第7章_分布式数据库的安全性与目录管理_2

7.2.4 基于安全性分类级别标记的强制访问控制 主体安全标记
• 由系统安全员指派给用户 也是用户向系统登录 由系统安全员指派给用户, 时使用的安全标记. 时使用的安全标记 一个用户可以申请不同的许 可证. 可证
读写策略
• 当且仅当 Level_o <= Level_s, 并且 并且Scope_o ⊆ Scope_s 时, 主体才能读客体 • 当且仅当 Level_o = Level_s, 并且 并且Scope_o = Scope_s 时, 主体才能写客体
软件学院
权 限 控 制
回顾-基于授予 收回权限的自主访问控制 回顾 基于授予/收回权限的自主访问控制 基于授予
更新数据库模式权的的形式: 更新数据库模式权的的形式 索引权 - 允许创建和删除索引 资源权 - 允许创建新关系 修改权 - 允许增加或删除关系中的属性 删除权 - 允许删除关系 权与视图 用户可以将某个权授给视图 视图可以通过限制用户访问的数据而加强数据库 的安全性 关系层和视图层的安全组合可以精确地限制用户 只对其应用需要的数据访问
– level: 密级 分为绝密 密级, 分为绝密(TS), 秘密 秘密(S), 机密（C）, 普通（U 机密（ ） 普通（ ） – Scope: 领域
• 当A ∠ B时, 允许 类信息流向 类. 类信息流向B类 时 允许A类信息流向
软件学院
7.2.4 基于安全性分类级别标记的强制访问控制 客体安全标记
难 点
基于安全性分类级别标记的强制访问控制 DDB目录系统的组织方式和逻辑结构 目录系统的组织方式和逻辑结构 软件学院
7.2 安全数据模型与多级安全数据库
数据库安全术语和基本概念 基于授予/收回权限的自主访问控制 多级安全BLP模型 基于安全性分类级别标记的强制访问控制
软件学院
7.2.4 基于安全性分类级别标记的强制访问控制
软件学院
7.3 计算机系统与 计算机系统与DBMS的安全评估标准 的安全评估标准
计算机系统的安全评估标准 DBMS的安全评估标准 的安全评估标准 当前流行的几种RDBMS安全机制 安全机制 当前流行的几种
软件学院
7.3.1 计算机系统的安全评估标准
计算机系统的安全标准 1983年美国防部桔皮书 可信计算机系统评估标准 年美国防部桔皮书<可信计算机系统评估标准 年美国防部桔皮书 可信计算机系统评估标准> TCSEC 1990年欧洲白皮书 信息技术安全评估标准 ITSEC 年欧洲白皮书<信息技术安全评估标准 年欧洲白皮书 信息技术安全评估标准> 美国、加拿大和欧洲四国联合研制的<信息技术安全评测 美国、加拿大和欧洲四国联合研制的 信息技术安全评测 公共标准>CC 公共标准>CC 1994年我国 中华人民共和国计算机系统安全保护条例 年我国<中华人民共和国计算机系统安全保护条例 年我国 中华人民共和国计算机系统安全保护条例> 1999年我国 年我国GB17859-1999<中华人民共和国计算机信息 中华人民共和国计算机信息 年我国 系统安全保护登记划分规则> 系统安全保护登记划分规则 TCSEC将安全分为四类 个级别 将安全分为四类7个级别 将安全分为四类 D类，最低安全级别，只有一个级别 级 类 最低安全级别，只有一个级别D级
关系实例 r (A1, C1, A2, C2,……., An, Cn, TC) 关系实例中元组 t (a1, c1, a2, c2,……., an, cn, tc) ci∈[Li, Hi], tc=lub(ci : i=1,2,…,n) ∈ 不同级别的主体对关系实例有不同的视图
软件学院
7.2.4 基于安全性分类级别标记的强制访问控制
(c) EMPLOYEE：具有许可证级别U的用户所看到的 ：具有许可证级别 的用户所看到的 的用户所看到的EMPLOYEE关系 关系 Name Smith U Salary null U JobPerformance null U TC U
(d) EMPLOYEE：Smith元组的多重实例 ： 元组的多重实例 Name Smith U Smith U Brown C Salary 40000 C 40000 C 80000 S JobPerformance Fair S Excellent C Good C TC S C C
软件学院
权 限 控 制
回顾-多级安全 回顾 多级安全BLP模型 多级安全 模型
发展历史 D.E.Bell和 Padula 于1973年模拟军事安全策 和 年模拟军事安全策 略创建的计算机系统安全模型, 年改进 年改进, 年用于 略创建的计算机系统安全模型 74年改进 76年用于 Multics操作系统 操作系统 形式化定义 状态机模型
软件学院
7.2.4 基于安全性分类级别标记的强制访问控制
基于标记的多级安全关系 对关系的扩展 将关系R(A1, A2, ……., An)扩展为 将关系 扩展为
R(A1, C1, A2, C2,……., An, Cn, TC),
• Ci是Ai的定义域 由区间 [Li, Hi] 表示从 到Hi的访问类子格 的定义域, 表示从Li到 的访问类子格 的访问类子格, 是 的定义域 • TC是整个元组的安全标记 由区间 是整个元组的安全标记, 是整个元组的安全标记 [ [lub{Li:i=1,…,n}], [lub{Hi:i=1,…,n}] ] 表示 表示.
数据库安全术语和基本概念 基于授予/收回权限的自主访问控制 基于授予 收回权限的自主访问控制 多级安全BLP模型 模型 多级安全 基于安全性分类级别标记的强制访问控制
软件学院
回顾-基于授予 收回权限的自主访问控制 回顾 基于授予/收回权限的自主访问控制 基于授予
当主体访问客体时, 要进行访问的合法性检查. 当主体访问客体时 要进行访问的合法性检查 “知必所需” 原则 限制用户只能知道授权他知道的 知必所需” 知必所需 原则: 最小特权原则) 那些数据对象(最小特权原则 那些数据对象 最小特权原则 数据库部分的权的形式: 数据库部分的权的形式 允许读, 读权 - 允许读 但是不能修改数据 允许插入新数据, 插入权 - 允许插入新数据 但不能修改已存在的数 据 允许修改, 修改权 - 允许修改 但不能删除数据 删除权 - 允许删除数据
教学内 容
1 基于安全性分类级别标记的强制访问控制
计算机系统与DBMS的安全评估标准 的安全评估标准 2 计算机系统与
3 分布式数据库的目录结构和管理
软件学院
教学目标
理解基于安全性分类级别标记的强制访问控制 重 了解当前流行的几种RDBMS安全机制 安全机制 了解当前流行的几种 点 掌握DDB目录系统的组织方式和逻辑结构 目录系统的组织方式和逻辑结构 掌握
第7章 分布式数据库的安全性与目录管理 章
褚龙现 chulongxian@
L/O/G/O
回顾-分布式数据库安全需求和安全措施分析 回顾 分布式数据库安全需求和安全措施分析
安全层次 物理层 用户层 OS层 层 网络层 数据库系统
软件学院
回顾-安全数据模型与多级安全数据库 回顾 安全数据模型与多级安全数据库
B类：强制保护类, 基于主体与客体各自所具有的敏感 类 强制保护类 度标记的控制关系来决定主体对客体的访问
• B1级：标记安全(强制存取控制 敏感标记 级 标记安全 强制存取控制 敏感标记) 强制存取控制, • B2级：结构化保护(形式化模型 隐蔽通道约束 级 结构化保护 形式化模型 隐蔽通道约束) 形式化模型, • B3级：安全域保护(安全内核 高抗渗透 级 安全域保护 安全内核 高抗渗透) 安全内核,
• 为实现强制访问控制 对数据进行标记 按粒度 为实现强制访问控制, 对数据进行标记, 分为三级
– 基于元组的标记 (A1, A2, ……., An, TC) Ai，关系的每个属性 ， TC，元组分类属性 ， – 基于主键的标记 (A1, C1, A2, ……., An, TC) Ci，与每个属性 相关联的分类级别属性 ，与每个属性Ai相关联的分类级别属性 – 基于每个属性的标记 (A1, C1, A2, C2, ……., An, Cn, TC) 软件学院
软件学院
7.3.1 计算机系统的安全评估标准
C类：自主保护类 , 基于主体身份来限制对客体访问 类 基于主体身份来限制对客体访问, 主体可自主地决定其权限的授与
• C1级：自主安全 (自主存取控制 审计 级 自主存取控制, 自主存取控制 审计) • C2级：可控存取 (比C1更强 级 更强) 比 更强
自主保护等级
C1 C2
自主安全保护 可控存取保护 标记安全保护 结构化保护 安全域保护 可验证保护
自主存取控制， 自主存取控制，审计功能 比C1级更强的自主存取 控制， 控制，审计功能 强制存取控制， 强制存取控制，敏感度标记 形式化模型， 形式化模型，隐蔽通道约束 安全内核， 安全内核，高抗渗透能力 形式化安全验证， 形式化安全验证， 隐蔽通道分析
• 它形式化定义了模型中的概念，证明了其中的定理和结论， 它形式化定义了模型中的概念，证明了其中的定理和结论， 并表明系统可通过数学推导证明其自身的安全性
系统状态
• 状态 ∈V ， V=(B× M × F × H) 状态v × • B:当前存取集 B ⊆ (S × O × A) ,S: 主体集 O: 客体集 ;A: 当前存取集, 主体集; 当前存取集 访问方式集合, 访问方式集合 有Read(R), Write(W), Execute (E), Append (A) 软件学院
1991年Jajodia和Sandhu提出的一种实现强制访问控制的 年 和 提出的一种实现强制访问控制的RDB系统 系统 提出的一种实现强制访问控制的 DAC和DAC 和 自主访问控制， 自主访问控制，在关系上授权和收回特权 强制访问控制，在安全类别基础上， 强制访问控制，在安全类别基础上，对数据和用户进行分类 基础 主体集S, 客体集O 主体集 客体集 每个主体s, 存在固定的安全类class(S) 每个主体 存在固定的安全类 每个客体o, 存在固定的安全类class(O) 每个客体 存在固定的安全类 简单安全特性: 可以读O 下读) 简单安全特性 if class(O) <= class(S) 时, S可以读 (下读 可以读 下读 *特性 if class(S) <= class(O)时, S才可以写 ( 上写 特性: 才可以写O 上写) 特性 时 才可以写