Jeton d'accès

Si ce bandeau n'est plus pertinent, retirez-le. Cliquez ici pour en savoir plus.

Cet article est orphelin. Moins de trois articles lui sont liés (février 2023).

Vous pouvez aider en ajoutant des liens vers [[Jeton d'accès]] dans les articles relatifs au sujet.

Dans les systèmes informatiques, un jeton d'accès contient les informations d'identification de sécurité pour une session de connexion et identifie l'utilisateur, ses groupes, ses privilèges et, dans certains cas, une application particulière^[1]. Dans certains cas, il peut être demandé d'entrer un jeton d'accès (par exemple 40 caractères aléatoires) plutôt que le mot de passe habituel (il doit donc être gardé secret comme un mot de passe).

Un jeton d'accès est un objet encapsulant l'identité de sécurité d'un processus ou d'un thread^[2]. Un jeton est utilisé pour prendre des décisions de sécurité et pour stocker des informations inviolables sur un système. Alors qu'un jeton est généralement utilisé pour représenter uniquement des informations de sécurité, il est capable de contenir des données supplémentaires de libre format qui peuvent être jointes pendant la création du jeton. Les jetons peuvent être dupliqués sans privilège spécial, par exemple pour créer un nouveau jeton avec des niveaux inférieurs de droits d'accès pour restreindre l'accès d'une application lancée. Un jeton d'accès est utilisé par Windows lorsqu'un processus ou un thread essaie d'interagir avec des objets qui ont des descripteurs de sécurité (objets sécurisables)^[2]. Sous Windows, un jeton d'accès est représenté par l'objet système de type Token.

Un jeton d'accès est généré par le service de connexion lorsqu'un utilisateur se connecte au système et les informations d'identification fournies par l'utilisateur sont authentifiées par rapport à la base de données d'authentification. La base de données d'authentification contient les informations d'identification requises pour construire le jeton initial de la session de connexion, notamment son ID utilisateur, son ID de groupe principal, tous les autres groupes dont il fait partie et d'autres informations. Le jeton est attaché au processus initial créé dans la session utilisateur et hérité par les processus suivants créés par le processus initial^[2]. Chaque fois qu'un tel processus ouvre un levier vers une ressource dont le contrôle d'accès est activé, Windows réconcilie les données du descripteur de sécurité de l'objet cible avec le contenu du jeton d'accès effectif actuel^[3]. Le résultat de cette évaluation de contrôle d'accès indique si un accès est autorisé et, si tel est le cas, quelles opérations (lecture, écriture/modification, etc.) l'application appelante est autorisée à effectuer.

Types de jeton

Deux types de jetons sont disponibles :

Jeton primaire: Les jetons primaires ne peuvent être associés qu'à des processus et représentent le sujet de sécurité d'un processus. La création de jetons primaire et leur association à des processus sont deux opérations privilégiées, nécessitant deux privilèges différents au nom de la séparation des privilèges — le scénario typique voit le service d'authentification créer le jeton et un service de connexion l'associer à l'interface du système d'exploitation de l'utilisateur. Les processus héritent initialement d'une copie du jeton principal du processus parent.
Jeton d'emprunt d'identité: L'emprunt d'identité est un concept de sécurité implémenté dans Windows NT qui permet à une application serveur d'"être" temporairement le client en termes d'accès aux objets sécurisés. L'emprunt d'identité a quatre niveaux possibles : anonyme, donnant au serveur l'accès d'un utilisateur anonyme/non identifié, identification, laissant le serveur inspecter l'identité du client mais ne pas utiliser cette identité pour accéder aux objets, emprunt d'identité, laissant le serveur agir au nom du client, et délégation, identique à l'emprunt d'identité mais étendu aux systèmes distants auxquels le serveur se connecte (via la conservation des informations d'identification). Le client peut choisir le niveau d'emprunt d'identité maximal (le cas échéant) disponible pour le serveur en tant que paramètre de connexion. La délégation et l'emprunt d'identité sont des opérations privilégiées (l'emprunt d'identité ne l'était pas initialement, mais la négligence historique dans la mise en œuvre des API client ne limitant pas le niveau par défaut à "l'identification", laissant un serveur non privilégié se faire passer pour un client privilégié réticent, l'a appelé). Les jetons d'emprunt d'identité ne peuvent être associés qu'à des threads et représentent le sujet de sécurité d'un processus client. Les jetons d'emprunt d'identité sont généralement créés et associés implicitement au thread actuel, par des mécanismes IPC tels que DCE RPC, DDE et les canaux nommés.

Contenu d'un jeton

Un jeton est composé de divers champs, dont^[4] :

un identifiant.
l'identifiant de la session de connexion associée. La session est maintenue par le service d'authentification et est remplie par les paquetages d'authentification avec une collection de toutes les informations (informations d'identification) fournies par l'utilisateur lors de la connexion. Les informations d'identification sont utilisées pour accéder aux systèmes distants sans que l'utilisateur ait besoin de se ré-authentifier (authentification unique), à condition que tous les systèmes impliqués partagent une autorité d'authentification (par exemple, un serveur de tickets Kerberos)
l'identifiant de l'utilisateur. Ce champ est le plus important et il est strictement en lecture seule.
les identifiants des groupes dont l'utilisateur (ou, plus précisément, le sujet) fait partie. Les identifiants de groupe ne peuvent pas être supprimés, mais ils peuvent être désactivés ou rendus "refuser uniquement". Au plus un des groupes est désigné comme identifiant de session, un groupe volatil représentant la session de connexion, permettant l'accès aux objets volatils associés à la session, tels que l'affichage.
les identifiants du groupe restrictif (optionnel). Cet ensemble supplémentaire de groupes n'accorde pas d'accès supplémentaire, mais le restreint davantage : l'accès à un objet n'est autorisé que s'il est également autorisé à l'un de ces groupes. Les groupes de restriction ne peuvent pas être supprimés ni désactivés. Les groupes de restriction sont un ajout récent et ils sont utilisés dans la mise en œuvre des bacs à sable.
les privilèges, c'est-à-dire les capacités spéciales dont dispose l'utilisateur. La plupart des privilèges sont désactivés par défaut, pour éviter les dommages causés par des programmes non soucieux de la sécurité. À partir de Windows XP Service Pack 2 et Windows Server 2003, les privilèges peuvent être définitivement supprimés d'un jeton par un appel à AdjustTokenPrivileges() avec l'attribut SE_PRIVILEGE_REMOVED.
le propriétaire par défaut, le groupe principal et l'ACL pour le jeton créé par le sujet associé au jeton.

v · m Composants de Microsoft Windows
Principal	Active Scripting WSH VBScript JScript Aero AutoPlay AutoRun ClearType COM ActiveX COM Structured storage DCOM OLE OLE Automation Transaction Server Desktop Window Manager DirectX Explorateur de fichiers Graphics Device Interface Imaging Format .NET Framework Search IFilter Saved search Server Message Block Shell Extensions Namespace Dossier spécial Menu démarrer Previous Versions Taskbar Windows USER Console XML Paper Specification
Configuration	Sauvegarder et restaurer Cmd Panneau de configuration Device Manager Nettoyage de disque Défragmenteur de disque Driver Verifier Observateur d'événements Console de gestion Netsh Problem Reports and Solutions Sysprep System Policy Editor System Configuration Gestionnaire des tâches Sfc Restauration du système WMI Windows Installer Windows PowerShell Windows Update WAIK WinSAT Windows Easy Transfer
Applications	Calculatrice Calendar CD Player Table de caractères Contacts Création de DVD Windows Edge Fax and Scan Gestionnaire de périphériques mobiles Internet Explorer Journal Mail Loupe Media Center Media Player sur Windows 11 Meeting Space Mobility Center Movie Maker Narrator Bloc-notes Paint Photo Gallery Private Character Editor Connexion Bureau à distance Assistance à distance Windows Gadget du bureau Outil Capture Magnétophone Reconnaissance vocale de Windows Tablet PC Input Panel WordPad
Jeux	Chess Titans FreeCell Hearts Hold 'Em InkBall Mahjong Titans Démineur Purble Place Solitaire Spider Tinker
Noyau	Ntoskrnl.exe hal.dll System Idle Process Svchost.exe Base de registre Service Control Manager DLL EXE NTLDR / Boot Manager Winlogon Recovery Console I/O WinRE WinPE Kernel Patch Protection
Services	BITS Planificateur de tâches Wireless Zero Configuration Shadow Copy Error Reporting Multimedia Class Scheduler CLFS Spouleur d'impression
Systèmes de fichiers	NTFS ReFS EFS WinFS FAT32·FAT16·FAT12 exFAT CDFS UDF DFS IFS
Serveur/Réseau	Domaine Active Directory Itinérance du profil de l'utilisateur (en) DNS Group Policy Profil utilisateur Redirection de dossiers Distributed Transaction Coordinator MSMQ Windows Media Services Rights Management Services IIS Remote Desktop Services Terminal Services WSUS Windows SharePoint Services Protection d’accès réseau PWS DFS Replication Remote Differential Compression Print Services for UNIX Services d'installation à distance RIS Windows Deployment Services System Resource Manager Hyper-V
Architecture	Architecture d'impression Architecture de Windows NT Object Manager Processus de démarrage de Windows NT Processus de démarrage de Windows Vista/7 I/O request packet Kernel Transaction Manager Logical Disk Manager Security Account Manager Windows File Protection / Windows Resource Protection Windows library files LSASS CSRSS SMSS MinWin
Sécurité	User Account Control BitLocker Defender Data Execution Prevention Security Essentials Protected Media Path Mandatory Integrity Control User Interface Privilege Isolation Pare-feu Windows Sécurité et maintenance
Compatibilité	Services for UNIX Virtual DOS machine COMMAND Windows on Windows WoW64 Windows XP Mode

Types de jeton

Contenu d'un jeton

Voir aussi

Références

Related Articles