Маркер доступу. Контекст користувача

Як уже відзначалося, найбільш важливою характеристикою суб’єкта є маркер доступу. Зазвичай маркер створюється при інтерактивному вході користувача в систему і зберігає відомості про контекст користувача. Спочатку маркер зв’язується з процесом-оболонкою Windows Explorer, а потім усі процеси, породжені користувачем під час сеансу роботи, одержують дублікат даного маркера. Важливо розуміти, що самостійно створити маркер додаток користувача не може. Це може зробити тільки служба LSASS.

Принцип мінімальних привілеїв рекомендує виконання всіх операцій із мінімальними привілеями, необхідними для досягнення результату. Це дозволяє зменшити втрати від спроб навмисного збитку й уникнути випадкових втрат даних. Наприклад, користувачу не рекомендується реєструватися як адміністратор системи без необхідності. (В крайньому випадку, можна вдатися до послуг штатної утиліти runas, яка дозволяє запускати застосування від імені іншого облікового запису.)

Для безпечної роботи в дусі принципу мінімуму привілеїв ОС Windows підтримує механізми створення маркерів з обмеженими привілеями і запозичення маркера. Перший дозволяє вилучити з маркера певні привілеї, наявність яких при виконанні даної операції не потрібна, а другий дозволяє запускати застосування від імені іншого облікового запису. API системи дозволяє впливати на перелік діючих привілеїв маркера, дублювати маркер, щоб його міг запозичувати інший процес, розв’язувати проблеми запозичення прав і створення обмежених маркерів.