JP4809530B2 - 制限付きのトークンを使用したセキュリティモデル - Google Patents
制限付きのトークンを使用したセキュリティモデル Download PDFInfo
- Publication number
- JP4809530B2 JP4809530B2 JP2000553885A JP2000553885A JP4809530B2 JP 4809530 B2 JP4809530 B2 JP 4809530B2 JP 2000553885 A JP2000553885 A JP 2000553885A JP 2000553885 A JP2000553885 A JP 2000553885A JP 4809530 B2 JP4809530 B2 JP 4809530B2
- Authority
- JP
- Japan
- Prior art keywords
- access
- token
- restricted
- security
- identifier
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/33—User authentication using certificates
- G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/604—Tools and structures for managing or administering access control systems
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
- G06F21/645—Protecting data integrity, e.g. using checksums, certificates or signatures using a third party
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2149—Restricted operating environment
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- Software Systems (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computing Systems (AREA)
- Automation & Control Theory (AREA)
- Databases & Information Systems (AREA)
- Storage Device Security (AREA)
Description
【０００１】
（発明の分野）
本発明は、一般にコンピュータシステムに関し、より詳細には、コンピュータシステム用の改善されたセキュリティモデルに関する。
【０００２】
（発明の背景）
歴史的に、実行可能なコンテンツは磁気媒体を物理的にコンピュータに運び、管理権限を持つ人にインストールしてもらうことによってのみ、コンピュータシステムにインストールされる。しかし現在、インターネットにより、普通のコンピュータユーザがＡｃｔｉｖｅＸ制御、プログラム、スクリプトなどの実行可能な内容をダウンロードすることが非常に簡単になり、普及してきた。多くの場合、実行可能なコンテンツは、ユーザがこのようなイベントが起きたことに気づくことさえなく、インターネットを介してダウンロードし、実行することが可能である。
【０００３】
残念なことに、このような実行可能なコンテンツはしばしば不正であり、たとえば、悪意を持って故意にクライアントマシン上のデータを破壊したりエラーが起こりがちで、クライアントのマシンをクラッシュさせるか、または善意であっても注意が足りず、クライアントに関する機密情報を漏らす場合がある。こういったタイプのコンピュータ問題は、以前は「ウィルス」および「トロイの木馬」の形で存在したが、ワールドワイドウェブの普及はこれらの問題を広げ、場合によっては制御不能が生じる。一般に、クライアントの動作環境は不正なコードに対して適切に保護されていない。
【０００４】
いくつかのオペレーティングシステムはすでに既存のセキュリティメカニズムを有しており、セキュリティシステムは権限のないユーザが行うことを制限する。たとえば、Ｗｉｎｄｏｗｓ ＮＴオペレーティングシステムに組み込まれたセキュリティシステムは、ユーザの識別に基づいてリソースへのアクセスを制御する。Ｗｉｎｄｏｗｓ ＮＴプロセスがリソースにアクセスして所定のアクションを実行しようとすると、Ｗｉｎｄｏｗｓ ＮＴ内のセキュリティメカニズムはクライアントのユーザＩＤおよびグループＩＤおよびそのプロセスに関連付けられた権限を、そのリソースに割り当てられたセキュリティ情報と比較して、そのリソースへのアクセスを許可または拒否する。このようにして、許可されないユーザがリソースにアクセスし、害を及ぼす可能性が防止されるが、一方、許可されたユーザは実行できるアクションに制限を受ける場合がある。
【０００５】
しかし現在、ユーザプロセスがリソースにアクセスする適切な権利または権限を有する時、プロセスが不正な実行可能な内容を含み、リソースにアクセスして望ましくない結果を伴う可能性がある。たとえば、適切な証明を有するＷｉｎｄｏｗｓ ＮＴユーザが不正なコードをダウンロードし実行し、これによって、上記の有害な結果のうち任意の結果またはすべての結果が生じる可能性がある。ほかのセキュリティモデルも同様な欠点および他の欠点を有し、同じ問題の影響が受けやすくなっている。
【０００６】
（発明の概要）
簡潔に言えば、本発明は制限付きのアクセストークンを提供し、各々のアクセストークンは既存の（親）トークンから作成されたアクセストークンのうちの修正された、制限付きのバージョンである。制限付きのトークンは、コピー元の親トークンより少ないアクセスを有し、親トークン内でアクセスを許可する１つまたは複数のセキュリティ識別子の属性を、制限付きのトークン内で許可されたアクセスを使用不可にするような設定に変更することにより制限付きトークンは作成される。および／または、親トークンに存在する１つまたは複数の権限を制限付きのトークンから削除することによっても制限付きトークンが作成される。さらに、制限付きのトークンはその中に制限付きのセキュリティ識別子を置くことによっても作成される。
【０００７】
使用に際しては、プロセスはそのプロセスを起動するアプリケーションなどにより、制限付きのトークンに関連付けられる。制限付きのプロセスがリソース上でアクションを実行しようと試みると、カーネルモードのセキュリティメカニズムはまず、ユーザベースのセキュリティ識別子および目的のアクションタイプを、そのリソースに関連付けられた識別子およびアクションのリストと比較する。制限付きのトークン内に制限付きのセキュリティ識別子がない場合、アクセスはこの最初の比較の結果によって決定される。制限付きのトークン内に制限付きのセキュリティ識別子がある場合、このアクションに関する第２のアクセスチェックは制限付きのセキュリティ識別子をそのリソースに関連付けられた識別子およびアクションのリストと比較する。制限付きのセキュリティ識別子を有するトークンでは、第１および第２のアクセスチェックの両方がパスした場合のみ、そのプロセスはそのリソースへのアクセスを許可される。
【０００８】
制限付きのトークンを作成することによって、プロセスは制限付きのコンテキスト内で、元の権利および権限のサブセットである別のプロセスを起動することができる。このようにして、プロセスは別のプロセス、すなわち、リソースに対して実行できるアクション内で不正なコードの可能性があるような別のプロセスを制限することができる。
【０００９】
他の利点は図面と共に次の説明から明らかになる。
【００１０】
（詳細な説明）
例としてのオペレーション環境
図１および以下の議論は、本発明が実現できる適切なコンピューティング環境の簡単で一般的な説明を提供することを意図している。必要ではないが、本発明は、パーソナルコンピュータによって実行されるプログラムモジュールなどのコンピュータ実行可能な命令の一般的なコンテキスト内で説明される。一般に、プログラムモジュールはルーチン、プログラム、オブジェクト、構成要素、データ構造などを含み、特定のタスクを実行するか、特定の抽象的なデータタイプを実装する。さらに、当業者であれば本発明は、手持ちデバイス、マルチプロセッサシステム、マイクロプロセッサに基づいたまたはプログラミング可能な消費者電気製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータなどを含む他ののコンピュータシステム構成でも実行できることが理解されるであろう。本発明はまた、通信ネットワークを介してリンクされた遠隔処理デバイスによってタスクが実行される分散コンピューティング環境内でも実行できる。分散コンピューティング環境では、プログラムモジュールはローカルメモリ記憶デバイスおよび遠隔メモリ記憶デバイスの両方に位置する場合がある。
【００１１】
図１を参照すると、本発明を実現するための一例としてのシステムは、従来のパーソナルコンピュータ２０などの形の汎用コンピューティングデバイスを含み、汎用コンピューティングデバイスは処理ユニット２１、システムメモリ２２、およびシステムメモリから処理ユニット２１までを含む種々のシステム構成要素を結合するシステムバス２３を含む。システムバス２３はいくつかのタイプのバス構成のうち任意の構成であって、その中にはメモリバスまたはメモリコントローラ、周辺バス、種々のバスアーキテクチャのうち任意のアーキテクチャを使用するローカルバスを含んでもよい。システムメモリは読取り専用メモリ（ＲＯＭ）２４およびランダムアクセスメモリ（ＲＡＭ）２５を含む。起動時などにパーソナルコンピュータ２０内の要素の間で情報を転送する役に立つ基本的なルーチンを含む基本入出力システム２６（ＢＩＯＳ）は、ＲＯＭ２４内に格納されている。パーソナルコンピュータ２０はさらに、図示されてはいないがハードディスクから読み出したり書き込んだりするためのハードディスクドライブ２７、取外し可能磁気ディスク２９から読み出したり書き込んだりするための磁気ディスクドライブ２８、および、ＣＤ−ＲＯＭまたは他の光媒体など、取外し可能光ディスク３１から読み出したり書き込んだりするための光ディスクドライブ３０を含む場合がある。ハードディスクドライブ２７、磁気ディスクドライブ２８、および光ディスクドライブ３０はそれぞれ、ハードディスクドライブインタフェース３２、磁気ディスクドライブインタフェース３３、および光ドライブインタフェース３４によってそれぞれシステムバス２３に接続されている。ドライブとその関連付けられたコンピュータ可読媒体は、パーソナルコンピュータ２０のためにコンピュータ可読命令、データ構造、プログラムモジュールおよびほかのデータの、不揮発性の格納を提供する。ここに説明された例としての環境は、ハードディスク、取外し可能磁気ディスク２９および取外し可能光ディスク３１を使用しているが、当業者であれば磁気カセット、フラッシュメモリカード、ディジタルビデオディスク、ベルヌーイカートリッジ、ランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）などの、コンピュータによってアクセス可能なデータを格納できる他のタイプのコンピュータ可読媒体も例としての動作環境内で使用できることが理解されるであろう。
【００１２】
オペレーティングシステム３５（好ましくはＷｉｎｄｏｗｓ ＮＴ）、１つまたは複数のアプリケーションプログラム３６、ほかのプログラムモジュール３７およびプログラムデータ３８を含むいくつかのプログラムモジュールがハードディスク、磁気ディスク２９、光ディスク３１、ＲＯＭ２４またはＲＡＭ２５に格納できる。ユーザは、キーボード４０およびポインティングデバイス４２などの入力デバイスを介してパーソナルコンピュータ２０にコマンドおよび情報を入力できる。他の入力デバイス（図示せず）は、マイクロフォン、ジョイスティック、ゲームパッド、サテライトディッシュ、スキャナなどを含む。これらおよび他の入力デバイスはしばしば、システムバスに結合されたシリアルポートインタフェース４６を介して処理ユニット２１に接続されているが、パラレルポート、ゲームポートまたは汎用シリアルバス（ＵＳＢ）などの他のインタフェースによって接続されている場合もある。モニタ４７または他のタイプの表示デバイスもまた、ビデオアダプタ４８などのインタフェースを介してシステムバス２３に接続されている。モニタ４７の外に、パーソナルコンピュータは典型的にはスピーカおよびプリンタなどの他の周辺出力デバイス（図示せず）を含む。
【００１３】
パーソナルコンピュータ２０は、遠隔コンピュータ４９など１つまたは複数の遠隔コンピュータへの論理接続を使用してネットワーク化された環境内で動作する場合がある。遠隔コンピュータ４９は、他のパーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイスまたは他の共通ネットワークノードであり、典型的にはパーソナルコンピュータに関連して上記に説明された要素の多くまたはすべてを含むが、メモリ記憶デバイス５０のみが図１に示されている。図１に描かれた論理接続は、ローカルエリアネットワーク（ＬＡＮ）５１および広域ネットワーク（ＷＡＮ）５２を含む。このようなネットワーク化環境はオフィス、全社的コンピュータネットワーク、イントラネットおよびインターネットに普通に見られる。
【００１４】
パーソナルコンピュータ２０はＬＡＮネットワーク化環境内で使用されると、ネットワークインタフェースまたはアダプタ５３を介してローカルネットワーク５１に接続される。パーソナルコンピュータ２０はＷＡＮネットワーク化環境内で使用されると、典型的にはモデム５４または他の手段を含み、インターネットなど広域ネットワーク５２上で通信を確立する。モデム５４は内部的である場合も外部的である場合もあるが、シリアルポートインタフェース４６を介してシステムバス２３に接続されている。ネットワーク化された環境では、パーソナルコンピュータ２０またはその一部に関して描かれたプログラムモジュールは、遠隔のメモリ記憶デバイス内に格納される場合がある。示されたネットワーク接続は例としてのものであって、コンピュータの間で通信リンクを確立する他の手段も使用できることが明らかであろう。
【００１５】
一般的なセキュリティモデル
本発明の好ましいセキュリティモデルは、Ｗｉｎｄｏｗｓ ＮＴセキュリティモデルに関して説明される。しかし、本発明をＷｉｎｄｏｗｓ ＮＴオペレーティングシステムに限定する意図はなく、逆に、本発明はオペレーティングシステムのレベルでセキュリティチェックを実行する任意のメカニズムで動作し、利益を提供することを目的としている。さらに、本発明はスレッドごとのベースでソフトウェア障害の隔離で使用するか、または制限が現在実行されているクラスのスタックから決定されるバーチャルマシンで使用することもできる。さらに、本発明は必ずしもカーネルモードの動作に依存するわけではなく、ソフトウェア障害の隔離またはバーチャルマシンのように、ユーザモードで実現することもできる。
【００１６】
一般に、Ｗｉｎｄｏｗｓ ＮＴオペレーティングシステムでは、ユーザはプロセス（およびそのスレッド）を介してシステムのリソースにアクセスすることによってタスクを実行する。簡単に説明するために、プロセスおよびそのスレッドは概念上等価と見なされ、以後は簡単にプロセスと呼ぶ。また、Ｗｉｎｄｏｗｓ ＮＴ内ではオブジェクトによって表される、ファイル、共有メモリおよび物理デバイスを含むシステムのリソースは、本明細書では通常リソースまたはオブジェクトと呼ばれる。
【００１７】
ユーザがＷｉｎｄｏｗｓ ＮＴオペレーティングシステムにログオンし認証されると、セキュリティコンテキストがそのユーザのためにセットアップされ、この中にはアクセストークン６０の構築も含まれる。図２の左側に示すように、従来のユーザベースのアクセストークン６０は、ＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド６２を含む。ＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド６２は、セキュリティ識別子、すなわち、ユーザの証明およびそのユーザが属するグループ（たとえば編成内のグループ）を識別する１つまたは複数のグループＩＤ６６に基づいたセキュリティ識別子（セキュリティＩＤまたはＳＩＤ）を含む。トークン６０はまた、そのユーザに割り当てられた任意の権限を一覧する権限フィールド６８を含む。たとえば、このような権限の１つは、管理レベルのユーザに、特定のアプリケーションプログラミングインタフェース（ＡＰＩ）を介してシステムクロックを設定する能力を与える場合がある。権限は、アクセス制御チェック、これは次に説明されるが、権限がない場合にオブジェクトへのアクセスを許可する前に実行されるアクセス制御チェックに優先することに注意されたい。
【００１８】
次に詳細に説明され、図３に一般に示されるように、オブジェクト７２へのアクセスを所望するプロセス７０は、所望するアクセスのタイプを指定し（たとえばファイルオブジェクトへの読取り／書き込みアクセスを得るなど）、および、カーネルレベルでは関連付けられたトークン６０をオブジェクトマネジャー７４に提供する。オブジェクト７２はそれに関連付けられたカーネルレベルのセキュリティ記述子７６を有し、オブジェクトマネジャー７４はセキュリティ記述子７６およびトークン６０をセキュリティメカニズム７８に提供する。セキュリティ記述子７６の内容は、典型的にはオブジェクトの所有者（たとえば制作者）によって決定され、一般に（任意に）アクセス制御エントリーのアクセス制御リスト（ＡＣＬ）８０を含み、各エントリーについて、そのエントリーに対応する１つまたは複数のアクセス権（許可されたアクションまたは拒否されたアクション）を含む。各エントリーはタイプ（拒否または許可）インジケータ、フラグ、セキュリティ識別子（ＳＩＤ）およびアクセス権をビットマスクの形で含み、各ビットは許可に対応する（たとえば、１つのビットは読取りアクセス、１つのビットは書込みアクセス、など）。セキュリティメカニズム７８はトークン６０内のセキュリティＩＤおよびプロセス７０によって要求されたアクション（複数可）のタイプをＡＣＬ８０内のエントリーと比較する。許可されたユーザまたはグループの一致が発見され、所望のアクセスのタイプがそのユーザまたはグループに対して許可可能な場合、オブジェクト７２へのハンドルはプロセス７０に戻されるが、その他の場合はアクセスは拒否される。
【００１９】
例として、ユーザを「会計」グループのメンバーとして識別するトークンを持つユーザが読取りおよび書込みアクセスで特定のファイルオブジェクトにアクセスしたいとする。ファイルオブジェクトが、ＡＣＬ８０のエントリー内で許可されたタイプの「会計」グループ識別子を有し、そのグループが読取りおよび書き込みアクセスを使用可能にする権利を有する場合、読取りおよび書込みアクセスを許可するハンドルは戻されるが、その他の場合はアクセスは拒否される。効率上の理由から、セキュリティチェックはプロセス７０がまずオブジェクト７２（作成または開く）にアクセスしようと試みた時のみ実行され、したがってそのオブジェクトに対するハンドルはそれを介して実行できるアクションを制限するように、アクセス情報のタイプを格納することに注意されたい。
【００２０】
セキュリティ識別子７６はまた、システムＡＣＬまたはＳＡＣＬ８１を含み、これは監査されるべきクライアントアクションに対応するタイプ監査のエントリーを含む。各エントリー内のフラグは監査が成功したオペレーションまたは失敗したオペレーションのどちらを監視するかを示し、エントリー内のビットマスクは監査されるべきオペレーションのタイプを示す。エントリー内のセキュリティＩＤは、監査されるユーザまたはグループを示す。たとえば、ファイルオブジェクトへの書込みアクセスを有しないグループのメンバーがそのファイルに書き込もうと試みた場合いつでも決定できるように特定のグループが監査される状況を考えてみる。そのファイルオブジェクトに関するＳＡＣＬ８１は、その中にグループセキュリティ識別子と、適切に設定された失敗フラグおよび書込みアクセスビットを有する監査エントリーを含む。その特定のグループに属するクライアントがそのファイルオブジェクトに書き込みしようとして失敗するといつでも、そのオペレーションは記録される。
【００２１】
ＡＣＬ８０は、（すべての権利または選択された権利に関して）グループユーザにアクセスを許可する識別子ではなくて、グループユーザのアクセスを拒否するためにマークされる１つまたは複数の識別子を含む場合があることに注意されたい。たとえば、ＡＣＬ８０内にリストされた１つのエントリーは、他の場合に、「グループ3」のメンバーにオブジェクト７２へのアクセスを許可するが、ＡＣＬ８０内の他のエントリーは特に、「グループ24」のすべてのアクセスを拒否する場合がある。トークン６０が「グループ24」セキュリティＩＤを含んでいる場合、アクセスは「グループ3」のセキュリティＩＤの存在にかかわらず拒否されることになる。もちろん、セキュリティチェックが正しく機能するために、セキュリティチェックは、”グループ3”エントリーを介したアクセスを許可しないようにアレンジされ、その後に、すべてのＤＥＮＹ（拒否）エントリーをＡＣＬ８０の前面に置くなどによって、グループ24エントリーの「ＤＥＮＹ ＡＬＬ（すべて拒否）」状態をチェックする。この構成（ａｒｒａｎｇｅｍｅｎｔ）は、グループの残りのメンバーの各々を個別にリストしてそのアクセスを許可する必要なく、グループの、１人または複数の分離したメンバーを個別にＡＣＬ８０内で排除できるので、向上した効率を提供することが明らかであろう。
【００２２】
アクセスのタイプを指定する代わりに、コーラ−（ｃａｌｌｅｒ）はＭＡＸＩＭＵＭ＿ＡＬＬＯＷＥＤアクセスを要求することもでき、これによって、１つのアルゴリズムが通常のＵｓｅｒＡｎｄＧｒｏｕｐｓリスト対ＡＣＬ８０内の各々のエントリーに基づいて、許可される最大のアクセスタイプを決定することに注意されたい。より詳しくは、アルゴリズムは所与のユーザのための権利を蓄積している識別子のリストをウォークダウンする（すなわち、種々のビットマスクをＯＲする）。権利が一度蓄積されると、ユーザに蓄積された権利が与えられる。しかし、ウォークスルーの間にユーザ識別子またはグループ識別子および要求された権利に一致する拒否エントリーが発見されると、アクセスは拒否される。
【００２３】
制限付きのトークン
本発明の一態様によれば、制限付きのトークンは次のように、既存のアクセストークン（制限付きまたは制限なし）から作成される。また次に説明するように、制限付きトークンが任意の制限付きセキュリティＩＤを含む場合、そのトークンは追加のアクセスチェックを受け、その中で制限付きセキュリティＩＤはオブジェクトのＡＣＬ内のエントリーと比較される。
【００２４】
制限付きトークンの主な用途は、プロセスに、それ自体のトークンの制限付きのバージョンを持つ新しいプロセスを作成させることである。制限付きのプロセスはついで、リソースに関して実行できるアクションにおいて制限される。たとえば、ファイルオブジェクトリソースは、関連付けられた制限付きトークンの中に同じマイクロソフトワード制限付きＳＩＤを有する制限付きプロセスのみがそのファイルオブジェクトにアクセスできるように、単一の制限付きＳＩＤ、すなわち、マイクロソフトワードのアプリケーションプログラムを識別する単一の制限付きＳＩＤをそのＡＣＬの中に有する場合がある。オリジナルユーザはさらにオブジェクトにアクセスする必要があるので、ＡＣＬもまた、ユーザアクセスおよびマイクロソフトワードプログラムを許可するアクセス制御エントリーを含む必要があることに注意されたい。そのため、たとえば、ブラウザを介してダウンロードされたコードなど、信用できないコードは、制限付きプロセス内で実行される。制限付きプロセスは、制限付きトークン内にマイクロソフトワード制限付きセキュリティＩＤを有しない（不正である可能性のある）コードがファイルオブジェクトへアクセスすることを防ぐ。
【００２５】
セキュリティ上の理由から、異なるトークンを伴うプロセスの作成は通常は、ＳｅＡｓｓｉｇｎＰｒｉｍａｒｙＴｏｋｅｎ権限として知られる権限を必要とする。しかし、プロセスが制限付きトークンと関連付けられるようにするために、制限付きトークンが主トークンから導出されている場合に、プロセス管理は別のプロセスへの十分なアクセスを持つ１つのプロセスが、その主トークンを制限付きトークンに変更できるようにする。新しいプロセスのトークンのＰａｒｅｎｔＴｏｋｅｎＩｄを既存のプロセスのトークンのＴｏｋｅｎＩｄと比較することによって、オペレーティングシステム３５はプロセスがそれ自体の制限付きバージョンを作成しているだけであることを確認する。
【００２６】
制限付きトークン８４は親トークンより少ないアクセスしか有せず（すなわち、親トークンの権利と権限のサブセットを有するため）、ユーザ情報またはグループ情報のみに基づいてアクセスを許可または拒否するのみでなく、そのオブジェクトにアクセスしようと試みるプロセスのタイプ（またユーザまたはグループ）に基づいてオブジェクトへのアクセスを防止することなどが可能である。制限付きのトークンはまた、親トークンがこれらのＳＩＤを介してアクセスを許可している場合でも、「ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹ」と特にマークされた１人または複数のユーザまたはグループのセキュリティＩＤを介したアクセスを許可しない場合もあり、および／または、親トークンに存在する権限を削除してしまう場合もある。
【００２７】
したがって、アクセスを削減する１つの方法は、制限付きトークン内の１つまたは複数のユーザセキュリティ識別子および／またはグループのセキュリティ識別子の属性を変更して、アクセスを許可するのではなくアクセスを許可できないようにすることである。ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされたセキュリティＩＤは、アクセスを許可する目的のためには効果的に無視されるが、そのセキュリティＩＤに関して「ＤＥＮＹ（拒否）」エントリーを有するＡＣＬは依然としてアクセスが拒否される。例として、制限付きトークン８４（図３）内のグループ2のセキュリティＩＤが、ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされている場合、ユーザのプロセスがグループ2を許可されたものとしてリストしているＡＣＬ８０を有するオブジェクト７２にアクセスしようと試みた時、このエントリーは効果的に無視され、プロセスは他のなんらかのセキュリティＩＤによってアクセスを得なければならないことになる。しかし、ＡＣＬ８０が要求されたタイプのアクションに関して、グループ2をＤＥＮＹとリストしたエントリーを含んでいる場合、１度テストされると、他のセキュリティＩＤにかかわらずアクセスは許可されない。
【００２８】
セキュリティＩＤはいくつかのオブジェクトのＡＣＬの中で「ＤＥＮＹ」としてマークされている可能性があり、それによってその識別子を削除するとこれらのオブジェクトへのアクセスを拒否するのではなく許可することになってしまうため、ユーザのトークンからセキュリティＩＤをただ除去するだけではオブジェクトへのアクセスは安全に削減できないことに注意されたい。したがって、本発明は制限付きのトークン内でＳＩＤの属性がＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹに変更できるようにする。さらに、このＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹセキュリティチェックをオフにするためのメカニズムは提供されていない。
【００２９】
制限付きトークン内でアクセスを削除する別の方法は、親トークンに関して１つまたは複数の権限を削除することである。たとえば、管理権限を伴う通常のトークンを有するユーザは、そのユーザが特にシステムに別の情報を与えなければ、そのユーザのプロセスが権限のない制限付きトークンで実行するようにシステムを設定する場合がある。これはユーザが管理者の範囲内で意図的に行動していない時に発生する可能性のある、偶然のエラーを防ぐことを理解されたい。同様に、プログラムがユーザの権限に応じて異なるモードで実行するように開発され、これによって管理レベルのユーザはあるオペレーションを実行するために管理権限でプログラムを実行しなければならないが、より基本的なオペレーションを実行するためには低減された権限でオペレーションを実行しなければならない場合がある。ここで再び、これはこのようなユーザが通常のオペレーションを実行しようとしているだけなのに、高められた権限で実行している時に生じる可能性のある深刻なエラーを防ぐのに役立つ。
【００３０】
トークンのアクセスを低減するさらに別の方法は、そこに制限付きのセキュリティＩＤを追加することである。制限付きのセキュリティＩＤは、プロセス、リソースオペレーションなどを表す数であり、ＧＵＩＤへ接頭辞を追加するかまたは暗号ハッシュなどを介して生成された数字を追加するなどによってユニークになっており、これらのセキュリティＩＤを他のセキュリティＩＤから区別する情報を含む場合もある。本発明に必ず必要ではないが便利のために、ＧＵＩＤをセキュリティＩＤに変換したり、セキュリティＩＤを人間が可読な形態で表示したりなど、アプリケーションおよびユーザをセキュリティＩＤにインタフェースさせるための種々のアプリケーションプログラミングインタフェース（ＡＰＩ）が提供される。
【００３１】
アプリケーション（プロセス）要求アクセスに基づいてリソースへのアクセスを制限することに加えて、同様にリソースの制限付き使用に基づいて特定のセキュリティＩＤを開発する場合もある。例として、「ＵＳＥ＿ＷＩＮＤＯＷＳ」などのセキュリティＩＤは、ウィンドウステーションおよびデスクトップのデフォルトのＡＣＬに置かれ、制限付きトークンの中に対応するＳＩＤを有するプロセスによってのみアクセスを許可する場合がある。同様に、プリンタオブジェクトのデフォルトＡＣＬは、そのデフォルトのＡＣＬの中に「ＵＳＥ＿ＰＲＩＮＴＩＮＧ」ＳＩＤを含み、プロセスが制限付きトークンの中でリストされたこのセキュリティＩＤのみを伴う制限付きプロセスを作成し、これによって制限付きプロセスはプリンタにはアクセスできるが他のリソースにはアクセスできないようにする場合もある。他のリソースにアクセスするために、多くの他のセキュリティＩＤも実現できることが理解されるであろう。
【００３２】
図３に示すように、制限付きセキュリティＩＤは、制限付きトークン８４の特別なフィールド８２内に置かれ、アクションを要求しているプロセスを識別することなどを行う。以下にさらに詳細に説明するように、少なくとも１つのユーザ（またはグループ）セキュリティＩＤおよび少なくとも１つの制限付きセキュリティＩＤの両方についてオブジェクトへのアクセスを許可するように要求することによって、オブジェクトは要求側プロセス（またユーザまたはグループ）に基づいて選択的にアクセスを許可できる。たとえば、ファイルオブジェクトなどのオブジェクトは、マイクロソフトワード、マイクロソフトエクセルまたはＷｉｎｄｏｗｓ エクスプローラのプロセスがそれにアクセスすることを許可するが、他のプロセスへのアクセスを拒否する場合がある。さらに、許可されたプロセスの各々は、異なるアクセス権が与えられる場合もある。
【００３３】
この設計は、ユーザのコンテキスト内で異なるプロセスが実行することを制御するための、大きな融通性と細分性を提供する。これらの機能に関する１つの期待される使用モデルは、信頼できるアプリケーションと信頼できないアプリケーションとの区別を含む。「アプリケーション」は一般的な意味で、所与のセキュリティコンテキストの下で「ユーザモード」で実行できる任意のコードの一部分を記述する。たとえば、マイクロソフトワードなどのアプリケーションはＡｃｔｉｖｅＸ制御からのプロセスとして実行され、ＡｃｔｉｖｅＸは既存のプロセス内にロードされ実行される場合がある。マイクロソフトのインターネットエクスプローラなどの他のアプリケーションを起動するアプリケーションは、このインフラストラクチャを使用した「信頼モデル」を導入する可能性がある。
【００３４】
例として、インターネットエクスプローラなどのアプリケーションは制限付きトークンを使用して異なるプロセスの下で信頼できない実行可能なコードを実行し、これらのプロセスがユーザの全体的なアクセス権および権限の中で行うことを制御できる。この目的のために、インターネットエクスプローラアプリケーションは、それ自体のトークンから制限付きトークンを作成し、どの制限付きセキュリティＩＤを制限付きトークン内に置くかを決定する。ついで、信頼できない実行可能コードは制限付きのコンテキストがアクセスできるオブジェクトにのみアクセスするように制限される。
【００３５】
さらに、制限付きＳＩＤおよび他の制限に対応するエントリーは、監査目的のためにＳＡＣＬ８１のフィールドに置くことができる。たとえば、リソースのＳＡＣＬは、インターネットエクスプローラプログラムがそのリソースの読取りまたは書込みアクセスを試みるたびに、および／またはＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされたＳＩＤの使用が監査される場合にはいつでも監査するように設定することができる。単純化のために、監査はこのあと詳細に説明しないが、制限付きＳＩＤを介したアクセス制御に関して説明されたコンセプトは監査動作にも適用可能であることは容易に理解されるであろう。
【００３６】
既存のトークンから制限付きトークンを作成するために、ＮｔＦｉｌｔｅｒＴｏｋｅｎと名付けられたアプリケーションプログラミングインタフェース（ＡＰＩ）が提供され、その内容は次のとおりである。
【００３７】
【表１】
【００３８】
ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩは、ＣｒｅａｔｅＲｅｓｔｒｉｃｔｅｄＴｏｋｅｎと名付けられたＷｉｎ３２ ＡＰＩの下でラップされ、ＣｒｅａｔｅＲｅｓｔｒｉｃｔｅｄＴｏｋｅｎの内容は次のとおりである。
【００３９】
【表２】
【００４０】
図２および図４〜５に表示されたように、これらのＡＰＩ８６は共同して機能し、制限付きでも制限なしでも既存のトークン６０をとり、変更された（制限付き）トークン８４をそこから作成する。ログオンしたユーザのインスタンスに関する識別情報を含む制限付きトークンの構造は、ＰａｒｅｎｔＴｏｋｅｎＩｄ，ＲｅｓｔｒｉｃｔｅｄＳｉｄＣｏｕｎｔ、およびＲｅｓｔｒｉｃｔｅｄＳｉｄｓの３つの新しいフィールドを含む（次の表で太字で示されている）。
【００４１】
【表３】
【００４２】
通常の（制限なしの）トークンがＣｒｅａｔｅＴｏｋｅｎ ＡＰＩを介して作成される時、ＲｅｓｔｒｉｃｔｅｄＳｉｄｓフィールドもＰａｒｅｎｔＴｏｋｅｎＩｄフィールドも空であることに注意されたい。
【００４３】
制限付きトークン８４を作成するために、このプロセスは適切なフラグ設定および／または入力フィールド中の情報を伴うＣｒｅａｔｅＲｅｓｔｒｉｃｔｅｄＴｏｋｅｎ ＡＰＩを呼び出し、これはＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩを順番に起動する。図４のステップ４００の初めに示すように、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩは、ＤＩＳＡＢＬＥ＿ＭＡＸ＿ＳＩＤＳと名付けられたフラグが設定されているかどうかをチェックする。このフラグは新しい、制限付きトークン８４の中にあるグループに関してすべてのセキュリティＩＤがＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされていなければならないことを示す。このフラグは、各々のグループを個別に識別する必要なく、トークン内のグループ（多くのグループである可能性がある）を制限するための便利な方法を提供する。フラグが設定されている場合、ステップ４００はステップ４０２に分岐し、ステップ４０２では新しいトークン８４内のグループセキュリティＩＤの各々について、ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹを示すビットを設定する。
【００４４】
ＤＩＳＡＢＬＥ＿ＭＡＸ＿ＳＩＤＳフラグが設定されていない場合、ステップ４００はステップ４０４に分岐し、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩのＳｉｄｓＴｏＤｉｓａｂｌｅフィールド内にセキュリティＩＤが個別にリストされているかどうかをテストする。図４のステップ４０４で示されたように、オプションのＳｉｄｓＴｏＤｉｓａｂｌｅ入力フィールドが存在する時、ステップ４０６では、そこにリストされ、また、親トークン６０のＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド６２内にも存在する任意のセキュリティＩＤは、新しい制限付きトークン８４のＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド８８内でＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとして個別にマークされる。上記のようにこのようなセキュリティＩＤは、アクセスを拒否するためにのみ使用でき、アクセスを許可するためには使用できず、さらに、あとから削除または使用可能にはできない。したがって、図２に示された例では、グループ2のセキュリティＩＤは、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩ８６のＳｉｄｓＴｏＤｉｓａｂｌｅ入力フィールド内にグループ2セキュリティＩＤを指定することにより、制限付きトークン８４内でＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとしてマークされる。
【００４５】
フィルタプロセスはついで図４のステップ４１０に続き、ここではＤＩＳＡＢＬＥ＿ＭＡＸ＿ＰＲＩＶＩＬＥＤＧＥＳと名付けられたフラグがテストされる。このフラグは同様に、新しい、制限付きトークン８４内のすべての権限を削除すべきであることを示す、便利なショートカットとして設定できる。このように設定された場合、ステップ４１０はステップ４１２に分岐し、ステップ４１２では新しいトークン８４からすべての権限が削除される。
【００４６】
フラグが設定されていない場合、ステップ４１０はステップ４１４に分岐し、ここではオプションのＰｒｉｖｉｌｅｇｅｓＴｏＤｅｌｅｔｅフィールドが確認される。ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩ８６が呼ばれた時に存在する場合は、ステップ４１６で、この入力フィールドにリストされまた既存のトークン６０の権限フィールド６８にも存在する任意の権限は、新しいトークン８４の権限フィールド９０から個別に削除される。図２に示された例では、「権限2」から「権限m」として示された権限は、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩ８６のＰｒｉｖｉｌｅｇｅｓＴｏＤｅｌｅｔｅ入力フィールド内にこれらの権限を指定することによって、新しいトークン８４の権限フィールド９０から削除されている。上記のように本発明の１つの態様によれば、これは、トークン内で使用可能な権限を削減する機能を提供する。このプロセスは図５のステップ４２０に続く。
【００４７】
制限付きトークン８４を作成する時に、ステップ４２０でＲｅｓｔｒｉｃｔｉｎｇＳｉｄｓ入力フィールド内にＳＩＤが存在していた場合、親トークンが通常のトークンか、または親トークン自体が制限付きＳＩＤを有する制限付きトークンであるかどうかに関して決定が行われる。ＡＰＩ、ＩｓＴｏｋｅｎＲｅｓｔｒｉｃｔｅｄがステップ４２２で呼び出され、親トークンのＲｅｓｔｒｉｃｔｉｎｇＳｉｄｓフィールドを（ＮｔＱｕｅｒｙＩｎｆｏｒｍａｔｉｏｎＴｏｋｅｎ ＡＰＩを介して）照会してこれがＮＵＬＬでないかどうかを確認することによってこの問題を解決し、ここでＮＵＬＬでなかった場合、親トークンは制限付きトークンであり、ＡＰＩはＴＲＵＥ（真）を戻す。テストが満足できなかった場合、親トークンは通常のトークンでありＡＰＩはＦＡＬＳＥ（偽）を戻す。続くステップ４２６または４２８のために、トークン自体は制限付きであるが制限付きＳＩＤを有しない親トークン（すなわち、権限が削除されているかおよび／またはＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹ ＳＩＤＳである場合）は、制限付きでないとして処理される可能性があることに注意されたい。
【００４８】
ステップ４２４では、親トークンが制限付きである場合、ステップ４２４はステップ４２６に分岐し、ステップ４２６では、親トークンの制限付きセキュリティＩＤフィールドと、ＡＰＩの制限付きセキュリティＩＤ入力リストの両方にある任意のセキュリティＩＤは、新しいトークン８４の制限付きセキュリティＩＤフィールド９２に置かれる。制限付きセキュリティＩＤが両方のリストになければならないため、制限付き実行コンテキストが、制限付きセキュリティＩＤフィールド９２にさらなるセキュリティＩＤを追加することを阻止し、この場合、アクセスを減らすのではなく効果的にアクセスを増やすことになる。同様に、ステップ４２６で共通なセキュリティＩＤがなかった場合、少なくとも１つの制限付きＳＩＤを新しいトークン内の元のトークンから取り去るなどによって、作成された任意のトークンはそのアクセスを増やすことなく制限されなければならない。その他の場合は、新しいトークン内の空の制限付きＳＩＤフィールドはそのトークンが制限されていないことを示し、この場合、アクセスを減らすのではなく効果的にアクセスを増やすことになる。
【００４９】
あるいは、ステップ４２４で親トークンが通常のトークンであると判断された場合、ステップ４２８で新しいトークン８４のＲｅｓｔｒｉｃｔｉｎｇＳｉｄｓフィールド９２は入力フィールド内にリストされたものに設定される。これはセキュリティＩＤを追加するが、次に詳細に説明されるように制限付きＳＩＤを有するトークンが第２のアクセステストを受けるため、アクセスは実際には減らされることに注意されたい。
【００５０】
最後に、ステップ４３０も実行され、ここで新しいトークン８４内のＰａｒｅｎｔＴｏｋｅｎＩｄ９３は既存の（親）トークンのＴｏｋｅｎＩｄに設定される。これはオペレーティングシステムに、通常は親トークン以外には許可されていない場所で、そのトークンの制限付きのバージョンを使用するプロセスをのちに許可するオプションを提供する。
【００５１】
特に図６〜８を参照して本発明の動作の説明に戻ると、図６に表示されたように、制限付きプロセス９４が作成され、読取り／書込みアクセスでファイルオブジェクト７０を開こうと試みている。オブジェクト７２のセキュリティ記述子内では、ＡＣＬ８０はそこにリストされた多くのセキュリティＩＤおよび、各ＩＤに関して許可されたタイプのアクセスを有し、ここで「ＲＯ」は読取りのみのアクセスが許可されていることを示し、「ＷＲ」は読取り／書込みアクセスを示し、「ＳＹＮＣ」は同期化アクセスが許可されていることを示す。他の場合は「ＸＪｏｎｅｓ」が許可されたグループ内のメンバーシップを介してアクセスを許可されている場合でも、「ＸＪｏｎｅｓ」は特にオブジェクト７２へのアクセスを拒否されていることに注意されたい。さらに、関連付けられたこのトークン８４を有するプロセス９４は、このエントリーは「ＤＥＮＹ」（すなわち、ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹ）とマークされているため、トークン８４内の「バスケットボール」セキュリティＩＤを介して任意のオブジェクトへのアクセスを許可されないことになる。
【００５２】
セキュリティの目的のために、制限付きセキュリティコンテキストは第一に、Ｗｉｎｄｏｗｓ ＮＴカーネル内で実現される。オブジェクト７２にアクセスしようと試みるために、プロセス９４はオブジェクトマネジャー７４に、アクセスが望ましいオブジェクトを識別する情報および、所望されるアクセスのタイプを提供する（図８、ステップ８００）。オブジェクトマネジャー７４はこれに応答して、ステップ８０２に示されたように、セキュリティメカニズム７８と共同して機能し、トークン８４内にリストされた（プロセス９４と関連付けられている）ユーザセキュリティＩＤおよびグループセキュリティＩＤをＡＣＬ８０内のエントリーに対して比較し、所望のアクセスが許可されるべきか拒否されるべきかを決定する。
【００５３】
ステップ８０４で一般に示されているように、アクセスがリストされたユーザまたはグループに関して許可されていない場合、セキュリティチェックはステップ８１４でアクセスを拒否する。しかし、ステップ８０４でアクセスチェックのユーザ部分およびグループ部分の結果が許可可能なアクセスを示した場合には、セキュリティプロセスはステップ８０６に分岐し、制限付きトークン８４が任意の制限付きセキュリティＩＤを有しているかどうかを決定する。有していない場合、追加の制限はなく、ここでアクセスチェックは完了し、ステップ８１２において、ユーザアクセスおよびグループアクセスのみに基づいてアクセスは許可される（そのオブジェクトへのハンドルが戻される）。このようにして、通常のトークンは本質的に以前と同じようにチェックされる。しかし、ステップ８０６によって決定されたように、トークンが制限付きセキュリティＩＤを含んでいる場合、ついでステップ８０８によって、制限付きセキュリティＩＤをＡＣＬ８０内のエントリーと比較することによって、第２のアクセスチェックが実行される。ステップ８１０でこの第２のアクセステストがアクセスを許可した場合、そのオブジェクトへのアクセスはステップ８１２で許可される。そうでない場合、アクセスはステップ８１４で拒否される。
【００５４】
図７で論理的に示すように、トークン８４の中に制限付きセキュリティＩＤが存在する時はいつでも、２つの部分からなるテストがこのように実行される。トークン８４内のセキュリティＩＤおよび所望のアクセスビット９６をオブジェクト７２のセキュリティ記述子に対して考慮することによって、通常のアクセステスト（ビットごとのＡＮＤ）および制限付きセキュリティＩＤのアクセステストの両方は、プロセスがそのオブジェクトへのアクセスを許可されるようにアクセスを許可しなければならない。本発明に必要ではないが上記のように、通常のアクセステストが最初に行われ、アクセスが拒否された場合には、さらなるテストは必要ではない。トークン内にＡＣＬの識別子に一致するセキュリティＩＤがないため、またはＡＣＬエントリーが特に、その中にあるセキュリティ識別子に基づいてトークンへのアクセスを拒否したためのどちらの理由でも、アクセスは拒否されることに注意されたい。別法としては、トークンを制限付きＳＩＤの多数の組を有するように構成し、たとえば、組Ａ ＯＲ（組Ｂ ＡＮＤ組Ｃ）がアクセスを許可するなど、これらのＳＩＤの評価をカバーするさらに複雑なブール式を伴う場合もある。
【００５５】
このように図６に示された例では、トークン８４（フィールド９２）内の制限付きＳＩＤのみが「インターネットエクスプローラ」を識別する一方、オブジェクトのＡＣＬ８０内には対応する制限付きＳＩＤがないため、図６に示された例では、オブジェクト７２へのアクセスはプロセス９４へは許可されない。ユーザは通常のトークンで実行するプロセスを介してオブジェクトへアクセスする権利を有していたが、プロセス９４はＡＣＬ内に「インターネットエクスプローラ」ＳＩＤ（非ＤＥＮＹ）を有するオブジェクトのみにアクセスできるようにするように、制限された。
【００５６】
アクセスのタイプを指定する代わりに、コーラ−が、指定されたＭＡＸＩＭＵＭ＿ＡＬＬＯＷＥＤアクセスを有する場合、これによって上記のように、アルゴリズムは最大のアクセスを決定するＡＣＬ８０をウォークスルーする。制限付きトークンで、１つでも任意のタイプのユーザアクセスまたはグループアクセスが許可された場合、ユーザおよびグループの実行に続いて許可可能なアクセス権のタイプ（複数可）は、第２の実行に関して所望のアクセスとして指定され、第２の実行はＲｅｓｔｒｉｃｔｅｄＳｉｄｓリストをチェックする。このようにして、制限付きトークンは通常のアクセスより少ないかまたは等しいアクセスを許可されることが確認される。
【００５７】
最後に、本発明のセキュリティモデルは、他のセキュリティモデルと共に使用できることに注意されたい。たとえば、オペレーティングシステムの上に常駐する、機能に基づいたセキュリティモデルは、本発明のオペレーティングシステムレベルのセキュリティモデルの上で使用することができる。
【００５８】
ジョブ
ジョブとは一組の編成化されたプロセスをその中に有するカーネルオブジェクトであり、各ジョブはそれに関連付けられた異なるタイプの制限を有する可能性がある。本発明によれば、制限付きトークンはＷｉｎｄｏｗｓ ＮＴジョブオブジェクトに統合され、同じ制限の下に実行される多数のプロセスの管理を可能にできる。ジョブオブジェクト制限は次のように表される。
【００５９】
【表４】
【００６０】
ここで、関連するＳｅｃｕｒｉｔｙＬｉｍｉｔＦｌａｇｓは、次のように表される。
【００６１】
【表５】
【００６２】
これらの種々の情報の部分は、ＮｔＳｅｔＩｎｆｏｒｍａｔｉｏｎＪｏｂＯｂｊｅｃｔ ＡＰＩを使用してジョブオブジェクト上で定でき、一方、プロセスはＮｔＡｓｓｉｇｎＰｒｏｃｅｓｓＴｏＪｏｂＯｂｊｅｃｔ ＡＰＩを使用してジョブに割り当てられる。ジョブ上で定されたセキュリティ制限は、プロセスが割り当てられた時に実施される。ジョブを制限するために、ＪＯＢ＿ＯＢＪＥＣＴ＿ＳＥＣＵＲＩＴＹ＿ＦＩＬＴＥＲ＿ＴＯＫＥＮＳ制限フラグが設定され、これによって、ジョブに割り当てられているプロセスの主トークンは、セキュリティ制限情報内に提供されているＳｉｄｓＴｏＤｉｓａｂｌｅ、ＰｒｉｖｉｌｅｇｅｓＴｏＤｅｌｅｔｅおよびＲｅｓｔｒｉｃｔｅｄＳｉｄｓ情報を使用して、プロセスに関連付けられたトークンが上記のようにフィルタ処理されるのと同じ方法でフィルタ処理される。
【００６３】
図９に示されたように、ジョブ１１０は、ジョブＮｔＡｓｓｉｇｎＰｒｏｃｅｓｓＴｏＪｏｂＯｂｊｅｃｔ ＡＰＩを介してそこに割り当てられた多くのプロセス（たとえばプロセス１１２〜１１４）を有する。各プロセス１１２〜１１４は、そこに関連付けられた各トークン１１６a〜１１６cを有し、これは「制限Ｒ」として示されたその制限に関して同じである。たとえば、これらがその下で実行されるトークン１１６a〜１１６cが所定のセキュリティＩＤ（たとえば管理ＳＩＤ）を使用不可にしており、一定の権限が削除され、および／または一組の制限付きセキュリティＩＤが追加されているため、ジョブオブジェクト１１０はその中にあるプロセス１１２〜１１４を制限し、所定の動作のみを行う。トークンは他のアクセス権に関しては同じであるため、この場合すべてのトークンは本質的に同じであるが、これは必要ではないことに注意されたい。プロセス（たとえばプロセス１１４）が他のプロセス１１８を生成した場合、同じ制限Ｒがそのトークン１１６dを介して新しいプロセス１１８に関連付けられていることをジョブオブジェクト１１０が確認するため、そのプロセス１１８は同じ制限Ｒを伴うジョブ１１０内で実行される。
【００６４】
ネットワーク上の制限付きトークン
本発明の別の態様によれば、制限付きトークンは、特に図１０〜１２を参照してここに説明されるように、ネットワーク上で使用できる。この目的のために、一定の認証プロトコルは、認証の時にクライアントが特別な制限を指定できるようにしている。たとえば、ケルベロスプロトコルは、チケットによって許可された権限を制限するフィールドを認証チケットに追加することによって制限の指定を可能にする。次に説明するように、この機能はクライアントのオペレーティングシステムおよびサーバのオペレーティングシステムによって使用でき、ネットワーク接続上で制限を実行する。
【００６５】
図１０に示すように、クライアント１３０がサーバ１３２への接続を望むとき、認証が要求される。ケルベロスプロトコルによれば、サーバ１３２への接続の認証はチケット１３４を介して達成される。チケットはまず、キーの分散センタ（ＫＤＣ）１３６として知られる、ネットワーク上のチケット発行機能から、クライアント１３０によって受信される。チケット１３４は一定期間の間再使用可能であり、これによってセッションが終わった時でも、チケット１３４が有効な間はクライアント１３０は認証プロセスを繰り返す必要がない。
【００６６】
このようにして図１１〜１２のフローチャートに示されたように、プロセス（たとえば、関連付けられた制限付きトークン１３９を有する制限付きプロセス１３８）が別のマシン１３２上の別のプロセス１４０へ認証された接続を作成しようと試みた時、ステップ１１００においてプロセス１３８は接続を要求する認証コードをそのオペレーティングシステム１４２の中で呼び出す。ケルベロスでは、ステップ１１０２において、オペレーティングシステムコード１４２はまず、サーバ１３２への既存の認証チケットを探す。既存のチケットがない場合は、ステップ１１０２はステップ１１０４に分岐し、コードはＫＤＣ１３６を呼び出してチケット１４４にサービスを要求する。ＫＤＣ１３６への要求の中で、クライアント１３０はチケット１４４の中に置かれるべき制限を提供する場合がある。しかし通常は、なにも含まれていない。一度クライアント１３０に戻ると、チケット１４４は認証（たとえば、クライアント要求、サーバチャレンジ、クライアント応答）が、クライアントとサーバの間で起こるようにする。
【００６７】
ステップ１１１０はクライアントプロセスが認証された時（元の接続を開始したプロセスが制限付きプロセス１３８であった場合）、またはのちに、クライアントのオペレーティングシステムがサーバ１３２への認証を求める要求を制限付きプロセス１３８から受け取った時のいずれでも起きる。ステップ１１１０では、制限付きプロセス１３８は、遠隔サーバプロセス１４０への認証された接続を要求する（すでにそれが行われていない場合）。ステップ１１１２ではそれに応答して、クライアントのオペレーティングシステム１４２は制限フィールド１４６の中に適切な制限が存在する、サーバ１３２への既存のチケットを探す。適切な制限が存在しない場合（たとえば、図１０内のＮＵＬＬとして示されたように）、ステップ１１１４ではオペレーティングシステム１４２は制限付きクライアントプロセス１３８上に置かれた制限を含み、ステップ１１１６では、クライアント１３０のチケット許可チケット１４４を使用してＫＤＣ１３６から新しいチケット１４８1を要求する。ＫＤＣ１３６はこれらの制限を、これが戻すチケット１４８1の制限フィールド１５０1内に含める。たとえば、制限は制限付きセキュリティＩＤのリスト、拒否のみとマークされるセキュリティＩＤのリスト、および／または削除する権限のリストを含む可能性がある。
【００６８】
クライアントプロセス１３８はついで、図１２のステップ１２００に示すように、そのチケットのコピー１４８2をサーバプロセス１４０に送る。サーバのオペレーティングシステム１５２がそのチケット１４８2からトークン１５４を構築する時、これは制限１５０2を認識し（ステップ１２０２）、ステップ１２０４において、これが作成した（制限付きの）トークン、すなわち制限付きトークン１５４に適用する。制限がない場合、通常のトークンはステップ１２０６を介して作成される。どの場合でも、サーバ１３２上のクライアントのアクセストークン１５４のコピーはクライアントマシン１３０上のプロセス１３８の対応するトークン１３９と同じ制限を有する。トークンを制限するために権限は削除されるが、一度削除されると、制限されたトークンが遠隔の場所に送られた時も知られないので、その遠隔の場所では後から作成しなおせないことに注意されたい。しかし、別法として、ビット付き権限を使用不可能にし、これによって、権限情報は制限付きトークンに残り、後から作成しなおすようにすることもできる。
【００６９】
制限付きプロセス１３８は認証コード（およびそのライブラリ）を介さずに、ＫＤＣ１３６からチケットを直接要求することができるが、プロセス１３８はユーザからパスワードを得なければチケットを得られないことに注意されたい。これは、プロセス１３８がクライアントのパスワードまたはチケット許可チケット１４４へのアクセスを有しないためである。これは制限付きプロセス１３８の能力を、オペレーティングシステム１４２内の認証コードによって実行されるものに効果的に制限する。
【００７０】
さらに、本発明はケルベロスを実装した分散コンピューティング環境（ＤＣＥ）内で使用できる。クライアントのために機能しているサーバが第２のサーバに接続する時、元のサーバの識別およびクライアントの識別の両方が送信される。第２のサーバはついで、両方の識別の組に基づいてアクセス制御決定を行うことができる。２つ以上のサーバがあった場合、他の間に入っているサーバの識別も送信される。
【００７１】
最後に、容易に認識できるように、本発明は、認証証明と共に、追加の情報（すなわち制限情報）がクライアントとサーバの間を通過可能にする任意の他の認証プロトコルで実現することも可能である。
【００７２】
上述の詳細な説明からわかるように、プロセスが、制限付きのコンテキストの中でその権利および権限のサブセットである別のプロセスを起動可能にする、改善されたセキュリティモデルが提供される。この目的のために、親トークンから制限付きトークンが作成され、制限付きトークンは、親トークンに関連してアクセスを許可せずにアクセスを拒否するセキュリティＩＤを含み、親トークンに関連する権限を削除し、および／または親トークンに関連して制限付きセキュリティＩＤを追加する。制限付きセキュリティＩＤが追加された場合、カーネルモードのセキュリティメカニズムは、アクセスがリソースに許可される前に、２つｎチェック、すなわち、リソースのアクセス制御リストに対する、ユーザ／グループに基づいたアクセスチェックおよび制限付きセキュリティＩＤアクセスチェックの両方が、所望のアクションのためにアクセスが許可という結果となることを要求する。
【００７３】
本発明は種々の変形および代替の構成を可能にするが、そのうち所定の図示された実施形態が図に示され、上記に詳細に説明された。しかし、本発明を開示された特定の形態に限定する意図はなく、逆に、本発明の精神と範囲に含まれるすべての変形例、代替の構成、等価物をカバーすることが目的であることを理解されたい。
【図面の簡単な説明】
【図１】 本発明を組み込むことのできるコンピュータシステムを表すブロック図である。
【図２】 本発明の一態様による、既存のトークンから制限付きのトークンを作成することを一般に表すブロック図である。
【図３】 プロセスがリソースにアクセスできるかどうかを決定するための種々の構成要素を一般に表すブロック図である。
【図４】 本発明の一態様による、既存のトークンから制限付きのトークンを作成する一般のステップを表すフローチャートである。
【図５】 本発明の一態様による、既存のトークンから制限付きのトークンを作成する一般のステップを表すフローチャートである。
【図６】 本発明の一態様による、リソースにアクセスを試みる関連付けられた制限付きのトークンを有するプロセスを一般に表すブロック図である。
【図７】 本発明の一態様による、プロセスのオブジェクトへアクセスすることを決定するための、関連付けられた制限付きのトークンを有する論理を一般に表すブロック図である。
【図８】 本発明の一態様による、リソースへのプロセスアクセスを許可するかどうかを決定する時にとられる一般のステップを表すフローチャートである。
【図９】 共通の制限を伴う多数のプロセスをその中に有するジョブオブジェクトを示すブロック図である。
【図１０】 本発明の別の態様による、ネットワーク上で制限付きのトークンを実現することを示すブロック図である。
【図１１】 ネットワーク上で制限付きのトークンを使用する時にとられる一般的なステップを表すフローチャートである。
【図１２】 ネットワーク上で制限付きのトークンを使用する時にとられる一般的なステップを表すフローチャートである。
（発明の分野）
本発明は、一般にコンピュータシステムに関し、より詳細には、コンピュータシステム用の改善されたセキュリティモデルに関する。
【０００２】
（発明の背景）
歴史的に、実行可能なコンテンツは磁気媒体を物理的にコンピュータに運び、管理権限を持つ人にインストールしてもらうことによってのみ、コンピュータシステムにインストールされる。しかし現在、インターネットにより、普通のコンピュータユーザがＡｃｔｉｖｅＸ制御、プログラム、スクリプトなどの実行可能な内容をダウンロードすることが非常に簡単になり、普及してきた。多くの場合、実行可能なコンテンツは、ユーザがこのようなイベントが起きたことに気づくことさえなく、インターネットを介してダウンロードし、実行することが可能である。
【０００３】
残念なことに、このような実行可能なコンテンツはしばしば不正であり、たとえば、悪意を持って故意にクライアントマシン上のデータを破壊したりエラーが起こりがちで、クライアントのマシンをクラッシュさせるか、または善意であっても注意が足りず、クライアントに関する機密情報を漏らす場合がある。こういったタイプのコンピュータ問題は、以前は「ウィルス」および「トロイの木馬」の形で存在したが、ワールドワイドウェブの普及はこれらの問題を広げ、場合によっては制御不能が生じる。一般に、クライアントの動作環境は不正なコードに対して適切に保護されていない。
【０００４】
いくつかのオペレーティングシステムはすでに既存のセキュリティメカニズムを有しており、セキュリティシステムは権限のないユーザが行うことを制限する。たとえば、Ｗｉｎｄｏｗｓ ＮＴオペレーティングシステムに組み込まれたセキュリティシステムは、ユーザの識別に基づいてリソースへのアクセスを制御する。Ｗｉｎｄｏｗｓ ＮＴプロセスがリソースにアクセスして所定のアクションを実行しようとすると、Ｗｉｎｄｏｗｓ ＮＴ内のセキュリティメカニズムはクライアントのユーザＩＤおよびグループＩＤおよびそのプロセスに関連付けられた権限を、そのリソースに割り当てられたセキュリティ情報と比較して、そのリソースへのアクセスを許可または拒否する。このようにして、許可されないユーザがリソースにアクセスし、害を及ぼす可能性が防止されるが、一方、許可されたユーザは実行できるアクションに制限を受ける場合がある。
【０００５】
しかし現在、ユーザプロセスがリソースにアクセスする適切な権利または権限を有する時、プロセスが不正な実行可能な内容を含み、リソースにアクセスして望ましくない結果を伴う可能性がある。たとえば、適切な証明を有するＷｉｎｄｏｗｓ ＮＴユーザが不正なコードをダウンロードし実行し、これによって、上記の有害な結果のうち任意の結果またはすべての結果が生じる可能性がある。ほかのセキュリティモデルも同様な欠点および他の欠点を有し、同じ問題の影響が受けやすくなっている。
【０００６】
（発明の概要）
簡潔に言えば、本発明は制限付きのアクセストークンを提供し、各々のアクセストークンは既存の（親）トークンから作成されたアクセストークンのうちの修正された、制限付きのバージョンである。制限付きのトークンは、コピー元の親トークンより少ないアクセスを有し、親トークン内でアクセスを許可する１つまたは複数のセキュリティ識別子の属性を、制限付きのトークン内で許可されたアクセスを使用不可にするような設定に変更することにより制限付きトークンは作成される。および／または、親トークンに存在する１つまたは複数の権限を制限付きのトークンから削除することによっても制限付きトークンが作成される。さらに、制限付きのトークンはその中に制限付きのセキュリティ識別子を置くことによっても作成される。
【０００７】
使用に際しては、プロセスはそのプロセスを起動するアプリケーションなどにより、制限付きのトークンに関連付けられる。制限付きのプロセスがリソース上でアクションを実行しようと試みると、カーネルモードのセキュリティメカニズムはまず、ユーザベースのセキュリティ識別子および目的のアクションタイプを、そのリソースに関連付けられた識別子およびアクションのリストと比較する。制限付きのトークン内に制限付きのセキュリティ識別子がない場合、アクセスはこの最初の比較の結果によって決定される。制限付きのトークン内に制限付きのセキュリティ識別子がある場合、このアクションに関する第２のアクセスチェックは制限付きのセキュリティ識別子をそのリソースに関連付けられた識別子およびアクションのリストと比較する。制限付きのセキュリティ識別子を有するトークンでは、第１および第２のアクセスチェックの両方がパスした場合のみ、そのプロセスはそのリソースへのアクセスを許可される。
【０００８】
制限付きのトークンを作成することによって、プロセスは制限付きのコンテキスト内で、元の権利および権限のサブセットである別のプロセスを起動することができる。このようにして、プロセスは別のプロセス、すなわち、リソースに対して実行できるアクション内で不正なコードの可能性があるような別のプロセスを制限することができる。
【０００９】
他の利点は図面と共に次の説明から明らかになる。
【００１０】
（詳細な説明）
例としてのオペレーション環境
図１および以下の議論は、本発明が実現できる適切なコンピューティング環境の簡単で一般的な説明を提供することを意図している。必要ではないが、本発明は、パーソナルコンピュータによって実行されるプログラムモジュールなどのコンピュータ実行可能な命令の一般的なコンテキスト内で説明される。一般に、プログラムモジュールはルーチン、プログラム、オブジェクト、構成要素、データ構造などを含み、特定のタスクを実行するか、特定の抽象的なデータタイプを実装する。さらに、当業者であれば本発明は、手持ちデバイス、マルチプロセッサシステム、マイクロプロセッサに基づいたまたはプログラミング可能な消費者電気製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータなどを含む他ののコンピュータシステム構成でも実行できることが理解されるであろう。本発明はまた、通信ネットワークを介してリンクされた遠隔処理デバイスによってタスクが実行される分散コンピューティング環境内でも実行できる。分散コンピューティング環境では、プログラムモジュールはローカルメモリ記憶デバイスおよび遠隔メモリ記憶デバイスの両方に位置する場合がある。
【００１１】
図１を参照すると、本発明を実現するための一例としてのシステムは、従来のパーソナルコンピュータ２０などの形の汎用コンピューティングデバイスを含み、汎用コンピューティングデバイスは処理ユニット２１、システムメモリ２２、およびシステムメモリから処理ユニット２１までを含む種々のシステム構成要素を結合するシステムバス２３を含む。システムバス２３はいくつかのタイプのバス構成のうち任意の構成であって、その中にはメモリバスまたはメモリコントローラ、周辺バス、種々のバスアーキテクチャのうち任意のアーキテクチャを使用するローカルバスを含んでもよい。システムメモリは読取り専用メモリ（ＲＯＭ）２４およびランダムアクセスメモリ（ＲＡＭ）２５を含む。起動時などにパーソナルコンピュータ２０内の要素の間で情報を転送する役に立つ基本的なルーチンを含む基本入出力システム２６（ＢＩＯＳ）は、ＲＯＭ２４内に格納されている。パーソナルコンピュータ２０はさらに、図示されてはいないがハードディスクから読み出したり書き込んだりするためのハードディスクドライブ２７、取外し可能磁気ディスク２９から読み出したり書き込んだりするための磁気ディスクドライブ２８、および、ＣＤ−ＲＯＭまたは他の光媒体など、取外し可能光ディスク３１から読み出したり書き込んだりするための光ディスクドライブ３０を含む場合がある。ハードディスクドライブ２７、磁気ディスクドライブ２８、および光ディスクドライブ３０はそれぞれ、ハードディスクドライブインタフェース３２、磁気ディスクドライブインタフェース３３、および光ドライブインタフェース３４によってそれぞれシステムバス２３に接続されている。ドライブとその関連付けられたコンピュータ可読媒体は、パーソナルコンピュータ２０のためにコンピュータ可読命令、データ構造、プログラムモジュールおよびほかのデータの、不揮発性の格納を提供する。ここに説明された例としての環境は、ハードディスク、取外し可能磁気ディスク２９および取外し可能光ディスク３１を使用しているが、当業者であれば磁気カセット、フラッシュメモリカード、ディジタルビデオディスク、ベルヌーイカートリッジ、ランダムアクセスメモリ（ＲＡＭ）、読取り専用メモリ（ＲＯＭ）などの、コンピュータによってアクセス可能なデータを格納できる他のタイプのコンピュータ可読媒体も例としての動作環境内で使用できることが理解されるであろう。
【００１２】
オペレーティングシステム３５（好ましくはＷｉｎｄｏｗｓ ＮＴ）、１つまたは複数のアプリケーションプログラム３６、ほかのプログラムモジュール３７およびプログラムデータ３８を含むいくつかのプログラムモジュールがハードディスク、磁気ディスク２９、光ディスク３１、ＲＯＭ２４またはＲＡＭ２５に格納できる。ユーザは、キーボード４０およびポインティングデバイス４２などの入力デバイスを介してパーソナルコンピュータ２０にコマンドおよび情報を入力できる。他の入力デバイス（図示せず）は、マイクロフォン、ジョイスティック、ゲームパッド、サテライトディッシュ、スキャナなどを含む。これらおよび他の入力デバイスはしばしば、システムバスに結合されたシリアルポートインタフェース４６を介して処理ユニット２１に接続されているが、パラレルポート、ゲームポートまたは汎用シリアルバス（ＵＳＢ）などの他のインタフェースによって接続されている場合もある。モニタ４７または他のタイプの表示デバイスもまた、ビデオアダプタ４８などのインタフェースを介してシステムバス２３に接続されている。モニタ４７の外に、パーソナルコンピュータは典型的にはスピーカおよびプリンタなどの他の周辺出力デバイス（図示せず）を含む。
【００１３】
パーソナルコンピュータ２０は、遠隔コンピュータ４９など１つまたは複数の遠隔コンピュータへの論理接続を使用してネットワーク化された環境内で動作する場合がある。遠隔コンピュータ４９は、他のパーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイスまたは他の共通ネットワークノードであり、典型的にはパーソナルコンピュータに関連して上記に説明された要素の多くまたはすべてを含むが、メモリ記憶デバイス５０のみが図１に示されている。図１に描かれた論理接続は、ローカルエリアネットワーク（ＬＡＮ）５１および広域ネットワーク（ＷＡＮ）５２を含む。このようなネットワーク化環境はオフィス、全社的コンピュータネットワーク、イントラネットおよびインターネットに普通に見られる。
【００１４】
パーソナルコンピュータ２０はＬＡＮネットワーク化環境内で使用されると、ネットワークインタフェースまたはアダプタ５３を介してローカルネットワーク５１に接続される。パーソナルコンピュータ２０はＷＡＮネットワーク化環境内で使用されると、典型的にはモデム５４または他の手段を含み、インターネットなど広域ネットワーク５２上で通信を確立する。モデム５４は内部的である場合も外部的である場合もあるが、シリアルポートインタフェース４６を介してシステムバス２３に接続されている。ネットワーク化された環境では、パーソナルコンピュータ２０またはその一部に関して描かれたプログラムモジュールは、遠隔のメモリ記憶デバイス内に格納される場合がある。示されたネットワーク接続は例としてのものであって、コンピュータの間で通信リンクを確立する他の手段も使用できることが明らかであろう。
【００１５】
一般的なセキュリティモデル
本発明の好ましいセキュリティモデルは、Ｗｉｎｄｏｗｓ ＮＴセキュリティモデルに関して説明される。しかし、本発明をＷｉｎｄｏｗｓ ＮＴオペレーティングシステムに限定する意図はなく、逆に、本発明はオペレーティングシステムのレベルでセキュリティチェックを実行する任意のメカニズムで動作し、利益を提供することを目的としている。さらに、本発明はスレッドごとのベースでソフトウェア障害の隔離で使用するか、または制限が現在実行されているクラスのスタックから決定されるバーチャルマシンで使用することもできる。さらに、本発明は必ずしもカーネルモードの動作に依存するわけではなく、ソフトウェア障害の隔離またはバーチャルマシンのように、ユーザモードで実現することもできる。
【００１６】
一般に、Ｗｉｎｄｏｗｓ ＮＴオペレーティングシステムでは、ユーザはプロセス（およびそのスレッド）を介してシステムのリソースにアクセスすることによってタスクを実行する。簡単に説明するために、プロセスおよびそのスレッドは概念上等価と見なされ、以後は簡単にプロセスと呼ぶ。また、Ｗｉｎｄｏｗｓ ＮＴ内ではオブジェクトによって表される、ファイル、共有メモリおよび物理デバイスを含むシステムのリソースは、本明細書では通常リソースまたはオブジェクトと呼ばれる。
【００１７】
ユーザがＷｉｎｄｏｗｓ ＮＴオペレーティングシステムにログオンし認証されると、セキュリティコンテキストがそのユーザのためにセットアップされ、この中にはアクセストークン６０の構築も含まれる。図２の左側に示すように、従来のユーザベースのアクセストークン６０は、ＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド６２を含む。ＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド６２は、セキュリティ識別子、すなわち、ユーザの証明およびそのユーザが属するグループ（たとえば編成内のグループ）を識別する１つまたは複数のグループＩＤ６６に基づいたセキュリティ識別子（セキュリティＩＤまたはＳＩＤ）を含む。トークン６０はまた、そのユーザに割り当てられた任意の権限を一覧する権限フィールド６８を含む。たとえば、このような権限の１つは、管理レベルのユーザに、特定のアプリケーションプログラミングインタフェース（ＡＰＩ）を介してシステムクロックを設定する能力を与える場合がある。権限は、アクセス制御チェック、これは次に説明されるが、権限がない場合にオブジェクトへのアクセスを許可する前に実行されるアクセス制御チェックに優先することに注意されたい。
【００１８】
次に詳細に説明され、図３に一般に示されるように、オブジェクト７２へのアクセスを所望するプロセス７０は、所望するアクセスのタイプを指定し（たとえばファイルオブジェクトへの読取り／書き込みアクセスを得るなど）、および、カーネルレベルでは関連付けられたトークン６０をオブジェクトマネジャー７４に提供する。オブジェクト７２はそれに関連付けられたカーネルレベルのセキュリティ記述子７６を有し、オブジェクトマネジャー７４はセキュリティ記述子７６およびトークン６０をセキュリティメカニズム７８に提供する。セキュリティ記述子７６の内容は、典型的にはオブジェクトの所有者（たとえば制作者）によって決定され、一般に（任意に）アクセス制御エントリーのアクセス制御リスト（ＡＣＬ）８０を含み、各エントリーについて、そのエントリーに対応する１つまたは複数のアクセス権（許可されたアクションまたは拒否されたアクション）を含む。各エントリーはタイプ（拒否または許可）インジケータ、フラグ、セキュリティ識別子（ＳＩＤ）およびアクセス権をビットマスクの形で含み、各ビットは許可に対応する（たとえば、１つのビットは読取りアクセス、１つのビットは書込みアクセス、など）。セキュリティメカニズム７８はトークン６０内のセキュリティＩＤおよびプロセス７０によって要求されたアクション（複数可）のタイプをＡＣＬ８０内のエントリーと比較する。許可されたユーザまたはグループの一致が発見され、所望のアクセスのタイプがそのユーザまたはグループに対して許可可能な場合、オブジェクト７２へのハンドルはプロセス７０に戻されるが、その他の場合はアクセスは拒否される。
【００１９】
例として、ユーザを「会計」グループのメンバーとして識別するトークンを持つユーザが読取りおよび書込みアクセスで特定のファイルオブジェクトにアクセスしたいとする。ファイルオブジェクトが、ＡＣＬ８０のエントリー内で許可されたタイプの「会計」グループ識別子を有し、そのグループが読取りおよび書き込みアクセスを使用可能にする権利を有する場合、読取りおよび書込みアクセスを許可するハンドルは戻されるが、その他の場合はアクセスは拒否される。効率上の理由から、セキュリティチェックはプロセス７０がまずオブジェクト７２（作成または開く）にアクセスしようと試みた時のみ実行され、したがってそのオブジェクトに対するハンドルはそれを介して実行できるアクションを制限するように、アクセス情報のタイプを格納することに注意されたい。
【００２０】
セキュリティ識別子７６はまた、システムＡＣＬまたはＳＡＣＬ８１を含み、これは監査されるべきクライアントアクションに対応するタイプ監査のエントリーを含む。各エントリー内のフラグは監査が成功したオペレーションまたは失敗したオペレーションのどちらを監視するかを示し、エントリー内のビットマスクは監査されるべきオペレーションのタイプを示す。エントリー内のセキュリティＩＤは、監査されるユーザまたはグループを示す。たとえば、ファイルオブジェクトへの書込みアクセスを有しないグループのメンバーがそのファイルに書き込もうと試みた場合いつでも決定できるように特定のグループが監査される状況を考えてみる。そのファイルオブジェクトに関するＳＡＣＬ８１は、その中にグループセキュリティ識別子と、適切に設定された失敗フラグおよび書込みアクセスビットを有する監査エントリーを含む。その特定のグループに属するクライアントがそのファイルオブジェクトに書き込みしようとして失敗するといつでも、そのオペレーションは記録される。
【００２１】
ＡＣＬ８０は、（すべての権利または選択された権利に関して）グループユーザにアクセスを許可する識別子ではなくて、グループユーザのアクセスを拒否するためにマークされる１つまたは複数の識別子を含む場合があることに注意されたい。たとえば、ＡＣＬ８０内にリストされた１つのエントリーは、他の場合に、「グループ3」のメンバーにオブジェクト７２へのアクセスを許可するが、ＡＣＬ８０内の他のエントリーは特に、「グループ24」のすべてのアクセスを拒否する場合がある。トークン６０が「グループ24」セキュリティＩＤを含んでいる場合、アクセスは「グループ3」のセキュリティＩＤの存在にかかわらず拒否されることになる。もちろん、セキュリティチェックが正しく機能するために、セキュリティチェックは、”グループ3”エントリーを介したアクセスを許可しないようにアレンジされ、その後に、すべてのＤＥＮＹ（拒否）エントリーをＡＣＬ８０の前面に置くなどによって、グループ24エントリーの「ＤＥＮＹ ＡＬＬ（すべて拒否）」状態をチェックする。この構成（ａｒｒａｎｇｅｍｅｎｔ）は、グループの残りのメンバーの各々を個別にリストしてそのアクセスを許可する必要なく、グループの、１人または複数の分離したメンバーを個別にＡＣＬ８０内で排除できるので、向上した効率を提供することが明らかであろう。
【００２２】
アクセスのタイプを指定する代わりに、コーラ−（ｃａｌｌｅｒ）はＭＡＸＩＭＵＭ＿ＡＬＬＯＷＥＤアクセスを要求することもでき、これによって、１つのアルゴリズムが通常のＵｓｅｒＡｎｄＧｒｏｕｐｓリスト対ＡＣＬ８０内の各々のエントリーに基づいて、許可される最大のアクセスタイプを決定することに注意されたい。より詳しくは、アルゴリズムは所与のユーザのための権利を蓄積している識別子のリストをウォークダウンする（すなわち、種々のビットマスクをＯＲする）。権利が一度蓄積されると、ユーザに蓄積された権利が与えられる。しかし、ウォークスルーの間にユーザ識別子またはグループ識別子および要求された権利に一致する拒否エントリーが発見されると、アクセスは拒否される。
【００２３】
制限付きのトークン
本発明の一態様によれば、制限付きのトークンは次のように、既存のアクセストークン（制限付きまたは制限なし）から作成される。また次に説明するように、制限付きトークンが任意の制限付きセキュリティＩＤを含む場合、そのトークンは追加のアクセスチェックを受け、その中で制限付きセキュリティＩＤはオブジェクトのＡＣＬ内のエントリーと比較される。
【００２４】
制限付きトークンの主な用途は、プロセスに、それ自体のトークンの制限付きのバージョンを持つ新しいプロセスを作成させることである。制限付きのプロセスはついで、リソースに関して実行できるアクションにおいて制限される。たとえば、ファイルオブジェクトリソースは、関連付けられた制限付きトークンの中に同じマイクロソフトワード制限付きＳＩＤを有する制限付きプロセスのみがそのファイルオブジェクトにアクセスできるように、単一の制限付きＳＩＤ、すなわち、マイクロソフトワードのアプリケーションプログラムを識別する単一の制限付きＳＩＤをそのＡＣＬの中に有する場合がある。オリジナルユーザはさらにオブジェクトにアクセスする必要があるので、ＡＣＬもまた、ユーザアクセスおよびマイクロソフトワードプログラムを許可するアクセス制御エントリーを含む必要があることに注意されたい。そのため、たとえば、ブラウザを介してダウンロードされたコードなど、信用できないコードは、制限付きプロセス内で実行される。制限付きプロセスは、制限付きトークン内にマイクロソフトワード制限付きセキュリティＩＤを有しない（不正である可能性のある）コードがファイルオブジェクトへアクセスすることを防ぐ。
【００２５】
セキュリティ上の理由から、異なるトークンを伴うプロセスの作成は通常は、ＳｅＡｓｓｉｇｎＰｒｉｍａｒｙＴｏｋｅｎ権限として知られる権限を必要とする。しかし、プロセスが制限付きトークンと関連付けられるようにするために、制限付きトークンが主トークンから導出されている場合に、プロセス管理は別のプロセスへの十分なアクセスを持つ１つのプロセスが、その主トークンを制限付きトークンに変更できるようにする。新しいプロセスのトークンのＰａｒｅｎｔＴｏｋｅｎＩｄを既存のプロセスのトークンのＴｏｋｅｎＩｄと比較することによって、オペレーティングシステム３５はプロセスがそれ自体の制限付きバージョンを作成しているだけであることを確認する。
【００２６】
制限付きトークン８４は親トークンより少ないアクセスしか有せず（すなわち、親トークンの権利と権限のサブセットを有するため）、ユーザ情報またはグループ情報のみに基づいてアクセスを許可または拒否するのみでなく、そのオブジェクトにアクセスしようと試みるプロセスのタイプ（またユーザまたはグループ）に基づいてオブジェクトへのアクセスを防止することなどが可能である。制限付きのトークンはまた、親トークンがこれらのＳＩＤを介してアクセスを許可している場合でも、「ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹ」と特にマークされた１人または複数のユーザまたはグループのセキュリティＩＤを介したアクセスを許可しない場合もあり、および／または、親トークンに存在する権限を削除してしまう場合もある。
【００２７】
したがって、アクセスを削減する１つの方法は、制限付きトークン内の１つまたは複数のユーザセキュリティ識別子および／またはグループのセキュリティ識別子の属性を変更して、アクセスを許可するのではなくアクセスを許可できないようにすることである。ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされたセキュリティＩＤは、アクセスを許可する目的のためには効果的に無視されるが、そのセキュリティＩＤに関して「ＤＥＮＹ（拒否）」エントリーを有するＡＣＬは依然としてアクセスが拒否される。例として、制限付きトークン８４（図３）内のグループ2のセキュリティＩＤが、ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされている場合、ユーザのプロセスがグループ2を許可されたものとしてリストしているＡＣＬ８０を有するオブジェクト７２にアクセスしようと試みた時、このエントリーは効果的に無視され、プロセスは他のなんらかのセキュリティＩＤによってアクセスを得なければならないことになる。しかし、ＡＣＬ８０が要求されたタイプのアクションに関して、グループ2をＤＥＮＹとリストしたエントリーを含んでいる場合、１度テストされると、他のセキュリティＩＤにかかわらずアクセスは許可されない。
【００２８】
セキュリティＩＤはいくつかのオブジェクトのＡＣＬの中で「ＤＥＮＹ」としてマークされている可能性があり、それによってその識別子を削除するとこれらのオブジェクトへのアクセスを拒否するのではなく許可することになってしまうため、ユーザのトークンからセキュリティＩＤをただ除去するだけではオブジェクトへのアクセスは安全に削減できないことに注意されたい。したがって、本発明は制限付きのトークン内でＳＩＤの属性がＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹに変更できるようにする。さらに、このＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹセキュリティチェックをオフにするためのメカニズムは提供されていない。
【００２９】
制限付きトークン内でアクセスを削除する別の方法は、親トークンに関して１つまたは複数の権限を削除することである。たとえば、管理権限を伴う通常のトークンを有するユーザは、そのユーザが特にシステムに別の情報を与えなければ、そのユーザのプロセスが権限のない制限付きトークンで実行するようにシステムを設定する場合がある。これはユーザが管理者の範囲内で意図的に行動していない時に発生する可能性のある、偶然のエラーを防ぐことを理解されたい。同様に、プログラムがユーザの権限に応じて異なるモードで実行するように開発され、これによって管理レベルのユーザはあるオペレーションを実行するために管理権限でプログラムを実行しなければならないが、より基本的なオペレーションを実行するためには低減された権限でオペレーションを実行しなければならない場合がある。ここで再び、これはこのようなユーザが通常のオペレーションを実行しようとしているだけなのに、高められた権限で実行している時に生じる可能性のある深刻なエラーを防ぐのに役立つ。
【００３０】
トークンのアクセスを低減するさらに別の方法は、そこに制限付きのセキュリティＩＤを追加することである。制限付きのセキュリティＩＤは、プロセス、リソースオペレーションなどを表す数であり、ＧＵＩＤへ接頭辞を追加するかまたは暗号ハッシュなどを介して生成された数字を追加するなどによってユニークになっており、これらのセキュリティＩＤを他のセキュリティＩＤから区別する情報を含む場合もある。本発明に必ず必要ではないが便利のために、ＧＵＩＤをセキュリティＩＤに変換したり、セキュリティＩＤを人間が可読な形態で表示したりなど、アプリケーションおよびユーザをセキュリティＩＤにインタフェースさせるための種々のアプリケーションプログラミングインタフェース（ＡＰＩ）が提供される。
【００３１】
アプリケーション（プロセス）要求アクセスに基づいてリソースへのアクセスを制限することに加えて、同様にリソースの制限付き使用に基づいて特定のセキュリティＩＤを開発する場合もある。例として、「ＵＳＥ＿ＷＩＮＤＯＷＳ」などのセキュリティＩＤは、ウィンドウステーションおよびデスクトップのデフォルトのＡＣＬに置かれ、制限付きトークンの中に対応するＳＩＤを有するプロセスによってのみアクセスを許可する場合がある。同様に、プリンタオブジェクトのデフォルトＡＣＬは、そのデフォルトのＡＣＬの中に「ＵＳＥ＿ＰＲＩＮＴＩＮＧ」ＳＩＤを含み、プロセスが制限付きトークンの中でリストされたこのセキュリティＩＤのみを伴う制限付きプロセスを作成し、これによって制限付きプロセスはプリンタにはアクセスできるが他のリソースにはアクセスできないようにする場合もある。他のリソースにアクセスするために、多くの他のセキュリティＩＤも実現できることが理解されるであろう。
【００３２】
図３に示すように、制限付きセキュリティＩＤは、制限付きトークン８４の特別なフィールド８２内に置かれ、アクションを要求しているプロセスを識別することなどを行う。以下にさらに詳細に説明するように、少なくとも１つのユーザ（またはグループ）セキュリティＩＤおよび少なくとも１つの制限付きセキュリティＩＤの両方についてオブジェクトへのアクセスを許可するように要求することによって、オブジェクトは要求側プロセス（またユーザまたはグループ）に基づいて選択的にアクセスを許可できる。たとえば、ファイルオブジェクトなどのオブジェクトは、マイクロソフトワード、マイクロソフトエクセルまたはＷｉｎｄｏｗｓ エクスプローラのプロセスがそれにアクセスすることを許可するが、他のプロセスへのアクセスを拒否する場合がある。さらに、許可されたプロセスの各々は、異なるアクセス権が与えられる場合もある。
【００３３】
この設計は、ユーザのコンテキスト内で異なるプロセスが実行することを制御するための、大きな融通性と細分性を提供する。これらの機能に関する１つの期待される使用モデルは、信頼できるアプリケーションと信頼できないアプリケーションとの区別を含む。「アプリケーション」は一般的な意味で、所与のセキュリティコンテキストの下で「ユーザモード」で実行できる任意のコードの一部分を記述する。たとえば、マイクロソフトワードなどのアプリケーションはＡｃｔｉｖｅＸ制御からのプロセスとして実行され、ＡｃｔｉｖｅＸは既存のプロセス内にロードされ実行される場合がある。マイクロソフトのインターネットエクスプローラなどの他のアプリケーションを起動するアプリケーションは、このインフラストラクチャを使用した「信頼モデル」を導入する可能性がある。
【００３４】
例として、インターネットエクスプローラなどのアプリケーションは制限付きトークンを使用して異なるプロセスの下で信頼できない実行可能なコードを実行し、これらのプロセスがユーザの全体的なアクセス権および権限の中で行うことを制御できる。この目的のために、インターネットエクスプローラアプリケーションは、それ自体のトークンから制限付きトークンを作成し、どの制限付きセキュリティＩＤを制限付きトークン内に置くかを決定する。ついで、信頼できない実行可能コードは制限付きのコンテキストがアクセスできるオブジェクトにのみアクセスするように制限される。
【００３５】
さらに、制限付きＳＩＤおよび他の制限に対応するエントリーは、監査目的のためにＳＡＣＬ８１のフィールドに置くことができる。たとえば、リソースのＳＡＣＬは、インターネットエクスプローラプログラムがそのリソースの読取りまたは書込みアクセスを試みるたびに、および／またはＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされたＳＩＤの使用が監査される場合にはいつでも監査するように設定することができる。単純化のために、監査はこのあと詳細に説明しないが、制限付きＳＩＤを介したアクセス制御に関して説明されたコンセプトは監査動作にも適用可能であることは容易に理解されるであろう。
【００３６】
既存のトークンから制限付きトークンを作成するために、ＮｔＦｉｌｔｅｒＴｏｋｅｎと名付けられたアプリケーションプログラミングインタフェース（ＡＰＩ）が提供され、その内容は次のとおりである。
【００３７】
【表１】
ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩは、ＣｒｅａｔｅＲｅｓｔｒｉｃｔｅｄＴｏｋｅｎと名付けられたＷｉｎ３２ ＡＰＩの下でラップされ、ＣｒｅａｔｅＲｅｓｔｒｉｃｔｅｄＴｏｋｅｎの内容は次のとおりである。
【００３９】
【表２】
図２および図４〜５に表示されたように、これらのＡＰＩ８６は共同して機能し、制限付きでも制限なしでも既存のトークン６０をとり、変更された（制限付き）トークン８４をそこから作成する。ログオンしたユーザのインスタンスに関する識別情報を含む制限付きトークンの構造は、ＰａｒｅｎｔＴｏｋｅｎＩｄ，ＲｅｓｔｒｉｃｔｅｄＳｉｄＣｏｕｎｔ、およびＲｅｓｔｒｉｃｔｅｄＳｉｄｓの３つの新しいフィールドを含む（次の表で太字で示されている）。
【００４１】
【表３】
通常の（制限なしの）トークンがＣｒｅａｔｅＴｏｋｅｎ ＡＰＩを介して作成される時、ＲｅｓｔｒｉｃｔｅｄＳｉｄｓフィールドもＰａｒｅｎｔＴｏｋｅｎＩｄフィールドも空であることに注意されたい。
【００４３】
制限付きトークン８４を作成するために、このプロセスは適切なフラグ設定および／または入力フィールド中の情報を伴うＣｒｅａｔｅＲｅｓｔｒｉｃｔｅｄＴｏｋｅｎ ＡＰＩを呼び出し、これはＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩを順番に起動する。図４のステップ４００の初めに示すように、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩは、ＤＩＳＡＢＬＥ＿ＭＡＸ＿ＳＩＤＳと名付けられたフラグが設定されているかどうかをチェックする。このフラグは新しい、制限付きトークン８４の中にあるグループに関してすべてのセキュリティＩＤがＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとマークされていなければならないことを示す。このフラグは、各々のグループを個別に識別する必要なく、トークン内のグループ（多くのグループである可能性がある）を制限するための便利な方法を提供する。フラグが設定されている場合、ステップ４００はステップ４０２に分岐し、ステップ４０２では新しいトークン８４内のグループセキュリティＩＤの各々について、ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹを示すビットを設定する。
【００４４】
ＤＩＳＡＢＬＥ＿ＭＡＸ＿ＳＩＤＳフラグが設定されていない場合、ステップ４００はステップ４０４に分岐し、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩのＳｉｄｓＴｏＤｉｓａｂｌｅフィールド内にセキュリティＩＤが個別にリストされているかどうかをテストする。図４のステップ４０４で示されたように、オプションのＳｉｄｓＴｏＤｉｓａｂｌｅ入力フィールドが存在する時、ステップ４０６では、そこにリストされ、また、親トークン６０のＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド６２内にも存在する任意のセキュリティＩＤは、新しい制限付きトークン８４のＵｓｅｒＡｎｄＧｒｏｕｐｓフィールド８８内でＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとして個別にマークされる。上記のようにこのようなセキュリティＩＤは、アクセスを拒否するためにのみ使用でき、アクセスを許可するためには使用できず、さらに、あとから削除または使用可能にはできない。したがって、図２に示された例では、グループ2のセキュリティＩＤは、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩ８６のＳｉｄｓＴｏＤｉｓａｂｌｅ入力フィールド内にグループ2セキュリティＩＤを指定することにより、制限付きトークン８４内でＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹとしてマークされる。
【００４５】
フィルタプロセスはついで図４のステップ４１０に続き、ここではＤＩＳＡＢＬＥ＿ＭＡＸ＿ＰＲＩＶＩＬＥＤＧＥＳと名付けられたフラグがテストされる。このフラグは同様に、新しい、制限付きトークン８４内のすべての権限を削除すべきであることを示す、便利なショートカットとして設定できる。このように設定された場合、ステップ４１０はステップ４１２に分岐し、ステップ４１２では新しいトークン８４からすべての権限が削除される。
【００４６】
フラグが設定されていない場合、ステップ４１０はステップ４１４に分岐し、ここではオプションのＰｒｉｖｉｌｅｇｅｓＴｏＤｅｌｅｔｅフィールドが確認される。ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩ８６が呼ばれた時に存在する場合は、ステップ４１６で、この入力フィールドにリストされまた既存のトークン６０の権限フィールド６８にも存在する任意の権限は、新しいトークン８４の権限フィールド９０から個別に削除される。図２に示された例では、「権限2」から「権限m」として示された権限は、ＮｔＦｉｌｔｅｒＴｏｋｅｎ ＡＰＩ８６のＰｒｉｖｉｌｅｇｅｓＴｏＤｅｌｅｔｅ入力フィールド内にこれらの権限を指定することによって、新しいトークン８４の権限フィールド９０から削除されている。上記のように本発明の１つの態様によれば、これは、トークン内で使用可能な権限を削減する機能を提供する。このプロセスは図５のステップ４２０に続く。
【００４７】
制限付きトークン８４を作成する時に、ステップ４２０でＲｅｓｔｒｉｃｔｉｎｇＳｉｄｓ入力フィールド内にＳＩＤが存在していた場合、親トークンが通常のトークンか、または親トークン自体が制限付きＳＩＤを有する制限付きトークンであるかどうかに関して決定が行われる。ＡＰＩ、ＩｓＴｏｋｅｎＲｅｓｔｒｉｃｔｅｄがステップ４２２で呼び出され、親トークンのＲｅｓｔｒｉｃｔｉｎｇＳｉｄｓフィールドを（ＮｔＱｕｅｒｙＩｎｆｏｒｍａｔｉｏｎＴｏｋｅｎ ＡＰＩを介して）照会してこれがＮＵＬＬでないかどうかを確認することによってこの問題を解決し、ここでＮＵＬＬでなかった場合、親トークンは制限付きトークンであり、ＡＰＩはＴＲＵＥ（真）を戻す。テストが満足できなかった場合、親トークンは通常のトークンでありＡＰＩはＦＡＬＳＥ（偽）を戻す。続くステップ４２６または４２８のために、トークン自体は制限付きであるが制限付きＳＩＤを有しない親トークン（すなわち、権限が削除されているかおよび／またはＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹ ＳＩＤＳである場合）は、制限付きでないとして処理される可能性があることに注意されたい。
【００４８】
ステップ４２４では、親トークンが制限付きである場合、ステップ４２４はステップ４２６に分岐し、ステップ４２６では、親トークンの制限付きセキュリティＩＤフィールドと、ＡＰＩの制限付きセキュリティＩＤ入力リストの両方にある任意のセキュリティＩＤは、新しいトークン８４の制限付きセキュリティＩＤフィールド９２に置かれる。制限付きセキュリティＩＤが両方のリストになければならないため、制限付き実行コンテキストが、制限付きセキュリティＩＤフィールド９２にさらなるセキュリティＩＤを追加することを阻止し、この場合、アクセスを減らすのではなく効果的にアクセスを増やすことになる。同様に、ステップ４２６で共通なセキュリティＩＤがなかった場合、少なくとも１つの制限付きＳＩＤを新しいトークン内の元のトークンから取り去るなどによって、作成された任意のトークンはそのアクセスを増やすことなく制限されなければならない。その他の場合は、新しいトークン内の空の制限付きＳＩＤフィールドはそのトークンが制限されていないことを示し、この場合、アクセスを減らすのではなく効果的にアクセスを増やすことになる。
【００４９】
あるいは、ステップ４２４で親トークンが通常のトークンであると判断された場合、ステップ４２８で新しいトークン８４のＲｅｓｔｒｉｃｔｉｎｇＳｉｄｓフィールド９２は入力フィールド内にリストされたものに設定される。これはセキュリティＩＤを追加するが、次に詳細に説明されるように制限付きＳＩＤを有するトークンが第２のアクセステストを受けるため、アクセスは実際には減らされることに注意されたい。
【００５０】
最後に、ステップ４３０も実行され、ここで新しいトークン８４内のＰａｒｅｎｔＴｏｋｅｎＩｄ９３は既存の（親）トークンのＴｏｋｅｎＩｄに設定される。これはオペレーティングシステムに、通常は親トークン以外には許可されていない場所で、そのトークンの制限付きのバージョンを使用するプロセスをのちに許可するオプションを提供する。
【００５１】
特に図６〜８を参照して本発明の動作の説明に戻ると、図６に表示されたように、制限付きプロセス９４が作成され、読取り／書込みアクセスでファイルオブジェクト７０を開こうと試みている。オブジェクト７２のセキュリティ記述子内では、ＡＣＬ８０はそこにリストされた多くのセキュリティＩＤおよび、各ＩＤに関して許可されたタイプのアクセスを有し、ここで「ＲＯ」は読取りのみのアクセスが許可されていることを示し、「ＷＲ」は読取り／書込みアクセスを示し、「ＳＹＮＣ」は同期化アクセスが許可されていることを示す。他の場合は「ＸＪｏｎｅｓ」が許可されたグループ内のメンバーシップを介してアクセスを許可されている場合でも、「ＸＪｏｎｅｓ」は特にオブジェクト７２へのアクセスを拒否されていることに注意されたい。さらに、関連付けられたこのトークン８４を有するプロセス９４は、このエントリーは「ＤＥＮＹ」（すなわち、ＵＳＥ＿ＦＯＲ＿ＤＥＮＹ＿ＯＮＬＹ）とマークされているため、トークン８４内の「バスケットボール」セキュリティＩＤを介して任意のオブジェクトへのアクセスを許可されないことになる。
【００５２】
セキュリティの目的のために、制限付きセキュリティコンテキストは第一に、Ｗｉｎｄｏｗｓ ＮＴカーネル内で実現される。オブジェクト７２にアクセスしようと試みるために、プロセス９４はオブジェクトマネジャー７４に、アクセスが望ましいオブジェクトを識別する情報および、所望されるアクセスのタイプを提供する（図８、ステップ８００）。オブジェクトマネジャー７４はこれに応答して、ステップ８０２に示されたように、セキュリティメカニズム７８と共同して機能し、トークン８４内にリストされた（プロセス９４と関連付けられている）ユーザセキュリティＩＤおよびグループセキュリティＩＤをＡＣＬ８０内のエントリーに対して比較し、所望のアクセスが許可されるべきか拒否されるべきかを決定する。
【００５３】
ステップ８０４で一般に示されているように、アクセスがリストされたユーザまたはグループに関して許可されていない場合、セキュリティチェックはステップ８１４でアクセスを拒否する。しかし、ステップ８０４でアクセスチェックのユーザ部分およびグループ部分の結果が許可可能なアクセスを示した場合には、セキュリティプロセスはステップ８０６に分岐し、制限付きトークン８４が任意の制限付きセキュリティＩＤを有しているかどうかを決定する。有していない場合、追加の制限はなく、ここでアクセスチェックは完了し、ステップ８１２において、ユーザアクセスおよびグループアクセスのみに基づいてアクセスは許可される（そのオブジェクトへのハンドルが戻される）。このようにして、通常のトークンは本質的に以前と同じようにチェックされる。しかし、ステップ８０６によって決定されたように、トークンが制限付きセキュリティＩＤを含んでいる場合、ついでステップ８０８によって、制限付きセキュリティＩＤをＡＣＬ８０内のエントリーと比較することによって、第２のアクセスチェックが実行される。ステップ８１０でこの第２のアクセステストがアクセスを許可した場合、そのオブジェクトへのアクセスはステップ８１２で許可される。そうでない場合、アクセスはステップ８１４で拒否される。
【００５４】
図７で論理的に示すように、トークン８４の中に制限付きセキュリティＩＤが存在する時はいつでも、２つの部分からなるテストがこのように実行される。トークン８４内のセキュリティＩＤおよび所望のアクセスビット９６をオブジェクト７２のセキュリティ記述子に対して考慮することによって、通常のアクセステスト（ビットごとのＡＮＤ）および制限付きセキュリティＩＤのアクセステストの両方は、プロセスがそのオブジェクトへのアクセスを許可されるようにアクセスを許可しなければならない。本発明に必要ではないが上記のように、通常のアクセステストが最初に行われ、アクセスが拒否された場合には、さらなるテストは必要ではない。トークン内にＡＣＬの識別子に一致するセキュリティＩＤがないため、またはＡＣＬエントリーが特に、その中にあるセキュリティ識別子に基づいてトークンへのアクセスを拒否したためのどちらの理由でも、アクセスは拒否されることに注意されたい。別法としては、トークンを制限付きＳＩＤの多数の組を有するように構成し、たとえば、組Ａ ＯＲ（組Ｂ ＡＮＤ組Ｃ）がアクセスを許可するなど、これらのＳＩＤの評価をカバーするさらに複雑なブール式を伴う場合もある。
【００５５】
このように図６に示された例では、トークン８４（フィールド９２）内の制限付きＳＩＤのみが「インターネットエクスプローラ」を識別する一方、オブジェクトのＡＣＬ８０内には対応する制限付きＳＩＤがないため、図６に示された例では、オブジェクト７２へのアクセスはプロセス９４へは許可されない。ユーザは通常のトークンで実行するプロセスを介してオブジェクトへアクセスする権利を有していたが、プロセス９４はＡＣＬ内に「インターネットエクスプローラ」ＳＩＤ（非ＤＥＮＹ）を有するオブジェクトのみにアクセスできるようにするように、制限された。
【００５６】
アクセスのタイプを指定する代わりに、コーラ−が、指定されたＭＡＸＩＭＵＭ＿ＡＬＬＯＷＥＤアクセスを有する場合、これによって上記のように、アルゴリズムは最大のアクセスを決定するＡＣＬ８０をウォークスルーする。制限付きトークンで、１つでも任意のタイプのユーザアクセスまたはグループアクセスが許可された場合、ユーザおよびグループの実行に続いて許可可能なアクセス権のタイプ（複数可）は、第２の実行に関して所望のアクセスとして指定され、第２の実行はＲｅｓｔｒｉｃｔｅｄＳｉｄｓリストをチェックする。このようにして、制限付きトークンは通常のアクセスより少ないかまたは等しいアクセスを許可されることが確認される。
【００５７】
最後に、本発明のセキュリティモデルは、他のセキュリティモデルと共に使用できることに注意されたい。たとえば、オペレーティングシステムの上に常駐する、機能に基づいたセキュリティモデルは、本発明のオペレーティングシステムレベルのセキュリティモデルの上で使用することができる。
【００５８】
ジョブ
ジョブとは一組の編成化されたプロセスをその中に有するカーネルオブジェクトであり、各ジョブはそれに関連付けられた異なるタイプの制限を有する可能性がある。本発明によれば、制限付きトークンはＷｉｎｄｏｗｓ ＮＴジョブオブジェクトに統合され、同じ制限の下に実行される多数のプロセスの管理を可能にできる。ジョブオブジェクト制限は次のように表される。
【００５９】
【表４】
ここで、関連するＳｅｃｕｒｉｔｙＬｉｍｉｔＦｌａｇｓは、次のように表される。
【００６１】
【表５】
これらの種々の情報の部分は、ＮｔＳｅｔＩｎｆｏｒｍａｔｉｏｎＪｏｂＯｂｊｅｃｔ ＡＰＩを使用してジョブオブジェクト上で定でき、一方、プロセスはＮｔＡｓｓｉｇｎＰｒｏｃｅｓｓＴｏＪｏｂＯｂｊｅｃｔ ＡＰＩを使用してジョブに割り当てられる。ジョブ上で定されたセキュリティ制限は、プロセスが割り当てられた時に実施される。ジョブを制限するために、ＪＯＢ＿ＯＢＪＥＣＴ＿ＳＥＣＵＲＩＴＹ＿ＦＩＬＴＥＲ＿ＴＯＫＥＮＳ制限フラグが設定され、これによって、ジョブに割り当てられているプロセスの主トークンは、セキュリティ制限情報内に提供されているＳｉｄｓＴｏＤｉｓａｂｌｅ、ＰｒｉｖｉｌｅｇｅｓＴｏＤｅｌｅｔｅおよびＲｅｓｔｒｉｃｔｅｄＳｉｄｓ情報を使用して、プロセスに関連付けられたトークンが上記のようにフィルタ処理されるのと同じ方法でフィルタ処理される。
【００６３】
図９に示されたように、ジョブ１１０は、ジョブＮｔＡｓｓｉｇｎＰｒｏｃｅｓｓＴｏＪｏｂＯｂｊｅｃｔ ＡＰＩを介してそこに割り当てられた多くのプロセス（たとえばプロセス１１２〜１１４）を有する。各プロセス１１２〜１１４は、そこに関連付けられた各トークン１１６a〜１１６cを有し、これは「制限Ｒ」として示されたその制限に関して同じである。たとえば、これらがその下で実行されるトークン１１６a〜１１６cが所定のセキュリティＩＤ（たとえば管理ＳＩＤ）を使用不可にしており、一定の権限が削除され、および／または一組の制限付きセキュリティＩＤが追加されているため、ジョブオブジェクト１１０はその中にあるプロセス１１２〜１１４を制限し、所定の動作のみを行う。トークンは他のアクセス権に関しては同じであるため、この場合すべてのトークンは本質的に同じであるが、これは必要ではないことに注意されたい。プロセス（たとえばプロセス１１４）が他のプロセス１１８を生成した場合、同じ制限Ｒがそのトークン１１６dを介して新しいプロセス１１８に関連付けられていることをジョブオブジェクト１１０が確認するため、そのプロセス１１８は同じ制限Ｒを伴うジョブ１１０内で実行される。
【００６４】
ネットワーク上の制限付きトークン
本発明の別の態様によれば、制限付きトークンは、特に図１０〜１２を参照してここに説明されるように、ネットワーク上で使用できる。この目的のために、一定の認証プロトコルは、認証の時にクライアントが特別な制限を指定できるようにしている。たとえば、ケルベロスプロトコルは、チケットによって許可された権限を制限するフィールドを認証チケットに追加することによって制限の指定を可能にする。次に説明するように、この機能はクライアントのオペレーティングシステムおよびサーバのオペレーティングシステムによって使用でき、ネットワーク接続上で制限を実行する。
【００６５】
図１０に示すように、クライアント１３０がサーバ１３２への接続を望むとき、認証が要求される。ケルベロスプロトコルによれば、サーバ１３２への接続の認証はチケット１３４を介して達成される。チケットはまず、キーの分散センタ（ＫＤＣ）１３６として知られる、ネットワーク上のチケット発行機能から、クライアント１３０によって受信される。チケット１３４は一定期間の間再使用可能であり、これによってセッションが終わった時でも、チケット１３４が有効な間はクライアント１３０は認証プロセスを繰り返す必要がない。
【００６６】
このようにして図１１〜１２のフローチャートに示されたように、プロセス（たとえば、関連付けられた制限付きトークン１３９を有する制限付きプロセス１３８）が別のマシン１３２上の別のプロセス１４０へ認証された接続を作成しようと試みた時、ステップ１１００においてプロセス１３８は接続を要求する認証コードをそのオペレーティングシステム１４２の中で呼び出す。ケルベロスでは、ステップ１１０２において、オペレーティングシステムコード１４２はまず、サーバ１３２への既存の認証チケットを探す。既存のチケットがない場合は、ステップ１１０２はステップ１１０４に分岐し、コードはＫＤＣ１３６を呼び出してチケット１４４にサービスを要求する。ＫＤＣ１３６への要求の中で、クライアント１３０はチケット１４４の中に置かれるべき制限を提供する場合がある。しかし通常は、なにも含まれていない。一度クライアント１３０に戻ると、チケット１４４は認証（たとえば、クライアント要求、サーバチャレンジ、クライアント応答）が、クライアントとサーバの間で起こるようにする。
【００６７】
ステップ１１１０はクライアントプロセスが認証された時（元の接続を開始したプロセスが制限付きプロセス１３８であった場合）、またはのちに、クライアントのオペレーティングシステムがサーバ１３２への認証を求める要求を制限付きプロセス１３８から受け取った時のいずれでも起きる。ステップ１１１０では、制限付きプロセス１３８は、遠隔サーバプロセス１４０への認証された接続を要求する（すでにそれが行われていない場合）。ステップ１１１２ではそれに応答して、クライアントのオペレーティングシステム１４２は制限フィールド１４６の中に適切な制限が存在する、サーバ１３２への既存のチケットを探す。適切な制限が存在しない場合（たとえば、図１０内のＮＵＬＬとして示されたように）、ステップ１１１４ではオペレーティングシステム１４２は制限付きクライアントプロセス１３８上に置かれた制限を含み、ステップ１１１６では、クライアント１３０のチケット許可チケット１４４を使用してＫＤＣ１３６から新しいチケット１４８1を要求する。ＫＤＣ１３６はこれらの制限を、これが戻すチケット１４８1の制限フィールド１５０1内に含める。たとえば、制限は制限付きセキュリティＩＤのリスト、拒否のみとマークされるセキュリティＩＤのリスト、および／または削除する権限のリストを含む可能性がある。
【００６８】
クライアントプロセス１３８はついで、図１２のステップ１２００に示すように、そのチケットのコピー１４８2をサーバプロセス１４０に送る。サーバのオペレーティングシステム１５２がそのチケット１４８2からトークン１５４を構築する時、これは制限１５０2を認識し（ステップ１２０２）、ステップ１２０４において、これが作成した（制限付きの）トークン、すなわち制限付きトークン１５４に適用する。制限がない場合、通常のトークンはステップ１２０６を介して作成される。どの場合でも、サーバ１３２上のクライアントのアクセストークン１５４のコピーはクライアントマシン１３０上のプロセス１３８の対応するトークン１３９と同じ制限を有する。トークンを制限するために権限は削除されるが、一度削除されると、制限されたトークンが遠隔の場所に送られた時も知られないので、その遠隔の場所では後から作成しなおせないことに注意されたい。しかし、別法として、ビット付き権限を使用不可能にし、これによって、権限情報は制限付きトークンに残り、後から作成しなおすようにすることもできる。
【００６９】
制限付きプロセス１３８は認証コード（およびそのライブラリ）を介さずに、ＫＤＣ１３６からチケットを直接要求することができるが、プロセス１３８はユーザからパスワードを得なければチケットを得られないことに注意されたい。これは、プロセス１３８がクライアントのパスワードまたはチケット許可チケット１４４へのアクセスを有しないためである。これは制限付きプロセス１３８の能力を、オペレーティングシステム１４２内の認証コードによって実行されるものに効果的に制限する。
【００７０】
さらに、本発明はケルベロスを実装した分散コンピューティング環境（ＤＣＥ）内で使用できる。クライアントのために機能しているサーバが第２のサーバに接続する時、元のサーバの識別およびクライアントの識別の両方が送信される。第２のサーバはついで、両方の識別の組に基づいてアクセス制御決定を行うことができる。２つ以上のサーバがあった場合、他の間に入っているサーバの識別も送信される。
【００７１】
最後に、容易に認識できるように、本発明は、認証証明と共に、追加の情報（すなわち制限情報）がクライアントとサーバの間を通過可能にする任意の他の認証プロトコルで実現することも可能である。
【００７２】
上述の詳細な説明からわかるように、プロセスが、制限付きのコンテキストの中でその権利および権限のサブセットである別のプロセスを起動可能にする、改善されたセキュリティモデルが提供される。この目的のために、親トークンから制限付きトークンが作成され、制限付きトークンは、親トークンに関連してアクセスを許可せずにアクセスを拒否するセキュリティＩＤを含み、親トークンに関連する権限を削除し、および／または親トークンに関連して制限付きセキュリティＩＤを追加する。制限付きセキュリティＩＤが追加された場合、カーネルモードのセキュリティメカニズムは、アクセスがリソースに許可される前に、２つｎチェック、すなわち、リソースのアクセス制御リストに対する、ユーザ／グループに基づいたアクセスチェックおよび制限付きセキュリティＩＤアクセスチェックの両方が、所望のアクションのためにアクセスが許可という結果となることを要求する。
【００７３】
本発明は種々の変形および代替の構成を可能にするが、そのうち所定の図示された実施形態が図に示され、上記に詳細に説明された。しかし、本発明を開示された特定の形態に限定する意図はなく、逆に、本発明の精神と範囲に含まれるすべての変形例、代替の構成、等価物をカバーすることが目的であることを理解されたい。
【図面の簡単な説明】
【図１】 本発明を組み込むことのできるコンピュータシステムを表すブロック図である。
【図２】 本発明の一態様による、既存のトークンから制限付きのトークンを作成することを一般に表すブロック図である。
【図３】 プロセスがリソースにアクセスできるかどうかを決定するための種々の構成要素を一般に表すブロック図である。
【図４】 本発明の一態様による、既存のトークンから制限付きのトークンを作成する一般のステップを表すフローチャートである。
【図５】 本発明の一態様による、既存のトークンから制限付きのトークンを作成する一般のステップを表すフローチャートである。
【図６】 本発明の一態様による、リソースにアクセスを試みる関連付けられた制限付きのトークンを有するプロセスを一般に表すブロック図である。
【図７】 本発明の一態様による、プロセスのオブジェクトへアクセスすることを決定するための、関連付けられた制限付きのトークンを有する論理を一般に表すブロック図である。
【図８】 本発明の一態様による、リソースへのプロセスアクセスを許可するかどうかを決定する時にとられる一般のステップを表すフローチャートである。
【図９】 共通の制限を伴う多数のプロセスをその中に有するジョブオブジェクトを示すブロック図である。
【図１０】 本発明の別の態様による、ネットワーク上で制限付きのトークンを実現することを示すブロック図である。
【図１１】 ネットワーク上で制限付きのトークンを使用する時にとられる一般的なステップを表すフローチャートである。
【図１２】 ネットワーク上で制限付きのトークンを使用する時にとられる一般的なステップを表すフローチャートである。
Claims (18)
- 情報処理手段およびリソースを有し、リソースへのアクセスを有する第１のプロセスを前記情報処理手段が実行するコンピュータシステムにおいて、第２のプロセスのリソースへのアクセスを許可または拒否する方法であって、前記情報処理手段は、
第１のプロセスに関連付けられた親トークンから制限付きのトークンを作成し、制限付きのトークンは親トークン内の権限およびセキュリティ識別子アクセス権のサブセットである権限およびセキュリティ識別子アクセス権および前記第２のプロセスについて許可または拒否されるエントリーを示す制限付きセキュリティ識別子であって、前記親トークンには含まれていない制限付きセキュリティ識別子を有するステップと、
制限付きのトークンを第２のプロセスに関連付けるステップと、
第２のプロセスにリソースへのアクセスを与えるように要求するステップと、
セキュリティメカニズムにリソースに関連付けられたセキュリティ記述子を提供するステップと、
制限付きトークンをセキュリティメカニズムに提供するステップと、
制限付きトークン内の情報をセキュリティ記述子内の情報と比較することによって、セキュリティメカニズムにおいてアクセス評価を実行するステップと、
アクセス評価の結果に基づいてアクセスを許可するかまたは拒否するかを決定するステップと
を実行することを特徴とする方法。 - 親トークンから制限付きのトークンを作成するステップが、親トークンに関連する少なくとも１つの権限を制限付きトークンから削除するステップを含むことを特徴とする請求項１に記載の方法。
- 親トークンから制限付きのトークンを作成するステップが、親トークン内でアクセスを許可するための、対応するセキュリティ識別子の属性情報に関連して、そのセキュリティ識別子を介して、制限付きトークン内の制限付きセキュリティ識別子の属性情報をアクセス拒否に変更するステップを含むことを特徴とする請求項１に記載の方法。
- セキュリティメカニズムにおいてアクセス評価を実行するステップが、
制限付きトークン内のユーザに基づいたセキュリティ識別子情報および、前記セキュリティ記述子内のセキュリティ識別子情報を使用して第１のアクセスチェックを実行するステップと、
前記セキュリティ記述子内のセキュリティ識別子情報と、アクセスを拒否する属性情報を有する制限付きのトークン内のユーザに基づいたセキュリティ識別子との間に対応が検出された場合、リソースへのプロセスアクセスを拒否するステップとを含むことを特徴とする請求項３に記載の方法。 - 親トークンから制限付きのトークンを作成するステップが、制限付きセキュリティ識別子を制限付きトークンに追加するステップを含むことを特徴とする請求項１に記載の方法。
- セキュリティメカニズムにおいてアクセス評価を実行するステップが、
制限付きトークン内のユーザに基づいたセキュリティ識別子情報および前記セキュリティ記述子内のセキュリティ識別子情報を使用して第１のアクセスチェックを実行するステップと、
第１のアクセスチェックがアクセスが許可可能であることを示した場合に、制限付きトークン内の制限付きセキュリティ識別子情報および、セキュリティ記述子内のセキュリティ識別子エントリーを使用して第２のアクセスチェックを実行するステップと、
第２のアクセスチェックがアクセスが許可可能であることを示した場合に、アクセスを許可するステップとを含むことを特徴とする請求項５に記載の方法。 - 第１のアクセスチェックを実行するステップがアクセスが許可可能ではないことを示した場合、リソースへの第２のプロセスのアクセスを拒否することを特徴とする請求項６に記載の方法。
- 制限付きのトークンを作成するステップが、
識別子および権限を、親トークンから制限付きトークンへコピーするステップと、
少なくとも１つの権限を制限付きトークンから削除するステップと、
制限付きトークン内の少なくとも１つのセキュリティ識別子の属性情報を変更してアクセスを拒否するステップと、
制限付きトークンに第２のプロセスを識別する少なくとも１つの制限付きセキュリティ識別子を追加するステップとを含むことを特徴とする請求項１に記載の方法。 - アクセス評価を実行するステップが、
制限付きトークン内の少なくとも１つのセキュリティ識別子を、セキュリティ記述子内の少なくとも１つのセキュリティ識別子と比較照合させるステップを含むことを特徴とする請求項１に記載の方法。 - アクセス評価を実行するステップがさらに、
第２のプロセスによって所望されるアクションのタイプを、セキュリティ記述子内で識別されたアクションの許可されたタイプに対して比較照合させるステップをさらに含むことを特徴とする請求項１に記載の方法。 - アクセス評価を実行するステップが、
制限付きのトークン内で権限を評価するステップを含むことを特徴とする請求項１に記載の方法。 - アクセス評価の結果を監査するステップをさらに含むことを特徴とする請求項１に記載の方法。
- 親トークンから制限付きのトークンを作成するステップが、
複数セットの制限付きセキュリティ識別子を制限付きトークンに追加するステップを含み、
セキュリティメカニズムにおいてアクセス評価を実行するステップが、
制限付きセキュリティ識別子のセットについてアクセスチェックを実行して複数の結果を得るステップと、
結果をブール式を介して結合し、アクセスを許可するか拒否するかを決定するステップとを含むことを特徴とする請求項１に記載の方法。 - コンピュータを有するコンピュータシステムにおいて、リソースへのアクセスをプロセスに許可する方法であって、前記コンピュータは、
トークンを作成し、トークンを、アクセスを要求するプロセスに関連付け、トークンはユーザセキュリティ識別子およびグループセキュリティ識別子および前記プロセスについて許可または拒否されるエントリーを示す少なくとも１つの制限付きセキュリティ識別子を含むステップと、
アクセス制御リストをリソースに割り当て、アクセス制御リストはリソースへのアクセスを有する識別子のエントリーを含むステップと、
トークン内のユーザ識別子およびグループ識別子と、アクセス制御リスト内の識別子とで第１の比較を実行するステップと、
第１の比較の結果がアクセスが許可可能であることを示した場合、前記少なくとも１つの制限付きセキュリティ識別子とアクセス制御リスト内の識別子とで第２の比較を実行するステップと、
第２の比較の結果が、前記少なくとも１つの制限付きセキュリティ識別子が許可のエントリーを示すとなった場合に、前記プロセスによる前記リソースへのアクセスを許可するステップとを含むことを特徴とする方法。 - アクセス制御リストが、各エントリーを伴う少なくとも１つの許可可能なタイプのアクションを含む請求項１４に記載の方法であって、
所望のタイプのアクションをセキュリティメカニズムに示すステップをさらに含み、
第１の比較および第２の比較を実行するステップが各々、所望のタイプのアクションを許可可能なタイプのアクションと比較するステップを含むことを特徴とする請求項１４に記載の方法。 - 第１の比較がアクセスが許可可能でないことを示した場合に、第２の比較を実行する前にアクセスを拒否するステップをさらに含むことを特徴とする請求項１４に記載の方法。
- コンピュータシステム内でアクセス制御を提供するためのシステムであって、
プロセスを実行する第１の情報処理ユニットと、
プロセスに関連付けられたトークンおよびアクセス制御リストを記憶する記憶デバイスであって、前記トークンは前記プロセスと関連付けられるエントリーを示す少なくとも１つの制限付きセキュリティ識別子を含み、前記アクセス制御リストは前記プロセスについて許可または拒否されるエントリーを示す少なくとも１つの制限付きセキュリティ識別子を含む記憶デバイスと、
前記トークン内の少なくとも１つの制限付きセキュリティ識別子を、アクセス制御リスト内の識別子と比較することによってアクセス評価を実行し、アクセス評価の結果に基づいてリソースへのプロセスアクセスを許可または拒否するためのセキュリティメカニズムとして機能する第２の情報処理ユニットと
を備え、前記トークンおよび前記アクセス制御リストがさらにユーザ情報およびグループ情報を識別するセキュリティ識別子を含み、
セキュリティメカニズムが、前記トークン内のユーザ識別子およびグループ識別子をアクセス制御リスト内のユーザ識別子およびグループ識別子と比較する第１のアクセスチェックおよび、トークンリスト内の少なくとも１つの制限付きセキュリティ識別子を、アクセス制御リスト内の制限付きセキュリティ識別子と比較する第２のアクセスチェックを含み、第１のアクセスチェックおよび第２のアクセスチェックの結果に基づいて、リソースへのプロセスアクセスを許可または拒否するかのアクセス評価を実行することを特徴とするシステム。 - 第１のアクセスチェックは、トークン内のユーザまたはグループを表すセキュリティ識別子がアクセス制御リスト内のセキュリティ識別子に対応することを決定し、
第２のアクセスチェックがトークン内の少なくとも１つのプロセスを表すセキュリティ識別子が、アクセス制御リスト内のセキュリティ識別子に対応することを決定した時にセキュリティメカニズムがアクセスを許可し、
それ以外の場合はセキュリティメカニズムはアクセスを拒否することを特徴とする請求項１７に記載のシステム。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US09/096,926 US6279111B1 (en) | 1998-06-12 | 1998-06-12 | Security model using restricted tokens |
| US09/096,926 | 1998-06-12 | ||
| PCT/US1999/013057 WO1999064948A1 (en) | 1998-06-12 | 1999-06-09 | Security model using restricted tokens |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002517854A JP2002517854A (ja) | 2002-06-18 |
| JP4809530B2 true JP4809530B2 (ja) | 2011-11-09 |
Family
ID=22259765
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000553885A Expired - Fee Related JP4809530B2 (ja) | 1998-06-12 | 1999-06-09 | 制限付きのトークンを使用したセキュリティモデル |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US6279111B1 (ja) |
| EP (1) | EP1084464B1 (ja) |
| JP (1) | JP4809530B2 (ja) |
| AT (1) | ATE518179T1 (ja) |
| WO (1) | WO1999064948A1 (ja) |
Families Citing this family (186)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6584505B1 (en) * | 1999-07-08 | 2003-06-24 | Microsoft Corporation | Authenticating access to a network server without communicating login information through the network server |
| US6678731B1 (en) * | 1999-07-08 | 2004-01-13 | Microsoft Corporation | Controlling access to a network server using an authentication ticket |
| US7065784B2 (en) * | 1999-07-26 | 2006-06-20 | Microsoft Corporation | Systems and methods for integrating access control with a namespace |
| US7596563B1 (en) * | 1999-10-28 | 2009-09-29 | Hewlett-Packard Development Company, L.P. | Computerized file system and method |
| US6609115B1 (en) * | 1999-12-30 | 2003-08-19 | Ge Medical Systems | Method and apparatus for limited online access to restricted documentation |
| US7398532B1 (en) * | 2000-03-02 | 2008-07-08 | Hewlett-Packard Development Company, L.P. | System and method for establishing a secure execution environment for a software process |
| FI20002255A (fi) * | 2000-10-13 | 2002-04-14 | Nokia Corp | Menetelmä lukkojen hallintaan ja kontrollointiin |
| US6938164B1 (en) * | 2000-11-22 | 2005-08-30 | Microsoft Corporation | Method and system for allowing code to be securely initialized in a computer |
| FR2820847B1 (fr) * | 2001-02-12 | 2003-05-30 | Gemplus Card Int | Controle d'acces de sujets a des objets notamment dans une carte a microcontroleur |
| US6631453B1 (en) * | 2001-02-14 | 2003-10-07 | Zecurity | Secure data storage device |
| US7134138B2 (en) * | 2001-02-15 | 2006-11-07 | Emc Corporation | Methods and apparatus for providing security for a data storage system |
| US7024662B2 (en) | 2001-03-14 | 2006-04-04 | Microsoft Corporation | Executing dynamically assigned functions while providing services |
| US7302634B2 (en) | 2001-03-14 | 2007-11-27 | Microsoft Corporation | Schema-based services for identity-based data access |
| US7322040B1 (en) * | 2001-03-27 | 2008-01-22 | Microsoft Corporation | Authentication architecture |
| US7237257B1 (en) | 2001-04-11 | 2007-06-26 | Aol Llc | Leveraging a persistent connection to access a secured service |
| US7107610B2 (en) * | 2001-05-11 | 2006-09-12 | Intel Corporation | Resource authorization |
| US20020169967A1 (en) * | 2001-05-14 | 2002-11-14 | Sangeeta Varma | Method and apparatus for multiple token access to thin client architecture session |
| US7117488B1 (en) | 2001-10-31 | 2006-10-03 | The Regents Of The University Of California | Safe computer code formats and methods for generating safe computer code |
| EP1322083A1 (de) * | 2001-12-21 | 2003-06-25 | Siemens Aktiengesellschaft | Vorrichtung und Verfahren zur Steuerung einer Kommunikation über ein Telekommunikationsnetz |
| WO2003069491A1 (fr) * | 2002-02-15 | 2003-08-21 | Science Park Corporation | Procede d'authentification faisant appel a une caracteristique d'entree d'unite d'entree d'ordinateur, son programme et support enregistre de programme associe |
| US20030182479A1 (en) * | 2002-03-22 | 2003-09-25 | Dieter Massa | Implementing clustering in raid controllers |
| US7418500B1 (en) * | 2002-03-25 | 2008-08-26 | Network Appliance, Inc. | Mechanism for controlled sharing of files in a clustered application environment |
| KR100450402B1 (ko) * | 2002-04-17 | 2004-09-30 | 한국전자통신연구원 | 컴퓨터 시스템에 있어서 보안속성을 갖는 토큰을 이용한접근 제어방법 |
| US7082455B2 (en) * | 2002-04-23 | 2006-07-25 | International Business Machines Corporation | Method and apparatus of parameter passing of structured data for stored procedures in a content management system |
| US6999966B2 (en) * | 2002-04-23 | 2006-02-14 | International Business Machines Corporation | Content management system and methodology for implementing a complex object using nested/recursive structures |
| US7035854B2 (en) * | 2002-04-23 | 2006-04-25 | International Business Machines Corporation | Content management system and methodology employing non-transferable access tokens to control data access |
| US6950815B2 (en) * | 2002-04-23 | 2005-09-27 | International Business Machines Corporation | Content management system and methodology featuring query conversion capability for efficient searching |
| US6938050B2 (en) | 2002-04-23 | 2005-08-30 | International Business Machines Corporation | Content management system and methodology employing a tree-based table hierarchy which accomodates opening a dynamically variable number of cursors therefor |
| US6944627B2 (en) * | 2002-04-23 | 2005-09-13 | International Business Machines Corporation | Content management system and methodology employing a tree-based table hierarchy featuring arbitrary information retrieval from different locations in the hierarchy |
| US6947948B2 (en) * | 2002-04-23 | 2005-09-20 | International Business Machines Corporation | Version-enabled, multi-typed, multi-targeting referential integrity relational database system and methodology |
| US20030236975A1 (en) * | 2002-06-20 | 2003-12-25 | International Business Machines Corporation | System and method for improved electronic security credentials |
| US20040003287A1 (en) * | 2002-06-28 | 2004-01-01 | Zissimopoulos Vasileios Bill | Method for authenticating kerberos users from common web browsers |
| US9886309B2 (en) | 2002-06-28 | 2018-02-06 | Microsoft Technology Licensing, Llc | Identity-based distributed computing for device resources |
| US20110119353A1 (en) * | 2002-08-06 | 2011-05-19 | Tsao Sheng Tai Ted | Method and Apparatus for information exchange over a web based environment |
| US7770212B2 (en) * | 2002-08-15 | 2010-08-03 | Activcard | System and method for privilege delegation and control |
| US7010565B2 (en) * | 2002-09-30 | 2006-03-07 | Sampson Scott E | Communication management using a token action log |
| US6804687B2 (en) * | 2002-09-30 | 2004-10-12 | Scott E. Sampson | File system management with user-definable functional attributes stored in a token action log |
| US7526798B2 (en) | 2002-10-31 | 2009-04-28 | International Business Machines Corporation | System and method for credential delegation using identity assertion |
| US7353282B2 (en) * | 2002-11-25 | 2008-04-01 | Microsoft Corporation | Methods and systems for sharing a network resource with a user without current access |
| US7089429B2 (en) | 2002-11-25 | 2006-08-08 | Nokia Corporation | Creation of local usage rights voucher |
| US7024689B2 (en) * | 2002-12-13 | 2006-04-04 | Intuit, Inc. | Granting access rights to unattended software |
| US7392246B2 (en) * | 2003-02-14 | 2008-06-24 | International Business Machines Corporation | Method for implementing access control for queries to a content management system |
| US7370212B2 (en) | 2003-02-25 | 2008-05-06 | Microsoft Corporation | Issuing a publisher use license off-line in a digital rights management (DRM) system |
| US7490127B2 (en) * | 2003-06-13 | 2009-02-10 | Microsoft Corporation | Concurrent recipient resolution and certificate acquisition |
| US20040260946A1 (en) * | 2003-06-20 | 2004-12-23 | Cahill Conor P. | User not present |
| US7653936B2 (en) * | 2003-06-25 | 2010-01-26 | Microsoft Corporation | Distributed expression-based access control |
| US7350237B2 (en) * | 2003-08-18 | 2008-03-25 | Sap Ag | Managing access control information |
| US7814551B2 (en) * | 2003-09-09 | 2010-10-12 | Microsoft Corporation | System and method for manifest generation |
| US7702693B1 (en) * | 2003-10-30 | 2010-04-20 | Cisco Technology, Inc. | Role-based access control enforced by filesystem of an operating system |
| US7467386B2 (en) * | 2004-01-16 | 2008-12-16 | International Business Machines Corporation | Parameter passing of data structures where API and corresponding stored procedure are different versions/releases |
| US7640573B2 (en) | 2004-02-16 | 2009-12-29 | Microsoft Corporation | Generic security claim processing model |
| US7716728B2 (en) * | 2004-02-16 | 2010-05-11 | Microsoft Corproation | Security scopes and profiles |
| US7873831B2 (en) * | 2004-02-26 | 2011-01-18 | Microsoft Corporation | Digests to identify elements in a signature process |
| US9020854B2 (en) | 2004-03-08 | 2015-04-28 | Proxense, Llc | Linked account system using personal digital key (PDK-LAS) |
| EP1589419A1 (en) * | 2004-04-19 | 2005-10-26 | Sun Microsystems, Inc. | System and method for controlling the use of a method in an object-oriented computer environment |
| US20060242406A1 (en) | 2005-04-22 | 2006-10-26 | Microsoft Corporation | Protected computing environment |
| US8347078B2 (en) | 2004-10-18 | 2013-01-01 | Microsoft Corporation | Device certificate individualization |
| US8336085B2 (en) | 2004-11-15 | 2012-12-18 | Microsoft Corporation | Tuning product policy using observed evidence of customer behavior |
| US8176564B2 (en) | 2004-11-15 | 2012-05-08 | Microsoft Corporation | Special PC mode entered upon detection of undesired state |
| CN101065716A (zh) | 2004-11-22 | 2007-10-31 | 诺基亚公司 | 用于验证电子设备的平台软件的完整性的方法和设备 |
| US20060117004A1 (en) * | 2004-11-30 | 2006-06-01 | Hunt Charles L | System and method for contextually understanding and analyzing system use and misuse |
| US8020141B2 (en) * | 2004-12-06 | 2011-09-13 | Microsoft Corporation | Operating-system process construction |
| US7882317B2 (en) * | 2004-12-06 | 2011-02-01 | Microsoft Corporation | Process isolation using protection domains |
| EP1829283A2 (en) | 2004-12-20 | 2007-09-05 | Proxense, LLC | Biometric personal data key (pdk) authentication |
| FR2880487B1 (fr) * | 2004-12-31 | 2007-06-01 | Cit Alcatel | Procede de controle d'acces |
| US20060156008A1 (en) * | 2005-01-12 | 2006-07-13 | Microsoft Corporation | Last line of defense ensuring and enforcing sufficiently valid/current code |
| US8438645B2 (en) | 2005-04-27 | 2013-05-07 | Microsoft Corporation | Secure clock with grace periods |
| US7571311B2 (en) * | 2005-04-01 | 2009-08-04 | Microsoft Corporation | Scheme for sub-realms within an authentication protocol |
| US8725646B2 (en) | 2005-04-15 | 2014-05-13 | Microsoft Corporation | Output protection levels |
| US9436804B2 (en) * | 2005-04-22 | 2016-09-06 | Microsoft Technology Licensing, Llc | Establishing a unique session key using a hardware functionality scan |
| US9363481B2 (en) | 2005-04-22 | 2016-06-07 | Microsoft Technology Licensing, Llc | Protected media pipeline |
| US20060259980A1 (en) * | 2005-05-16 | 2006-11-16 | Microsoft Corporation | Method and system for limiting rights of services |
| US20060265758A1 (en) | 2005-05-20 | 2006-11-23 | Microsoft Corporation | Extensible media rights |
| US8078740B2 (en) | 2005-06-03 | 2011-12-13 | Microsoft Corporation | Running internet applications with low rights |
| US8353046B2 (en) | 2005-06-08 | 2013-01-08 | Microsoft Corporation | System and method for delivery of a modular operating system |
| US20060282900A1 (en) * | 2005-06-10 | 2006-12-14 | Microsoft Corporation | Managing access with resource control lists and resource replication |
| US8849968B2 (en) * | 2005-06-20 | 2014-09-30 | Microsoft Corporation | Secure and stable hosting of third-party extensions to web services |
| US7636851B2 (en) * | 2005-06-30 | 2009-12-22 | Microsoft Corporation | Providing user on computer operating system with full privileges token and limited privileges token |
| US7580933B2 (en) * | 2005-07-28 | 2009-08-25 | Microsoft Corporation | Resource handling for taking permissions |
| US8272058B2 (en) | 2005-07-29 | 2012-09-18 | Bit 9, Inc. | Centralized timed analysis in a network security system |
| US8984636B2 (en) | 2005-07-29 | 2015-03-17 | Bit9, Inc. | Content extractor and analysis system |
| US7895651B2 (en) | 2005-07-29 | 2011-02-22 | Bit 9, Inc. | Content tracking in a network security system |
| US20070039045A1 (en) | 2005-08-11 | 2007-02-15 | Microsoft Corporation | Dual layered access control list |
| US7814065B2 (en) * | 2005-08-16 | 2010-10-12 | Oracle International Corporation | Affinity-based recovery/failover in a cluster environment |
| JP4455462B2 (ja) * | 2005-09-12 | 2010-04-21 | キヤノン株式会社 | データ配信装置およびデータ配信方法及びそれを実現するためのプログラム |
| US20070199057A1 (en) * | 2005-10-14 | 2007-08-23 | Softwareonline, Llc | Control of application access to system resources |
| US20070199072A1 (en) * | 2005-10-14 | 2007-08-23 | Softwareonline, Llc | Control of application access to system resources |
| US8074231B2 (en) | 2005-10-26 | 2011-12-06 | Microsoft Corporation | Configuration of isolated extensions and device drivers |
| US7979865B2 (en) * | 2005-11-03 | 2011-07-12 | Microsoft Corporation | Identifying separate threads executing within a single process |
| US7693838B2 (en) * | 2005-11-12 | 2010-04-06 | Intel Corporation | Method and apparatus for securely accessing data |
| US8433919B2 (en) | 2005-11-30 | 2013-04-30 | Proxense, Llc | Two-level authentication for secure transactions |
| US8989390B2 (en) * | 2005-12-12 | 2015-03-24 | Qualcomm Incorporated | Certify and split system and method for replacing cryptographic keys |
| US8036152B2 (en) | 2006-01-06 | 2011-10-11 | Proxense, Llc | Integrated power management of a client device via system time slot assignment |
| US11206664B2 (en) | 2006-01-06 | 2021-12-21 | Proxense, Llc | Wireless network synchronization of cells and client devices on a network |
| US7925801B2 (en) * | 2006-01-17 | 2011-04-12 | International Business Machines Corporation | Method and system for protection and security of IO devices using credentials |
| US8291377B2 (en) * | 2006-01-25 | 2012-10-16 | Microsoft Corporation | External configuration of processing content for script |
| WO2007096871A2 (en) * | 2006-02-21 | 2007-08-30 | K. K. Athena Smartcard Solutions | Device, system and method of accessing a security token |
| US8180741B2 (en) * | 2006-06-06 | 2012-05-15 | Red Hat, Inc. | Methods and systems for providing data objects on a token |
| US8185737B2 (en) | 2006-06-23 | 2012-05-22 | Microsoft Corporation | Communication across domains |
| US8032898B2 (en) * | 2006-06-30 | 2011-10-04 | Microsoft Corporation | Kernel interface with categorized kernel objects |
| WO2008063185A1 (en) * | 2006-10-14 | 2008-05-29 | Xeriton Corporation | Control of application access to system resources |
| US9269221B2 (en) | 2006-11-13 | 2016-02-23 | John J. Gobbi | Configuration of interfaces for a location detection system and application |
| US8640215B2 (en) * | 2007-03-23 | 2014-01-28 | Microsoft Corporation | Secure isolation of application pools |
| US20080244507A1 (en) * | 2007-03-30 | 2008-10-02 | Microsoft Corporation | Homogeneous Programming For Heterogeneous Multiprocessor Systems |
| US8789063B2 (en) * | 2007-03-30 | 2014-07-22 | Microsoft Corporation | Master and subordinate operating system kernels for heterogeneous multiprocessor systems |
| US20080307486A1 (en) * | 2007-06-11 | 2008-12-11 | Microsoft Corporation | Entity based access management |
| US10019570B2 (en) * | 2007-06-14 | 2018-07-10 | Microsoft Technology Licensing, Llc | Protection and communication abstractions for web browsers |
| US7984512B2 (en) * | 2007-06-14 | 2011-07-19 | Microsoft Corporation | Integrating security by obscurity with access control lists |
| US8468579B2 (en) * | 2007-06-15 | 2013-06-18 | Microsoft Corporation | Transformation of sequential access control lists utilizing certificates |
| US8613044B2 (en) * | 2007-06-22 | 2013-12-17 | 4Dk Technologies, Inc. | Delegating or transferring of access to resources between multiple devices |
| US8332922B2 (en) * | 2007-08-31 | 2012-12-11 | Microsoft Corporation | Transferable restricted security tokens |
| US9807096B2 (en) | 2014-12-18 | 2017-10-31 | Live Nation Entertainment, Inc. | Controlled token distribution to protect against malicious data and resource access |
| WO2009062194A1 (en) | 2007-11-09 | 2009-05-14 | Proxense, Llc | Proximity-sensor supporting multiple application services |
| US8171528B1 (en) | 2007-12-06 | 2012-05-01 | Proxense, Llc | Hybrid device having a personal digital key and receiver-decoder circuit and methods of use |
| WO2009079666A1 (en) | 2007-12-19 | 2009-06-25 | Proxense, Llc | Security system and method for controlling access to computing resources |
| US8508336B2 (en) | 2008-02-14 | 2013-08-13 | Proxense, Llc | Proximity-based healthcare management system with automatic access to private information |
| US8341715B2 (en) * | 2008-02-29 | 2012-12-25 | Research In Motion Limited | System and method for shared resource owner based access control |
| EP2096569B1 (en) * | 2008-02-29 | 2012-04-18 | Research In Motion Limited | System and method for shared resource owner based access control |
| US7958105B2 (en) * | 2008-03-07 | 2011-06-07 | International Business Machines Corporation | System and method for filtering database results using dynamic composite queries |
| US11120449B2 (en) | 2008-04-08 | 2021-09-14 | Proxense, Llc | Automated service-based order processing |
| US9501635B2 (en) | 2008-06-25 | 2016-11-22 | Microsoft Technology Licensing, Llc | Isolation of services or processes using credential managed accounts |
| US8397290B2 (en) * | 2008-06-27 | 2013-03-12 | Microsoft Corporation | Granting least privilege access for computing processes |
| US8140853B2 (en) * | 2008-07-01 | 2012-03-20 | International Business Machines Corporation | Mutually excluded security managers |
| US20100037288A1 (en) * | 2008-08-06 | 2010-02-11 | International Business Machines Corporation | Inherited Access Authorization to a Social Network |
| US9614855B2 (en) * | 2009-11-05 | 2017-04-04 | Micro Focus Software Inc. | System and method for implementing a secure web application entitlement service |
| US8234693B2 (en) | 2008-12-05 | 2012-07-31 | Raytheon Company | Secure document management |
| US8095557B2 (en) * | 2009-04-30 | 2012-01-10 | Oracle International Corporation | Type system for access control lists |
| US8826269B2 (en) * | 2009-06-15 | 2014-09-02 | Microsoft Corporation | Annotating virtual application processes |
| US8775802B1 (en) | 2009-10-23 | 2014-07-08 | Secure Vector | Computer security system and method |
| US9454652B2 (en) | 2009-10-23 | 2016-09-27 | Secure Vector, Llc | Computer security system and method |
| US8429429B1 (en) * | 2009-10-23 | 2013-04-23 | Secure Vector, Inc. | Computer security system and method |
| US10242182B2 (en) | 2009-10-23 | 2019-03-26 | Secure Vector, Llc | Computer security system and method |
| US8799985B2 (en) * | 2009-12-09 | 2014-08-05 | Microsoft Corporation | Automated security classification and propagation of virtualized and physical virtual machines |
| US8726334B2 (en) * | 2009-12-09 | 2014-05-13 | Microsoft Corporation | Model based systems management in virtualized and non-virtualized environments |
| US9418205B2 (en) | 2010-03-15 | 2016-08-16 | Proxense, Llc | Proximity-based system for automatic application or data access and item tracking |
| JP5702953B2 (ja) * | 2010-06-09 | 2015-04-15 | キヤノン株式会社 | 情報処理装置及びアプリケーションの実行方法とプログラム |
| US8918856B2 (en) | 2010-06-24 | 2014-12-23 | Microsoft Corporation | Trusted intermediary for network layer claims-enabled access control |
| US20110321147A1 (en) * | 2010-06-28 | 2011-12-29 | International Business Machines Corporation | Dynamic, temporary data access token |
| US8918854B1 (en) | 2010-07-15 | 2014-12-23 | Proxense, Llc | Proximity-based system for automatic application initialization |
| US9265450B1 (en) | 2011-02-21 | 2016-02-23 | Proxense, Llc | Proximity-based system for object tracking and automatic application initialization |
| GB2494391B (en) | 2011-09-02 | 2014-06-18 | Avecto Ltd | Computer device with anti-tamper resource security |
| US9118686B2 (en) * | 2011-09-06 | 2015-08-25 | Microsoft Technology Licensing, Llc | Per process networking capabilities |
| US8990561B2 (en) | 2011-09-09 | 2015-03-24 | Microsoft Technology Licensing, Llc | Pervasive package identifiers |
| US9773102B2 (en) | 2011-09-09 | 2017-09-26 | Microsoft Technology Licensing, Llc | Selective file access for applications |
| US9800688B2 (en) | 2011-09-12 | 2017-10-24 | Microsoft Technology Licensing, Llc | Platform-enabled proximity service |
| US8689310B2 (en) * | 2011-12-29 | 2014-04-01 | Ebay Inc. | Applications login using a mechanism relating sub-tokens to the quality of a master token |
| US8826390B1 (en) | 2012-05-09 | 2014-09-02 | Google Inc. | Sharing and access control |
| US9213571B2 (en) * | 2012-06-06 | 2015-12-15 | 2236008 Ontario Inc. | System and method for changing abilities of a process |
| US10891599B2 (en) * | 2012-09-12 | 2021-01-12 | Microsoft Technology Licensing, Llc | Use of state objects in near field communication (NFC) transactions |
| US10356204B2 (en) | 2012-12-13 | 2019-07-16 | Microsoft Technology Licensing, Llc | Application based hardware identifiers |
| WO2014143029A1 (en) * | 2013-03-15 | 2014-09-18 | Mcafee, Inc. | Generic privilege escalation prevention |
| WO2014183106A2 (en) | 2013-05-10 | 2014-11-13 | Proxense, Llc | Secure element as a digital pocket |
| US9858247B2 (en) | 2013-05-20 | 2018-01-02 | Microsoft Technology Licensing, Llc | Runtime resolution of content references |
| US9397990B1 (en) * | 2013-11-08 | 2016-07-19 | Google Inc. | Methods and systems of generating and using authentication credentials for decentralized authorization in the cloud |
| US9531719B1 (en) * | 2014-04-29 | 2016-12-27 | Amazon Technologies, Inc. | Permissions for hybrid distributed network resources |
| US11100242B2 (en) * | 2014-05-30 | 2021-08-24 | Apple Inc. | Restricted resource classes of an operating system |
| US9396343B2 (en) * | 2014-10-20 | 2016-07-19 | International Business Machines Corporation | Policy access control lists attached to resources |
| RU2584507C1 (ru) | 2014-12-19 | 2016-05-20 | Закрытое акционерное общество "Лаборатория Касперского" | Способ обеспечения безопасного выполнения файла сценария |
| US9350556B1 (en) | 2015-04-20 | 2016-05-24 | Google Inc. | Security model for identification and authentication in encrypted communications using delegate certificate chain bound to third party key |
| US11350254B1 (en) | 2015-05-05 | 2022-05-31 | F5, Inc. | Methods for enforcing compliance policies and devices thereof |
| US10044718B2 (en) | 2015-05-27 | 2018-08-07 | Google Llc | Authorization in a distributed system using access control lists and groups |
| US10104084B2 (en) * | 2015-07-30 | 2018-10-16 | Cisco Technology, Inc. | Token scope reduction |
| US9509684B1 (en) * | 2015-10-14 | 2016-11-29 | FullArmor Corporation | System and method for resource access with identity impersonation |
| US9450944B1 (en) | 2015-10-14 | 2016-09-20 | FullArmor Corporation | System and method for pass-through authentication |
| US9762563B2 (en) | 2015-10-14 | 2017-09-12 | FullArmor Corporation | Resource access system and method |
| US11757946B1 (en) | 2015-12-22 | 2023-09-12 | F5, Inc. | Methods for analyzing network traffic and enforcing network policies and devices thereof |
| US20170187700A1 (en) * | 2015-12-28 | 2017-06-29 | Paypal, Inc. | Pregenerated two-factor authentication tokens |
| US10171457B2 (en) * | 2015-12-29 | 2019-01-01 | International Business Machines Corporation | Service provider initiated additional authentication in a federated system |
| US11178150B1 (en) | 2016-01-20 | 2021-11-16 | F5 Networks, Inc. | Methods for enforcing access control list based on managed application and devices thereof |
| WO2017131892A1 (en) | 2016-01-29 | 2017-08-03 | Google Inc. | Device access revocation |
| CN108092945B (zh) * | 2016-11-22 | 2022-02-22 | 中兴通讯股份有限公司 | 访问权限的确定方法和装置、终端 |
| US10812266B1 (en) * | 2017-03-17 | 2020-10-20 | F5 Networks, Inc. | Methods for managing security tokens based on security violations and devices thereof |
| US10846417B2 (en) * | 2017-03-17 | 2020-11-24 | Oracle International Corporation | Identifying permitted illegal access operations in a module system |
| US11343237B1 (en) | 2017-05-12 | 2022-05-24 | F5, Inc. | Methods for managing a federated identity environment using security and access control data and devices thereof |
| US11122042B1 (en) | 2017-05-12 | 2021-09-14 | F5 Networks, Inc. | Methods for dynamically managing user access control and devices thereof |
| US10897462B2 (en) * | 2017-05-16 | 2021-01-19 | Citrix Systems, Inc. | Systems and methods for encoding additional authentication data into an active directory security identifier |
| US11847246B1 (en) * | 2017-09-14 | 2023-12-19 | United Services Automobile Association (Usaa) | Token based communications for machine learning systems |
| EP3692458B1 (en) * | 2017-10-03 | 2022-04-13 | Varonis Systems, Inc. | Systems and methods for preventing excess user authentication token utilization conditions in an enterprise computer environment |
| US11328054B2 (en) * | 2018-12-21 | 2022-05-10 | Netiq Corporation | Preventing access to single sign on credentials associated with executing applications |
| EP3699799A1 (en) * | 2019-02-22 | 2020-08-26 | Siemens Aktiengesellschaft | Method for granting access to objects in a computerized system, computer program product, and field device |
| US11513815B1 (en) | 2019-05-24 | 2022-11-29 | Hiro Systems Pbc | Defining data storage within smart contracts |
| US11657391B1 (en) | 2019-05-24 | 2023-05-23 | Hiro Systems Pbc | System and method for invoking smart contracts |
| US10699269B1 (en) * | 2019-05-24 | 2020-06-30 | Blockstack Pbc | System and method for smart contract publishing |
| US11336450B2 (en) | 2019-09-06 | 2022-05-17 | Jpmorgan Chase Bank, N.A. | System and method for implementing market data rights enforcement |
| US11658983B2 (en) * | 2020-02-07 | 2023-05-23 | Microsoft Technology Licensing, Llc | Authentication and authorization across microservices |
| JP2023063811A (ja) * | 2021-10-25 | 2023-05-10 | ジェイズ・コミュニケーション株式会社 | アクセス制御システム |
Family Cites Families (35)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4962449A (en) | 1988-04-11 | 1990-10-09 | Artie Schlesinger | Computer security system having remote location recognition and remote location lock-out |
| DE69031191T2 (de) | 1989-05-15 | 1998-02-12 | Ibm | System zur Steuerung von Zugriffsprivilegien |
| US5187790A (en) | 1989-06-29 | 1993-02-16 | Digital Equipment Corporation | Server impersonation of client processes in an object based computer operating system |
| US5138712A (en) | 1989-10-02 | 1992-08-11 | Sun Microsystems, Inc. | Apparatus and method for licensing software on a network of computers |
| US5204961A (en) | 1990-06-25 | 1993-04-20 | Digital Equipment Corporation | Computer network operating with multilevel hierarchical security with selectable common trust realms and corresponding security protocols |
| US5577209A (en) | 1991-07-11 | 1996-11-19 | Itt Corporation | Apparatus and method for providing multi-level security for communication among computers and terminals on a network |
| US5276901A (en) | 1991-12-16 | 1994-01-04 | International Business Machines Corporation | System for controlling group access to objects using group access control folder and group identification as individual user |
| CA2093094C (en) | 1992-04-06 | 2000-07-11 | Addison M. Fischer | Method and apparatus for creating, supporting, and using travelling programs |
| US5412717A (en) | 1992-05-15 | 1995-05-02 | Fischer; Addison M. | Computer system security method and apparatus having program authorization information data structures |
| JP2519390B2 (ja) | 1992-09-11 | 1996-07-31 | インターナショナル・ビジネス・マシーンズ・コーポレイション | デ―タ通信方法及び装置 |
| US5649099A (en) | 1993-06-04 | 1997-07-15 | Xerox Corporation | Method for delegating access rights through executable access control program without delegating access rights not in a specification to any intermediary nor comprising server security |
| WO1996005549A1 (en) | 1994-08-09 | 1996-02-22 | Shiva Corporation | Apparatus and method for restricting access to a local computer network |
| EP0697662B1 (en) | 1994-08-15 | 2001-05-30 | International Business Machines Corporation | Method and system for advanced role-based access control in distributed and centralized computer systems |
| US5864683A (en) | 1994-10-12 | 1999-01-26 | Secure Computing Corporartion | System for providing secure internetwork by connecting type enforcing secure computers to external network for limiting access to data based on user and process access rights |
| US5682478A (en) * | 1995-01-19 | 1997-10-28 | Microsoft Corporation | Method and apparatus for supporting multiple, simultaneous services over multiple, simultaneous connections between a client and network server |
| US5675782A (en) | 1995-06-06 | 1997-10-07 | Microsoft Corporation | Controlling access to objects on multiple operating systems |
| US5761669A (en) | 1995-06-06 | 1998-06-02 | Microsoft Corporation | Controlling access to objects on multiple operating systems |
| US5678041A (en) | 1995-06-06 | 1997-10-14 | At&T | System and method for restricting user access rights on the internet based on rating information stored in a relational database |
| US5696898A (en) | 1995-06-06 | 1997-12-09 | Lucent Technologies Inc. | System and method for database access control |
| US5941947A (en) | 1995-08-18 | 1999-08-24 | Microsoft Corporation | System and method for controlling access to data entities in a computer network |
| US5757916A (en) | 1995-10-06 | 1998-05-26 | International Series Research, Inc. | Method and apparatus for authenticating the location of remote users of networked computing systems |
| US5638448A (en) | 1995-10-24 | 1997-06-10 | Nguyen; Minhtam C. | Network with secure communications sessions |
| US5680461A (en) * | 1995-10-26 | 1997-10-21 | Sun Microsystems, Inc. | Secure network protocol system and method |
| US5826029A (en) | 1995-10-31 | 1998-10-20 | International Business Machines Corporation | Secured gateway interface |
| US5745676A (en) | 1995-12-04 | 1998-04-28 | International Business Machines Corporation | Authority reduction and restoration method providing system integrity for subspace groups and single address spaces during program linkage |
| JPH09190236A (ja) | 1996-01-10 | 1997-07-22 | Canon Inc | 情報処理方法及び装置及びシステム |
| AU1829897A (en) | 1996-01-16 | 1997-08-11 | Raptor Systems, Inc. | Transferring encrypted packets over a public network |
| US5925109A (en) | 1996-04-10 | 1999-07-20 | National Instruments Corporation | System for I/O management where I/O operations are determined to be direct or indirect based on hardware coupling manners and/or program privilege modes |
| TW313642B (en) | 1996-06-11 | 1997-08-21 | Ibm | A uniform mechanism for using signed content |
| US5845067A (en) * | 1996-09-09 | 1998-12-01 | Porter; Jack Edward | Method and apparatus for document management utilizing a messaging system |
| US5983350A (en) | 1996-09-18 | 1999-11-09 | Secure Computing Corporation | Secure firewall supporting different levels of authentication based on address or encryption status |
| US5949882A (en) | 1996-12-13 | 1999-09-07 | Compaq Computer Corporation | Method and apparatus for allowing access to secured computer resources by utilzing a password and an external encryption algorithm |
| US6105132A (en) | 1997-02-20 | 2000-08-15 | Novell, Inc. | Computer network graded authentication system and method |
| US5983270A (en) | 1997-03-11 | 1999-11-09 | Sequel Technology Corporation | Method and apparatus for managing internetwork and intranetwork activity |
| US6081807A (en) | 1997-06-13 | 2000-06-27 | Compaq Computer Corporation | Method and apparatus for interfacing with a stateless network file system server |
-
1998
- 1998-06-12 US US09/096,926 patent/US6279111B1/en not_active Expired - Lifetime
-
1999
- 1999-06-09 JP JP2000553885A patent/JP4809530B2/ja not_active Expired - Fee Related
- 1999-06-09 AT AT99927413T patent/ATE518179T1/de not_active IP Right Cessation
- 1999-06-09 WO PCT/US1999/013057 patent/WO1999064948A1/en active Application Filing
- 1999-06-09 EP EP99927413A patent/EP1084464B1/en not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| ATE518179T1 (de) | 2011-08-15 |
| EP1084464A1 (en) | 2001-03-21 |
| US6279111B1 (en) | 2001-08-21 |
| JP2002517854A (ja) | 2002-06-18 |
| EP1084464B1 (en) | 2011-07-27 |
| WO1999064948A1 (en) | 1999-12-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4809530B2 (ja) | 制限付きのトークンを使用したセキュリティモデル | |
| JP4414092B2 (ja) | 制限付きトークンを介した最小権限 | |
| JP4878647B2 (ja) | 信頼できないコンテントを安全に実行するための方法およびシステム | |
| JP4625181B2 (ja) | セキュリティ・ロケーション識別の方法およびシステム | |
| US7350204B2 (en) | Policies for secure software execution | |
| US7200869B1 (en) | System and method for protecting domain data against unauthorized modification | |
| US9917863B2 (en) | Method and system for implementing mandatory file access control in native discretionary access control environments | |
| US7660797B2 (en) | Scanning data in an access restricted file for malware | |
| EP1255179B1 (en) | Methods and arrangements for controlling access to resources based on authentication method | |
| US20090282457A1 (en) | Common representation for different protection architectures (crpa) | |
| Fernandez et al. | More Patterns for Operating System Access Control. | |
| KR102430882B1 (ko) | 클라우드 환경 내 이벤트 스트림 방식의 컨테이너 워크로드 실행 제어 방법, 장치 및 컴퓨터-판독 가능 기록 매체 | |
| Viega et al. | The pros and cons of Unix and Windows security policies | |
| Taylor | The Last Line of Defense | |
| Piessens | Access control | |
| Taylor et al. | A Comparison of Authentication, Authorization and Auditing in Windows and Linux | |
| Taylor | The Last Line of Defense: A Comparison of Windows and Linux Authentication and Authorization Features |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060418 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20060418 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080513 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20080812 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20080819 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080916 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20081209 |
|
| RD13 | Notification of appointment of power of sub attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7433 Effective date: 20090311 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20090311 |
|
| RD13 | Notification of appointment of power of sub attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7433 Effective date: 20100614 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20100614 |
|
| RD16 | Notification of change of power of sub attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7431 Effective date: 20110610 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20110610 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20110629 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20110707 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110720 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20110819 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140826 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313113 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |