基于WEB數(shù)據(jù)庫(kù)安全性研究(共13頁(yè))

1、PAGE PAGE 14附件1：大學(xué)生創(chuàng)新(chungxn)訓(xùn)練項(xiàng)目項(xiàng) 目 申 請(qǐng) 書項(xiàng)目(xingm)層次：國(guó)家級(jí)校級(jí) EQ oac(,)（請(qǐng)?jiān)谥袆潯啊保╉?xiàng)目名稱：基于(jy)WEB數(shù)據(jù)庫(kù)安全性研究 申 請(qǐng) 人：濮陽(yáng)天 所在班級(jí)：軟件1107班 指導(dǎo)教師：戴朝輝 學(xué)科專業(yè)：軟件工程 所在單位：軟件學(xué)院 聯(lián)系電話E - MAIL：619776388 申請(qǐng)日期：2013年4月20日 中 南 大 學(xué)填 寫 說(shuō) 明1本申請(qǐng)書所列各項(xiàng)內(nèi)容均須實(shí)事求是，認(rèn)真填寫(tinxi)，表達(dá)明確嚴(yán)謹(jǐn)，簡(jiǎn)明扼要。2本申請(qǐng)書為大十六開(kāi)本（A4），左側(cè)裝訂成冊(cè)?？删W(wǎng)上下載、自行復(fù)印或加頁(yè)，但格

2、式、內(nèi)容、大小均須與原件(yun jin)一致。3申請(qǐng)人所在學(xué)院認(rèn)真(rn zhn)審核，簽署意見(jiàn)后，將申請(qǐng)書（一式三份）報(bào)送創(chuàng)新創(chuàng)業(yè)教育辦公室。一、簡(jiǎn)況項(xiàng)目名稱基于WEB數(shù)據(jù)庫(kù)安全性的研究所屬學(xué)科計(jì)算機(jī)科學(xué)與技術(shù)，軟件工程 原項(xiàng)目編號(hào)無(wú)申請(qǐng)經(jīng)費(fèi)起止年月2013年 4 月至2014 年 6 月申請(qǐng)人姓名濮陽(yáng)天 性別男班級(jí)軟件1107班身份證號(hào)34252319940702071x電號(hào)3901110724指導(dǎo)教師職務(wù)職稱電話項(xiàng)目參與人性別班級(jí)學(xué)院學(xué)號(hào)電話濮陽(yáng)天男軟件1107軟件學(xué)院390111072418874123468洪圣男軟件1107軟件學(xué)院390111072415

3、211064047劉達(dá)欣男軟件1107軟件學(xué)院390111070913469063415申請(qǐng)人曾參加與本項(xiàng)目相關(guān)的科學(xué)研究小組組員均參加過(guò)數(shù)據(jù)庫(kù)及WEB開(kāi)發(fā)的課程學(xué)習(xí)，自己也都自學(xué)過(guò)一些相關(guān)知識(shí)，對(duì)數(shù)據(jù)庫(kù)開(kāi)發(fā)有一定的了解。本人擔(dān)任過(guò)java實(shí)訓(xùn)的組長(zhǎng)，有一定的項(xiàng)目開(kāi)發(fā)經(jīng)驗(yàn)。指導(dǎo)教師承擔(dān)本項(xiàng)目相關(guān)的科研課題國(guó)家自然科學(xué)基金項(xiàng)目：基于動(dòng)態(tài)分層與自主學(xué)習(xí)的多智能體自適應(yīng)學(xué)科模型，項(xiàng)目編號(hào)：60874042,2009.1-2011.12（主要參加者）；中南大學(xué)思政研究項(xiàng)目：交互式大學(xué)生綜合管理信息系統(tǒng)，2012.9-2013.9（項(xiàng)目資格人）。項(xiàng)目簡(jiǎn)介（500字左右）本項(xiàng)目目的在于構(gòu)建一個(gè)大學(xué)生創(chuàng)新創(chuàng)

4、業(yè)訓(xùn)練計(jì)劃網(wǎng)。本網(wǎng)站運(yùn)用到WEB數(shù)據(jù)庫(kù)技術(shù)，并且進(jìn)行了WEB數(shù)據(jù)庫(kù)加密技術(shù)，保證了數(shù)據(jù)的安全性。同時(shí)為迎合大學(xué)生創(chuàng)新創(chuàng)業(yè)項(xiàng)目的需求，為創(chuàng)新創(chuàng)業(yè)項(xiàng)目的各個(gè)角色提供了便捷平臺(tái)。就當(dāng)下大學(xué)生可開(kāi)發(fā)的創(chuàng)新創(chuàng)業(yè)項(xiàng)目，本網(wǎng)站通過(guò)web數(shù)據(jù)庫(kù)的存儲(chǔ)提供了發(fā)布平臺(tái)，各級(jí)公文及歷屆項(xiàng)目，可通過(guò)各級(jí)管理員發(fā)布，所有用戶皆可獲得公文項(xiàng)目信息，項(xiàng)目團(tuán)隊(duì)選定創(chuàng)業(yè)項(xiàng)目后，創(chuàng)新創(chuàng)業(yè)項(xiàng)目需上傳公示內(nèi)容，以及通過(guò)管理員的審批。游客皆可通過(guò)各個(gè)項(xiàng)目的留言板進(jìn)行留言建議等，為項(xiàng)目交流提供了交互。本網(wǎng)站在對(duì)網(wǎng)絡(luò)數(shù)據(jù)庫(kù)安全性分析的基礎(chǔ)上，確定在操作員安全賬戶認(rèn)證、操作員授權(quán)管理、數(shù)據(jù)在網(wǎng)絡(luò)上的安全傳輸?shù)确矫鎽?yīng)采取了安全策略。此外，本網(wǎng)

5、站的專家組為項(xiàng)目團(tuán)隊(duì)提供咨詢指導(dǎo)，以及文件的管理集中下載，為創(chuàng)業(yè)團(tuán)隊(duì)提供了便利。在項(xiàng)目開(kāi)發(fā)過(guò)程中，本網(wǎng)站為項(xiàng)目團(tuán)隊(duì)提供注冊(cè)基本信息，團(tuán)隊(duì)負(fù)責(zé)人可以對(duì)團(tuán)隊(duì)的角色成員進(jìn)行增刪改查。項(xiàng)目團(tuán)隊(duì)就完成項(xiàng)目的各個(gè)階段，需進(jìn)行中期檢查及評(píng)審，結(jié)題驗(yàn)收及評(píng)審。通過(guò)對(duì)項(xiàng)目的各個(gè)階段的監(jiān)督審查，有助于項(xiàng)目團(tuán)隊(duì)順利的完成創(chuàng)新創(chuàng)業(yè)項(xiàng)目。二、課題(kt)論證（5000字左右(zuyu)）研究目的和研究意義隨著Web數(shù)據(jù)庫(kù)的應(yīng)用越來(lái)越廣泛，Web數(shù)據(jù)庫(kù)的安全問(wèn)題日益突出，如何才能保證和加強(qiáng)數(shù)據(jù)庫(kù)的安全性已成為目前必須要解決的問(wèn)題。數(shù)據(jù)庫(kù)安全是一個(gè)廣闊的領(lǐng)域，它作為操作系統(tǒng)之上的應(yīng)用平臺(tái)，其安全與網(wǎng)絡(luò)和主機(jī)安全息息相關(guān)。如

6、何有效地保證數(shù)據(jù)庫(kù)系統(tǒng)的安全，實(shí)現(xiàn)數(shù)據(jù)的保密性、完整性和有效性，已經(jīng)成為業(yè)界人士探索研究的重要課題之一，但是數(shù)據(jù)庫(kù)通常沒(méi)有像操作系統(tǒng)和網(wǎng)絡(luò)這樣在安全性上受到重視。隨著計(jì)算機(jī)技術(shù)的飛速發(fā)展，數(shù)據(jù)庫(kù)的應(yīng)用十分廣泛，但隨之而來(lái)產(chǎn)生了數(shù)據(jù)的安全問(wèn)題。數(shù)據(jù)庫(kù)存放著在線資源中最真實(shí)和最有價(jià)值的那部分信息資產(chǎn)，這些數(shù)據(jù)一旦遭受安全威脅將帶來(lái)難以想象的嚴(yán)重后果，各種應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)中大量數(shù)據(jù)的安全越來(lái)越引起人們的高度重視。因此數(shù)據(jù)庫(kù)系統(tǒng)作為信息的聚集體，是計(jì)算機(jī)信息系統(tǒng)的核心部件，其安全性至關(guān)重要。常見(jiàn)的數(shù)據(jù)庫(kù)安全問(wèn)題及原因：賬號(hào)設(shè)置：數(shù)據(jù)庫(kù)用戶往往缺乏足夠的安全設(shè)置。比如，缺省的用戶賬號(hào)和密碼為空或極簡(jiǎn)單的幾

7、個(gè)字符；賬號(hào)的保密性差，對(duì)大家都是公開(kāi)的或者是極容易得到的；數(shù)據(jù)庫(kù)用管理員賬號(hào)做一般性操作等。 （2）缺乏角色分離傳統(tǒng)數(shù)據(jù)庫(kù)管理并沒(méi)有“安全管理員（Security Administrator）” 色，這就迫使數(shù)據(jù)庫(kù)管理員（DBA）既要負(fù)責(zé)賬號(hào)的維護(hù)管理，又要專門對(duì)數(shù)據(jù)庫(kù)執(zhí)行性能和操作行為進(jìn)行調(diào)試跟蹤，不僅導(dǎo)致管理效率低下，而且安全責(zé)任難以確定。 （3）缺乏審計(jì)跟蹤審計(jì)跟蹤是運(yùn)用操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、網(wǎng)絡(luò)管理系統(tǒng)提供的審計(jì)模塊的功能或其他專門程序，對(duì)系統(tǒng)的使用情況建立日志記錄，以便實(shí)時(shí)地監(jiān)控、報(bào)警或事后分析、統(tǒng)計(jì)、報(bào)告，是一種通過(guò)事后追查來(lái)保證系統(tǒng)安全的技術(shù)手段。數(shù)據(jù)庫(kù)審計(jì)經(jīng)常被DBA以提

8、高性能或節(jié)省磁盤空間為由忽視或關(guān)閉，這大大降低了管理分析的可靠性和效力。 （4）未利用的數(shù)據(jù)庫(kù)安全措施現(xiàn)在成熟的數(shù)據(jù)庫(kù)軟件都提供了各種措施來(lái)保障數(shù)據(jù)庫(kù)的安全，但是，許多時(shí)候，由于管理員的疏忽或經(jīng)驗(yàn)不足，許多的安全措施并沒(méi)有實(shí)際應(yīng)用。本課題將以解決上述問(wèn)題為出發(fā)點(diǎn)和立足點(diǎn)，融入了用戶標(biāo)識(shí)和鑒別技術(shù)、智能卡技術(shù)、主體特征鑒別技術(shù)以及數(shù)據(jù)加密技術(shù)。數(shù)據(jù)加密(Data Encryption)是防止數(shù)據(jù)庫(kù)中數(shù)據(jù)存儲(chǔ)和傳輸中失密的有效手段。加密的基本思想是根據(jù)一定的算法將原始數(shù)據(jù)(明文plaintext)加密成為不可直接識(shí)別的格式(密文，ciphertext)，數(shù)據(jù)以密文的方式存儲(chǔ)和傳播。Web數(shù)據(jù)庫(kù)的安

9、全威脅涉及許多方面，是一個(gè)全局性的問(wèn)題，而且黑客的攻擊手段和方法不斷翻新，因此要根據(jù)企業(yè)的實(shí)際需求綜合考慮各種技術(shù)，構(gòu)建一個(gè)有機(jī)的結(jié)合體。同時(shí)也要清醒地認(rèn)識(shí)到一個(gè)很好的安全解決方案不僅是純粹的技術(shù)問(wèn)題，而且還需要法律、管理、社會(huì)因素的配合。2 國(guó)內(nèi)外研究現(xiàn)狀國(guó)內(nèi)研究現(xiàn)狀：與國(guó)際同行相比，國(guó)內(nèi)的數(shù)據(jù)庫(kù)安全研究工作起步較晚，但也已取得了一定成績(jī)。以安全數(shù)據(jù)庫(kù)管理系統(tǒng)來(lái)說(shuō)，目前已經(jīng)達(dá)到國(guó)標(biāo) GB17859-1999 第 三 級(jí)（基本相當(dāng)于TCSEC B1 級(jí)）的國(guó)產(chǎn)數(shù)據(jù)庫(kù)系統(tǒng)包括：可信COBASE（北京大學(xué)、華中科大、人大）、達(dá)夢(mèng)數(shù)據(jù)庫(kù)系列（華中科大）、LOIS 安全數(shù)據(jù)庫(kù)（中科院軟件所信息安全國(guó)家

10、重點(diǎn)實(shí)驗(yàn)室）、Softbase（南京大學(xué)）、Openbase Secure（東北大學(xué)）、神舟OSCAR、以及BeyonDB（中科院地理所、中科院軟件所信息安全國(guó)家重點(diǎn)實(shí)驗(yàn)室）等。此外，在國(guó)家“863”計(jì)劃的支持下，實(shí)現(xiàn)了國(guó)標(biāo) 第 四級(jí)與第五級(jí)（基本相當(dāng)于TCSEC B2 級(jí)與A1級(jí)）安全數(shù)據(jù)庫(kù)管理系統(tǒng)的關(guān)鍵技術(shù)研究與原型系統(tǒng)研發(fā)?？傮w來(lái)說(shuō)，我國(guó)的科研人員已經(jīng)掌握了數(shù)據(jù)庫(kù)和數(shù)據(jù)庫(kù)安全的關(guān)鍵技術(shù)，這為將來(lái)的研究開(kāi)發(fā)工作奠定了基礎(chǔ)。國(guó)外研究現(xiàn)狀：國(guó)外以 C.P.Pfleeger 對(duì)數(shù)據(jù)庫(kù)安全的定義最具代表性并被廣泛應(yīng)用。該定義從物理數(shù)據(jù)庫(kù)的完整性、邏輯數(shù)據(jù)庫(kù)的完整性、元素安全性、可審計(jì)性、訪問(wèn)控制、

11、身份驗(yàn)證及可用性等方面對(duì)數(shù)據(jù)庫(kù)安全進(jìn)行了描述 。隨著 WEB 技術(shù)的發(fā)展， WEB 與數(shù)據(jù)庫(kù)的互連技術(shù)也日益發(fā)展。主要有： CGI ， WebAPI ， ODBC ， JAVA/JDBC 技術(shù)， ASP 技術(shù)， PHP 技術(shù)等。使用 Delphi 的 WebBroker 技術(shù)可以輕松地建立 Web 服務(wù)器擴(kuò)展來(lái)提供自定義的、動(dòng)態(tài)的 HTML(Hypertext Markup Language) 網(wǎng)頁(yè)，并能夠訪問(wèn)各種數(shù)據(jù)源 5 。這使得開(kāi)發(fā) Internet/intranet 應(yīng)用程序非常容易。 Delphi 提供了開(kāi)發(fā) Web 應(yīng)用程序的工具。 Delphi 生成的 Web 應(yīng)用程序都有一個(gè)

12、TWebModule 類，它實(shí)際上起到派發(fā)器（ Dispatcher ）的作用。當(dāng) Web 應(yīng)用程序接收到來(lái)自 Web 服務(wù)器的 HTTP 請(qǐng)求后，將創(chuàng)建一個(gè) TWebRequest 對(duì)象來(lái)封裝 HTTP 請(qǐng)求信息。另外，還要?jiǎng)?chuàng)建一個(gè) TWebResponse 對(duì)象，它封裝了響應(yīng)信息。然后， Web 應(yīng)用程序把這兩個(gè)對(duì)象傳遞給 TWebModule 對(duì)象。 TWebModule 對(duì)象控制了 Web 應(yīng)用程序的內(nèi)部流程。美國(guó)國(guó)防部計(jì)算機(jī)安全中心在 1983 年發(fā)表的可信計(jì)算機(jī)評(píng)估準(zhǔn)則（TCSEC）。 該準(zhǔn)則于 1985 年被確定為美國(guó)國(guó)防部標(biāo)準(zhǔn)，是歷史上第一個(gè)計(jì)算機(jī)安全評(píng)估準(zhǔn)則。 這一段時(shí)期是多

13、級(jí)安全數(shù)據(jù)庫(kù)系統(tǒng)發(fā)展的黃金時(shí)期，期間出現(xiàn)了一批達(dá)到高安全級(jí)別的數(shù)據(jù)庫(kù)管理系統(tǒng)。 其中比較有 代 表 性 的 研 究 項(xiàng) 目 包 括 Seaview 1，ASD和 LDV2。目前美國(guó)空軍資 助的多級(jí)安全數(shù)據(jù)庫(kù)管理系統(tǒng)（Multi-Level SecureSeaview（Secure Data View） ，SRI 和 Gemini 公司共同參與的研究項(xiàng)目。其研究目標(biāo)是實(shí)現(xiàn)一個(gè)達(dá)到TCSECDBMS）。眾所周知，數(shù)據(jù)庫(kù)管理系統(tǒng)是負(fù)責(zé)數(shù)據(jù)存儲(chǔ)、訪問(wèn)與管理的核心平臺(tái)軟件。因而它也理所當(dāng)然成為維護(hù)數(shù)據(jù)庫(kù)系統(tǒng)的安全核心。國(guó)外早期的數(shù)據(jù)庫(kù)安全研究的核心目標(biāo)在于，通過(guò)設(shè)計(jì)符合特定安全策略模型的安全數(shù)據(jù)庫(kù)管理系

14、統(tǒng)，嚴(yán)格實(shí)施訪問(wèn)控制策略、控制數(shù)據(jù)庫(kù)內(nèi)容的操作與訪問(wèn)，從而實(shí)現(xiàn)整個(gè)數(shù)據(jù)庫(kù)系統(tǒng)的安全。A1 級(jí)的安全數(shù)據(jù)庫(kù)，訪問(wèn)控制粒度達(dá)到字段級(jí)。Seaview 采用了核心化的體系結(jié)構(gòu)，由操作系統(tǒng)提供強(qiáng)制訪問(wèn)控制。在上世紀(jì) 70 年代中期至 80 年代初，美國(guó)空軍、海軍資助的一批研究項(xiàng)目為多級(jí)安全數(shù)據(jù)庫(kù)的研究奠定了基礎(chǔ)。1975 年，Hinke 和Schaefer的報(bào)告給出了Hinke-Schaefer安全數(shù)據(jù)庫(kù)研究的內(nèi)容，實(shí)現(xiàn)了基于 Multics 操作系統(tǒng)的可信數(shù)據(jù)庫(kù)管理系統(tǒng)；1983 年，Woods Hole 研討班進(jìn)一步提出了適用于多級(jí)安全數(shù)據(jù)庫(kù)系統(tǒng)的三種體系結(jié)構(gòu)：核心化（Hinke-Schaefer

15、）結(jié)構(gòu)、完整性鎖結(jié)構(gòu)和分布式結(jié)構(gòu)。這個(gè)時(shí)期數(shù)據(jù)庫(kù)安全研究的主流是軍用安全數(shù)據(jù)庫(kù)，美國(guó)軍方的大力推動(dòng)為研究工作涂上了一層濃重的軍方背景。在萌芽與初始時(shí)期，研究者對(duì)數(shù)據(jù)庫(kù)面臨的安全威脅、數(shù)據(jù)庫(kù)的安全需求以及安全數(shù)據(jù)庫(kù)的研究問(wèn)題有了基本的認(rèn)識(shí)，通過(guò)若干項(xiàng)目的研發(fā)形成了安全數(shù)據(jù)庫(kù)開(kāi)發(fā)的方法論。Oracle 7 經(jīng)評(píng)估達(dá)到 B1 級(jí) ；Sybase 的 SQLServe達(dá)到了 C2 級(jí) ，SQL Secure Serve達(dá)到 B1 級(jí)且是最早通過(guò)B1級(jí)評(píng)估的安全數(shù)據(jù)庫(kù)系統(tǒng) ；Informix 的 INFORMIX-OnLine/Secure 5.0 達(dá)到了 B1 級(jí)。國(guó)外研究目前圍繞多級(jí)安全數(shù)據(jù)庫(kù)管理系

16、統(tǒng)的設(shè)計(jì)，形成了安全數(shù)據(jù)庫(kù)的理論與技術(shù)基礎(chǔ)，包括如下重要研究?jī)?nèi)容： 數(shù)據(jù)庫(kù)形式化安全數(shù)據(jù)模型分析及驗(yàn)證； 數(shù)據(jù)庫(kù)隱通道檢測(cè)及其分析；多級(jí)安全數(shù)據(jù)庫(kù)事務(wù)模型及其分析； 數(shù)據(jù)庫(kù)安全體系結(jié)構(gòu)及實(shí)現(xiàn)技術(shù)；數(shù)據(jù)庫(kù)審計(jì)與數(shù)據(jù)庫(kù)加密等。3研究?jī)?nèi)容、研究思路和方法以及重點(diǎn)和難點(diǎn)研究?jī)?nèi)容：數(shù)據(jù)庫(kù)系統(tǒng)的安全特性主要是針對(duì)數(shù)據(jù)而言的，包括數(shù)據(jù)獨(dú)立性、數(shù)據(jù)安全性、數(shù)據(jù)完整性、并發(fā)控制、故障恢復(fù)等幾個(gè)方面。數(shù)據(jù)獨(dú)立性數(shù)據(jù)獨(dú)立性包括物理獨(dú)立性和邏輯獨(dú)立性兩個(gè)方面。物理獨(dú)立性是指用戶的應(yīng)用程序與存儲(chǔ)在磁盤上的數(shù)據(jù)庫(kù)中的數(shù)據(jù)是相互獨(dú)立的；邏輯獨(dú)立性是指用戶的應(yīng)用程序與數(shù)據(jù)庫(kù)的 HYPERLINK /view/540423.h

17、tm t _blank 邏輯結(jié)構(gòu)是相互獨(dú)立的。數(shù)據(jù)安全性操作系統(tǒng)中的對(duì)象一般情況下是文件，而數(shù)據(jù)庫(kù)支持的應(yīng)用要求更為精細(xì)。通常比較完整的數(shù)據(jù)庫(kù)對(duì)數(shù)據(jù)安全性采取以下措施：（1）將數(shù)據(jù)庫(kù)中需要保護(hù)的部分與其他部分相隔。（2）采用授權(quán)規(guī)則，如賬戶、口令和權(quán)限控制等訪問(wèn)控制方法。（3）對(duì)數(shù)據(jù)進(jìn)行加密后存儲(chǔ)于數(shù)據(jù)庫(kù)。數(shù)據(jù)完整性數(shù) 據(jù)完整性包括數(shù)據(jù)的正確性、有效性和一致性。正確性是指數(shù)據(jù)的輸入值與數(shù)據(jù)表對(duì)應(yīng)域的類型一樣；有效性是指數(shù)據(jù)庫(kù)中的理論數(shù)值滿足現(xiàn)實(shí)應(yīng)用中對(duì)該數(shù)值段的 約束；一致性是指不同用戶使用的同一數(shù)據(jù)應(yīng)該是一樣的。保證數(shù)據(jù)的完整性，需要防止合法用戶使用數(shù)據(jù)庫(kù)時(shí)向數(shù)據(jù)庫(kù)中加入不合語(yǔ)義的數(shù)據(jù)并發(fā)控

18、制如 果數(shù)據(jù)庫(kù)應(yīng)用要實(shí)現(xiàn)多用戶共享數(shù)據(jù)，就可能在同一時(shí)刻多個(gè)用戶要存取數(shù)據(jù)，這種事件叫做并發(fā)事件。當(dāng)一個(gè)用戶取出數(shù)據(jù)進(jìn)行修改，在修改存入數(shù)據(jù)庫(kù)之前如有 其它用戶再取此數(shù)據(jù)，那么讀出的數(shù)據(jù)就是不正確的。這時(shí)就需要對(duì)這種并發(fā)操作施行控制，排除和避免這種錯(cuò)誤的發(fā)生，保證數(shù)據(jù)的正確性。故障恢復(fù)由 HYPERLINK /view/68446.htm t _blank 數(shù)據(jù)庫(kù)管理系統(tǒng)提供一套方法，可及時(shí)發(fā)現(xiàn)故障和修復(fù)故障，從而防止數(shù)據(jù)被破壞。 HYPERLINK /view/7809.htm t _blank 數(shù)據(jù)庫(kù)系統(tǒng)能盡快恢復(fù)數(shù)據(jù)庫(kù)系統(tǒng)運(yùn)行時(shí)出現(xiàn)的故障，可能是物理上或是邏輯上的錯(cuò)誤。比如對(duì)系統(tǒng)的誤操作

19、造成的數(shù)據(jù)錯(cuò)誤等。研究思路和方法為解決上述問(wèn)題，項(xiàng)目組將展開(kāi)如下多方面的研究工作：Web數(shù)據(jù)庫(kù)是基于Internet/Intranet的應(yīng)用系統(tǒng)，由于互連網(wǎng)開(kāi)放性和通信協(xié)議的安全缺陷，以及在網(wǎng)絡(luò)環(huán)境中數(shù)據(jù)存儲(chǔ)和對(duì)其訪問(wèn)與處理的分布性特點(diǎn)，網(wǎng)上傳輸?shù)臄?shù)據(jù)容易受到破壞、竊取、篡改、轉(zhuǎn)移和丟失。這些危害通常是對(duì)網(wǎng)絡(luò)的攻擊引起的。到現(xiàn)在，針對(duì)Web數(shù)據(jù)庫(kù)的應(yīng)用級(jí)入侵已經(jīng)變得越來(lái)越猖獗，如SQL注入、跨站點(diǎn)腳本攻擊和未經(jīng)授權(quán)的用戶訪問(wèn)等。所有這些入侵都有可能繞過(guò)前臺(tái)安全系統(tǒng)并對(duì)數(shù)據(jù)庫(kù)系統(tǒng)攻擊。如何保證Web數(shù)據(jù)庫(kù)的安全性已成為新的課題。第一關(guān)、對(duì)用戶安全管理Web數(shù)據(jù)庫(kù)是個(gè)極為復(fù)雜的系統(tǒng)，因此很難進(jìn)行正

20、確的配置和安全維護(hù)，當(dāng)然，必須首先要保證的就是數(shù)據(jù)庫(kù)用戶的權(quán)限的安全性。當(dāng)用戶通過(guò)Web方式要對(duì)數(shù)據(jù)庫(kù)中的對(duì)象(表、視圖、觸發(fā)器、存儲(chǔ)過(guò)程等)進(jìn)行操作時(shí)，必須通過(guò)數(shù)據(jù)庫(kù)訪問(wèn)的身份認(rèn)證。多數(shù)數(shù)據(jù)庫(kù)系統(tǒng)還有眾所周知的默認(rèn)賬號(hào)和密碼，可支持對(duì)數(shù)據(jù)庫(kù)資源的各級(jí)訪問(wèn)。因此，很多重要的數(shù)據(jù)庫(kù)系統(tǒng)很可能受到威協(xié)。用戶存取權(quán)限是指不同的用戶對(duì)于不同的數(shù)據(jù)對(duì)象有不同的操作權(quán)限。存取權(quán)限由兩個(gè)要素組成：數(shù)據(jù)對(duì)象和操作類型。定義一個(gè)用戶的存取權(quán)限就是要定義這個(gè)用戶可以在哪些數(shù)據(jù)對(duì)象上進(jìn)行哪些類型的操作。權(quán)限分系統(tǒng)權(quán)限和對(duì)象權(quán)限兩種。系統(tǒng)權(quán)限由DBA授予某些數(shù)據(jù)庫(kù)用戶，只有得到系統(tǒng)權(quán)限，才能成為數(shù)據(jù)庫(kù)用戶。對(duì)象權(quán)限是

21、授予數(shù)據(jù)庫(kù)用戶對(duì)某些數(shù)據(jù)對(duì)象進(jìn)行某些操作的權(quán)限，它既可由DBA授權(quán)，也可由數(shù)據(jù)對(duì)象的創(chuàng)建者授予。第二關(guān)、定義視圖為不同的用戶定義不同的視圖，可以限制用戶的訪問(wèn)范圍。通過(guò)視圖機(jī)制把需要保密的數(shù)據(jù)對(duì)無(wú)權(quán)存取這些數(shù)據(jù)的用戶隱藏起來(lái)，可以對(duì)數(shù)據(jù)庫(kù)提供一定程度的安全保護(hù)。實(shí)際應(yīng)用中常將視圖機(jī)制與授權(quán)機(jī)制結(jié)合起來(lái)使用，首先用視圖機(jī)制屏蔽一部分保密數(shù)據(jù)，然后在視圖上進(jìn)一步進(jìn)行授權(quán)。第三關(guān)、數(shù)據(jù)加密數(shù)據(jù)安全隱患無(wú)處不在。一些機(jī)密數(shù)據(jù)庫(kù)、商業(yè)數(shù)據(jù)等必須防止它人非法訪問(wèn)、修改、拷貝。如何保證數(shù)據(jù)安全？數(shù)據(jù)加密是應(yīng)用最廣、成本最低廉而相對(duì)最可靠的方法。數(shù)據(jù)加密是保護(hù)數(shù)據(jù)在存儲(chǔ)和傳遞過(guò)程中不被竊取或修改的有效手段。數(shù)

22、據(jù)加密系統(tǒng)包括對(duì)系統(tǒng)的不同部分要選擇何種加密算法、需要多高的安全級(jí)別、各算法之間如何協(xié)作等因素。在系統(tǒng)的不同部分要綜合考慮執(zhí)行效率與安全性之間的平衡。因?yàn)橐话銇?lái)講安全性總是以犧牲系統(tǒng)效率為代價(jià)的。如果要在Internet上的兩個(gè)客戶端傳遞安全數(shù)據(jù)，這就要求客戶端之間可以彼此判斷對(duì)方的身份，傳遞的數(shù)據(jù)必須加密，當(dāng)數(shù)據(jù)在傳輸中被更改時(shí)可以被發(fā)覺(jué)。第四關(guān)、事務(wù)管理和故障恢復(fù)事務(wù)管理和故障恢復(fù)主要是對(duì)付系統(tǒng)內(nèi)發(fā)生的自然因素故障，保證數(shù)據(jù)和事務(wù)的一致性和完整性。故障恢復(fù)的主要措施是進(jìn)行日志記錄和數(shù)據(jù)復(fù)制。在網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)中，分布事務(wù)首先要分解為多個(gè)子事務(wù)到各個(gè)站點(diǎn)上去執(zhí)行，各個(gè)服務(wù)器之間還必須采取合理的

23、算法進(jìn)行分布式并發(fā)控制和提交，以保證事務(wù)的完整性。事務(wù)運(yùn)行的每一步結(jié)果都記錄在系統(tǒng)日志文件中，并且對(duì)重要數(shù)據(jù)進(jìn)行復(fù)制，發(fā)生故障時(shí)根據(jù)日志文件利用數(shù)據(jù)副本準(zhǔn)確地完成事務(wù)的恢復(fù)。研究重點(diǎn)與難點(diǎn)本課題的研究重點(diǎn)和難點(diǎn)在于數(shù)據(jù)庫(kù)加密算法：1、常用密鑰算法密鑰算法用來(lái)對(duì)敏感數(shù)據(jù)、摘要、簽名等信息進(jìn)行加密，常用的密鑰算法包括：DES（Data Encryption Standard）：數(shù)據(jù)加密標(biāo)準(zhǔn)，速度較快，適用于加密大量數(shù)據(jù)的場(chǎng)合； 3DES（Triple DES）：是基于DES，對(duì)一塊數(shù)據(jù)用三個(gè)不同的密鑰進(jìn)行三次加密，強(qiáng)度更高； RC2和 RC4：用變長(zhǎng)密鑰對(duì)大量數(shù)據(jù)進(jìn)行加密，比 DES 快； IDE

24、A（International Data Encryption Algorithm）國(guó)際數(shù)據(jù)加密算法，使用 128 位密鑰提供非常強(qiáng)的安全性； RSA：由 RSA 公司發(fā)明，是一個(gè)支持變長(zhǎng)密鑰的公共密鑰算法，需要加密的文件快的長(zhǎng)度也是可變的； DSA（Digital Signature Algorithm）：數(shù)字簽名算法，是一種標(biāo)準(zhǔn)的 DSS（數(shù)字簽名標(biāo)準(zhǔn)）； AES（Advanced Encryption Standard）：高級(jí)加密標(biāo)準(zhǔn)，是下一代的加密算法標(biāo)準(zhǔn)，速度快，安全級(jí)別高，目前 AES 標(biāo)準(zhǔn)的一個(gè)實(shí)現(xiàn)是 Rijndael 算法； BLOWFISH，它使用變長(zhǎng)的密鑰，長(zhǎng)度可達(dá)448位

25、，運(yùn)行速度很快； 其它算法，如ElGamal、Deffie-Hellman、新型橢圓曲線算法ECC等。2、單向散列算法單向散列函數(shù)一般用于產(chǎn)生消息摘要，密鑰加密等，常見(jiàn)的有：MD5（Message Digest Algorithm 5）：是RSA數(shù)據(jù)安全公司開(kāi)發(fā)的一種單向散列算法，MD5被廣泛使用，可以用來(lái)把不同長(zhǎng)度的數(shù)據(jù)塊進(jìn)行暗碼運(yùn)算成一個(gè)128位的數(shù)值； SHA（Secure Hash Algorithm）這是一種較新的散列算法，可以對(duì)任意長(zhǎng)度的數(shù)據(jù)運(yùn)算生成一個(gè)160位的數(shù)值； MAC（Message Authentication Code）：消息認(rèn)證代碼，是一種使用密鑰的單向函數(shù)，可以用

26、它們?cè)谙到y(tǒng)上或用戶之間認(rèn)證文件或消息。HMAC（用于消息認(rèn)證的密鑰散列法）就是這種函數(shù)的一個(gè)例子。 CRC（Cyclic Redundancy Check）：循環(huán)冗余校驗(yàn)碼，CRC校驗(yàn)由于實(shí)現(xiàn)簡(jiǎn)單，檢錯(cuò)能力強(qiáng)，被廣泛使用在各種數(shù)據(jù)校驗(yàn)應(yīng)用中。占用系統(tǒng)資源少，用軟硬件均能實(shí)現(xiàn)，是進(jìn)行數(shù)據(jù)傳 輸差錯(cuò)檢測(cè)地一種很好的手段（CRC 并不是嚴(yán)格意義上的散列算法，但它的作用與散列算法大致相同，所以歸于此類）。參考文獻(xiàn)：1 李建平.關(guān)于提高Web數(shù)據(jù)庫(kù)安全性的幾點(diǎn)實(shí)踐J.科技信息，2008(23):79-80.2 劉啟原,劉怡.數(shù)據(jù)庫(kù)與信息系統(tǒng)的安全M.北京:科學(xué)出版社,2000.3 羅明.基于WEB數(shù)據(jù)庫(kù)

27、訪問(wèn)連接技術(shù)的安全策略研究J.科技創(chuàng)新導(dǎo)報(bào)，2009(32).4 張錦祥，陳敏玲，王琴.Web數(shù)據(jù)庫(kù)的入侵威脅與防護(hù)策略J.科技通報(bào)，2010，26(5):769-773.5 金建隆,陸慧娟.Web數(shù)據(jù)庫(kù)系統(tǒng)安全研究J.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2008(1).6 詹天成.Web數(shù)據(jù)庫(kù)現(xiàn)狀與發(fā)展J.軟件導(dǎo)刊2008,7(8).7 王佳.Web數(shù)據(jù)庫(kù)系統(tǒng)幾點(diǎn)安全研究J.科技創(chuàng)新導(dǎo)報(bào)，2008(11).8 程永奇，葉飛.Web數(shù)據(jù)庫(kù)安全技術(shù)與應(yīng)用J.信息科學(xué)，2009,36-37.9 龔雄濤.Web數(shù)據(jù)庫(kù)安全問(wèn)題的探討J.電腦知識(shí)與技術(shù)，2009,5(36):10403-10405.10 孫香花.Web

28、數(shù)據(jù)庫(kù)的安全隱患和防范措施J.重慶工學(xué)院學(xué)報(bào)（自然科學(xué)版），2007,21(11).4 研究計(jì)劃及預(yù)期研究成果研究計(jì)劃：本項(xiàng)目擬在一年半內(nèi)完成，總體安排與進(jìn)度如下：1) 2013.32013.7 系統(tǒng)需求分析階段：進(jìn)行深入的市場(chǎng)調(diào)查，深入研究教育部門與各高校的需求及現(xiàn)階段類似系統(tǒng)存在的漏洞。了解用戶具體需求及軟件的市場(chǎng)前景。2) 2013.72013.10 相關(guān)技術(shù)的學(xué)習(xí)及概要設(shè)計(jì)：學(xué)習(xí)數(shù)據(jù)庫(kù)安全、HTML5、css3、數(shù)據(jù)挖掘與分析加工等技術(shù)，為進(jìn)一步的開(kāi)發(fā)打好基礎(chǔ)。并同時(shí)完成項(xiàng)目的概要設(shè)計(jì)。3) 2013.102014.3 系統(tǒng)詳細(xì)設(shè)計(jì)與實(shí)現(xiàn)：完成項(xiàng)目各關(guān)系模式的設(shè)計(jì)，相關(guān)數(shù)據(jù)的挖掘加工，

29、完成在基于HTML平臺(tái)上的相關(guān)實(shí)現(xiàn)；系統(tǒng)架構(gòu)，定義模塊，確定模塊之間的關(guān)系以及實(shí)現(xiàn)思路，并初步設(shè)計(jì)界面，分析系統(tǒng)流程，并設(shè)計(jì)出數(shù)據(jù)庫(kù)模型；進(jìn)行初步的小規(guī)模測(cè)試，為日后整體測(cè)試做準(zhǔn)備,并提交相應(yīng)的文檔與報(bào)告。4) 2014.32014.6 系統(tǒng)整體測(cè)試：完成數(shù)據(jù)庫(kù)構(gòu)建測(cè)試，并利用大量數(shù)據(jù)進(jìn)行系統(tǒng)穩(wěn)定性及準(zhǔn)確性測(cè)試、壓力性測(cè)試，完成測(cè)試文檔。5) 2014.6：項(xiàng)目上線提交最終成果及文檔，完成項(xiàng)目。預(yù)期研究成果：在web網(wǎng)站構(gòu)架上，使用html5以及相關(guān)服務(wù)器技術(shù)，搭建web框架，對(duì)數(shù)據(jù)的獲取，使用（公布）進(jìn)行權(quán)限方面的設(shè)置。做出一個(gè)用戶友好的web網(wǎng)站。 數(shù)據(jù)庫(kù)方面，從數(shù)據(jù)的獨(dú)立性，數(shù)據(jù)的安全性

30、，數(shù)據(jù)完整性，并發(fā)控制，故障恢復(fù)等方面出發(fā)，構(gòu)建一個(gè)安全，高質(zhì)量的數(shù)據(jù)庫(kù)。數(shù)據(jù)加密則采用特定的加密算法，對(duì)數(shù)據(jù)的安全性進(jìn)一步提高。最后搭建一個(gè)國(guó)家大學(xué)生創(chuàng)新創(chuàng)業(yè)訓(xùn)練計(jì)劃網(wǎng)站，給客戶和各部門管理員提供一個(gè)安全，高效，實(shí)時(shí)的信息發(fā)布獲取平臺(tái)5 研究基礎(chǔ)和保證（已取得的相關(guān)研究成果、研究時(shí)間保證，資料設(shè)備等科研條件） 學(xué)生工作基礎(chǔ)：小組成員熟悉C+以及Java等編程開(kāi)發(fā)語(yǔ)言，有扎實(shí)的軟件開(kāi)發(fā)基礎(chǔ)； 小組成員自學(xué)過(guò)PS技術(shù)、JavaWeb技術(shù)以及3D技術(shù)，并有JSP編程經(jīng)驗(yàn)，在最近的軟創(chuàng)大賽開(kāi)展中，認(rèn)真學(xué)習(xí)了html5有關(guān)知識(shí)； 小組成員均有1年以上開(kāi)發(fā)經(jīng)驗(yàn)，承擔(dān)過(guò)過(guò)多個(gè)實(shí)驗(yàn)項(xiàng)目的開(kāi)發(fā)，比如酒店管理系

31、統(tǒng)、基于圖片共享的社交網(wǎng)站、聊天軟件等，從而對(duì)軟件開(kāi)發(fā)過(guò)程和整體架構(gòu)有了深入了解，對(duì)文檔書寫和規(guī)范有了一定的了解； 小組成員熟悉工程化軟件開(kāi)發(fā)方法，有很強(qiáng)的實(shí)際動(dòng)手能力。已取得的相關(guān)研究成果：結(jié)合實(shí)際情況進(jìn)行可行性論證，初步獲取了27個(gè)可能會(huì)用到的數(shù)據(jù)庫(kù)關(guān)系模式：project表（項(xiàng)目表），team（團(tuán)隊(duì)）bulletin（公告）businessplan（商業(yè)計(jì)劃書）discipline（學(xué)科）document（公文）excellent_project（優(yōu)秀項(xiàng)目）exp_pro_relation（專家-項(xiàng)目關(guān)系表）favourite_project（最受歡迎的項(xiàng)目）file_download（

32、文件下載）member（成員）menu（菜單）menu_itemmessageboard（留言板）news（新聞）panel（展板）patent（專利）project_type（項(xiàng)目類型）projectcode（項(xiàng)目代碼）provence（省份）role（角色）role_menu（角色菜單關(guān)系）teacher（指導(dǎo)教師）teacher_team（導(dǎo)師-團(tuán)隊(duì)）thesis（論文）university（學(xué)校）expert（專家）users（用戶）在數(shù)據(jù)庫(kù)設(shè)計(jì)方面已經(jīng)取得初步成果。 2）在參加全國(guó)軟件創(chuàng)新大賽期間，進(jìn)行深入的市場(chǎng)調(diào)查，了解到當(dāng)前部分類似網(wǎng)站存在問(wèn)題。小組已經(jīng)對(duì)用戶具體需求及軟件的市場(chǎng)前景有了深入的了解。2) 研究保證 研究時(shí)間保證：我們團(tuán)隊(duì)小組已經(jīng)開(kāi)始了項(xiàng)目的一些有關(guān)前期開(kāi)展的準(zhǔn)備工作，并堅(jiān)信通過(guò)小組成員的努力協(xié)作與堅(jiān)持以及指導(dǎo)教師的細(xì)心指導(dǎo)，一定會(huì)在指定的時(shí)間期限內(nèi)完成項(xiàng)目的后續(xù)開(kāi)