第12章 數(shù)據(jù)庫(kù)安全《數(shù)據(jù)庫(kù)原理及應(yīng)用》教學(xué)課件

《數(shù)據(jù)庫(kù)原理及應(yīng)用》?精品課件合集目錄01數(shù)據(jù)庫(kù)安全性概述02用戶(hù)標(biāo)識(shí)與鑒定03存取控制（重難點(diǎn)）04ORACEL權(quán)限控制（重難點(diǎn)）05視圖06審計(jì)

07數(shù)據(jù)加密第12章數(shù)據(jù)庫(kù)安全數(shù)據(jù)庫(kù)安全性概述問(wèn)題的提出：數(shù)據(jù)庫(kù)的一大特點(diǎn)是數(shù)據(jù)可以共享，但數(shù)據(jù)共享必然帶來(lái)數(shù)據(jù)庫(kù)的安全性問(wèn)題，數(shù)據(jù)庫(kù)系統(tǒng)中的數(shù)據(jù)共享不能是無(wú)條件的共享，而是有條件的共享。數(shù)據(jù)庫(kù)中數(shù)據(jù)的共享是在DBMS統(tǒng)一的嚴(yán)格的控制之下的共享，即只允許有合法使用權(quán)限的用戶(hù)訪(fǎng)問(wèn)允許他存取的數(shù)據(jù)。數(shù)據(jù)庫(kù)安全性概述數(shù)據(jù)庫(kù)不安全的因素：非授權(quán)用戶(hù)對(duì)數(shù)據(jù)庫(kù)的惡意存取和破壞；數(shù)據(jù)庫(kù)中重要或敏感的數(shù)據(jù)被泄露；安全環(huán)境的脆弱性。數(shù)據(jù)庫(kù)安全性概述數(shù)據(jù)庫(kù)安全的保障：技術(shù)安全類(lèi)：使用各種安全技術(shù)防止數(shù)據(jù)被非法訪(fǎng)問(wèn)；管理安全類(lèi)：加強(qiáng)安全管理，防止信息泄漏；政策法律類(lèi)：通過(guò)法律保障。2021年6月10日第十三屆全國(guó)人民代表大會(huì)常務(wù)委員會(huì)第二十九次會(huì)議通過(guò)《中華人民共和國(guó)數(shù)據(jù)安全法》計(jì)算機(jī)系統(tǒng)中的安全模型

應(yīng)用DBMSOS

DB

低

高安全性控制層次方法用戶(hù)標(biāo)識(shí)和鑒定

存取控制審計(jì)視圖

操作系統(tǒng)安全保護(hù)

密碼存儲(chǔ)用戶(hù)標(biāo)識(shí)與鑒定這是DBS提供的最外層安全保護(hù)措施。用戶(hù)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)之前，必須先標(biāo)識(shí)自己的身份，由系統(tǒng)核實(shí)，通過(guò)鑒定后才提供機(jī)器使用權(quán)。常用方法有：靜態(tài)口令：這是最常用的方式，如輸入用戶(hù)密碼。動(dòng)態(tài)口令：較安全，如短信或驗(yàn)證碼。用戶(hù)個(gè)人特征：較安全，如指紋、虹膜、人臉等。智能卡：安全性高，如磁卡、IC卡、U-key等。存取控制存取控制機(jī)制：確保只授權(quán)給有資格的用戶(hù)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的權(quán)限，同時(shí)令所有未被授權(quán)的人員無(wú)法進(jìn)入數(shù)據(jù)庫(kù)系統(tǒng)。每當(dāng)用戶(hù)向系統(tǒng)發(fā)出存取數(shù)據(jù)庫(kù)的請(qǐng)求后，DBMS查找數(shù)據(jù)字典，根據(jù)安全規(guī)則進(jìn)行合法權(quán)限的檢查，若用戶(hù)的操作請(qǐng)求超出了合法權(quán)限，系統(tǒng)則拒絕執(zhí)行此操作。存取控制數(shù)據(jù)庫(kù)實(shí)現(xiàn)存取控制主要有兩種：自主存取控制(DAC):一個(gè)主體只能在獲得對(duì)一個(gè)客體的操作權(quán)限后才能對(duì)客體進(jìn)行操作；主體對(duì)它創(chuàng)建的客體擁有所有權(quán)，自然獲得對(duì)客體的一切操作權(quán)限。強(qiáng)制存取控制(MAC):對(duì)每一個(gè)數(shù)據(jù)對(duì)象標(biāo)以一定的密級(jí)，每一個(gè)用戶(hù)也被授予某一個(gè)級(jí)別的許可證。對(duì)于任意一個(gè)對(duì)象，只有具有合法許可證的用戶(hù)才可以存取。視圖機(jī)制為不同的用戶(hù)定義不同的視圖，可以限制各個(gè)用戶(hù)的訪(fǎng)問(wèn)范圍。通過(guò)對(duì)視圖實(shí)施自主存取控制機(jī)制把要保密的數(shù)據(jù)對(duì)無(wú)權(quán)存取的用戶(hù)隱藏起來(lái)，從而自動(dòng)地對(duì)數(shù)據(jù)提供一定程度的安全保護(hù)。視圖機(jī)制【例12.1】建立計(jì)算機(jī)系學(xué)生的視圖，把對(duì)該視圖的SELECT權(quán)限授于王平。--建立計(jì)算機(jī)系學(xué)生的視圖CREATEVIEWcs_student

ASSELECT*FROMstudentWHEREdept='計(jì)算機(jī)';--授予SELECT權(quán)限給王平GRANTSELECTONcs_studentTO王平;數(shù)據(jù)加密數(shù)據(jù)加密是指把數(shù)據(jù)用密碼形式存儲(chǔ)在磁盤(pán)上。用戶(hù)標(biāo)識(shí)、存取控制、視圖等是防止從數(shù)據(jù)庫(kù)系統(tǒng)竊取和破壞數(shù)據(jù)，但不能防止通過(guò)通信線(xiàn)路進(jìn)行竊聽(tīng)和竊取數(shù)據(jù)。為了更好地保證數(shù)據(jù)庫(kù)的安全性，用密碼存儲(chǔ)口令、數(shù)據(jù)，對(duì)遠(yuǎn)程用戶(hù)的信息用密碼傳輸，防止中途非法截獲數(shù)據(jù)。數(shù)據(jù)加密單向加密是對(duì)用戶(hù)密碼做了一個(gè)HASH算法，使明文到密文變得可行，但從密文無(wú)法查看到明文。單向加密函數(shù)通常有：MD5()、SHA1()和PASSWORD()等。雙向加密是指明文可以變成密文存儲(chǔ)在數(shù)據(jù)庫(kù)中，同時(shí)密文也能通過(guò)相應(yīng)的解密方法查看到明文。雙向加密函數(shù)有：ENCODE()和DECODE()、DES_ENCRYPT()和DES_DECRYPT()、AES_ENCRYPT()和AES_DECRYPT()三種。數(shù)據(jù)加密【例12.2】創(chuàng)建一張CREATETABLEusers(usernameVARCHAR(128),pwdBLOB)表，分別用MD5()和AES_ENCRYPT()對(duì)pwd字段的內(nèi)容進(jìn)行加密，并觀察加密的內(nèi)容。CREATETABLEusers(usernameVARCHAR(128),pwdBLOB);--插入一條測(cè)試語(yǔ)句INSERTINTOusersVALUES('jery',MD5('mypwd'));--插入一條測(cè)試語(yǔ)句INSERTINTOusersVALUES(‘tom',AES_ENCRYPT('guessme','芝麻開(kāi)門(mén)'));--查詢(xún)john的密碼SELECTusername,AES_DECRYPT(pwd,‘芝麻開(kāi)門(mén)’)FROMusers;審計(jì)數(shù)據(jù)庫(kù)審計(jì)功能主要將用戶(hù)對(duì)數(shù)據(jù)庫(kù)的各類(lèi)操作行為記錄下來(lái)放入審計(jì)日志，以便日后進(jìn)行跟蹤、查詢(xún)、分析，實(shí)現(xiàn)對(duì)用戶(hù)操作的監(jiān)控和審計(jì)。

審計(jì)通常是很耗費(fèi)時(shí)間和空間的，所以這項(xiàng)功能一般是作為DBMS的可選項(xiàng)，主要用于安全性要求較高的部門(mén)或單位。MySQL權(quán)限管理在MySQL服務(wù)器運(yùn)行時(shí)，客戶(hù)端請(qǐng)求連接必須提供有效的身份認(rèn)證，例如輸入用戶(hù)名和密碼。MySQL用戶(hù)可以分為根（root）用戶(hù)和普通用戶(hù)。根用戶(hù)是超級(jí)管理員，用戶(hù)名為root，擁有所有權(quán)限;普通用戶(hù)只擁有被授予的權(quán)限；

當(dāng)某用戶(hù)執(zhí)行數(shù)據(jù)庫(kù)操作時(shí)，服務(wù)器將會(huì)驗(yàn)證該用戶(hù)是否具有相應(yīng)的權(quán)限。--查看mysql用戶(hù)表userSELECT*FROMmysql.user;用戶(hù)管理CREATEUSER賬戶(hù)名[IDENTIFIED][with加密插件][BY密碼][密碼管理選項(xiàng)|賬戶(hù)鎖定選項(xiàng)]1.創(chuàng)建用戶(hù)【例12.3】創(chuàng)建新用戶(hù)user1，并設(shè)置密碼為user1。--創(chuàng)建本地登錄帳戶(hù)CREATEUSERuser1@localhostIDENTIFIEDBY'user1';--創(chuàng)建任何主機(jī)登錄帳戶(hù)，并設(shè)置加密插件CREATEUSERuser1IDENTIFIEDWITH'mysql_native_password'BY'user1';用戶(hù)管理【例12.4】創(chuàng)建一個(gè)名為user2的用戶(hù)，并設(shè)置其密碼每180天變更一次，具體SQL語(yǔ)句如下。CREATEUSERuser2IDENTIFIEDBY'user2'PASSWORDexpireINTERVAL180DAY;用戶(hù)管理（1）修改用戶(hù)名，具體SQL語(yǔ)句如下。RENAMEUSER<舊用戶(hù)名>TO<新用戶(hù)名>;【例12.5】將user1@localhost用戶(hù)名修改為user1@'202.208.5.8'。RENAMEUSERuser1@localhostTOuser1@'202.208.5.8';2.修改用戶(hù)【例12.6】將user2密碼修改為‘user2'，驗(yàn)證方式為'mysql_native_password'，密碼長(zhǎng)期有效，用戶(hù)為解鎖狀態(tài)。ALTERUSERuser2IDENTIFIEDWITH'mysql_native_password

'BY'user2'PASSWORDexpireneverACCOUNTUNLOCK;用戶(hù)管理DROPUSER[IFEXISTS]<帳戶(hù)名>,…;【例12.7】刪除user1和user1@202.208.5.8兩個(gè)帳DROPUSERuser1,user1@202.208.5.8;3.刪除用戶(hù)權(quán)限管理GRANT權(quán)限類(lèi)型[字段列表][,權(quán)限類(lèi)型[字段列表]]…ON[目標(biāo)類(lèi)型]權(quán)限級(jí)別TO賬戶(hù)名[用戶(hù)身份驗(yàn)證選項(xiàng)][,賬戶(hù)名[用戶(hù)身份驗(yàn)證選項(xiàng)]]…[REQUIRE連接方式][WITH{GRANTOPTION|資源控制選項(xiàng)}]1.授予權(quán)限權(quán)限管理權(quán)限管理【例12.8】創(chuàng)建user1、user2兩個(gè)用戶(hù)，密碼與用戶(hù)名相同。給user1授予所有數(shù)據(jù)庫(kù)權(quán)限，并具有授權(quán)權(quán)限，用user1連接服務(wù)器，user1給user2授予teaching_manage數(shù)據(jù)中的score表的select權(quán)限、insert權(quán)限和修改grade字段的權(quán)限，用user2連接服務(wù)器查看其內(nèi)容。--創(chuàng)建user1和user2兩個(gè)用戶(hù)，若已存在不用再創(chuàng)建CREATEUSERuser1IDENTIFIEDBY'user1',user2IDENTIFIEDBY'user2';--給user1授權(quán)GRANTALLPRIVILEGESON*.*TOuser1WITHGRANTOPTION;--給user2授權(quán)GRANTSELECT,INSERT,UPDATE(grade)ONteaching_manage.scoreTOuser2;權(quán)限管理（1）查看用戶(hù)的授權(quán)情況。SHOWGRANTSFOR<用戶(hù)|角色>;（2）查看用戶(hù)對(duì)數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)權(quán)限。SELECT*FROMmysql.tables_privWHEREUSER='用戶(hù)名';2.查看權(quán)限【例12.9】分別用兩種方式查看user2用戶(hù)的權(quán)限情況。--查看用戶(hù)的授權(quán)情況SHOWGRANTSFORuser2;--查看用戶(hù)對(duì)數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)權(quán)限SELECT*FROMmysql.tables_privWHEREUSER='user2';權(quán)限管理在MySQL中，為了保證數(shù)據(jù)庫(kù)的安全，需要將用戶(hù)不必要的權(quán)限回收。例如，數(shù)據(jù)管理員發(fā)現(xiàn)某個(gè)用戶(hù)不應(yīng)該具有DELETE權(quán)限，就應(yīng)該及時(shí)將其收回。為此，MySQL專(zhuān)門(mén)提供了一個(gè)REVOKE語(yǔ)句用于回收指定用戶(hù)的權(quán)限。其基本語(yǔ)法格式如下。3.回收權(quán)限REVOKE權(quán)限類(lèi)型[字段列表][,權(quán)限類(lèi)型[字段列表]]…ON[目標(biāo)類(lèi)型]權(quán)限級(jí)別FROM賬戶(hù)名[,賬戶(hù)名]…權(quán)限管理【例12.10】收回user2用戶(hù)對(duì)teaching_manage.score表的SELECT權(quán)限、INSERT權(quán)限和grade字段修改權(quán)限，具體SQL語(yǔ)句如下。--收回SELECT權(quán)限REVOKESELECTONteaching_manage.scoreFROMuser2;--通過(guò)收回UPDATE來(lái)收回grade字段的修改權(quán)限REVOKEUPDATEONteaching_manage.scoreFROMuser2;--收回teaching_manage數(shù)據(jù)中的score表上的一切數(shù)據(jù)權(quán)限REVOKEALLONteaching_manage.scoreFROMuser2;角色管理問(wèn)題：當(dāng)用戶(hù)越來(lái)越多時(shí)，針對(duì)單個(gè)用戶(hù)權(quán)限管理變得越來(lái)越復(fù)雜；而實(shí)際應(yīng)用中，許多同類(lèi)型的用戶(hù)其權(quán)限也是相同的，能否給同類(lèi)用戶(hù)定義相同的權(quán)限，簡(jiǎn)化用戶(hù)授權(quán)。角色是一組權(quán)限的集合，可以授予權(quán)限給角色，角色不能用于登錄數(shù)據(jù)庫(kù)，但可通過(guò)角色為同類(lèi)用戶(hù)一次性授權(quán)。角色管理（1）創(chuàng)建一個(gè)角色。CREATEROLE[IFNOTEXISTS]role[,role]…；（2）為角色授權(quán)權(quán)限。GRANT權(quán)限列表ON數(shù)據(jù)庫(kù)名.表名TO角色名[WITHGRANTOPTION];（3）為用戶(hù)指定角色。GRANTroleTOuser|role[WITHGRANTOPTION]；（4）查看角色權(quán)限。SHOWGRANTSFOR<角色|用戶(hù)>；（5）收回角色權(quán)限。REVOKEroleFROMuser；（6）刪除角色。DROPROLE[IFEXISTS]role[,role]…；對(duì)角色管理的內(nèi)容有：角色管理【例12.11】為了方便對(duì)teaching_manage數(shù)據(jù)庫(kù)管理，對(duì)學(xué)校人員采用角色管理，分別為學(xué)校的管理員、教師和學(xué)生設(shè)置了三個(gè)角色（r_admin、r_teacher、r_student），按照上述角色管理步驟對(duì)角色進(jìn)行管理。--創(chuàng)建三個(gè)角色r_admin,r_teacher,r_studentCREATEroleIFNOTEXISTSr_admin,r_teache