OCP培训资料-数据库安全性.ppt

数据库安全性,课程目标,学完本课后，应能完成下列工作： 实施透明数据加密 (tde) 对加密列使用 tde 描述数据泵 (dp) 加密 确定 recovery manager (rman) 加密备份的组件 定义虚拟专用数据库 (vpd) 的基本概念 应用列级 vpd 策略,tde dp rman vpd,oracle 透明数据加密 (tde)：概览,安全信息的需要 敏感信息的自动加密： 内嵌于 oracle 数据库中 无需更改应用程序逻辑 加密数据和索引值 使用加密密钥： 整个数据库的主密钥 存储在 oracle wallet 中,oracle 透明数据加密 (tde) 完整注释页,tde 过程,外部安全模块,wallet,姓名,薪金,信用卡,地址,jfv,10000,a0023,rognes,20000,b1524,10000,c2568,30000,d1483,20000,e0732,40000,f3456,明文数据,加密数据,alter table,主密钥,select|insert|update| create table,列密钥,实施透明数据加密,创建 wallet：自动创建或使用 oracle wallet manager 创建。,sqlnet.ora 条目示例：,encryption_wallet_location= (source=(method=file)(method_data= (directory=/opt/oracle/product/10.2.0/db_1/wallet),实施透明数据加密,2. 在实例中设置主密钥： 3. 在实例（将来）中打开 wallet： 4. 创建包含加密列的表：,alter system set encryption key identified by ;,alter system set encryption wallet open identified by ;,create table emp ( first_name varchar2(128), last_name varchar2(128), empid number encrypt no salt, salary number(6) encrypt using 3des168, comm number(6) encrypt );,实施透明数据加密完整注释页,现有表和 tde,添加加密列： 加密未加密列： 禁用列加密： 添加或删除 salt： 更改密钥和加密算法：,alter table emp add (ssn varchar2(11) encrypt);,alter table emp modify (first_name encrypt);,alter table emp modify (first_name decrypt);,alter table emp modify (first_name encrypt no salt);,alter table emp rekey using 3des168;,透明数据加密：注意事项,不能加密 sys 所拥有的表。 不支持 long 和 lob 数据类型。 支持的加密算法有： 3des168 aes128 aes192 aes256 必须使用 no salt 加密索引列。 tde 使用索引执行等式搜索。 必须先解密加密数据，然后再执行表达式求值。 最佳方案提示：备份 wallet。,wallet 对用户名和口令的支持,wallet 现在可以持有多个证书： 用户名和口令可以存储在 wallet 中，而不必通过命令行提供。 批处理作业处理： 操作系统上列出进程时防止公开用户名和口令 使用以下方法设置： sqlnet.ora 中的 wallet_location mkstore 实用程序,connect /db_connect_string,数据泵和透明数据加密,在导出和导入期间，使用您自己提供的列密钥： 对于外部表也是如此：,encryption_password = ,tde dp rman vpd,create table emp_ext ( first_name, last_name, empid, salary encrypt identified by “xicf3t9u“ ) organization external ( type oracle_datapump default directory “d_dir“ location(emp_ext.dat) ) reject limit unlimited as select * from employees;,rman 加密备份：概览,备份有以下三种加密模式： 透明模式： 需要 oracle wallet 最适合在同一位置执行的日常备份和还原操作 是默认加密模式 口令模式： 需要提供口令 最适合在远程位置还原的备份 双重模式： 可以使用 oracle wallet 或口令 最适合在本地和远程还原的备份,tde dp rman vpd,透明模式设置,1. 创建 wallet：自动创建或使用 oracle wallet manager 创建。 2. 在实例中打开 wallet： 3. 在实例中设置主密钥： 4. 将 rman 配置为使用透明加密： 5. 备份或恢复命令不会发生更改。 6. 可以暂时覆盖永久配置：,alter system set encryption wallet open identified by ;,alter system set encryption key identified by ;,configure encryption for database on,set encryption off,口令模式设置,1. 将 rman 会话设置为使用口令加密： 2. 备份命令不会发生更改。 3. 将 rman 会话设置为解密用口令加密的备份： 4. 恢复命令不会发生更改。,set encryption on identified by password only,set decryption identified by password1 , password2, passwordn,双重模式设置,1. 创建 wallet：自动创建或使用 oracle wallet manager 创建。 2. 在实例中打开 wallet： 3. 将 rman 会话设置为使用双模式加密： 4. 备份命令不会发生更改。 5. 如果需要，请将 rman 会话设置为使用口令解密备份： 6. 恢复命令不会发生更改。,set encryption on identified by password,set decryption identified by password1 , password2, passwordn,alter system set encryption wallet open identified by ;,rman 加密备份：注意事项,不能加密映像副本备份。 compatible 必须至少设置为 10.2.0。 v$rman_encryption_algorithms 包含可能的加密 算法列表。 备份加密只适用于 oracle database 企业版。 每个新的加密备份使用一个新加密密钥。 可以通过使用多个通道提高磁盘性能。 可以随时更改主密钥，而不会影响以透明方式加密的备份。,set encryption algorithm algorithmname,configure encryption algorithm algorithmname,数据私密性的需要,示例： 雇员：保护薪金与佣金百分比（在本课的后面部分使用） 联机银行业务：保护帐户访问 web 商店：提供个人购物篮 web 主机：只允许各顾客查看其自己的数据 用于 oracle saleso 和 oracle portal,tde dp rman vpd,术语定义和用法,细粒度访问控制 (fgac)：使用函数 应用程序上下文：保留用户身份并用作应用程序属性和值的安全数据高速缓存 应用程序属性：由详细访问策略使用,虚拟专用数据库：概览,虚拟专用数据库 (vpd) 包括： 详细访问控制 (fgac) 安全应用程序上下文 vpd 使用策略向 sql 语句添加保护敏感数据的条件。 vpd 提供行级访问控制。 应用程序属性在应用程序上下文中定义，由详细访问 策略使用。,虚拟专用数据库：功能,列级 vpd 根据所访问的安全列实施行级访问控制。 通过定制，可以定义静态和非静态策略。 使用共享策略，可以将一个策略与多个对象相关联。 策略类型可以为 index。 策略谓词文本字符串的大小可以为 32 kb。,列级 vpd：示例,并不总是重写语句。 考虑使用策略来保护 employees 表的 salary 和 commission_pct 列。详细访问控制 (fgac)： 对于此查询，其并不需要： 对于以下这些查询，则是强制的：,sql select last_name from employees;,sql select * from employees;,sql select last_name, salary 2 from employees;,创建列级策略,授予权限 创建函数 将策略应用于对象,begin dbms_rls.add_policy(object_schema = hr, object_name = employees, policy_name = hr_policy, function_schema =hr, policy_function = hrsec, statement_types =select,insert,