第6-1 数据库安全

由此可见整个访问控制过程分为两部分, 即访问 权限与角色相关联, 角色再与用户相关联, 从而实 现用户与访问权限的逻辑分离, 实现数据库的安 全性。 由于RBAC相对于DAC和MAC使得访问控制在实 现和管理上更具有灵活性，既实现了自主访问控 制又实现了强制访问控制，加上它与策略无关， 可灵活地适用于各种不同的安全策略，因此 RBAC被认为是一种更适用于数据库应用层的安 全模型。
计算机系统的三类安全性问题
• 计算机系统安全性
– 为计算机系统建立和采取的各种安全保护措施， 以保护计算机系统中的硬件、软件及数据，防 止其因偶然或恶意的原因使系统遭到破坏，数 据遭到更改或泄露等。
计算机系统的三类安全性问题（ 计算机系统的三类安全性问题（续）
• 三类计算机系统安全性问题
– 技术安全类 – 管理安全类 – 政策法律类
【例6.1】 建立XS表中所有男同学的视图ST_XS，把对该视 】 图的SELECT权限授予王林，所有操作权限授予程明。 CREATE VIEW ST_XS AS /*建立视图 ST_XS*/ SELECT * FROM XS WHERE 性别='男' GO GRANT SELECT ON ST_XS TO 王林 GRANT ALL PRIVILEGES ON ST_XS TO 程小明
第6章 数据库安全
• 问题的提出 – 数据库的一大特点是数据可以共享 – 数据共享必然带来数据库的安全性问题 – 数据库系统中的数据共享不能是无条件的共享
例： 军事秘密、国家机密、新产品实验数据、 市场需求分析、市场营销策略、销售计划、 客户档案、医疗档案、银行储蓄数据
数据库安全性
6.1 数据库安全性 6.2 数据库安全技术 6.3 用户访问数据权限的管理 6.4 基于角色的数据访问权限管理
6.1 数据库安全性 通常从以下几方面考虑数据库的安全性： ● 可审计性。可以追踪存取和修改数据库数 据的用户。 ● 访问控制。确保只有授权的用户才能访问 数据库，不同的用户有不同的访问权限。 ● 身份验证。不管是审计追踪或者是对某一 数据库的访问都要经过严格的身份验证。 ● 可用性。对授权的用户可随时进行数据库 访问。
• 数据库安全性控制的常用方法
– 用户标识和鉴定 – 存取控制 – 视图 – 审计 – 密码存储
6.2 数据库安全技术
6.2.1 用户身份认证(用户的识别与鉴别)
系统认证模式是指当用户进行访问数据库系统时系统给予的确认 方式，这是数据库管理系统提供的最外层安全保护措施，主要体现在 当用户登录时，系统对该用户的账号和口令进行认证，包括确认用户 账号是否有效，以及能否访问数据库系统。 一个系统通常提供多种验证方式供用户选择，例如，SQL Server 2005提供了Windows认证模式和SQL Server认证模式。在Windows 认证模式下，用户的身份验证由操作系统完成。SQL Server认证模式 下，由DBMS进行用户认证机制。 随着网络技术的发展，已经有许多网络安全认证系统可对数据库 用户身份认证，用户通过提供身份证明（如采用智能卡、安全令牌、 生物特征等）响应验证请求。
由 下 向 程 度 逐 渐 增 高 可 信 或 靠 可 统 系 上
A1 B3 B2 B1 C2 C1 D
TCSEC/TDI安全级别划分（续） 安全级别划分（ 安全级别划分 • B2以上的系统
– 还处于理论研究阶段 – 应用多限于一些特殊的部门，如军队等 – 美国正在大力发展安全产品，试图将目前仅限 于少数领域应用的B2安全级别下放到商业应用 中来，并逐步成为新的商业标准
6.2.2 数据访问控制
• 存取控制机制组成
– 定义用户权限 – 合法权限检查
• 用户权限定义和合法权检查机制一起组成 了 DBMS的安全子系统
存取控制
• 常用存取控制方法
– 自主存取控制（Discretionary Access Control ， 简称DAC）
C2级 灵活
– 强制存取控制（Mandatory Access Control， 简称 MAC）
6.2.5 数据库加密
• 数据加密
– 防止数据库中数据在存储和传输中失密的有效手段
• 加密的基本思想 数据加密的基本思想就是将原始数据（明文）通过一定的算法变换为 无法直接辨认的数据（密文）。数据解密是加密的逆过程，即将密文 转换成可识别的明文。 • 数据库中的数据加密后，可以保证只有知道密钥的用户才能访问数据， 在数据传输过程中即使被截取，如果没有密钥，窃取者也无法知道数 据的含义，从而大大提高了关键数据的安全性。
CC • CC
– 提出国际公认的表述信息技术安全性的结构 – 把信息产品的安全要求分为
安全功能要求 安全保证要求
CC（续） （
• CC文本组成
– 简介和一般模型 – 安全功能要求 – 安全保证要求
CC（续） （
• CC评估保证级划分
定 义 TCSEC安全级别（近似 相当） C1 C2 B1 B2 B3 功能测试（functionally tested） 结构测试（structurally tested） 系统地测试和检查（methodically tested and checked） 系统地设计、测试和复查（methodically designed， tested， and reviewed） 半形式化设计和测试（semiformally designed and tested） 半形式化验证的设计和测试（semiformally verified design and tested） EAL7 形式化验证的设计和测试（formally verified design and tested） A1
• 修正规则
– 主体的许可证级别 <=客体的密级 主体能写客体
强制存取控制方法（续） 强制存取控制方法（
• 规则的共同点 禁止了拥有高许可证级别的主体更新低密级的数 据对象
MAC与DAC 与
• DAC与MAC共同构成DBMS的安全机制 • 实现MAC时要首先实现DAC
– 原因：较高安全性级别提供的安全保护要包含较 低级别的所有保护
4.1.2 安全标准简介 • TCSEC标准
• CC标准
安全标准简介（ 安全标准简介（续）
信息安全标准的发展历史
安全标准简介（ 安全标准简介（续） • TCSEC/TDI标准的基本内容
– TCSEC/TDI，从四个方面来描述安全性级别划 分的指标 安全策略 责任 保证 文档
TCSEC/TDI安全级别划分 安全级别划分 • TCSEC/TDI安全级别划分
– 角色是权限的集合 – 可以为一组具有相同权限的用户创建一个角色 – 简化授权的过程
基于角色访问控制（RBAC）的思想核心是完全授权和角 色相联系，它与传统访问控制的差别在于：在用户和访问许 可权之间引入了角色这个层次。 角色是访问权限的集合。用户首先要成为相应角色的成员， 才能获得该角色的对应权限。管理员通过指定用户为特定的 角色，从而进行授权。当用户被赋予一个角色时，用户就具 有这个角色所包含的所有访问权。 用户和角色之间是多对多的关系。对于存在着大量用户和 权限分配的系统而言，将大量的用户管理转为管理、操纵少 量的角色，简化了授权管理，提高了管理效率和质量。
自主存取控制方法
• 通过 SQL 的 GRANT 语句和 REVOKE 语句实现 • 用户权限组成
数据对象 操作类型
• 定义用户存取权限：定义用户可以在哪些数据库 对象上进行哪些类型的操作 • 定义存取权限称为授权
自主存取控制缺点
• 可能存在数据的“无意泄露” • 原因：这种机制仅仅通过对数据的存取权限来进行安 全控制，而数据本身并无安全性标记, 用户可以“自 主”地决定将数据的权限授予何人 • 解决：对系统控制下的所有主客体实施强制存取控制 策略
数据库安全性控制概述
• 非法使用数据库的情况
– 编写合法程序绕过DBMS及其授权机制 – 直接或编写应用程序执行非授权操作 – 通过多次合法查询数据库从中推导出一些保密 数据
数据库安全性控制概述（续） 数据库安全性控制概述（
– 计算机系统中，安全措施是一级一级层层设置
计算机系统的安全模型
数据库安全性控制概述（续） 数据库安全性控制概述（
强制存取控制方法（ 强制存取控制方法（续）
DAC + MAC安全检查示意图 SQL语法分析 & 语义检查 DAC 检 查 安全检查 MAC 检 查
继续
先进行DAC检查，通过DAC检查的数据对象再由系统进行MAC检查， 只有通过MAC检查的数据对象方可存取。
6.2.3 基于角色的访问控制
• 数据库角色：被命名的一组与数据库操作 相关的权限
评估保证 级 EAL1 EAL2 EAL3 EAL4 EAL5 EAL6
1999年我国颁布了信息安全评估级别GB 17859—1999 （图6.2），《计算机信息系统安全保护等级划分准则》。 该标准将计算机信息系统的安全等级分为五级。
图6.1 TCSEC数据安全级别
图6.2 GB 17859—1999 数据安全级
B1级 严格
1．自主访问控制 自主访问控制（DAC）是一种基于存取者身份或所属工 作组对数据的访问权限进行控制的手段，大多数DBMS都支 持DAC，其控制机制主要包括两部分： ① 提供定义用户权限的功能，并将实际的权限定义登记 到数据字典中； ② 进行权限检查，当用户发出数据库存取操作请求时， DBMS根据数据字典中登记的权限和安全性规则进行访问的 合法性检查，若用户的操作请求不合法，则拒绝数据访问。
6.2.4 视图
• 把要保密的数据对无权存取这些数据的用户隐 藏起来，对数据提供一定程度的安全保护
– 主要功能是提供数据独立性，无法完全满足要求 – 间接实现了支持存取谓词的用户权限定义
视图技术是保证数据库安全的一个重要手段，它可以把 要保密的数据对无权存取的用户隐藏起来，从而对数据提 供一定程度的安全保护。通过视图可实现如下功能： ① 可以限制用户只看到表中的某些行，例如，通过视图 可以限制学生只能看到跟自己有关的借阅记录； ② 可以限制用户只看到表中的某些列，如果表中的某些 列保存的是敏感数据，可以通过定义视图屏蔽敏感的数据 列，使用户只查询到非敏感数据列； ③ 将多个表中的列组合起来。使得这些列看起来就像一 个简单的数据库表。