数据库安全概述

第四章数据库安全

数据库安全性

问题的提出数据库的一大特点是数据可以共享数据共享必然带来数据库的安全性问题数据库系统中的数据共享不能是无条件的共享例：军事秘密、国家机密、新产品实验数据、市场需求分析、市场营销策略、销售计划、客户档案、医疗档案、银行储蓄数据数据库安全性本章要求了解：计算机以及信息安全技术标准的进展。重点：使用SQL中的GRANT语句和REVOKE语句来实现数据库的实现自主存取控制功能。使用SQL中CREATEROLE语句创建角色，用GRANT语句给角色授权。掌握视图机制在数据库安全保护中的作用。难点：强制存取控制（MAC）机制中确定主体能否存取客体的存取规则，要理解并掌握存取规则为什么要这样规定。第四章数据库安全性4.1计算机安全性概述(了解)4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6统计数据库安全性4.7小结4.1计算机安全性概述4.1.1计算机系统的三类安全性问题4.1.2安全标准简介4.1.1计算机系统的三类安全性问题

计算机系统安全性为计算机系统建立和采取的各种安全保护措施，以保护计算机系统中的硬件、软件及数据，防止其因偶然或恶意的原因使系统遭到破坏，数据遭到更改或泄露等。计算机系统的三类安全性问题（续）

三类计算机系统安全性问题技术安全类管理安全类政策法律类4.1计算机安全性概论4.1.1计算机系统的三类安全性问题4.1.2安全标准简介4.1.2安全标准简介TCSEC标准CC标准安全全标标准准简简介介（（续续））信息息安安全全标标准准的的发发展展历历史史安全全标标准准简简介介（（续续））TCSEC/TDI标准准的的基基本本内内容容TCSEC/TDI，从从四个个方方面面来描描述述安安全全性性级级别别划划分分的的指指标标安全全策策略略责任任保证证文档档TCSEC/TDI安全全级级别别划划分分TCSEC/TDI安全全级级别别划划分分安全级别

定义A1验证设计（VerifiedDesign）B3安全域（SecurityDomains）B2结构化保护（StructuralProtection）B1标记安全保护（LabeledSecurityProtection）C2受控的存取保护（ControlledAccessProtection）C1自主安全保护（DiscretionarySecurityProtection）D最小保护（MinimalProtection）TCSEC/TDI安全全级级别别划划分分（（续续））按系系统统可可靠靠或或可可信信程程度度逐逐渐渐增增高高各安安全全级级别别之之间间：：偏偏序序向向下下兼兼容容TCSEC/TDI安全全级级别别划划分分（（续续））B2以上上的的系系统统还处处于于理理论论研研究究阶阶段段应用用多多限限于于一一些些特特殊殊的的部部门门，，如如军军队队等等美国国正正在在大大力力发发展展安安全全产产品品，，试试图图将将目目前前仅仅限限于于少少数数领领域域应应用用的的B2安全全级级别别下下放放到到商商业业应应用用中中来来，，并并逐逐步步成成为为新新的的商商业业标标准准CCCC提出出国国际际公公认认的的表表述述信信息息技技术术安安全全性性的的结结构构把信信息息产产品品的的安安全全要要求求分分为为安全全功功能能要要求求安全全保保证证要要求求CC（续续））CC文本本组组成成简介介和和一一般般模模型型安全全功功能能要要求求安全保证要求求CC（续）CC评估保证级划划分评估保证级定义TCSEC安全级别（近似相当）EAL1功能测试（functionallytested）EAL2结构测试（structurallytested）C1EAL3系统地测试和检查（methodicallytestedandchecked）C2EAL4系统地设计、测试和复查（methodicallydesigned，tested，andreviewed）B1EAL5半形式化设计和测试（semiformallydesignedandtested）B2EAL6半形式化验证的设计和测试（semiformallyverifieddesignandB3tested）EAL7形式化验证的设计和测试（formallyverifieddesignandtested）A1第四章数数据库安全性性4.1计算机安全性性概述4.2数据库安全性性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6统计数据库安安全性4.7小结4.2数据库安全性性控制概述非法使用数据据库的情况编写合法程序序绕过DBMS及其授权机制制直接或编写应应用程序执行行非授权操作作通过多次合法法查询数据库库从中推导出出一些保密数数据数据库安全性性控制概述（（续）计算机系统中中，安全措施施是一级一级级层层设置计算机系统的的安全模型数据库安全性性控制概述（（续）数据库安全性性控制的常用用方法用户标识和鉴鉴定存取控制视图审计密码存储4.2数据库安全性性控制4.2.1用户标识与鉴鉴别4.2.2存取控制4.2.3自主存取控制制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制制方法4.2.1用户标识与鉴鉴别用户标识与鉴鉴别（Identification&Authentication）系统提供的最最外层安全保保护措施用户标识与鉴鉴别（续）用户标识用一个用户名名（UserName）或用户标识识号（UID）来标明用户户身份。口令系统核对口令令以鉴别用户户身份用户名和口令令易被窃取每个用户预先先约定好一个个计算过程或者函数4.2数据库安全性性控制4.2.1用户标识与鉴鉴别4.2.2存取控制4.2.3自主存取控制制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制制方法4.2.2存取控制存取控制机制制组成定义用户权限限，并将用户户权限登记到到数据字典中中合法权限检查查用户权限定义义和合法权限限检查机制一一起组成了DBMS的安全子系统统存取控制（续续）常用存取控制制方法自主存取控制制（DiscretionaryAccessControl，简称DAC）C2级灵活强制存取控制制（MandatoryAccessControl，简称MAC）B1级严格4.2数据库安全性性控制4.2.1用户标识与鉴鉴别4.2.2存取控制4.2.3自主存取控制制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制制方法4.2.3自主存取控制制方法通过SQL的GRANT语句和REVOKE语句实现用户权限组成成数据对象操作类型定义用户存取取权限：定义义用户可以在在哪些数据库库对象上进行行哪些类型的的操作定义存取权限限称为授权自主存取控制制方法（续））关系数据库系系统中存取控控制对象对象类型对象操作类型数据库模式CREATESCHEMA基本表CREATETABLE，ALTERTABLE模式视图CREATEVIEW索引CREATEINDEX数据基本表和视图SELECT，INSERT，UPDATE，DELETE，REFERENCES，ALLPRIVILEGES数据属性列SELECT，INSERT，UPDATE，REFERENCESALLPRIVILEGES关系数据库系系统中的存取取权限4.2数据库安全性性控制4.2.1用户标识与鉴鉴别4.2.2存取控制4.2.3自主存取控制制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制制方法4.2.4授权与回收一、GRANTGRANT语句的一般格格式：GRANT<权限>[,<权限>]...[ON<对象类型><对象名>]TO<用户>[,<用户>]...[WITHGRANTOPTION];语义：将对指指定操作对象象的指定操作作权限授予指指定的用户GRANT（续）发出GRANT：DBA数据库对象创创建者（即属属主Owner）拥有该权限的的用户按受权限的用用户一个或多个具具体用户PUBLIC（全体用户））WITHGRANTOPTION子句WITHGRANTOPTION子句:指定：可以再授予没有指定：不能传播不允许循环授授权例题[例1]把查询Student表权限授给用用户U1GRANTSELECTONTABLEStudentTOU1;例题（续）[例2]把对Student表和Course表的全部权限限授予用户U2和U3GRANTALLPRIVILIGESONTABLEStudent,CourseTOU2,U3;例题（续）[例3]把对表SC的查询权限授授予所有用户户GRANTSELECTONTABLESCTOPUBLIC;例题（续）[例4]把查询Student表和修改学生生学号的权限限授给用户U4GRANTUPDATE(Sno),SELECTONTABLEStudentTOU4;对属性列的授授权时必须明明确指出相应应属性列名例题（续）[例5]把对表SC的INSERT权限授予U5用户，并允许许他再将此权权限授予其他他用户GRANTINSERTONTABLESCTOU5WITHGRANTOPTION;传播权限执行例5后，U5不仅拥有了对对表SC的INSERT权限，还可以传播此此权限：[例6]GRANTINSERTONTABLESCTOU6WITHGRANTOPTION;同样，U6还可以将此权权限授予U7：[例7]GRANTINSERTONTABLESCTOU7;但U7不能再传播此此权限。传播权限（续续）下表是执行了了［例1］到［例7］的语句后，，学生-课程数据库中中的用户权限限定义表授权用户名被授权用户名数据库对象名允许的操作类型能否转授权DBAU1关系StudentSELECT不能DBAU2关系StudentALL不能DBAU2关系CourseALL不能DBAU3关系StudentALL不能DBAU3关系CourseALL不能DBAPUBLIC关系SCSELECT不能DBAU4关系StudentSELECT不能DBAU4属性列Student.SnoUPDATE不能DBAU5关系SCINSERT能U5U6关系SCINSERT能U6U7关系SCINSERT不能授权与回收（（续）二、REVOKE授予的权限可可以由DBA或其他授权者者用REVOKE语句收回REVOKE语句的一般格格式为：REVOKE<权限>[,<权限>]...[ON<对象类型><对象名>]FROM<用户>[,<用户>]...;REVOKE（续）[例8]把用户U4修改学生学号号的权限收回回REVOKEUPDATE(Sno)ONTABLEStudentFROMU4;REVOKE（续）[例9]收回所有用户户对表SC的查询权限REVOKESELECTONTABLESCFROMPUBLIC;REVOKE（续）[例10]把用户U5对SC表的的INSERT权限限收收回回REVOKEINSERTONTABLESCFROMU5CASCADE;将用用户户U5的INSERT权限限收收回回的的时时候候必必须须级级联联（（CASCADE）收收回回系统统只只收收回回直直接接或或间间接接从从U5处获获得得的的权权限限REVOKE（续续））执行行［［例例8］到到［［例例10］的的语语句句后后，，学学生生-课程程数数据据库库中中的的用用户户权权限限定定义义表表授权用户名被授权用户名数据库对象名允许的操作类型能否转授权DBAU1关系StudentSELECT不能DBAU2关系StudentALL不能DBAU2关系CourseALL不能DBAU3关系StudentALL不能DBAU3关系CourseALL不能DBAU4关系StudentSELECT不能小结结:SQL灵活活的的授授权权机机制制DBA：拥拥有有所所有有对对象象的的所所有有权权限限不同同的的权权限限授授予予不不同同的的用用户户用户户：：拥拥有有自自己己建建立立的的对对象象的的全全部部的的操操作作权权限限GRANT：授授予予其其他他用用户户被授授权权的的用用户户“继继续续授授权权””许许可可：：再再授授予予所有有授授予予出出去去的的权权力力在在必必要要时时又又都都可可用用REVOKE语句句收收回回授权权与与回回收收（（续续））三、、创创建建数数据据库库模模式式的的权权限限DBA在创建建用用户户时实实现现CREATEUSER语句句格格式式CREATEUSER<username>［WITH］［［DBA|RESOURCE|CONNECT］授权权与与回回收收（（续续））拥有的权限可否执行的操作CREATEUSERCREATESCHEMACREATETABLE登录数据库执行数据查询和操纵DBA可以可以可以可以RESOURCE不可以不可以可以可以CONNECT不可以不可以不可以可以，但必须拥有相应权限权限限与与可可执执行行的的操操作作对对照照表表4.2数据据库库安安全全性性控控制制4.2.1用户户标标识识与与鉴鉴别别4.2.2存取取控控制制4.2.3自主主存存取取控控制制方方法法4.2.4授权权与与回回收收4.2.5数据据库库角角色色4.2.6强制制存存取取控控制制方方法法4.2.5数据据库库角角色色数据据库库角角色色：：被被命命名名的的一一组组与与数数据据库库操操作作相相关关的的权权限限角色色是是权权限限的的集集合合可以以为为一一组组具具有有相相同同权权限限的的用用户户创创建建一一个个角角色色简化授权权的过程程数据库角角色一、角色色的创建建CREATEROLE<角色名>二、给角角色授权权GRANT<权限>［，<权限>］…ON<对象类型型>对象名TO<角色>［，<角色>］…数据库角角色三、将一一个角色色授予其其他的角角色或用用户GRANT<角色1>［，<角色2>］…TO<角色3>［，<用户1>］…［WITHADMINOPTION］四、角色色权限的的收回REVOKE<权限>［，<权限>］…ON<对象类型型><对象名>FROM<角色>［，<角色>］…数据库角角色（续续）[例11]通过角色色来实现现将一组组权限授授予一个个用户。。步骤如下下：1.首先创建建一个角角色R1CREATEROLER1；2.然后使用用GRANT语句，使使角色R1拥有Student表的SELECT、UPDATE、INSERT权限GRANTSELECT，UPDATE，INSERTONTABLEStudentTOR1；数据库角角色（续续）3.将这个角角色授予予王平，，张明，，赵玲。。使他们们具有角角色R1所包含的的全部权权限GRANTR1TO王平，张张明，赵赵玲；4.可以一次次性通过过R1来回收王王平的这这3个权限REVOKER1FROM王平；数据库角角色（续续）[例12]角色的权权限修改改GRANTDELETEONTABLEStudentTOR1数据库角角色（续续）[例13]REVOKESELECTONTABLEStudentFROMR1；4.2数据库安安全性控控制4.2.1用户标识识与鉴别别4.2.2存取控制制4.2.3自主存取取控制方方法4.2.4授权与回回收4.2.5数据库角角色4.2.6强制存取取控制方方法自主存取取控制缺缺点可能存在在数据的的“无意意泄露””原因：这这种机制制仅仅通通过对数数据的存存取权限限来进行行安全控控制，而而数据本本身并无无安全性性标记解决：对对系统控控制下的的所有主主客体实实施强制制存取控控制策略略4.2.6强制存取取控制方方法强制存取取控制（（MAC)保证更高高程度的的安全性性用户能不不能直接接感知或或进行控控制适用于对对数据有有严格而而固定密密级分类类的部门门军事部门门政府部门门强制存取取控制方方法（续续）主体是系统中中的活动动实体DBMS所管理的的实际用用户代表用户户的各进进程客体是系统中中的被动动实体，，是受主主体操纵纵的文件基表索引视图强制存取取控制方方法（续续）敏感度标标记（Label）绝密（TopSecret）机密（Secret）可信（Confidential）公开（Public）主体的敏感度度标记称为许许可证级别（（ClearanceLevel）客体的敏感度度标记称为密密级（ClassificationLevel）强制存取控制制方法（续））强制存取控制制规则(1)仅当主体的许许可证级别大于或等于客体的密级时时，该主体才才能读取相应的客体体(2)仅当主体的许许可证级别等于客体的密级时时，该主体才才能写相应的客体修正规则主体的许可证证级别<=客体的密级主体能写客体体强制存取控制制方法（续））规则的共同点点禁止了拥有高高许可证级别别的主体更新新低密级的数数据对象MAC与DACDAC与MAC共同构成DBMS的安全机制实现MAC时要首先实现现DAC原因：较高安安全性级别提提供的安全保保护要包含较较低级别的所所有保护强制存取控制制方法（续））DAC+MAC安全检查示意意图SQL语法分析&语义检查DAC检查安全检查MAC检查继续先进行DAC检查，通过DAC检查的数据对对象再由系统统进行MAC检查，只有通通过MAC检查的数据对对象方可存取取。第四章数数据库安全性性4.1计算机安全性性概述4.2数据库安全性性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6统计数据库安安全性4.7小结4.3视图机制把要保密的数数据对无权存存取这些数据据的用户隐藏藏起来，对数数据提供一定定程度的安全全保护主要功能是提提供数据独立立性，无法完完全满足要求求间接实现了支支持存取谓词词的用户权限限定义视图机制（续续）[例14]建立计算机系系学生的视图图，把对该视视图的SELECT权限授于王平平，把该视图图上的所有操操作权限授于于张明先建立计算机机系学生的视视图CS_StudentCREATEVIEWCS_StudentASSELECT*FROMStudentWHERESdept='CS'；视图机制（续续）在视图上进一一步定义存取取权限GRANTSELECTONCS_StudentTO王平；GRANTALLPRIVILIGESONCS_StudentTO张明；4.2数据库安全性性控制4.1计算机安全性性概述4.2数据库安全性性控制4.3视图机制4.4审计（Audit）（自学）4.5数据加密4.6统计数据库安安全性4.7小结4.4审计什么是审计审计日志（AuditLog）将用户对数据据库的所有操操作记录在上上面DBA利用审计日志志找出非法存取取数据的人、、时间和内容容C2以上安全级别别的DBMS必须具有审计（续）审计分为用户级审计针对自己创建建的数据库表表或视图进行行审计记录所有用户户对这些表或或视图的一切切成功和（或或）不成功的的访问要求以以及各种类型型的SQL操作系统级审计DBA设置监测成功或失失败的登录要要求监测GRANT和REVOKE操作以及其他他数据库级权权限下的操作作审计（续）AUDIT语句：设置审审计功能NOAUDIT语句：取消审审计功能审计（续）［例15］对修改SC表结构或修改改SC表数据的操作作进行审计AUDITALTER，UPDATEONSC；［例16］取消对SC表的一切审计计NOAUDITALTER，UPDATEONSC；4.2数据库安全性性控制4.1计算机安全性性概述4.2数据库安全性性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6统计数据库安安全性4.7小结4.5数据加密数据加密防止数据库中中数据在存储储和传输中失失密的有效手手段加密的基本思思想加密方法替换方法置换方法混合方法DBMS中的数据加密密第四章数数据库安全性性4.1计算机安全性性概述4.2数据库安全性性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6统计数据库安安全性4.7小结4.6统计数据库安安全性统计数据库允许用户查询询聚集类型的信息（（如合计、平平均值等）不允许查询单个记录信息统计数据库中中特殊的安全全性问题隐蔽的信息通通道能从合法的查查询中推导出出不合法的信信息统计数据库安安全性（续））规则1：任何查询至至少要涉及N(N足够大)个以上的记录录规则2：任意两个查查询的相交数数据项不能超超过M个规则3：任一用户的的查询次数不不能超过1+(N-2)/M统计数据库安安全性（续））数据库安全机机制的设计目目标：试图破坏安全全的人所花费费的代价>>得到的利益第四章数数据库安全性性4.1计算机安全性性概述4.2数据库安全性性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6统计数据库安安全性4.7小结4.7小结数据的共享日日益加强，数数据的安全保保密越来越重重要DBMS是管理数据的的核心，因而而其自身必须须具有一整套套完整而有效效的安全性机机制小结（续）实现数据库系系统安全性的的技术和方法法存取控制技术术视图技术审计技术自主存取控制制功能通过SQL的GRANT语句和REVOKE语句实现角色使用角色来管管理数据库权权限可以简化化授权过程CREATEROLE语句创建角色色GRANT语句给角色授授权9、静夜四四无邻，，荒居旧旧业贫。。。12月-2212月-22Thursday,December29,202210、雨中中黄叶叶树，，灯下下白头头人。。。13:55:1113:55:1113:5512/29/20221:55:11PM11、以我独沈久久，愧君相见见频。。12月-2213:55:1113:55Dec-2229-Dec-2212、故人江江海别，，几度隔隔山川。。。13:55:1113:55:1113:55Thursday,December29,202213、乍见翻疑梦梦，相悲各问问年。。12月-2212月-2213:55:1113:55:11December29,202214、他乡生白发发，旧国见青青山。。29十二月月20221:55:11下午13:55:1112月-2215、比不不了得得就不不比，，得不不到的的就不不要。。。。十二月月221:55下下午午12月月-2213:55December29,202216、行动出出成果，，工作出出财富。。。2022/12/2913:55:1113:55:1129December202217、做前前，能能够环环视四四周；；做时时，你你只能能或者者最好好沿着着以脚脚为起起点的的射线线向前前。。。1:55:11下下午1:55下下午午13:55:1112月月-229、没有失败败，只有暂暂时停止成成功！。12月-2212月-22Thursday,December29,202210、很多事事情努力力了未必必有结果果，但是是不努力力却什么么改变也也没有。。。13:55:1113:55:1113:5512/29/20221:55:11PM11、成功就是日日复一日那一一点点小小努努力的积累。。。12月-2213:55:1113:55Dec-2229-Dec-2212、世间间成事事，不不求其其绝对对圆满满，留留一份份不足足，可可得无无限完完美。。。13:55:1113:55:1113:55Thursday,December29