如果允許訪問第二步再校驗安全權限。因此當一個文件夾同時設置了共享權限和NTFS權限后，從網絡訪問該文件夾的權限則是共享權限和NTFS權限的交集，如圖1所示。

圖1 網絡訪問有效權限

設計算機PC1的文件夾的共享權限R1={x1,x2,x3}，NTFS權限R2={y1,y2……yn}，則計算機PC2通過網絡訪問PC1的網絡訪問有效權限R3為R1和R2的交集，即網絡訪問有效權限模型是：R3=R1∩R2。

3 權限設置應用

3.1 NTFS權限應用

下面通過具體應用案例分析NTFS權限設置問題。

某企業的服務器，除管理員外還有3個用戶需要在服務器上存儲數據，設這3個用戶User1、User2、User3將數據分別存儲在服務器的A1、A2、A 3文件夾中，要求每個用戶只能訪問自己相應文件夾，不能訪問其他文件夾的數據。即，User1只能進入A1文件夾，不能進入A2、A3文件夾。通過這種方式，確保用戶的數據不能被其他用戶訪問，保證數據的安全性。以User1用戶使用A1文件夾為例說明。

只有Administrators組內的成員、文件/文件夾的所有者、具有完全控制權限的用戶，才有權限來分配這個文件/文件夾的NTFS權限。

(1) 以管理員Administrator登錄，創建User1、User2、User3帳戶，User1、User2、User3帳戶默認屬于Users組，創建A1、A2、A3文件夾。

(2) Users組對A1的權限是“讀取和執行”、“列出文件夾目錄”、“讀取”，因此，User1、User2、User3對A1均有訪問權限，這不符合要求，因而必須將Users組從權限的用戶列表中刪除。但Users組的權限是文件夾從它的父文件夾磁盤分區根目錄繼承而來的，對于這些繼承而來的權限無法直接改動，因而要刪除組，首先必須要斷開權限繼承關系。

(3) 在A1文件夾屬性的“安全”選項卡中，點擊“高級”按鈕，在打開的“高級安全設置”中點擊“編輯”按鈕，然后去掉“包括可從該對象的父項繼承的權限”的勾選。在隨后出現的警告對話框中選擇“復制”，保留原先的用戶列表，現在可以將Users組從用戶列表中刪除。根據案例要求，只有User1可以使用A1文件夾，User1對A1文件夾有完全控制權限，根據權限繼承規則，這個權限將自動傳遞到A1文件夾中和各個子文件夾和文件,如圖2所示。

圖2 User1對A1的權限

(5) 以User1帳戶在計算機本地登錄，可以進入A1文件夾做任何操作。以User2在計算機本地登錄，則不能進入A1文件夾，如圖3所示。

圖3 拒絕User2訪問A1

3.2 共享權限應用

只有Administrators、Server Operators、Power Users等組的成員才能設置共享文件夾。以Administrator登錄Server 2008，設置A1共享文件夾。點擊A1屬性的“共享”選項卡→“高級共享”→“權限”，系統默認Everyone組有讀取權限。

設置Server 2008和WIN7計算機的IP地址分別為192.168.1.10和192.168.1.11。在WIN7的“網絡”中點擊Server 2008計算機圖標，彈出用戶認證，輸入用戶名User2和相應密碼。進入Server 2008計算機，并且能顯示A1文件夾，這是因為在設置A1的共享權限是Everyone組有讀取權限，而且User2屬于Everyone組，所以User2能夠訪問WIN 2008計算機，如圖4所示。

圖4 訪問2008計算機

點擊A1文件夾，彈出拒絕對話框，如圖5所示。

圖5 拒絕訪問A1文件夾

這是因為A1文件夾的NTFS權限對User2用戶是拒絕訪問的，所以，此時User2并不能進入A1文件夾。

4 總結

應用Windows NTFS文件系統的安全權限功能，實現了在服務器中用戶只能將數據存儲在指定目錄，并不允許其他用戶訪問，保證了數據在服務器中的安全性。通過網絡訪問其他計算機的共享文件，對訪問用戶進行相應的權限設置，保證了提供共享計算機的數據安全。

[1] 陳培德,吳建平,王麗清. B-樹NTFS索引目錄管理中的應用研究[J].計算機技術與發展,2016,26(9):30-33.

[2] 欒詠紅. NTFS與EXT2文件系統互訪探究[J].計算機時代,2010,(12):34-36.

[3] 戴祖旭. Windows NTFS文件(夾)權限計算模型[J].計算機工程與設計,2009,30(12):2902-2904.

[4] 徐國棟,朱亮. Windows下文件過濾驅動技術[J]. 微型電腦應用,2016,32(8):74-76.

[5] 戴有煒. Windows Server 2012 R2系統配置指南[M].北京：清華大學出版社，2017.

[6] 李志東. Win Server 2003文件服務器權限與審核研究[J].計算機應用,2011,(2):59-61.

AnEffectiveDataAccessPermissionComputingModelBasedonNTFS

Liao Changwu
(Nanjing Institute of Industry Technology, Nanjing 210016)

Using security permissions function for files and folders provided by Windows NTFS file system, this paper proposes the effective permission for local access to the Windows file system, as well as the effective permission for network access to the shared folders. In addition, it also gives the effective permission computing model for local access and network access to achieve security management of the local user data and shared data. Furthermore, NTFS permission is used to improve the security of data stored in the computer.

NTFS file system; NTFS permission; Shared permission; Effective permission

江蘇省現代教育技術研究課題(2016-R-49522)

廖常武(1964-)，男，副教授，碩士，研究方向：計算機網絡技術.

1007-757X(2017)11-0024-03

TP393

A

2017.08.05)