Da bi jedan računar bio sasvim siguran, trebalo bi da bude bez napajnja, bez flopi-diska i zaključan u sefu. Ako stavimo šalu o sefu na stranu, ostaje problem flopi diska, sigurnosna "crna rupa" svih operativnih sistema na PC računarima. Ni NT nije izuzetak.

Opasni flopi

Zašto je flopi tako opasan? Zamislite da neko restartuje NT mašnu i stavi DOS sistemsku disketu, zatim startuje tzv. Trojanskog konja, odnosno DOS program koji bi izgledao kao logon procedura na NT-u. Kod NT-a se pritiskom na CTRL-ALT-DEL dobija task manager , tako da je odmah jasno da nešto nije u redu. Pod DOS-om bi mogao da se napravi program koji "skupi" vašu lozinku, na neki način je pošalje preko mreže, i onda simulira ono što zovemo "plavi ekran smrti", uz blokiranje računara. Zbunjenom korisniku preostaje reset, nakon čega će se startovati NT i sve će teći normalno... osim što vam je lozinka kompromitovana. Ukratko, ako vas je sačekao upaljen kompjuter i, posle prijavljivanja, plavi ekran, učinite sebi uslugu i nakon uspešnog logovanja promenite lozinku. Možda i nije bio trojanac, ali promena lozinke ne može da škodi.
Desilo mi se jednom da je NT odbio da se startuje uz nezaobilazan "plavi ekran" i poruku " Inaccesible boot device ". Kako je poruka ostala ista i nakon nekoliko sukcesivnih resetovanja, paljenja/gašenja kompjutera i provere svih kablova unutar kućišta, bila je otklonjena svaka sumnja da je problem hardverske prirode, pogotovo što je mašina u DOS modu radila sasvim normalno. Posle malo mozganja startovao sam F-Prot i našao boot sector diska zaražen Ripper virusom! NT jednostavno nije hteo da startuje, što je bilo spasonosno, jer je jedino to ukazivalo na postojanje virusa na toj mašini. Ne mogu da zamislim šta je sve moglo da se desi da je umesto NT Servera na toj mašini bio neki operativni sistem koji bi najverovatnije korektno radio sve do momenta kada bi se virus aktivirao... Doživeo sam slično kasnije i sa tzv. NYB boot virusom, te ako ikada dobijete poruku Inaccessible boot device , startujte antivirus program.

Iako NTFS pod NT-om pruža izvanredne mogućnosti zaštite podataka od neovlašćenog pristupa, pod DOS-om ih je moguće zaobići.

NTFS pruža zaštitu pristupa na nivou fajla, ali su mehanizmi koji obezbeđuju ovu zaštitu ugrađeni u sam NT, a ne u druge operativne sisteme. Znači li to da NTFS particijama može da se pristupi i bez NT-a? Da - sve što vam je potrebno jeste mašina koja ima butabilan flopi disk i uslužni program NTFSDOS, koji postoji i u verziji za Linux . On vam omogućava da zaobiđete sve sigurnosne mehanizme, pa čak je sposoban da čita podatke sa NTFS kompresovanih particija.
Može li se svemu ovome nekako doskočiti, a da flopi ipak ostane na mestu? Može, mada na način koji ne odgovara svima: NT podržava mehanizme mirroringa i softverske emulacije RAID disk kontrolera, čime se podaci sa jednog diska verno kopiraju na drugi ( mirroring ) ili po posebnoj šemi raspodeljuju na više drugih (RAID). Ako uključite neku od ovih opcija, bićete razmerno sigurni da niko neće moći da pristupi vašim podacima uz pomoć DOS sistemske diskete i nekog programa kakav je na primer NTFDOS. Štaviše, ni particije koje su u mirroring -u mogu biti i obične FAT, kojima se ipak ne može pristupiti ako se mašina jednostavno podigne u DOS modu. Ovako gubite slobodan prostor na vašim diskovima, ali dobijate na sigurnosti: kako od havarije, tako i od neovlašćenog pristupa vašim podacima. Naravno, mogao bi se zamisliti i DOS program koji bi pristupao ovako razdeljenim podacima, ali je mala šansa da će ga neko pisati... najzad, već znate koji je računar jedino sasvim siguran.
Generalna preporuka je da u BIOS setup -u postavite boot sekvencu na C, A i zatim postavite lozinku za ulazak u Setup . Tako ćete onemogućiti da neko sa diskete podigne neki drugi operativni sistem i time "zaobiđe" NT-ove sigurnosne mehanizme. Naravno, BIOS lozinka može da se resetuje ili diskovi mogu da se izvade i odnesu na drugi računar, ali sve to podrazumeva priličan trud "uljeza" i duže intervale neaktivnosti računara - u standardnim "kancelarijskim" uslovima teško će otvaranje računara i prenošenje diskova proći neopaženo.

Lepa reč gvozdena vrata otvara

Ako NT koristite na kućnoj mašini i jedini ste korisnik, sigurno vam je dosadilo što se na NT-u morate predstaviti korisničkim imenom i lozinkom, pa makar ona bila i običan pritisak na Enter. Zato su mnogi podesili da im NT ne traži ove formalnosti koristeći PowerToys ili tako što su u Registry bazi stave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon AutoAdminLogon na 1, uz odgovarajuću vrednost u DefaultUserName i DefaultPassword.
Ako radite u bilo kom drugom okruženju, identifikacija je neophodna i predstavlja prvi uslov za bilo kakvu zaštitu kompjuterskog sistema. Važe sva uobičajena upozorenja da za lozinku ne koristite reči engleskog (ali ni našeg) jezika, lična imena, imena kućnih ljubimaca, da stalno kombinujete i brojke i slova, da lozinku povremeneno menjate, da ona bude pristojne dužine i slično. Svaki "haker" će prvo probati sa ovakvim kombinacijama, pre nego što startuje program koji po principu nagađanja (" brute force ") pokušava da pronađe vašu lozinku. Ovakvi programi postoje za sve (mrežne) operativne sistema, pa ni NT nije izuzetak. Naravno, pitanje je kako hakerima otežati posao?

NT pruža mogućnost dodatnog podešavanja sistema lozinki: minimalne dužine, vremena trajanja, onemogućavanje daljeg logovanja nakon nekoliko neuspelih pokušaja...

Kada se radi o lozinci, NT razlikuje mala i velikih slova, (za username je svejedno), što treba koristiti, jer tako postižete daleko više mogućih kombinacija. Dalje, moguće je postaviti minimalnu dužinu password -a, preporučujem barem osam karaktera. Vrlo koristan mehanizam je i "zamrzavanje", tj. onemogućavanje korisnika da se uloguje neko vreme u slučaju da je nekoliko puta za redom uneo pogrešnu lozinku. Ovo je zapravo rešenje za one " brute force " metode provaljivanja, jer se može postaviti da se nakon recimo 3 neuspešna pokušaja prijavljivanja na mrežu korisnik ne može ulogovati u narednih pola sata, što onom koji ovako pokušava da neovlašćeno pristupi vašem kompjuteru ostavlja 144 pokušaja za 24 sata. Uz dovoljno dugačku lozinku, verovatnoća da će je neko iz 144 puta pogoditi je minimalna, a vi ćete u sistemskim log datotekama za to vreme već primetiti da se dešava nešto neregularno.
Možda je najzanimljivije da se ovakav vid zaštite ne može postaviti na administratorski nalog, jer bi neko mogao stalno da pokušava logovanje pod tim imenom - čak i ako nema šanse da pogodni pravu lozinku, može da onemogući normalno administriranje računara. Doduše, u sklopu NT4.0 Resouce Kit -a nalazi se program PASSPROP koji omogućava da i za administratore postavite ovakvu zaštitu.
Najbolje je administratorov nalog preimenovati u nešto "bezazleno", staviti mu dovoljno dugu lozinku i onemogućiti mu da se loguje kroz mrežu. Nije na odmet ni sakriti ime korisnika koji se poslednji logovao, pogotovo ako je to korisnik sa administratorskim privilegijama. To ćete najlakše učiniti tako što u Registry bazi u HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon stavite ključ DontDisplayLastUserName i dodeliti mu vrednost 1 (REG_SZ).
NT nudi još nekoliko opcija vezanih za lozinku (vremenska trajnost lozinke, onemogućavanje korišćenja jedne lozinke više puta uzastopce i slično) koje svakako treba iskoristiti ako je računar podložan napadima.

NTFS garantuje sigurnost?

Sam po sebi ne, ali pravilno konfigurisan može omogućiti da maksimalno zaštitite sistemske fajlove i privatne korisničke podatke, pogotovo ako na jednoj NT mašini radi više korisnika.

Jedan od načina da ograničite prava pristupa na sistemskoj NTFS particiji jeste da Administratorima i Sistemu date punu kontrolu, a svim ostalim korisnicima samo pravo čitanja.

Kako? Pitanje jeste konkretno, ali se bojim da nema konkretnog i jednostavnog odgovora: ono što zadovoljava kriterijume na jednoj mašini, može biti nedovoljno na drugoj ili praviti probleme prilikom instalacije nekih aplikacija na nekoj trećoj. Ipak, evo nekoliko smernica u razmišljanjima na ovu temu:
Za sistemsku particiju (a poželjno i sve ostale particije ako ih ima), dakle od samog root -a pa nadalje, postaviti: SYSTEM - Full Control , Administrators - Full Control , Users - Read only (umesto ili pored " Users " mogu biti sve one grupe korisnika koje ste kreirali) onda na %SYSTEMROOT%\SYSTEM32\CONFIG treba staviti: SYSTEM - Full Control , Administrators - Full Control , Creator Owner - Full Control, Users - Add permisions . Ovim se korisnicima omogućava da kreiraju vlastite profile, ali onemogućava da čitaju tuđe, jer oni mogu sadržavati i poverljive podatke.

Na TEMP direktorijum, uz "Full Access" za Creator/Owner-a, je poželjno postaviti read, write i execute prava za pristup direktorijumu, kao i "no access specified" za pristup fajlovima, kako bi ostali korisnici mogli da koriste ovaj direktorijum, ali bez mogućnosti da pristupaju fajlovima drugih korisnika.

Na TEMP direktorijum postaviti: SYSTEM - Full Control , Administrators - Full Control, Creator Owner - Full Control , Users - read/write/execute (RWX) pristup direktorijumu kao i " no access specified " za fajlove. Ovako omogućavate korisnicima da normalno koriste TEMP direktorijum, ali ne i da čitaju temp fajlove koje je ostavio za sobom neki drugi korisnik, jer no access specified znači da korisnik ne može nikako pristupati fajlovima u tom direktorijumu, osim ako mu pravo pristupa nekom od njih nije eksplicitno dato.
Treba izbegavati davanje full-access pristupa korisnicima bilo gde - koristite pravo change , koje dozvoljava korisnicima da dodaju nove, listaju, brišu ili modifikuju postojeće podatke ili direktorijume, što je u 99% slučajeva više nego dovoljno, dok im full-permision dozvoljava i da sami postavljaju prava pristupa pojedinim resursima ili da nad njim preuzmu vlasništvo. Ovo može biti nezgodno ako neki korisnik, slučajno i najčešće iz neznanja, preuzme vlasništvo nad fajlom u nekom direktorijumu koji deli sa ostalim korisnicima, pa mu drugi korisnici posle toga ne mogu pristupiti.
Iako je NTFS vrlo robustan file sistem, dešava se da premeštanjem fajla iz jednog u drugi direktorijum on promeni svoje zaštitne atribute. Preciznije rečeno, ako fajl premestite

Nakon što ste korisnicima konfigurisali prava pristupa nad pojedinim resursima, ulogujte se kao neki od njih i probajte da pristupite nekom fajlu ili direktorijumu kome nemate prava pristupa. Ako dobijete ovu poruku znači da ste uspešno obavili posao.

komandom MOVE, on zadržava sve atribute u skladu sa direktorijumom u kome je nastao, ali ako ga kopirate, on nasleđuje atribute direktorijuma u koji ga smestite. Ovo je prilično logično: neko želi da kopiju fajla iz svog privatnog direktorijuma stavi u javni, gde svi imaju pravo čitanja i pisanja. Pomenuto pravilo važi za kopiranja naredbama COPY i XCOPY, kao i za kopiranja iz Explorer -a, ali ako za kopiranje koristite SCOPY ( Secure Copy ) utility iz NT Resource Kit -a, kopiranjem fajla kopirate i sve njegove originalne sigurnosne atrinbute. Dakle: vodite računa gde po prvi put kreirate neki dokument i kako ga kasnije premeštate.
Ove osnovne smernice za bezbednost podataka moraćete da prilagodite konkretnoj situaciji. Ako, recimo, koristite pojedine Windows 3.1x aplikacije, možda ćete morati dozvoliti pisanje po pojedinim .INI fajlovima u direktorijumima tih aplikacija, ili čak i u sam root sistemskog diska (%SYSTEMROOT%). Razlog je to što one ne koriste REGISTRY već svoje konfiguracione podatke upisuju u INI fajlove, kao što i mnogi DOS grafički orijentisani programi zahtevaju pravo upisa u %SYSTEMROOT%\SYSTEM32\CMOS.RAM i sl.
Spisak preporučenih zaštita nikada nije konačan - zavisi od aplikacija koje imate na NT mašini i od toga kako ste organizovali rad na njoj. Ako nakon postavljanja ovakvih zaštita imate problema (neko od korisnika ne može da se uloguje, desktop je totalno prazan i slično), što se ranije nije dešavalo, najbolje je da uključite tzv. failure auditing , sistemsko beleženje svih bezuspešnih pristupa pojedinim resursima. Njihovom analizom videćete koja aplikacija/korisnik ne uspeva da pristupi kojim fajlovima, pa ćete shodno tome napraviti odgovarajuće izmene. Takođe, posle instalacije service-pack -ova proverite da li su prava pristupa ostala ista u svim direktorijumima, posebno sistemskim, jer se dešava da se vrate na stanje kakvo je bilo prilikom prve instalacije.
Što se aplikacija tiče - izbegavajte da ih instalirate pod sistemslim nalogom, pošto su im tada celokupna memorija, sve instrukcije procesora, jednom rečju svi resursi na raspolaganju, što

NTFS nam omogućava da postavimo prava pristupa i za svaki fajl pojedinačno. Na ovom primeru smo dozvolili svim korisnicima da samo izvršavaju program OBRACUN.EXE, aliga ne mogu obrisati, pisati preko njega i sl.

može biti opasno ako aplikacija sadrži neki bag, virus ili "trojanac". Ako aplikacija ne zahteva izričito startovanje pod sistemskim nalogom, otvorite neki "običan", tačno mu odredite prava i startujte aplikaciju pod njim, pogotovo ako je ona orijentisana ka Internetu i koristi TCP/IP protokol.

Osim što se mogu definisati prava pristupa, može se uključiti i beleženje svih, kako uspešnih tako i neuspešnih pokušaja pristupa svakom pojedinačnom fajlu ili direktorijumu, što može biti vrlo korisno u otkrivanju pokušaja "hakerisanja".