第5章 数据库加密与安全

主密钥
主密钥
Ek
Ek
密钥表明文数据 Ke 加密函数 密图5.2 密文数据库的建立
ID 用户密钥 安全核实 主密钥 密密钥表E（Ke）D(c) 解密
明文数据
图5.3 对密文数据库的访问过程
⑵子密钥数据库加密的密钥管理
用户密钥的产生如下图所示：
安全管理员 ID1 用户密钥K1
φ1
随机 序列 产生 器
表5.1描述控制访问雇员关系的访问规则的存取矩阵 5.1描述控制访问雇员关系的访问规则的存取矩阵
表5.1 存取访问矩阵 empempname 计账管 理员 一般管 理员 all read perspers-no all read address tel-no telall read all read salary all read
5.3.2 数据库安全模型
⑴ 基本的数据库存取控制模型 用矩阵A 用矩阵Am×n来表示存取控制模型，其中的行表示主体S1， 来表示存取控制模型，其中的行表示主体S S2，…，Sm ；列表示客体O1，O2，…，On；矩阵元素aij∈A， ；列表示客体O ；矩阵元素a 而aij=P（Si,Oj），即用A[Si,Oj]表示主体Si允许对客体Oj所作 ），即用A 表示主体S 允许对客体O 的存取操作类型：
5.2 数据库加密
数据库加密的特征 数据库加密的要求 数据库加密的方式 数据库加密的方法 数据库系统的密钥管理
5.2.1 数据库加密的特征
（1）数据库加密应采用公开密钥
对应的库名、表名、记录名、字段名都应该 具有自己的子密钥，这些子密钥组成了一个能够 随时加密解密的公开密钥。
（2）多级密钥结构
5.2.2 数据库加密的要求
5.4 ORACLE数据库系统安权子系统允许数据库管理人员和有特定访问权限的用 户有选择地、动态地把访问权授予其他用户。如果需要，还 可以收回这种权力。其权力存储在一张访问控制表中。 当一个新的用户要使用数据库资源时，首先要由数据库 管理人员或数据库拥有者对该用户注册，给该用户分配一个 口令，并授予使用相应系统资源的权力。以后该用户只要输 入正确的口令（授权子系统还要核对），就可使用相应资源。 分配口令使用grant语句，例如为了建立一个名为james并具 分配口令使用grant语句，例如为了建立一个名为james并具 有secreity口令的用户，数据库管理员输入的SQL语句为： secreity口令的用户，数据库管理员输入的SQL语句为： grant connect james identified by secreity ORACLE的安全设置允许数据库管理员（DBA）或表 ORACLE的安全设置允许数据库管理员（DBA）或表 的创建者使用SQL语言中grant和revoke命令来定义其他用 的创建者使用SQL语言中grant和revoke命令来定义其他用 户对数据的访问权。
（2）视图机构
进行存取权限控制时可以为不同的用户定义不同的视图， 把数据对象限制在一定的范围内。 ORACLE安全系统可以标 ORACLE安全系统可以标 识一组结构（视图），对这组结构进行授权。相对于这组结 构有一组访问方式，系统管理员或拥有者可根据不同的用户 要求，授予用户读（SQL的select）、修改（SQL的insert、 要求，授予用户读（SQL的select）、修改（SQL的insert、 update和delete）表中的列或视图的权限。 update和delete）表中的列或视图的权限。 例如假定james要在employees表上创建一个视图，此 例如假定james要在employees表上创建一个视图，此 视图仅包括在会计部门（accunting）工作的雇员acctgemps， 视图仅包括在会计部门（accunting）工作的雇员acctgemps， 则创建视图的命令为： create view acctgmps as select ∗ from employees where department= ‘accounting’ james现在可以给专职会计clark授权，james允许clark james现在可以给专职会计clark授权，james允许clark 查询视图中的所有数据，但仅能更改会计部门雇员的工作名 称job和修正他们的雇用日期hiredate。为了做到这一点， job和修正他们的雇用日期hiredate。为了做到这一点， james必须输入如下命令： james必须输入如下命令： grant select,update（job,hiredate）on acctgemps to clark select,update（job,hiredate）
⑶ 授权语言
① 用数据描述语言（DDL）授权 用数据描述语言（DDL）授权 利用数据描述语言可对各类别（如模式，域，记录或数 据项）进行描述并进行控制。 ② 通过查询语言授权 数据操纵语言（DML）语言可以用以下三种基本方式来 数据操纵语言（DML）语言可以用以下三种基本方式来 改变数据：insert——往表中插入新的数据行，update——对 改变数据：insert——往表中插入新的数据行，update——对 已存在的行更新列值，delete——从表中删去数据行。 已存在的行更新列值，delete——从表中删去数据行。 数据描述语言（DDL）语句用于创建数据库客体或删除 数据描述语言（DDL）语句用于创建数据库客体或删除 它们。DDL语句包括create 它们。DDL语句包括create table, create view, create index, alter table等以及相应的drop语句。 table等以及相应的drop语句。 数据控制语言（DCL）语句用来授予或撤消访问数据库 数据控制语言（DCL）语句用来授予或撤消访问数据库 的某种特权（比如grant, 的某种特权（比如grant, select, revoke, delete）。通过DCL delete）。通过DCL 语句，主用户（表的拥有者）可以向另一用户授权以便能使 用拥有者的数据，同时也可取消一个用户使用该数据的权力。 ③ 通过命令语言授权
明文记录
b1
b2
…
bk-1
bk
加密子密钥
M 1 ´M 1
M 2 ´M 2
Mk-1´Mk-1
Mk´Mk
加密
∑ Mod M x x mod mi bi
密文记录 解密
明文字段
图5.1 子密钥方法的加密、解密过程
5.2.5 数据库系统的密钥管理
数据库的密钥有多级：基于用户的密钥为用户密 钥，它是可变的；基于数据库级的密钥为数据库级 密钥；基于关系的密钥为关系密钥；基于记录级 （域级）的密钥为记录（域）密钥；数据项密钥。 数据库系统密钥产生、更新和管理应具备的条件： ① 产生重复密钥的概率要尽可能的低，特别对 同一域中的密钥，这样才能抗击密钥搜索的攻击和 已知明文攻击； ② 从一个数据项的密钥推导出另一个数据项的 密钥在计算上是不可行的； ③ 即使知道一些明文攻击元素或明文值的统计 分布，要从密文值中获取未知明文，在计算上是不 可行的。
第5章 数据库加密与安全
提 要
本章主要从数据库加密和数据库的安全访问控 制两个方面讲述数据库的安全问题。包括数据库安 全的重要性、数据库面临的安全威胁、数据库的加 密特点、数据库的加密方式、数据库的加密方法、 数据库的密钥管理方法、数据库的安全策略、数据 库的安全模型、授权系统等。最后介绍最有代表性 的数据库系统ORACLE和SYBASE的安全问题。 的数据库系统ORACLE和SYBASE的安全问题。
- a10 a20 A= … - am0 a11 a21 … am1 … … … … a1n a2n … amn - S1 S2 = … [O [O1,O2,…,On] ,…,O - Sm -
矩阵的第i 行表示主体S 矩阵的第i 行表示主体Si对所有客体的操作权限，矩阵的 第j 列表示客体Oj允许主体可进行的操作权限。 列表示客体O 在某个主体S 对客体O 在某个主体Si对客体Oj进行访问之前，访问控制机制需要 检查a ，以决定S 检查aij，以决定Si对Oj是否可以进行访问以及可进行什么样 的访问。
5.3.3 授权
⑴ 授权人员和主体 具有对描述所有主体权力的访问规则集合进行维护的人 就是授权人员。授权人员对访问规则的维护主要包括对主体 分配和收回特权等。 授权人员的权利一是建立客体者成为拥有者并具有对它 访问的一切权力，包括定义访问规则；二是把功能授权给某 个人（或多个人共同承担）， 主体是可以对被保护客体进行访问的任何人或实体，但 最重要的主体是用户，特别是数据库系统的终端用户。 ⑵ 客体 ① 客体的层次。客体的保护层次可在外部模式，也可在概念 模式 或内部物理）模式。 ② 粒度。通常粒度是文件，相当于关系数据库的关系。 ③ 视图作为客体。 ④ 访问类型。
⑵扩展的数据库存取控制模型 用四元组表示一个访问规则（S 用四元组表示一个访问规则（S，O，T，P），只有当 谓词P是真时，客体S才能对有关联的O进行T 谓词P是真时，客体S才能对有关联的O进行T操作。 ⑶多级安全模型 多级安全模型引入级和分类的概念，每个主体指定一个 许可级（clearance level）；每个客体有密级，对于军事部 许可级（clearance level）；每个客体有密级，对于军事部 门，这些密级也许是绝密、机密、秘密和无密级。代表一个 用户的执行进程（主体）具有用户同样的许可级。 客体可以是存储区域、程序变量、文件、I/O设备、用户 客体可以是存储区域、程序变量、文件、I/O设备、用户 或其他可保存的信息。每个主体和每个客体也有一个分类集 合。一个安全级是密级和分类集合的组合。 一个安全级只有在下述情况下才可以控制另一个安全级： ①它的密级或许可级大于等于另一个的密级或许多级；②它 的分类级别包含另一个的分类级别。 多级模型考虑了保密系统的状态，它由如下参数描述： ①当前的访问集合（主体，客体，访问类型），即（S ①当前的访问集合（主体，客体，访问类型），即（S，O， T）；②访问矩阵；③每个主体的安全级；④每个客体最大 安全级别和当前的安全级别。