數(shù)據(jù)庫系統(tǒng)概論chp04

數(shù)據(jù)庫系統(tǒng)概論章數(shù)據(jù)庫安全性數(shù)據(jù)庫安全性問題的提出數(shù)據(jù)庫的一大特點(diǎn)是數(shù)據(jù)可以共享數(shù)據(jù)共享必然帶來數(shù)據(jù)庫的安全性問題數(shù)據(jù)庫系統(tǒng)中的數(shù)據(jù)共享不能是無條件的共享例：軍事秘密、國家機(jī)密、新產(chǎn)品實(shí)驗(yàn)數(shù)據(jù)、市場需求分析、市場營銷策略、銷售計(jì)劃、客戶檔案、醫(yī)療檔案、銀行儲蓄數(shù)據(jù)數(shù)據(jù)庫安全性第四章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3視圖機(jī)制4.4審計(jì)（Audit）4.5數(shù)據(jù)加密4.6統(tǒng)計(jì)數(shù)據(jù)庫安全性4.7小結(jié)4.1計(jì)算機(jī)安全性概述4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題4.1.2安全標(biāo)準(zhǔn)簡介4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題

計(jì)算機(jī)系統(tǒng)安全性為計(jì)算機(jī)系統(tǒng)建立和采取的各種安全保護(hù)措施，以保護(hù)計(jì)算機(jī)系統(tǒng)中的硬件、軟件及數(shù)據(jù)，防止其因偶然或惡意的原因使系統(tǒng)遭到破壞，數(shù)據(jù)遭到更改或泄露等。計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

三類計(jì)算機(jī)系統(tǒng)安全性問題技術(shù)安全類管理安全類政策法律類4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題4.1.2安全標(biāo)準(zhǔn)簡介4.1.2安全標(biāo)準(zhǔn)簡介TCSEC標(biāo)準(zhǔn)CC標(biāo)準(zhǔn)安全標(biāo)準(zhǔn)簡介（續(xù)）信息安全標(biāo)準(zhǔn)的發(fā)展歷史安全標(biāo)準(zhǔn)簡介（續(xù)）TCSEC/TDI標(biāo)準(zhǔn)的基本內(nèi)容TCSEC/TDI，從四個(gè)方面來描述安全性級別劃分的指標(biāo)安全策略責(zé)任保證文檔TCSEC/TDI安全級別劃分TCSEC/TDI安全級別劃分安全級別定義A1驗(yàn)證設(shè)計(jì)（VerifiedDesign）B3安全域（SecurityDomains）B2結(jié)構(gòu)化保護(hù)（StructuralProtection）B1標(biāo)記安全保護(hù)（LabeledSecurityProtection）C2受控的存取保護(hù)（ControlledAccessProtection）C1自主安全保護(hù)（DiscretionarySecurityProtection）D最小保護(hù)（MinimalProtection）數(shù)據(jù)庫系統(tǒng)的安全模型數(shù)據(jù)庫的安全標(biāo)準(zhǔn)TCSEC(TDI)標(biāo)準(zhǔn)D級標(biāo)準(zhǔn)--無安全保護(hù)的系統(tǒng)C1級標(biāo)準(zhǔn)–具有自主訪問控制C2級標(biāo)準(zhǔn)–滿足C1級標(biāo)準(zhǔn),并有審計(jì)功能B1級標(biāo)準(zhǔn)–滿足C2級標(biāo)準(zhǔn),并有強(qiáng)制訪問控制B2級標(biāo)準(zhǔn)–滿足B1級標(biāo)準(zhǔn),并解決隱蔽通道問題和具有數(shù)據(jù)庫安全的形式化B3級標(biāo)準(zhǔn)–滿足B2級標(biāo)準(zhǔn),并具有訪問監(jiān)控器A級標(biāo)準(zhǔn)–滿足B3級標(biāo)準(zhǔn),并具有較高的形式化TCSEC/TDI安全級別劃分（續(xù)）按系統(tǒng)可靠或可信程度逐漸增高各安全級別之間：偏序向下兼容TCSEC/TDI安全級別劃分（續(xù)）B2以上的系統(tǒng)還處于理論研究階段應(yīng)用多限于一些特殊的部門，如軍隊(duì)等美國正在大力發(fā)展安全產(chǎn)品，試圖將目前僅限于少數(shù)領(lǐng)域應(yīng)用的B2安全級別下放到商業(yè)應(yīng)用中來，并逐步成為新的商業(yè)標(biāo)準(zhǔn)CCCC提出國際公認(rèn)的表述信息技術(shù)安全性的結(jié)構(gòu)把信息產(chǎn)品的安全要求分為安全功能要求安全保證要求CC（續(xù)）CC文本組成簡介和一般模型安全功能要求安全保證要求CC（續(xù)）CC評估保證級劃分評估保證級定義TCSEC安全級別（近似相當(dāng)）EAL1功能測試（functionallytested）EAL2結(jié)構(gòu)測試（structurallytested）C1EAL3系統(tǒng)地測試和檢查（methodicallytestedandchecked）C2EAL4系統(tǒng)地設(shè)計(jì)、測試和復(fù)查（methodicallydesigned，tested，andreviewed）B1EAL5半形式化設(shè)計(jì)和測試（semiformallydesignedandtested）B2EAL6EAL7半形式化驗(yàn)證的設(shè)計(jì)和測試（semiformallyverifieddesignandtested）形式化驗(yàn)證的設(shè)計(jì)和測試（formallyverifieddesignandtested）B3A1第四章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3視圖機(jī)制4.4審計(jì)（Audit）4.5數(shù)據(jù)加密4.6統(tǒng)計(jì)數(shù)據(jù)庫安全性4.7小結(jié)4.2數(shù)據(jù)庫安全性控制概述非法使用數(shù)據(jù)庫的情況編寫合法程序繞過DBMS及其授權(quán)機(jī)制直接或編寫應(yīng)用程序執(zhí)行非授權(quán)操作通過多次合法查詢數(shù)據(jù)庫從中推導(dǎo)出一些保密數(shù)據(jù)數(shù)據(jù)庫安全性控制概述（續(xù)）計(jì)算機(jī)系統(tǒng)中，安全措施是一級一級層層設(shè)置

計(jì)算機(jī)系統(tǒng)的安全模型數(shù)據(jù)庫安全性控制概述（續(xù)）數(shù)據(jù)庫安全性控制的常用方法用戶標(biāo)識和鑒定存取控制視圖審計(jì)密碼存儲4.2數(shù)據(jù)庫安全性控制4.2.1用戶標(biāo)識與鑒別4.2.2存取控制4.2.3自主存取控制方法4.2.4授權(quán)與回收4.2.5數(shù)據(jù)庫角色4.2.6強(qiáng)制存取控制方法4.2.1用戶標(biāo)識與鑒別用戶標(biāo)識與鑒別（Identification&Authentication）系統(tǒng)提供的最外層安全保護(hù)措施用戶標(biāo)識與鑒別（續(xù)）用戶標(biāo)識口令系統(tǒng)核對口令以鑒別用戶身份用戶名和口令易被竊取每個(gè)用戶預(yù)先約定好一個(gè)計(jì)算過程或者函數(shù)4.2.2存取控制存取控制機(jī)制組成定義用戶權(quán)限,并將用戶權(quán)限登記到數(shù)據(jù)字典（DD）中合法權(quán)限檢查用戶權(quán)限定義和合法權(quán)檢查機(jī)制一起組成了DBMS的安全子系統(tǒng)存取控制（續(xù)）常用存取控制方法自主存取控制（DiscretionaryAccessControl，簡稱DAC）C2級靈活強(qiáng)制存取控制（MandatoryAccessControl，簡稱MAC）B1級嚴(yán)格

用戶對于不同的數(shù)據(jù)對象有相應(yīng)的存取權(quán)限，而且用戶還可以將其擁有的存取權(quán)限轉(zhuǎn)授給其他用戶。每一個(gè)數(shù)據(jù)對象被標(biāo)以一定的密級，每一個(gè)用戶也被授予某一個(gè)級別的許可證。對于任意一個(gè)對象，只有具有合法許可證的用戶才可以存取。4.2數(shù)據(jù)庫安全性控制4.2.1用戶標(biāo)識與鑒別4.2.2存取控制4.2.3自主存取控制方法4.2.4授權(quán)與回收4.2.5數(shù)據(jù)庫角色4.2.6強(qiáng)制存取控制方法4.2.3自主存取控制方法通過SQL的GRANT語句和REVOKE語句實(shí)現(xiàn)用戶權(quán)限組成數(shù)據(jù)對象操作類型定義用戶存取權(quán)限：定義用戶可以在哪些數(shù)據(jù)庫對象上進(jìn)行哪些類型的操作定義存取權(quán)限稱為授權(quán)

自主存取控制方法（續(xù)）關(guān)系數(shù)據(jù)庫系統(tǒng)中存取控制對象對象類型對象操作類型數(shù)據(jù)庫模式CREATESCHEMA基本表CREATETABLE，ALTERTABLE模式視圖CREATEVIEW索引CREATEINDEX數(shù)據(jù)基本表和視圖SELECT，INSERT，UPDATE，DELETE，REFERENCES，ALLPRIVILEGES數(shù)據(jù)屬性列SELECT，INSERT，UPDATE，REFERENCESALLPRIVILEGES關(guān)系數(shù)據(jù)庫系統(tǒng)中的存取權(quán)限GRANT（續(xù)）發(fā)出GRANT：DBA數(shù)據(jù)庫對象創(chuàng)建者（即屬主Owner）擁有該權(quán)限的用戶按受權(quán)限的用戶

一個(gè)或多個(gè)具體用戶PUBLIC（全體用戶）REVOKE（續(xù)）[例10]把用戶U5對SC表的INSERT權(quán)限收回

REVOKEINSERT ONTABLESC FROMU5CASCADE;將用戶U5的INSERT權(quán)限收回的時(shí)候必須級聯(lián)（CASCADE）收回系統(tǒng)只收回直接或間接從U5處獲得的權(quán)限

小結(jié):SQL靈活的授權(quán)機(jī)制DBA：擁有所有對象的所有權(quán)限不同的權(quán)限授予不同的用戶用戶：擁有自己建立的對象的全部的操作權(quán)限GRANT：授予其他用戶被授權(quán)的用戶“繼續(xù)授權(quán)”許可：再授予所有授予出去的權(quán)力在必要時(shí)又都可用REVOKE語句收回授權(quán)與回收（續(xù)）三、創(chuàng)建數(shù)據(jù)庫模式的權(quán)限D(zhuǎn)BA在創(chuàng)建用戶時(shí)實(shí)現(xiàn)CREATEUSER語句格式CREATEUSER<username>［WITH］［DBA|RESOURCE|CONNECT］授權(quán)與回收（續(xù)）擁有的權(quán)限可否執(zhí)行的操作CREATEUSERCREATESCHEMACREATETABLE登錄數(shù)據(jù)庫執(zhí)行數(shù)據(jù)查詢和操縱DBA可以可以可以可以RESOURCE不可以不可以不可以不可以CONNECT不可以不可以不可以可以，但必須擁有相應(yīng)權(quán)限權(quán)限與可執(zhí)行的操作對照表

4.2數(shù)據(jù)庫安全性控制4.2.1用戶標(biāo)識與鑒別4.2.2存取控制4.2.3自主存取控制方法4.2.4授權(quán)與回收4.2.5數(shù)據(jù)庫角色4.2.6強(qiáng)制存取控制方法自主存取控制缺點(diǎn)可能存在數(shù)據(jù)的“無意泄露”原因：這種機(jī)制僅僅通過對數(shù)據(jù)的存取權(quán)限來進(jìn)行安全控制，而數(shù)據(jù)本身并無安全性標(biāo)記解決：對系統(tǒng)控制下的所有主客體實(shí)施強(qiáng)制存取控制策略

4.2.6強(qiáng)制存取控制方法強(qiáng)制存取控制（MAC)保證更高程度的安全性用戶不能直接感知或進(jìn)行控制適用于對數(shù)據(jù)有嚴(yán)格而固定密級分類的部門軍事部門政府部門強(qiáng)制存取控制方法（續(xù)）主體是系統(tǒng)中的活動(dòng)實(shí)體DBMS所管理的實(shí)際用戶代表用戶的各進(jìn)程客體是系統(tǒng)中的被動(dòng)實(shí)體，是受主體操縱的文件基表索引視圖強(qiáng)制存取控制方法（續(xù)）敏感度標(biāo)記（Label）絕密（TopSecret）機(jī)密（Secret）可信（Confidential）公開（Public）主體的敏感度標(biāo)記稱為許可證級別（ClearanceLevel）客體的敏感度標(biāo)記稱為密級（ClassificationLevel）強(qiáng)制存取控制方法（續(xù)）強(qiáng)制存取控制規(guī)則(1)僅當(dāng)主體的許可證級別大于或等于客體的密級時(shí)，該主體才能讀取相應(yīng)的客體（即不能向上讀）(2)僅當(dāng)主體的許可證級別等于客體的密級時(shí)，該主體才能寫相應(yīng)的客體（即不能向下寫）修正規(guī)則主體的許可證級別<=客體的密級

主體能寫客體強(qiáng)制存取控制方法（續(xù)）規(guī)則的共同點(diǎn)禁止了擁有高許可證級別的主體更新低密級的數(shù)據(jù)對象主體絕密機(jī)密可信公開客體絕密機(jī)密可信公開讀取寫強(qiáng)制存取控制方法（續(xù)）MAC與DACDAC與MAC共同構(gòu)成DBMS的安全機(jī)制實(shí)現(xiàn)MAC時(shí)要首先實(shí)現(xiàn)DAC原因：較高安全性級別提供的安全保護(hù)要包含較低級別的所有保護(hù)強(qiáng)制存取控制方法（續(xù)）DAC+MAC安全檢查示意圖

SQL語法分析&語義檢查

DAC檢查安全檢查MAC檢查

繼續(xù)第四章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3視圖機(jī)制4.4審計(jì)（Audit）4.5數(shù)據(jù)加密4.6統(tǒng)計(jì)數(shù)據(jù)庫安全性4.7小結(jié)4.3視圖機(jī)制把要保密的數(shù)據(jù)對無權(quán)存取這些數(shù)據(jù)的用戶隱藏起來，對數(shù)據(jù)提供一定程度的安全保護(hù)主要功能是提供數(shù)據(jù)獨(dú)立性間接實(shí)現(xiàn)了支持存取謂詞的用戶權(quán)限定義視圖機(jī)制（續(xù)）[例14]建立計(jì)算機(jī)系學(xué)生的視圖，把對該視圖的SELECT權(quán)限授于王平，把該視圖上的所有操作權(quán)限授于張明先建立計(jì)算機(jī)系學(xué)生的視圖CS_Student

CREATEVIEWCS_StudentASSELECT*FROMStudentWHERESdept='CS'；視圖機(jī)制（續(xù)）在視圖上進(jìn)一步定義存取權(quán)限GRANTSELECTONCS_StudentTO王平；

GRANTALLPRIVILIGESONCS_StudentTO張明；4.2數(shù)據(jù)庫安全性控制4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3視圖機(jī)制4.4審計(jì)（Audit）4.5數(shù)據(jù)加密4.6統(tǒng)計(jì)數(shù)據(jù)庫安全性4.7小結(jié)4.4審計(jì)什么是審計(jì)審計(jì)日志（AuditLog）將用戶對數(shù)據(jù)庫的所有操作記錄在上面DBA利用審計(jì)日志找出非法存取數(shù)據(jù)的人、時(shí)間和內(nèi)容C2以上安全級別的DBMS必須具有審計(jì)（續(xù)）審計(jì)分為用戶級審計(jì)針對自己創(chuàng)建的數(shù)據(jù)庫表或視圖進(jìn)行審計(jì)記錄所有用戶對這些表或視圖的一切成功和（或）不成功的訪問要求以及各種類型的SQL操作系統(tǒng)級審計(jì)DBA設(shè)置監(jiān)測成功或失敗的登錄要求監(jiān)測GRANT和REVOKE操作以及其他數(shù)據(jù)庫級權(quán)限下的操作審計(jì)（續(xù)）AUDIT語句：設(shè)置審計(jì)功能NOAUDIT語句：取消審計(jì)功能審計(jì)（續(xù)）［例15］對修改SC表結(jié)構(gòu)或修改SC表數(shù)據(jù)的操作進(jìn)行審計(jì)AUDITALTER，