NTFS ve dosya izinleri

Windows'ta her disk bölümü bir dosya sistemiyle biçimlendirilir ve bugünün standart biçimi NTFS'tir (New Technology File System). NTFS her dosya ve dizin için ayrı bir erişim listesi tutar; bu listenin adı ACL'dir (Access Control List). ACL birden çok kuraldan oluşur ve her kurala ACE (Access Control Entry) denir. Bir ACE üç şeyi birlikte taşır: kime izin verildiğini, hangi hakkın verildiğini ve iznin izin mi (Allow) yoksa ret mi (Deny) olduğunu. Sistem bir kullanıcı dosyaya her dokunduğunda önce onun hangi kullanıcı ve gruplara ait olduğuna bakar, sonra o kimliklerin ACL'de ne yazdığına bakar.

NTFS izinleri birkaç sabit düzeyde toplanır. Tam Denetim (Full Control) okumayı, yazmayı, silmeyi ve iznin kendisini değiştirmeyi kapsar. Değiştir (Modify) okur, yazar ve siler, ama izni değiştiremez. Okuma ve Yürütme yalnız görüntüler ve çalıştırılabilir dosyayı başlatır. İzinler dizin ağacında miras yoluyla akar: bir üst dizine verilen izin, aksi belirtilmedikçe altındaki her dosyaya geçer. Kalıtım kırılabilir; o zaman dizin kendi bağımsız listesini taşır. Aynı kimliğe hem izin hem ret tanımlanmışsa çekirdek her zaman reddi üstün tutar, kalıtımdan gelen izin bile bu kuralı değiştirmez.

C:\Paylasim\Muhasebe> icacls .
Muhasebe BUILTIN\Administrators:(OI)(CI)(F)
         ALTAYKARGO\Muhasebe-Grubu:(OI)(CI)(M)
         Everyone:(OI)(CI)(RX)

Successfully processed 1 files; Failed processing 0 files.

Çıktıdaki her satır bir ACE'dir. (OI) ve (CI) kalıtımın nesne ve dizin düzeyinde alt öğelere aktığını gösterir; (F), (M) ve (RX) sırasıyla Tam Denetim, Değiştir ve Okuma-Yürütme kısaltmalarıdır. Muhasebe-Grubu değiştirme hakkına sahiptir ve bu iş için yeterlidir; kimseye Tam Denetim vermek zorunda kalmadan dosya ekler, düzenler ve siler. Everyone grubu ise makinedeki her kimliği, hatta kimliği doğrulanmamış ağ bağlantısını bile kapsar. Bu grup için doğru olan çoğu zaman yalnız okuma hakkıdır, RX satırı bu yüzden ölçülüdür.