《数据库安全性》PPT课件.ppt

,数据库系统概论AnIntroductiontoDatabaseSystem第四章数据库安全性,中国人民大学信息学院,数据库安全性,问题的提出数据库的一大特点是数据可以共享数据共享必然带来数据库的安全性问题数据库系统中的数据共享不能是无条件的共享例：军事秘密、国家机密、新产品实验数据、市场需求分析、市场营销策略、销售计划、客户档案、医疗档案、银行储蓄数据,数据库安全性（续）,数据库的安全性是指保护数据库以防止不合法使用所造成的数据泄露、更改或破坏。系统安全保护措施是否有效是数据库系统主要的性能指标之一。,第四章数据库安全性,4.1数据库安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其他安全性保护4.7小结,4.1数据库安全性概述,4.1.1数据库的不安全因素4.1.2安全标准简介,1.非授权用户对数据库的恶意存取和破坏一些黑客（Hacker）和犯罪分子在用户存取数据库时猎取用户名和用户口令，然后假冒合法用户偷取、修改甚至破坏用户数据。数据库管理系统提供的安全措施主要包括用户身份鉴别、存取控制和视图等技术。,4.1.1数据库的不安全因素,2.数据库中重要或敏感的数据被泄露黑客和敌对分子千方百计盗窃数据库中的重要数据，一些机密信息被暴露。数据库管理系统提供的主要技术有强制存取控制、数据加密存储和加密传输等。审计日志分析,数据库的不安全因素（续）,数据库的不安全因素（续）,3.安全环境的脆弱性数据库的安全性与计算机系统的安全性紧密联系计算机硬件、操作系统、网络系统等的安全性建立一套可信（Trusted）计算机系统的概念和标准,4.1数据库安全性概述,4.1.1数据库的不安全因素4.1.2安全标准简介,4.1.2安全标准简介,1985年美国国防部（DoD）正式颁布DoD可信计算机系统评估准则（简称TCSEC或DoD85）不同国家建立在TCSEC概念上的评估准则欧洲的信息技术安全评估准则（ITSEC）加拿大的可信计算机产品评估准则（CTCPEC）美国的信息技术安全联邦标准（FC）,安全标准简介（续）,1993年，CTCPEC、FC、TCSEC和ITSEC联合行动，解决原标准中概念和技术上的差异，称为CC（CommonCriteria）项目1999年CCV2.1版被ISO采用为国际标准2001年CCV2.1版被我国采用为国家标准目前CC已基本取代了TCSEC，成为评估信息产品安全性的主要标准。,安全标准简介（续）,信息安全标准的发展历史,安全标准简介（续）,TCSEC标准CC标准,TCSEC标准,1991年4月美国NCSC（国家计算机安全中心）颁布了可信计算机系统评估标准关于可信数据库系统的解释（TrustedDatabaseInterpretation简称TDI）TDI又称紫皮书。它将TCSEC扩展到数据库管理系统TDI中定义了数据库管理系统的设计与实现中需满足和用以进行安全性级别评估的标准,TCSEC标准（续）,TCSEC/TDI标准的基本内容TCSEC/TDI，从四个方面来描述安全性级别划分的指标安全策略责任保证文档,TCSEC/TDI安全级别划分,TCSEC/TDI安全级别划分,TCSEC/TDI安全级别划分（续）,四组（division）七个等级DC（C1，C2）B（B1，B2，B3）A（A1）按系统可靠或可信程度逐渐增高各安全级别之间具有一种偏序向下兼容的关系，即较高安全性级别提供的安全保护要包含较低级别的所有保护要求，同时提供更多或更完善的保护能力,TCSEC/TDI安全级别划分（续）,D级将一切不符合更高标准的系统均归于D组典型例子：DOS是安全标准为D的操作系统DOS在安全性方面几乎没有什么专门的机制来保障,TCSEC/TDI安全级别划分（续）,C1级非常初级的自主安全保护能够实现对用户和数据的分离，进行自主存取控制（DAC），保护或限制用户权限的传播。现有的商业系统稍作改进即可满足,TCSEC/TDI安全级别划分（续）,C2级安全产品的最低档次提供受控的存取保护，将C1级的DAC进一步细化，以个人身份注册负责，并实施审计和资源隔离达到C2级的产品在其名称中往往不突出“安全”（Security）这一特色典型例子Windows2000Oracle7,TCSEC/TDI安全级别划分（续）,B1级标记安全保护。“安全”（Security）或“可信的”（Trusted）产品。对系统的数据加以标记，对标记的主体和客体实施强制存取控制（MAC）、审计等安全机制B1级典型例子操作系统惠普公司的HP-UXBLSrelease9.09+数据库Oracle公司的TrustedOracle7Sybase公司的SecureSQLServerversion11.0.6,AnIntroductiontoDatabaseSystem,TCSEC/TDI安全级别划分（续）,B2级结构化保护建立形式化的安全策略模型并对系统内的所有主体和客体实施DAC和MAC,AnIntroductiontoDatabaseSystem,TCSEC/TDI安全级别划分（续）,B3级安全域该级的TCB必须满足访问监控器的要求，审计跟踪能力更强，并提供系统恢复过程A1级验证设计，即提供B3级保护的同时给出系统的形式化设计说明和验证以确信各安全保护真正实现。,CC,CC提出国际公认的表述信息技术安全性的结构把信息产品的安全要求分为安全功能要求安全保证要求,CC（续）,CC文本组成简介和一般模型有关术语、基本概念和一般模型以及与评估有关的一些框架安全功能要求列出了一系列类、子类和组件安全保证要求列出了一系列保证类、子类和组件提出了评估保证级（EvaluationAssuranceLevel，EAL），从EAL1至EAL7共分为七级,CC（续）,CC评估保证级（EAL）划分,第四章数据库安全性,4.1数据库安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其他安全性4.7小结,4.2数据库安全性控制,非法使用数据库的情况编写合法程序绕过数据库管理系统及其授权机制直接或编写应用程序执行非授权操作通过多次合法查询数据库从中推导出一些保密数据,数据库安全性控制（续）,计算机系统中，安全措施是一级一级层层设置,计算机系统的安全模型,数据库安全性控制（续）,系统根据用户标识鉴定用户身份，合法用户才准许进入计算机系统数据库管理系统还要进行存取控制，只允许用户执行合法操作操作系统有自己的保护措施数据以密码形式存储到数据库中,数据库安全性控制（续）,数据库管理系统安全性控制模型,存取控制流程首先，数据库管理系统对提出SQL访问请求的数据库用户进行身份鉴别，防止不可信用户使用系统。然后，在SQL处理层进行自主存取控制和强制存取控制，进一步可以进行推理控制。还可以对用户访问行为和系统关键操作进行审计，对异常用户行为进行简单入侵检测。,数据库安全性控制（续）,数据库安全性控制（续）,数据库安全性控制的常用方法用户标识和鉴定存取控制视图审计数据加密,4.2数据库安全性控制,4.2.1用户身份鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权：授予与回收4.2.5数据库角色4.2.6强制存取控制方法,4.2.1用户身份鉴别,用户身份鉴别（Identification,语义：将对指定操作对象的指定操作权限授予指定的用户,GRANT（续）,发出GRANT：数据库管理员数据库对象创建者（即属主Owner）拥有该权限的用户接受权限的用户一个或多个具体用户PUBLIC（即全体用户）,WITHGRANTOPTION子句,WITHGRANTOPTION子句:指定：可以再授予没有指定：不能传播不允许循环授权,例题,授一种权限给一个用户例4.1把查询Student表权限授给用户U1GRANTSELECTONTABLEStudentTOU1;,例题（续）,授全部权限给一个用户例4.2把对Student表和Course表的全部权限授予用户U2和U3GRANTALLPRIVILIGESONTABLEStudent,CourseTOU2,U3;,例题（续）,授一项权限给所有用户例4.3把对表SC的查询权限授予所有用户GRANTSELECTONTABLESCTOPUBLIC;,例题（续）,指定属性列授权例4.4把查询Student表和修改学生学号的权限授给用户U4GRANTUPDATE(Sno),SELECTONTABLEStudentTOU4;对属性列的授权时必须明确指出相应属性列名,例题（续）,授权传播例4.5把对表SC的INSERT权限授予U5用户，并允许他再将此权限授予其他用户GRANTINSERTONTABLESCTOU5WITHGRANTOPTION;,传播权限,执行例4.5后，U5不仅拥有了对表SC的INSERT权限，还可以传播此权限：例4.6GRANTINSERTONTABLESCTOU6WITHGRANTOPTION;同样，U6还可以将此权限授予U7：例4.7GRANTINSERTONTABLESCTOU7;但U7不能再传播此权限。,注意切换用户！,注意：此时用户为U6,传播权限（续）,执行了例4.1例4.7语句后学生-课程数据库中的用户权限定义表,授权：授予与回收（续）,2.REVOKE授予的权限可以由数据库管理员或其他授权者用REVOKE语句收回REVOKE语句的一般格式为：REVOKE,.ON,FROM,.CASCADE|RESTRICT;,REVOKE（续）,收回一个用户的一项权限例4.8把用户U4修改学生学号的权限收回REVOKEUPDATE(Sno)ONTABLEStudentFROMU4;,REVOKE（续）,收回所有用户的一项权限例4.9收回所有用户对表SC的查询权限REVOKESELECTONTABLESCFROMPUBLIC;,REVOKE（续）,收回传播的权限例4.10把用户U5对SC表的INSERT权限收回REVOKEINSERTONTABLESCFROMU5CASCADE;若存在授权传播则应该使用CASCADE，否则拒绝执行该语句注意：如果U6或U7还从其他用户处获得对SC表的INSERT权限，则他们仍具有此权限,REVOKE（续）,执行例4.84.10语句后学生-课程数据库中的用户权限定义表,小结:SQL灵活的授权机制,数据库管理员：拥有所有对象的所有权限根据实际情况不同的权限授予不同的用户用户：拥有自己建立的对象的全部的操作权限可以使用GRANT，把权限授予其他用户被授权的用户如果具有“继续授权”的许可，可以把获得的权限再授予其他用户所有授予出去的权力在必要时又都可用REVOKE语句收回,授权：授予与回收（续）,3.创建数据库模式的权限数据库管理员在创建用户时实现CREATEUSER语句格式CREATEUSERWITHDBA|RESOURCE|CONNECT;注：CREATEUSER不是ISO标准,授权：授予与回收（续）,CREATEUSER语句格式说明一个新的数据库用户仅由超级用户创建新创建的数据库用户有三种权限：CONNECT、RESOURCE和DBA拥有CONNECT权限的用户不能创建新用户，不能创建模式，也不能创建基本表，只能登录数据库,AnIntroductiontoDatabaseSystem,授权：授予与回收（续）,RESOURCE权限：创建基本表和视图，为所创建对象的owner。不能创建模式，不能创建新的用户DBA权限（超级用户）：创建新的用户、创建模式、创建基本表和视图等；拥有所有权限，且能授权,授权：授予与回收（续）,权限与可执行的操作对照表,4.2数据库安全性控制,4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权：授予与回收4.2.5数据库角色4.2.6强制存取控制方法,4.2.5数据库角色,数据库角色：被命名的一组与数据库操作相关的权限角色是权限的集合可以为一组具有相同权限的用户创建一个角色作用：简化授权的过程,数据库角色的应用,1.角色的创建CREATEROLE2.给角色授权GRANT,ON对象名TO,数据库角色（续）,3.将一个角色授予其他的角色或用户GRANT,TO,WITHADMINOPTION指定了WITHADMINOPTION则获得某种权限的角色或用户还可以把这种权限授予其他角色,4.角色权限的收回REVOKE,ONFROM,REVOKE执行者是角色的创建者拥有在这个（些）角色上的ADMINOPTION,数据库角色（续）,数据库角色（续）,例4.11通过角色来实现将一组权限授予一个用户。步骤如下：（1）首先创建一个角色R1CREATEROLER1;（2）然后使用GRANT语句，使角色R1拥有Student表的SELECT、UPDATE、INSERT权限GRANTSELECT,UPDATE,INSERTONTABLEStudentTOR1;,数据库角色（续）,（3）将这个角色授予王平，张明，赵玲。使他们具有角色R1所包含的全部权限GRANTR1TO王平,张明,赵玲;（4）可以一次性通过R1来回收王平的这3个权限REVOKER1FROM王平;,数据库角色（续）,向角色添加授权例4.12角色的权限修改GRANTDELETEONTABLEStudentTOR1;使角色R1在原来的基础上增加了Student表的DELETE权限,数据库角色（续）,收加角色权限例4.13REVOKESELECTONTABLEStudentFROMR1；使R1减少了SELECT权限,4.2数据库安全性控制,4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制方法,自主存取控制缺点,可能存在数据的“无意泄露”原因：这种机制仅仅通过对数据的存取权限来进行安全控制，而数据本身并无安全性标记解决：对系统控制下的所有主客体实施强制存取控制策略,4.2.6强制存取控制方法,强制存取控制（MAC）保证更高程度的安全性用户不能直接感知或进行控制适用于对数据有严格而固定密级分类的部门军事部门政府部门,强制存取控制方法（续）,在强制存取控制中，数据库管理系统所管理的全部实体被分为主体和客体两大类主体是系统中的活动实体数据库管理系统所管理的实际用户代表用户的各进程客体是系统中的被动实体，受主体操纵文件、基本表、索引、视图,强制存取控制方法（续）,敏感度标记（Label）对于主体和客体，DBMS为它们每个实例（值）指派一个敏感度标记（Label）敏感度标记分成若干级别绝密（TopSecret，TS）机密（Secret，S）可信（Confidential，C）公开（Public，P）TS=S=C=P主体的敏感度标记称为许可证级别（ClearanceLevel）客体的敏感度标记称为密级（ClassificationLevel）,强制存取控制方法（续）,强制存取控制规则（1）仅当主体的许可证级别大于或等于客体的密级时，该主体才能读取相应的客体（2）仅当主体的许可证级别小于或等于客体的密级时，该主体才能写相应的客体,强制存取控制方法（续）,强制存取控制（MAC）是对数据本身进行密级标记，无论数据如何复制，标记与数据是一个不可分的整体，只有符合密级标记要求的用户才可以操纵数据。实现强制存取控制时要首先实现自主存取控制原因：较高安全性级别提供的安全保护要包含较低级别的所有保护自主存取控制与强制存取控制共同构成数据库管理系统的安全机制,DAC+MAC安全检查,SQL语法分析,视图机制（续）,在视图上进一步定义存取权限GRANTSELECTONCS_StudentTO王平;GRANTALLPRIVILIGESONCS_StudentTO张明;,第四章数据库安全性,4.1数据库安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其他安全性保护4.7小结,4.4审计,什么是审计启用一个专用的审计日志（AuditLog）将用户对数据库的所有操作记录在上面审计员利用审计日志监控数据库中的各种行为，找出非法存取数据的人、时间和内容C2以上安全级别的DBMS必须具有审计功能,AnIntroductiontoDatabaseSystem,审计（续）,审计功能的可选性审计很费时间和空间DBA可以根据应用对安全性的要求，灵活地打开或关闭审计功能审计功能主要用于安全性要求较高的部门,审计（续）,1.审计事件服务器事件审计数据库服务器发生的事件系统权限对系统拥有的结构或模式对象进行操作的审计要求该操作的权限是通过系统权限获得的语句事件对SQL语句，如DDL、DML、DQL及DCL语句的审计模式对象事件对特定模式对象上进行的SELECT或DML操作的审计,审计（续）,2.审计功能基本功能提供多种审计查阅方式提供多种审计查阅方式多套审计规则：一般在初始化设定提供审计分析和报表功能审计日志管理功能防止审计员误删审计记录，审计日志必须先转储后删除对转储的审计记录文件提供完整性和保密性保护只允许审计员查阅和转储审计记录，不允许任何用户新增和修改审计记录等提供查询审计设置及审计记录信息的专门视图,审计（续）,3.AUDIT语句和NOAUDIT语句AUDIT语句：设置审计功能NOAUDIT语句：取消审计功能,用户级审计任何用户可设置的审计主要是用户针对自己创建的数据库表和视图进行审计系统级审计只能由数据库管理员设置监测成功或失败的登录要求、监测授权和收回操作以及其他数据库级权限下的操作,审计（续）,审计（续）,例4.15对修改SC表结构或修改SC表数据的操作进行审计AUDITALTER,UPDATEONSC;例4.16取消对SC表的一切审计NOAUDITALTER,UPDATEONSC;,第四章数据库安全性,4.1数据库安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其他安全性保护4.7小结,4.5数据加密,数据加密防止数据库中数据在存储和传输中失密的有效手段加密的基本思想根据一定的算法将原始数据明文（Plaintext）变换为不可直接识别的格式密文（Ciphertext）加密方法存储加密传输加密,数据加密（续）,存储加密透明存储加密内核级加密保护方式，对用户完全透明将数据在写到磁盘时对数据进行加密，授权用户读取数据时再对其进行解密数据库的应用程序不需要做任何修改，只需在创建表语句中说明需加密的字段即可内核级加密方法:性能较好，安全完备性较高非透明存储加密通过多个加密函数实现,数据加密（续）,传输加密链路加密在链路层进行加密传输信息由报头和报文两部分组成报文和报头均加密端到端加密在发送端加密，接收端解密只加密报文不加密报头所需密码设备数量相对较少，容易被非法监听者发现并从中获取敏感信息,数据加密（续）,数据库管理系统可信传输示意图,用户,数据库服务器,数据加密（续）,基于安全套接层协议SSL传输方案的实现思路：（1）确认通信双方端点的可靠性采用基于数字证书的服务器和客户端认证方式通信时均首先向对方提供己方证书，然后使用本地的CA信任列表和证书撤销列表对接收到的对方证书进行验证（2）协商加密算法和密钥确认双方端点的可靠性后，通信双方协商本次会话的加密算法与密钥,数据加密（续）,（3）可信数据传输业务数据在被发送之前将被用某一组特定的密钥进行加密和消息摘要计算，以密文形式在网络上传输当业务数据被接收的时候，需用相同一组特定的密钥进行解密和摘要计算,第四章数据库安全性,4.1计算机安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其他安全性保护4.7小结,4.6其他安全性保护,推理控制处理强制存取控制未解决的问题避免用户利用能够访问的数据推知更高密级的数据常用方法基于函数依赖的推理控制基于敏感关联的推理控制隐蔽信道处理强制存取控制未解决的问题,其他安全性保护（续）,数据隐私保护描述个人控制其不愿他人知道或他人不便知道的个人数据的能力范围很广：数据收集、数据存储、数据处理和数据发布等各个阶段,第四章数据库安全性,4.1数据库安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其他安全性保护4.7小结,4.7小结,数据的共享日益加强，数据的安全保密越来越重要。数据库管理系统是管理数据的核心，因而其自身必须具有一整套完整而有效的安全性机制。,小结（续）,实现数据库系统安全性的技术和方法用户身份鉴别存取控制技术：自主存取控制和强制存取控制视图技术审计技术数据加密存储和加密传输,