（计算机应用技术专业论文）密文数据库系统的研究与实现.pdfVIP

摘要 随着计算机在社会各个领域的广泛应用，人们对信息系统的依赖程度越来 越高。在享受计算机技术带来便捷服务的同时，信息系统的安全问题已经引起 人们的极大关注。数据库作为信息系统的重要组成部分，存储着大量重要的数 据，在整个系统的构建和应用中承担着核心的角色，因而也必然在信息系统的 安全保障方面占据重要的地位。 大多数情况下，应用系统中最有价值的资产就是商业数据，尤其对一些特 定行业如金融行业来说，数据的机密至关重要，甚至事关企业的命运和发展。 数据安全是整个系统安全中非常重要的一个环节，虽然应用程序和数据库管理 系统可以为数据提供相当大程度的安全保证，但是，由于数据在物理上一般存 储在单独的服务器上，攻击者可以很容易破解或绕过应用程序而直接访问数据， 另外，由于数据库管理系统使用不当或者攻击者绕过数据库管理系统来直接访 问数据库所对应的原始文件，数据库管理系统所提供的安全保护也失效了，除 些之外，那些合法的用户，如数据库管理员、应用程序开发人员都有可能轻易 读取数据库中的内容，从而破坏数据的机密性。因此，如果不在数据库内部实 施额外的安全措施，如数据库加密，就难以完全保证数据的安全性。 本文首先对数据库系统和密码算法作了相关的介绍和探讨，然后对数据库 加密技术的各种关键技术，以及加密的方式，层次等作了研究，并最终在此基 础上提出了一个完整的密文数据库系统模型。 本文中所设计的密文数据库系统，已成功地应用于“智能化小区信息服务 系统”中，并很好地解决了项目中敏感数据的存储安全问题。 关键字：数据库，加密，密钥管理，加密字典 a b s t r a c t w i t ht h ea b r o a da p p l i c a t i o no fc o m p u t e rt e c h n o l o g y ，m o r ea n dm o r ep e o p l ea r e d e p e n d i n go nt h ei n f o r m a t i o ns y s t e m s t h ep r o b l e mo fs e c u r i t yh a sa t t r a c t e do u r a r e n f i o nw h i l ew ea r ee n j o y i n gt h ec o n v e n i e n ts e r v i c e sb r o u g h tb yc o m p u t e r t e c h n o l o g y a st h ei m p o r t a n tc o m p o n e n to ft h ei n f o r m a t i o ns y s t e m s ，d a t a b a s ep l a y s t h ec r u c i a lr o l ei nt h ec o n s t r u c t i o na n da p p l i c a t i o no ft h ew h o l ei n f o r m a t i o ns y s t e m s b e c a u s eo fc o n t a i n i n go fd i f f e r e n td e g r e eo fi m p o r t a n c ea n dc o n f i d e n t i a l i t y i nt h em o s tc a s e s ，t h em o s tv a l u a b l et h i n gi nt h ea p p l i c a t i o ns y s t e mi s c o m m e r c i a ld a t a , e s p e c i a l l yf o rs o m es p e c i a li n d u s t r i e s , s u c ha sf i n a n c e ，t h e c o n f i d e n t i a l i t yo fd a t ai so fv i t a li m p o r t a n c ef o rt h ee n t e r p r i s e sd e v e l o p m e n t d a t a s e c u r i t yi sav e r yi m p o r t a n ta s p e c to fs y s t e ms e c u r i t y a l t h o u g ht h ea p p l i c a t i o na n d d a t a b a s em a n a g e m e n ts y s t e mc a np r o v i d eag r e a td e g r e eo fs e c u r i t ya s s u r a n c e sf o r t h ed a t a , t h ed a t aa r eg e n e r a l l ys t o r e di nas e p a r a t ep h y s i c a ls e r v e r , t h ea t t a c k e rc a n e a s i l yb r e a ko rs t e e rc l e a ro fa p p l i c a t i o n sa n dv i s i tt h ed a t ad i r e c t l y o t h e r w i s e , d u e t ot h ei m p r o p e ru s co fd a t a b a s em a n a g e m e n ts y s t e ma n dt h ed i r e c t l yv i s i tf o rt h e o r i y 蛐df i l e sw h i c hb y p a s sd a t a b a s em a n a g e m e n ts y s t e m , t h es e c u r i t yp r o t e c t i o n w h i c hp r o v i d e db yd a t a b a s em a n a g e m e n ts y s t e mw i l lb ed i s a b l e d i na d d i t i o n , t h o s el e g i t i m a t eu s e r s ，s u c ha sd a t a b a s ea d m i n i s t r a t o r s ，a p p l i c a t i o np r o c e d u r e d e v e l o p e r s c a ne a s i l yr e a dt h ec o n t e n t so ft h e d a t a b a s e , t h u sd e s t r o yt h e c o n f i d e n t i a l i t yo fd a t a c o n s e q u e n t l y , i fw ef a i lt oi m p l e m e n ta d d i t i o n a ls e c u r i 哆 m e a s u r e si nt h ei n t e r i o ro fd a t a b a s e ，s u c ha sd a t a b a s ee n c r y p f i o n , i tw i l lb ed i f f i c u l t t of u l l yg u a r a n t e et h es e c u r i t yo fd a t a t h i s p a p e ri n t r o d u c e s a n dd i s c u s s e st h ed a t a b a s es y s t e ma n d p a s s w o r d a l g o r i t h mf i r s t t h e nw et a l ka b o u tt h ek e yt e c h u o l o g i e so nd a t a b a s ee n c r y p t , i n c l u d i n gt h e i rm e t h o d o l o g ya n de n c r y p tl a y e r , a n dg i v ea ni n t e g r a t e dd a t a b a s e e n c r y p tm o d e l t h ed a t a b a s ee n c r y p t i o ns y s t e md e s i g n e db ya u t h o rh a si m p l e m e n t e di nt h e i n t e l l i g e n tu p t o w ni n f o r m a t i o ns e r v i c es y s t e m , a n dp r i m l ys o l v e ds e c u r i t yp r o b l e m o fs t o r i n gs e n s i t i v i t yd a t a k e yw o r d s ：d a t a b a s e , e n c r y p t , s e c r e tk e ym a n a g e m e n t ，w o r d b o o kf o re n c r y p t i o n 此页若属实，请申请人及导师签名。 独创性声明 本人声明，所星交的论文是我个人在导师指导下进行的研究工 作及取得的研究成果据我所知，除了文中特别加以标注和致谢 的地方外，论文中不包含其他人已经发表或撰写过的研究成果， 也不包含为获得武汉理工大学或其它教育机构的学位或证书而使 用过的材料与我一同工作的同志对本研究所傲的任何贡献均已 在论文中作了明确的说明并表示了谢意 研究生签名：廑丕日期坦2 ：垒趔研究生签名：缒歪日期坦：垒趔 关于论文使用授权的说明 本人完全了解武汉理工大学有关保留、使用学位论文的规定， 即：学校有权保留送交论文的复印件，允许论文被查阅和借阅： 学校可以公布论文的全部内容，可以采用影印、缩印或其他复制 手段保存论文 ( 保密的论文在解密后应遵守此规定) 研究生签名：二i l 么 _ 一导师签名；- j ；i j ! ；挲呈卢期墨1 2 _ 注：请将此声明装订在学位论文的目录前 武汉理工大学硕士学位论文 1 1 课题研究的背景 第1 章引言 随着2 l 世纪的到来，我们居住的地球正处在一个信息革命和知识经济的时 代，随着我国经济的发展，生产力的发展及人民生活水平的提高，住宅除了满 足人们最基本的居住要求外，还必须满足办公、教育、娱乐、会客、健身、储 物、停车等多项要求，与此同时，人们对生活的舒适性、便利性、安全性和高 效性提出了更高的要求，智能化住宅小区由此产生。 智能化小区以科学技术为基础，依靠先进的设备和科学的管理，利用计算 机及相关最新技术，将自然生态环境和建筑技术与计算机技术、自动控制技术、 通讯与信息处理技术等先进技术相结合，向住户提供先进的安全防范、信息服 务、物业管理等方面的功能，提供更加安全、更加舒适、更加方便、更加快捷、 更加开放的家居环境，它是用智能科技构建而成的新时代生活空间。 住宅小区的智能化技术是基于人们对现代家庭舒适、便利、安全以及多元 化信息服务的需要而逐渐发展起来的。一个好的智能小区的信息管理系统既要 求有着良好的人机交互界面，要满足小区内各个不同业主的不同需求；同时还 要有着良好的安全性。但是由于i n t e r n e t 本身并没有提供任何安全机制，只要 w e b 站点和i n t e r n e t 连通，就可能被任何人访问。而现有的安全措施不足以满足 敏感信息的保护要求。首先，由于操作系统和数据库管理系统的高度复杂，其 安全性难以做到十分完善，由于操作系统安全漏洞而引发的攻击屡见不鲜。其 次，在开放的互联网环境下，攻击手段更加多样化，对关键数据库可能的攻击 强度和入侵方式都是难以预测的。第三，某些合法用户，尤其是内部用户可能 越权使用数据库，甚至直接打开数据库文件来窃取和篡改信息。所以，有必要 设计安全数据库系统，提供数据加密存储、用户权限管理和网络认证的整体安 全解决方案。 武汉理工大学硕士学位论文 1 2 国内外研究现状 数据库这个名词起源于2 0 世纪5 0 年代，当时美国为了战争的需要，把各种 情报集中在一起，存入计算机，称为i n f o r m a t i o nb a s e 或d a t a b a s e 。1 9 6 3 年美 国h o n e y w e l l 公司的i d s ( i n t e g r a t e dd a t as t o r e ) 系统投入运行，揭开了数据库 技术的序幕。1 9 6 5 年美国利用数据库设计了阿波罗登月火箭，推动了数据库技 术的产生。当时社会上产生了许多形形色色的d a t a b a s e 或d a t a b a n k ，但基本上都 是文件系统的扩充。1 9 6 8 年美国i b m 公司推出了层次模型的i m s 数据库系统，并 于1 9 6 9 年形成产品；1 9 6 9 年，推出c o b o l 语言的美国数据系统语言协会 ( c o n f e r e n c eo nd a t as y s t e ml a n g u a g e 。c o d a s y l ) ，组织了数据库任务组( d b t g ) ， 并发表了网状数据库系统的标准文本( 1 9 7 1 年正式通过) ；1 9 7 0 年初，i b m 公司的 高级研究员e f c o d d 发表论文，提出了数据库的关系模型，从而奠定了关系数 据库的理论基础。 上世纪7 0 年代是数据库蓬勃发展的年代。网状系统和层次系统占领着市场， 关系系统则处于实验阶段，i b m 公司研制出了原型关系语言s y s t e mr 。1 9 7 9 年关 系软件( r e l a t i o n a ls o f t w a r e ) 公司推出了第一个基于s o l 的商用关系数据库产 品o r a c l e 。 上世纪8 0 年代起，关系型数据库产品已相当成熟，取代了网状系统和层次 系统的市场。与此同时关系数据库理论日臻完善，走向更高级的阶段，有了分 布式数据库系统( d i s t r i b u t e dd a t a b a s es y s t e m s ) 等。后来从不同的计算机应 用领域提出了许多数据库的非传统应用课题，诸如多媒体数据、空间数据、对 序数据、科学数据、复杂对象、知识、超文本管理等。为了适应这类应用的需 要，提出了不少新的概念、新的数据模型和系统结构。经过几年的研究和实践， 逐步形成了面向对象数据库系统( o b j e c to r i e n t e dd a t a b a s es y s t e m ) 、主动数 据库系统( a c t i v ed a t a b a s es y s t e m ) 、大型知识库系统( l a r g ek n o w l e d g eb a s e s y s t e m s ) 、数据库中的知识发现( k n o w l e d g ed i s c o v e r yi nd a t a b a s e ) 以及科学 数据库( s c i e n c ed a t a b a s e ) 等热点。可以预言，在2 1 世纪，数据库技术必将获 得更加长足的发展。 国外对计算机安全及数据库安全的研究起步较早，包括政府部门在内的各 种研究机构及公司对此投入了大量的研究，研究成果和应用都较为丰富。从7 0 年代开始，以美国军方为主的研究队伍对多级安全数据库系统( m l sd b m s ) 进行 2 武汉理工大学硕士学位论文 了一系列的研究，研究内容主要包含安全需求，安全模型，系统结构，某些特 定数据库应用系统的特殊安全问题，存储管理以及原型系统的实现问题。数据 仓库的安全保密问题，安全数据库系统中的推理控制问题等等。取得了相当多 的成果。在产品开发方面，o r a c l e 、s y b a s e 、i n f o r m i x 分别推出了到达b 安全级 的商用数据库产品。在国外正式通过t c s e c ( t r u s t e dc o m p u t e rs y s t e m e v a l u a t i o nc r i t e r i a ，美国政府颁布的数据安全等级标准) 认证的安全或可信 数据库系统有i n f 0 蹦i x - 0 n l i n e s e c u r e ，o r a c l e 公司的t r u s t e do r a c l e 系列和 s y b a s e 的s e c u r es q ls e r v e r 系列。这些商品化d b m s 的主要安全功能在于其提供 的强制访问控制策略。发展到上世纪9 0 年代以来，伴随国家间信息对抗的加剧， 国外研究又集中对信息战环境下的数据库安全进行了研究，包括敌方的攻击能 力和手段，对数据库安全的特殊需求等等“，。 基于对安全数据库的需求，国内学术界对数据库的安全问题也进行了研究。 国内对数据库安全的研究开始于8 0 年代末9 0 年代初，从目前掌握的资料看，国 内对数据库安全的研究无论是在理论上还是在相关实用产品上都落后于国外。 国外几大数据库厂商的低安全级别的数据库产品占据了国内的大部分市场。国 内的电信、金融、电力、保险等行业基本上都采用的是o r a c l e 、s y b a s e 、i n f o r m i x 三大数据库厂商和i b m 、微软的低安全级别的数据库产品。国内对数据库系统的 开发基本停留在大学等研究机构的实验室内，其种类较少，应用范围也较窄 如人民大学与北京大学合作进行的国家九五项目。国家化关系数据库管理系统 c o b a s e v 2 0 ”，是在八五期间开发的c o b a s e v l 0 的基础上进行的安全版设计。 它达到了美国国防部标准b 1 级，实现了安全性标示、强制存取控制和审计功能。 东北大学国家软件工程中心研制的0 p e n b a s e 安全版等，华中科技大学研制的d m 2 数据库系统等，但都未得到广泛的实际应用 1 3 课题研究意义 数据库系统在很多环节都极易受到威胁，因而造成系统损失甚至是破坏 与一般的信息系统相比而言，数据库存在更多的安全隐患，主要表现在： 1 内部的隐患：数据库系统管理者、设计者、操作者对数据库安全知识不 了解，缺乏安全意识和安全管理，来自内部对系统的人为破坏和攻击，使信息 系统受到威胁。 3 武汉理工大学硕士学位论文 2 外部的隐患：由于数据库系统存储着至为重要的信息，比如个人账号， 银行信息等，其机密性等特点吸引黑客或别有用心的人对系统进行破坏。 3 软硬件的隐患：基础软件和硬件多由国外企业生产或由非政府系统企业 开发，数据库系统存在明显的外部依赖性。 4 计算机病毒的隐患：随着网络技术的普及和发展，计算机病毒的危害范 围及危害性正日益加大。作为依赖于网络的数据库系统也受到越来越大的威胁。 要解决数据库的安全性问题，必须制定一套安全的策略。目前在我国褥到 广泛应用的主流数据库系统，全部为国外大型软件企业的数据库产品，如 o r a c l e 、s y b a s e 、s q ls e r v e r 等，即使在关键部门的应用中也是如此。而国内 数据库产品在性能，稳定性和可扩展性上无法与其抗衡。考虑到历史原因，用 户如果全部改用国外产品，则成本很高，不具有现实意义。有鉴于此，目前国 内对数据库安全的研究重点应该与国外不同，应该结合国内实际，重点集中于 数据库系统的安全增强技术，防止国外数据库系统可能存在的安全陷阱，抵御 对数据库系统的安全威胁，这是比较现实的安全策略。 由于国忐关键部门的数据库产品均采用国外产品，一方面，由于国外对数 据库安全的研究成果丰富，技术领先。对其数据库产品的现有安全特性和实现 技术、安全漏洞等进行分析，可以直接提高现有系统抵御信息战下对手攻击的 能力。另一方面，由于无法获取国外产品源码进行验证，也无法进行可信计算 基t c b ( t r u s t e dc o m p u t i n gb a s e ) 的安全分析，更不能排除放入恶意代码的可 能，在建立信息战环境下对数据库安全的威胁模型基础上研制安全外挂系统或 者称为安全增强系统，也是我国在信息战中抵御数据库攻击的一条比较切实可 靠的技术路线。其研究成果也将为我国信息化建设、各个部门、企业的信息安 全提供有力的帮助。 4 武汉理工大学硕士学位论文 第2 章数据库系统安全概述 数据库最突出的特点之一就是数据共享。数据共享给数据库应用带来了好 处，但却给数据库安全带来了问题，特别是网络化的开放环境与基于网络的分 布式数据库系统( 包括c s 系统) 。如何维护数据库的安全性成为数据库领域的一 个主要的研究内容之一。 2 1 计算机系统安全定义 美国国家计算机安全中心( n c s c ) 为定义判断计算机以及其软件与现有书 面安全条例的符合程度而专门设计了一套文档，名叫可靠计算机评价准则， 提供了划分计算机系统安全级别的基准，这一套文档又称橘皮书，现己成为计算 机系统安全级别的划分标准。橘皮书定义了四个层次，从d 层( 最低保护层) n a 层( 验证性保护层) 。在这四个层中又分别分了七个级别，每一级别都包含前一 级别的所有安全性条款，级别的名字是层次名加一位数字，数字越大，安全性越 高。可靠的计算机系统评估准则的层次与级别如下伽嘲： ( 1 ) d 级：最低的保护。属于d 层的系统是不安全的。这些系统除了物理上 的安全措施外，没有其它什么安全性可言。 ( 2 ) c 1 级：选择性安全保护。选择性安全性意味着每个用户对属于他们自 己的客体具有控制权。用户必须用一个注册名和一个口令来验明其身份，加密后 的口令出现在用户的数据库里。 ( 3 ) c 2 级：受控制的存取保护。o r a c l e 9 i 数据库系统被归为c 2 级系统，这 一级别增加了审计及验证机制。审计建立涉及到安全性事件的记录，系统管理员 可配置审计系统使其记录下更多的事件，审计同时引发了验证的必要性，同时也 占用了系统资源。 ( 4 ) b 1 级：可标记的安全保护。b 1 级是第一个可以支持多个安全密级的级 别。b 1 级包括强制性存取控制。在强制性存取控制下的客体的存取权限是不能 由文件的宿主来改变的。对b 1 级系统的确认需要对安全模型进行非形式化的验 证。 5 武汉理工大学硕士学位论文 ( 5 ) b 2 级：结构化的设计。 ( 6 ) b 3 级：安全域。 ( 7 ) a 1 级：验证设计。 2 2 数据库面临的攻击 构成计算机安全的三个基本因素是机密性、完整性和可用性。机密性的含 义是只有被授权个体才被允许访问信息；完整性保证信息是可信的并且没有被 篡改过；可用性意味着用户可以根据需要随时访问信息并进行数据的计算。 数据库一般要对付的攻击者有两种类型：外部的和内部的。大多数情况下， 外部攻击者会面临更多的艰巨任务，他们必须要穿越防火墙、入侵检测系统， 然后在没有任何权限的情况下进入一个未知的网络。内部攻击者的主要优势是 他们身处防火墙内部，并且可以了解到网络拓扑结构的相关信息。因为外部攻 击者的数量相当大，几乎所有企业似乎都更担心他们，但是由于内部攻击者了 解了内部详情并具备一定的访问权限，因而来自他们的威胁往往更为严重”。 在内部攻击者中，数据库管理员的威胁往往会被忽视。数据库管理员拥有 访问数据库中任何数据的权限，他们可以把自己入侵数据库的大部分痕迹掩盖 掉，他们也可以读取和篡改任何数据。如果合理地使用加密措施，就可以显著 地减少并消除多数来自数据库管理员的威胁。 有两种基本攻击的类型：一次性攻击和持续攻击一次性攻击是指攻击者 一旦达到目标之后就结束了，而持续攻击是指攻击者多次进入被攻陷的数据库 中实施更多的攻击行为。从表面上看，持续攻击似乎更危险，但如果攻击者以 下载整个数据库为攻击目标，则结果将更加严重，一旦攻击者在他们自己的机 器上拥有了数据库的副本，他们就可以轻易地查阅其中的数据而不用担心会引 起任何系统警报。此外，持续攻击者在每次发动攻击时还要冒着被发现的风险。 2 2 1 针对机密性的攻击 大多数支撑大型企业的数据库中都存储有敏感的信息，或者至少有一些不 能公开给所有数据库用户的信息。针对这些信息的机密性攻击就成为企业数据 库所面临的最重要的威胁，通过这种攻击，未经授权的个人就可以访问敏感信 息。 6 武汉理工大学硕士学位论文 如果一个攻击者获得了访问数据库服务器的所有权限并且下载了全部数据 文件，一旦攻击者在自己的机器上具有数据库文件的副本，他就可以慢慢花时 间搜索他感兴趣的文本或其他数据，攻击者也可能把数据库文件加载到数据库 管理系统里，然后就像其他用户一样使用数据。无论哪一种情况发生，所有在 数据库中没有加密的数据都将泄露。 许多企业依靠访问控制措施来保护数据库。访问控制是安全措施的重要构 成部分，但在许多情况下仅仅依靠访问控制是不够的。从机密性角度来看，访 问控制的一个明显弱点就是允许数据库管理员查看数据。此外，如果访问控制 措施配置有误，或者黑客通过破解技术甚至社会工程学获得口令来绕过访问控 制的限制，那么它的保护作用就非常有限了而且大多数企业都有进入数据库 的合法的后门，它也不受严格的安全措施所限制，这些后门包括数据库只读帐 号、非生产环境中的数据和备份的数据等嗍。 当数据库中发生问题时，负责处理故障的i t 人员通常需要某种手段来检测 数据库的哪些地方出了问题。为了避免他们有意或无意地破坏系统，通常会给 他们提供只读帐号，这样他们就可以查看数据，因此这种做法也无助于防范针 对机密性的攻击。在这些拥有只读访账号的人员中，通常会包含应用程序开发 人员、质量控制( q a ) 人员和配置管理团队，他们中的任何一名成员都有可能泄 露账号及密码。账号泄露后，数据库的机密性就有可能遭到破坏 另一种常见的、最有可能危及机密性的后门是存在于非生产环境中的数据 库。大多数企业会划分出专门用于开发、测试、组装和投产的数据库。通常情 况下，非生产数据库中的访问控制措施远比生产数据库少得多，而且基本上非 生产数据库是直接由生产数据库克隆产生的，这就必然导致敏感数据被储存在 一个缺少必要控制的数据库中“1 。 与非生产数据库中存在的问题类似，数据库备份的安全保护也可能存在问 题。在许多企业中，备份磁带被存放在企业外部，通常是由第三方代管。在这 种情况下，如果攻击者要想访问备份数据，那么防火墙、入侵检测和访问控制 措施所提供的保护可谓少之又少。 针对机密性进行攻击的最后一种情况是攻击者寻找安全性非常脆弱的基于 w e b 的数据库查询应用程序，然后发起s q l 注入式攻击。这种攻击方式利用了w e b 应用程序的自身权限，从而使得攻击者可以查询所有应用程序都可以访问的数 据表。 7 武汉理工大学硕士学位论文 2 2 2 针对完整性的攻击 数据完整性攻击是指篡改数据库中的信息。对于那些存储在数据库中并将 在日后使用的信息来说，完整性攻击的危害性和机密性攻击是一样的。这种攻 击可能会很嚣张而且很容易被发现，例如那些更改存储在数据库中的w e b 页面内 容的；有时候也可能会很狡猾而且难以被察觉，例如只对数据表中用来生成财 务总表的税率进行小的修改。在防范针对完整性的攻击时，我们并不关心如何 防止攻击者来读取数据，我们只关注如何防止他们篡改数据库中的内容，或在 这种防范措旌失效后，我们至少可以知道被篡改的数据是什么。 机密性面临的威胁目标有一个很长的列表，从生产系统到企业外部存放的 备份磁带等。与之不同的是，要想攻击数据的完整性，则需要有篡改当前生产 数据库的能力。这个要求对攻击者来说多少是一个限制，但也不足以完全消除 这一威胁。除了之前所提的那些来自心怀不轨的管理员的威胁外，攻击数据完 整性的方法还有：利用窃取的、具有可写权限的账号来破坏有缺陷的应用程序 或提升其他权限较小的账号的权限，然后更改数据库中的数据。 数据库完整性面临的最主要的威胁是不当修改。不当修改是指任何有悖于 企业政策的数据篡改行为，例如可能出于欺诈目的而做出的篡改。可是，大多 数计算机系统都无法识别不当修改。当一份销售数据被输入到系统中时，系统 无从判断数据是否真实、正确，系统也许会按照边界条件对其进行检查，但是 数据还是可以在一定范围内变动，如果不能变动，则说明这个数据输入域就是 固定的、无法修改的。用固定数据这种保护方法来防止不当修改是不现实的， 计算机系统依靠两种做法来实现此功能：一是职责分离，二是只允许授权用户 利用被许可的应用程序来对数据进行修改。如果所有恰当的、经过授权的个人 利用被许可应用程序来完成所有操作，系统就认为这些修改都是可信的。在我 们无法验证修改行为是否恰当时，这就是一种验证的替代做法。 在职责分离、用户授权和确保使用特定应用程序这三个要素中，只有最后 一项与数据库加密有关。职责分离意味着需要多名人员配合才能完成数据的更 改，这是一个数据库管理系统必须强制执行的策略，它与数据库加密无关。用 户授权是访问控制系统的任务，虽然它也会涉及加密，不过不是数据库内部的 加密。 要限制哪些特定的应用程序才能修改数据，这也是一个访问控制的问题， 8 武汉理工大学硕士学位论文 但是通过使用数据库加密技术，就可以验证数据是否通过正规渠道写入的。在 这种情况下，系统通过在数据表的行信息中增加一个密码戳，以此来监控对这 行数据所做的所有改动。虽然这种技术并不能阻止数据被篡改，但是却可以对 过去曾经发生的数据损害情况发出警报。这种保护措施只对那些直接攻击数据 库的威胁有效，因此可能并不值得花费太多精力去实施。一般来说，保护数据 库的安全性比保护自定义应用程序的安全性更为容易，因此安全缺陷更多地会 出现在应用程序中。如果攻击者利用其中的一个缺陷，使应用程序误以为他是 一个合法用户，这样应用程序会将他的修改行为标为经过授权的修改，这样加 密保护措施也无法检测到这种数据破坏行为。因此，要想阻止那些破坏数据库 的攻击者，只能利用基于加密的完整性保护措施。 最后，虽然完整性威胁只能危害生产系统，但生产系统中面临的完整性威 胁要比机密性威胁大得多。数据库中哪些信息是机密的是已知的，它们被集中 存储在数据库的某一个地方，以此为目标的机密性威胁是可控的。相比之下， 完整性威胁的目标就分散在整个数据库中的各个角落，因此为了有效地防范这 些威胁，相应的保护措施也要充分完备。几乎每个数据库事务都会触发至少一 次完整性检查，因此当系统在处理机密信息时，基于加密的机密性保护措旌会 对运行效率有一定影响，但是在大多数情况下，这种完整性检查对系统运行效 率带来严重影响的情况不会频繁发生。 2 2 3 针对可用性的攻击 虽然数据库加密并不适用于可用性，但仍有两个值得考虑的要点，第一个 要点是数据库加密可以在确保安全系数的同时提高可用性，第二个要点是强调 保护密码系统本身的重要性。 通过提供强有力的保护，加密措施可以提高信息的可用性，其原因是经过 加密后的信息可以被轻松放置在任何授权用户可以访问到的地方。如果使用一 般的安全保护措施，非加密的敏感信息应该被严严实实地存储在企业的防火墙 内，并且受到严格的访问控制措施的保护。遗憾的是，这种小心谨慎的防范措 施却经常限制了这些敏感信息或同一数据库中其他信息的可用性。如果对敏感 数据进行适当的加密，就可以使用户更为容易地访问数据库了，这就意味着数 据的可用性提高了。 如果在应用程序中集成密码技术，系统将对其中使用的密钥更为依赖。攻 9 武汉理工大学硕士学位论文 击者会不会删除或破坏那些密钥，从而使系统瘫痪呢? 另一个必须防范的风险 是，如果攻击者将自己的密钥加载到系统中，虽然不会使系统瘫痪，但是其中 的数据将会使用他的密钥来加密，之后万一攻击者删除了密钥，系统就会瘫痪， 这时攻击者就会利用数据作为要挟来高价出售密钥。 必须小心谨慎地使用密码技术，以免使之成为攻击的另一种手段。必须给 予密码系统足够的重视，否则它有可能就会成为数据库安全中最脆弱的环节。 有加密保护的数据库可以增强数据库的可用性，即使是一个较为脆弱的系统， 只要经过加密保护，也可以部署在一个不是很安全的位置。因此，密码系统本 身更容易遭受攻击，一旦它失效了，不管是机密性还是完整性都会面l 临严重的 风险。 2 3 解决问题的方案 在数据库环境中，安全问题的很多方面都需要引起注意。这涉及到法律、社 会和道德方面。为提出解决方案选项，有必要先分类可能遇到的安全问题类型。 在分类威胁后，再找出各类问题的解决方案。一般地，可将数据库环境的安全 问题类型分为以下几种。 自然灾害：火灾、水灾及其他灾难。 人为疏忽：由授权用户造成的无意损害，特别在批处理作业的情况下。 恶意破坏：存心不良的编程人员、技术支持人员和执行数据库管理功能的 人员的破坏、毁损及其他行为。 犯罪行为：盗窃行为，监守自盗，工业间谍，出卖公司秘密和邮件列表数 据的雇员。 隐私侵害：不负责任的猎奇，竞争者查看数据，为政治和法律目的获取数 据。 以上分析了数据库系统的潜在威胁类型各种问题来源产生各种威胁。考 虑各种威胁或问题类型，可采用三级别方法来解决问题。 1 ) 将发生问题的可能性降到最低。构建坚固防线来保护数据库安全。采取 所有必要措施，建立强大的安全威慑。 2 ) 在危害发生的情况下，尽量降低损失。如果入侵者设法潜入了保护外层， 则要阻止其进入内层。采用最严格的安全措施保护数据库最机密的部分。 1 0 武汉理工大学硕士学位论文 3 ) 设计严格的恢复方案。如果蓄意破坏者破坏了数据库的某些部分，应采 用经过测试的方法尝试恢复。如果数据库遭受火灾，则可从站点之外存储的副 本恢复。 分析各种威胁可知，绝大多数恢复方案必然是一般控制过程和基于计算机 技术的结合。 一般控制过程是普通安全策略和一般过程。一般控制过程处理计算机系统 中的数据库安全，但大多都不直接使用计算机，而于规划和策略决策相关。其 中某些过程是物理控制，而另一些过程涉及外部机构。安全方法如下嘲： 物理控制：包括物理访问大楼，监视入口点和出口点的访问者，保护工作 站和服务器。 人员控制：通过适当安全检查处理机密数据，防范来自信息系统专业人员 的威胁。 控制设备：包括安全放置设备，如加载机密数据的电脑及用来打印关键数 据的打印机。 通过外部机构保证安全：指保存数据库备份副本的第三方存储区域，以及 可用于灾害恢复的外部安装。 7 意外规划：在发生火灾或爆炸情况下采用的规划。规划必须包括责任指派 和恢复过程。 安全策略：是安全系统的必备元素，解决安全方案范围、雇员的义务和责 任、遵守的过程以及违反策略和过程时的惩罚措施。 基于计算机的技术属于通过使用包括d 蹴s 在内的计算机系统而执行的对策 类型。主要技术如下： 用户授权：包括授权用户的身份验证以及为他们授予访问权限。 通过视图调整授权：定义可向用户授权数据库特定部分的用户视图。 备份和恢复：定期建立数据库备份副本，并测试和实现恢复过程。 保护机密数据：使用加密技术保护机密数据。 所有d b m s 都包含安全系统，以保证授权用户访问数据库。这些安全机制一 般指任意安全机制和强制安全机制。 任意安全机制用于授予和撤销用户访问数据库特定部分的数据访问权限， 访问模式包括读取、更新、添加和删除。 强制安全机制用于通过将用户分为不同组，将数据组合为不同段，为特定 1 1 武汉理工大学硕士学位论文 用户组指派对数据段的访问权限，来建立多级别安全性。 通过上述讨论可以看出，数据安全非常重要，但实现较困难。必须从不同 级别实现数据库安全。安全机制必须存在于若干层，如在数据库系统本身、操 作系统、网络、应用程序和硬件级别等。图2 1 显示了数据库安全的各个控制层。 图2 - 1 数据库安全的控制层 2 4 数据库仍然存在的威胁 数据库提供了一系列的方法、机制来保证数据的安全性和完整性。然而， 关系数据库仍然存在着种种安全漏洞。 2 4 1 数据库管理员的权力过大 一个数据库系统必须存在一个数据库管理员，来扮演一个集中控制的角色， 完成一些日常任务，例如定时的备份工作、启动关闭数据库系统等。然而，数 据库管理员能够访问所有的数据，这给了数据库管理员太大的权利空间。当数 据库管理员能查看到所有机密数据时，就可能造成机密信息的泄漏。这些机密 信息，可能包括用户密码，信用卡账号及密码，雇员工资等。在利益、好奇心 或其它因素的驱动下，系统管理员盗取这些机密数据的可能性不能排除的。如 果系统管理员进一步把这些机密信息泄漏给竞争对手或者做一些其它的非法操 武汉理工大学硕士学位论文 作，就很容易造成严重的后果。 2 4 2 数据库入侵者 有数据统计表明，数据泄露大约有7 0 是来自公司企业内部的“”。其中，有 相当一部分是由于公司内部怀有不满情绪的员工窃取管理员密码或者通过各种 方法窃取d b a 身份执行非法操作进而窃取到机密数据。另外，有经济价值的数据 也驱使一些不法分子想尽各种办法，绕过防火墙进入企业内部网络，接近主机， 利用数据库的安全漏洞以d b a 身份执行操作，获取机密数据。这类可被利用的数 据库安全漏洞包括：数据库产品中已经公布但未及时打上相应安全补丁的漏洞； 尚未公布的但已经被入侵者发现的安全漏洞等。无论是哪种方式，一旦数据库 管理员的角色被攻破，那么整个系统的数据就将毫无机密性可言。事实上，由 于d b a 的特殊地位，往往为一些伺机入侵者所关注，从而成为整个数据库系统的 一个薄弱环节。 2 4 3 备份介质丢失造成数据泄密 对存储在数据库中的数据定期备份，被认为是维护数据库系统安全的良好 习惯。机密数据由于其重要性，对备份的要求更高。大量的数据备份文件存储 在无保护的磁性介质和光学介质中，流失的隐患相当大。而当备份介质被人有 意获取并进行“正确”的数据处理之后，就很有可能造成机密数据、机密信息 的泄漏。 武汉理工大学硕士学位论文 第3 章密码技术 密码学是- f “终极信息安全”的艺术。其“终极”的意义在于一旦一条 消息( 或一个数据库域) 被加密后，即便假想的敌方能够完全访问此条经过处理 的消息，它也仍能够始终保持安全。假想的敌方甚至可能了解使用了什么加密 算法，但只要加密措施足够完备，加密消息就能够保持安全“ 与其他信息安全技术相比，密码学是特意为防范信息已被假想的敌方获取 之后如何保证安全性而设计的。许多安全机制都是用于限制访问，并且对于经 过授权的用户访问来说，也经常具有复杂的流程来控制，而密码学则在假定敌 方已经完全能够访问消息的情况下，仍然能够提供完整的安全保护措施，这就 是终极安全。 密码学经历了一个奇妙的发展过程，开始秘而不宣总是扮演着主要角色。 随着时间和国际形势的发展，密码学文献得以慢慢发展。密码学作为数学的一 个分支，包括密码编码学和密码分析学，密码编码学的涵盖面很广泛，并且其 发展和密码分析学互相促进。 在密码学中，密码系统( c r y p t o s y s t e m ) 由密码算法以及所有可能的明文、 密文和密钥组成。密码算法是用于加密和解密的数学函数，且通常有两个相关 函数，一个用于加密，另一个用于解密。从密码的总的分类来看，密码算法可 以分为：受限制的算法和现代密码算法【。 其中，受限制的算法的保密性基于对算法本身的保密性，按照现在的标准， 其保密性已经远远不够，且这种算法不可能进行质量控制或者标准化，每个用 户组织必须有他们自己唯一的密码算法：而现代密码学用密钥解决了这个问题， 算法的安全性基于密钥的安全性，而不是基于算法细节的安全性。即算法可以 公开，也可以被分析，可以大量生产使用该算法的产品，只要密钥是安全的， 就可以保障信息的安全性。 密码学的一个基本原则是k e r c k h o f f 准则，它要求密码算法的安全性应只取 决于如何保证密钥的机密性。即使加密算法的所有信息都是已知的，只要密钥 能够保证安全，密文就不可能被恢复成明文“4 。与k e r c k h o f f 准则相反的观点是 通过非公开协议来保证安全( s e c u r i t yt h r o u g ho b s c u r i t y ) ，对于任何密码系 1 4 武汉理工大学硕士学位论文 统来说，如果使用非公开的保密算法，那么就属于这种非公开协议的情况。即 使一个专业的密码学家，在设计健壮的、有效的加密系统时仍会碰到很多困难， 因此一个非公开的加密算法比公开的、经过测试的算法提供更好安全性的可能 性很小。此外，现代的反编译器、反汇编器、调试工具及其他反向工程工具的 存在不会使任何保密的加密算法的保密性持续很长时间。 在现代密码学中，有两类算法：对称算法和公开密钥算法。对称算法 ( s y m m e t r i c a la l g o r i t h m ) 也叫做传统密码算法或者单密钥算法，即加密密钥和 解密密钥可相互推导，且在大多数的对称算法中，加密密钥和解密密钥是相同 的。对称算法要求发送者和接收者在进行安全通信前，首先商定一个密钥；且 对称密码算法的安全性依赖于密钥，泄漏密钥就意味着通信保密性的丧失，所 以只要进行保密通信，就必须保密密钥，即。一切秘密寓于钥匙之中”“”。 而对称密码又可以分为序列密码( s t r e a m a l g o r i t h m ，也可称为。流密码”) 和分组密码( b l o c ka l g o r i t h m ) ：一次只对明文中的单个位( b i tb yb i t ) 或者单 个字节( b y t eb yb y t e ) 进行运算的算法为序列密码；而对明文的一组位进行运 算的算法称为分组密码。 公开密钥算法( p u b l i c k e ya l g o r i t h m ) 也称为非对称密码算法。用于加密 的密钥和用于解密的密钥不同，且解密密钥不能由加密密钥在合理的时间内计 算得出加密密钥可以公开，所以也称为公钥( p u b l i ck e y ) ，解密密钥( p r i v a t e k e y ，也称为私钥) 由用户自己妥善保管。陌生人只能用加密密钥对消息进行加 密，但只有拥有解密密钥的人才能够解密该密文消息“”。 此外，还