여덟 번째 발걸음Windows의 계정은 토큰을 통해 움직인다

Windows에서 같은 이름으로 로그인했는데도 어떤 프로그램은 파일을 수정하고 어떤 프로그램은 거절될 수 있습니다. 계정 이름만 보아서는 현재 실행 권한을 모두 설명하지 못하기 때문입니다. Windows는 사용자와 그룹을 SID라는 보안 식별자로 구분하고, 로그인 뒤 프로세스가 사용할 보안 정보를 액세스 토큰으로 표현합니다. 토큰에는 사용자와 그룹의 SID, 특권 등 권한 판단에 필요한 정보가 들어갑니다.

프로그램이 파일이나 레지스트리 키에 접근할 때 운영체제는 그 주체의 토큰과 대상의 접근통제 정보를 비교합니다. 사용자가 관리자 그룹에 속한다는 사실과 지금 이 프로세스에서 관리자 권한이 활성화되어 있다는 사실은 구별해야 합니다. UAC, 즉 사용자 계정 컨트롤의 일반적인 관리자 승인 모드에서는 일상 작업과 권한 상승 작업을 구분하고, 필요한 작업에 승인을 거쳐 더 높은 권한을 사용합니다. 모든 프로그램을 관리자 권한으로 실행하면 이 구분의 이점을 스스로 줄이게 됩니다.

권한 상승 알림이 뜬다고 그 프로그램이 안전하다는 뜻은 아닙니다. 알림은 높은 권한을 요청하는 시점의 확인 기회이지, 프로그램의 모든 행동을 증명하는 품질 인증이 아닙니다. 실행 파일의 출처와 서명, 요청한 작업의 이유를 확인해야 합니다. UAC를 승인한 사용자와 실제로 변경한 프로세스도 기록에서 연결할 수 있어야 합니다. 프로그램이 높은 권한으로 자료를 열면 그 프로그램의 결함 역시 그 권한 범위에서 영향을 낼 수 있습니다.

계정을 관리하는 위치도 중요합니다. 로컬 계정은 해당 컴퓨터의 계정 체계에서 관리하고, 도메인 계정은 조직의 디렉터리와 인증 기반을 이용합니다. Active Directory Domain Services는 사용자·컴퓨터·그룹 등의 정보를 관리하며, 도메인 컨트롤러가 관련 디렉터리 및 인증 역할을 수행합니다. 여러 컴퓨터에 계정을 따로 만드는 부담을 줄이지만, 중앙 관리자 권한이나 도메인 제어권의 피해 범위는 커질 수 있습니다. 중앙화가 곧 자동적인 안전을 뜻하지 않습니다.

whoami
whoami /user
whoami /groups
whoami /priv

Windows 서비스와 예약 작업도 특정 계정의 권한으로 실행됩니다. 사용자가 로그아웃해도 계속되는 업무의 주체를 따로 찾는 이유입니다. 시스템 설정을 저장하는 레지스트리도 접근통제 대상이며, 자동 시작 설정이나 서비스의 실행 파일 경로를 바꿀 권한은 실행 흐름을 바꿀 권한과 연결될 수 있습니다. 서비스 계정의 비밀을 여러 작업에 복사해 쓰기보다 관리 가능한 계정 체계와 필요한 권한을 정하고, 계정 변경 시 영향을 받는 작업을 추적해야 합니다.

참고　[26] · [27] · [28]