第04章-数据库安全性

第四章数据库安全性数据库系统概论AnIntroductiontoDatabaseSystem

数据库安全性

问题的提出数据库的一大特点是数据可以共享数据共享必然带来数据库的安全性问题数据库系统中的数据共享不能是无条件的共享例：军事秘密、国家机密、市场营销策略、销售计划、市场需求分析、客户档案、医疗档案、银行储蓄数据数据库中数据的共享是在DBMS统一的严格的控制之下的共享，即只允许有合法使用权限的用户访问允许他存取的数据第四章数据库安全性4.1计算机安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其它安全性措施4.7小结4.1计算机安全性概述什么是数据库的安全性数据库的安全性是指保护数据库，防止因用户非法使用数据库造成数据泄露、更改或破坏。是计算机系统安全措施的一个环节数据库系统的安全保护措施是数据库系统主要的性能指标之一4.1.1数据库的不安全性因素

对数据库安全性产生威胁的因素1非授权用户对数据库的恶意存取和破坏黑客和犯罪分子非法获取用户名和口令，假冒合法用户偷取、甚至破坏用户数据因此，必须阻止有损数据库安全的非法操作，以保证数据免受未经授权的访问和破坏DBMS提供的安全措施主要包括用户身份鉴别、存取控制、视图等技术4.1.1数据库的不安全性因素（续）2数据库中重要或敏感数据被泄密保存在数据库中的被盗窃，一些机密信息容易被暴露DBMS提供的主要技术包括强制存取控制、数据加密存贮、数据加密传输等DMBS可提供审计功能，通过分析设计日志，可对破坏信息的情况进行跟踪。4.1.1数据库的不安全性因素（续）3安全环境的脆弱性数据库的安全性是与计算机系统的安全性，包括计算机硬件、操作系统、网络系统等的安全性紧密联系的。因此，必须加强计算机系统的安全性特别是随着Internet的发展，计算机系统的安全问题越来越突出。在计算机安全技术方面逐步发展建立了一套可信计算机系统的概念和标准4.1.2安全标准简介

计算机级及信息安全技术方面有一系列的安全标准TCSEC标准：1985年美国国防部（DepartmentofDefanse，DoD）正式颁布的《DoD可信计算机系统评估准则》之后，许多国家和组织都提出了自己的评估准则CC准则1993年，以上准则进行了标准化，这一行动称为通用准则（CommonCriteria，CC）项目。第四章数据库安全性4.1计算机安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其它安全性措施4.7小结数据库安全性控制概述（续）计算机系统中，安全措施是一级一级层层设置数据库系统的安全模型

数据库安全性控制概述（续）数据库安全性控制的常用方法用户标识和鉴别存取控制视图审计密码存储…4.2数据库安全性控制4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制方法4.2.1用户标识与鉴别用户标识与鉴别（Identification&Authentication）系统提供的最外层安全保护措施基本方法系统提供一定的方式让用户标识自己的名字或身份；系统内部记录着所有合法用户的标识；每次用户要求进入系统时，由系统核对用户提供的身份标识；通过鉴定后才提供系统使用权。常用用户标识与鉴别方法1、静态口令口令由用户确定鉴别时只要输入口令正确即可使用数据库系统缺点：用户名和口令易被窃取，易被攻击，安全性低应增加口令的复杂度，如长度大于8位，字母数字混合，等策略特点：用户标识和鉴定可以重复多次计算机系统数据库常用用户标识与鉴别方法2、动态口令口令是动态变化的，每次鉴别时均需要动态产生新的口令登录DBMS常用的方式如短信密码、动态令牌.每次鉴别时要求用户使用短信、令牌等途径获取新的口令来登录DBMS优点：不易被窃取和破解常用用户标识与鉴别方法3、生物特征鉴别是一种通过生物特征进行认证的技术利用了生物特征具有唯一，可测量、识别和验证的特点包括指纹、虹膜、掌纹、人脸等采用图像识别和模式识别技术实现了基于生物特征的认证优点：安全性高常用用户标识与鉴别方法4、智能卡鉴别智能卡是一种不可复制的硬件，内置集成电路芯片，具有硬件加密宫能。登录DBMS时，将智能卡插入到专用的读卡器进行身份认证。4.2数据库安全性控制4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制方法4.2.2存取控制存取控制是一种主要的数据库安全机制它确保只授权给有资格的用户访问数据库的权限，未被授权的人员无法访问数据存取控制机制由两部分组成定义用户权限在数据库系统中，为了保证用户只能访问他有权存取的数据，必须预先对每个用户定义存取权限。合法权限检查

当用户操作数据库时，DBMS根据他的存取权限定义对他的各种操作请求进行控制，确保他只执行合法操作。这两部分构成了DBMS的存取控制子系统存取控制（续）常用存取控制方法自主存取控制（DiscretionaryAccessControl，简称DAC）同一用户对于不同的数据对象有不同的存取权限不同的用户对同一对象也有不同的权限用户还可将其拥有的存取权限转授给其他用户强制存取控制（MandatoryAccessControl，简称MAC）每一个数据对象被标以一定的密级每一个用户也被授予某一个级别的许可证对于任意一个对象，只有具有合法许可证的用户才可以存取4.2数据库安全性控制4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制方法4.2.3自主存取控制方法定义用户存取权限，称授权定义用户可以在哪些数据库对象上进行哪些类型的操作用户权限组成要素：数据库对象操作类型通过GRANT

和REVOKE

语句实现权限控制授权将用户的权限保存在数据字典中自主存取控制方法（续）关系数据库系统中存取控制对象与权限对象类型对象操作类型数据库模式CREATESCHEMA基本表CREATETABLE，ALTERTABLE模式视图CREATEVIEW索引CREATEINDEX数据基本表和视图SELECT，INSERT，UPDATE，DELETE，REFERENCES，ALLPRIVILEGES数据属性列SELECT，INSERT，UPDATE，REFERENCES，ALLPRIVILEGES自主存取控制方法（续）授权示例：用户名数据对象名允许的操作类型王平StudentSELECT张明霞StudentUPDATE张明霞StudentDELETE张明霞CourseALL张明霞SC.GradeUPDATE张明霞SC.SnoSELECT自主存取控制方法（续）检查存取权限对于合法用户发出存取数据库操作：DBMS首先查找数据字典，根据其存取权限对操作的合法性进行检查若用户的操作请求超出了定义的权限，系统将拒绝执行此操作4.2数据库安全性控制4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制方法4.2.4授权与回收自主存取方法需要DBA对用户授权利用SQL的GRANT和REVOKE授权和回收权限DBMS把授权的结果存入数据字典当用户提出操作请求时，DBMS根据授权定义进行检查只有授权的操作请求才能执行1、GRANTGRANT语句将指定操作对象的指定操作权限授予指定的用户，一般格式：

GRANT<权限>[，…]ON[<对象类型>]<对象名>[，…]TO<用户>[，…][WITHGRANTOPTION];权限：访问权限对象名：要访问的对象用户：权限的授予者GRANT（续）执行GRANT的用户可以为：DBA：可将任何权限授予用户数据库对象创建者（即属主Owner）：可将该对象的任何权限授予其他用户拥有某权限的用户：可将该权限授予其他用户接受权限的用户可以是：一个或多个具体用户角色（组），如PUBLIC既其中的全体用户GRANT示例[例4.1]把查询Student表权限授给用户U1GRANTSELECTONStudentTOU1;[例4.2]把对Student表和Course表的全部权限授予用户U2和U3GRANTALLPRIVILIGESONStudent,Course

TOU2,U3;[例4.3]把对表SC的查询权限授予所有用户

GRANTSELECTONSCTOPUBLIC;GRANT示例（续）[例4.4]把查询Student表和修改学生学号的权限授给用户U4 GRANTUPDATE(Sno),SELECT ONStudent

TOU4;对属性列的授权时必须明确指出相应属性列名

GRANT示例（续）WITHGRANTOPTION子句获得权限的用户可将此权限授予其他用户[例4.5]把对表SC的INSERT权限授予U5用户，并允许他再将此权限授予其他用户

GRANTINSERTONSCTOU5

WITHGRANTOPTION;U5具有了对SC的INSERT权限U5可将此权限授予其他用户GRANT示例（续）[例4.6]U5将对表SC的INSERT权限授予U6：

GRANTINSERTONSCTOU6

WITHGRANTOPTION;

同样，U6还可以将此权限授予U7：

[例4.7]GRANTINSERTONSCTOU7;

但U7不能再传播此权限。GRANT示例（续）

执行了以上各例后，学生-课程数据库中的用户权限定义表授权用户名被授权用户名数据库对象名允许的操作类型能否转授权DBAU1关系StudentSELECT不能DBAU2关系StudentALL不能DBAU2关系CourseALL不能DBAU3关系StudentALL不能DBAU3关系CourseALL不能DBAPUBLIC关系SCSELECT不能DBAU4关系StudentSELECT不能DBAU4属性Student.SnoUPDATE不能DBAU5关系SCINSERT能U5U6关系SCINSERT能U6U7关系SCINSERT不能2、REVOKEREVOKE语句用于收回授予用户的权限格式为：

REVOKE<权限>[,<权限>]...[ON<对象类型><对象名>]FROM<用户>[,<用户>]...[CSECADE|RESTRICT];REVOKE（续）[例4.8]把用户U4修改学生学号的权限收回

REVOKEUPDATE(Sno) ONStudent FROMU4;[例4.9]收回所有用户对表SC的查询权限

REVOKESELECT

ONSC

FROMPUBLIC;REVOKE（续）[例4.10]把用户U5对SC表的INSERT权限收回

REVOKEINSERT ONSC FROMU5CASCADE;将用户U5的INSERT权限收回的时候必须级联（CASCADE）收回授予其他用户（U6、U7）的该权限系统只收回其他用户直接或间接从U5处获得的权限REVOKE（续）

执行［例8］到［例10］后，学生-课程数据库中的用户权限定义表授权用户名被授权用户名数据库对象名允许的操作类型能否转授权DBAU1关系StudentSELECT不能DBAU2关系StudentALL不能DBAU2关系CourseALL不能DBAU3关系StudentALL不能DBAU3关系CourseALL不能DBAU4关系StudentSELECT不能小结SQL灵活的授权机制DBA：拥有所有对象的所有权限，可将权限授予其他的用户用户：拥有自己建立的对象的全部的操作权限，可将该对象的访问权限授予其他用户被授权的用户：若有“继续授权”许可，可将获得的权限再授予其他用户。所有授予出去的权力在必要时又都可用REVOKE语句收回用户可以自主的确定访问权限，称之为自主存取控制3、创建数据库用户只有合法的用户才可登录数据库数据库用户由DBA创建格式：CREATEUSER<username>

［WITH］［DBA|RESOURCE|CONNECT］DBA、RESOURCE、CONNECT：指定用户的权限例如：CREATEUSERU1WITHDBACREATEUSERU2WITHCONNECT授权与回收（续）拥有的权限可否执行的操作CREATEUSERCREATESCHEMACREATETABLE登录数据库，执行数据查询和操纵DBA可以可以可以可以RESOURCE不可以不可以可以可以CONNECT不可以不可以不可以可以，但必须拥有相应权限权限与可执行的操作对照表

4.2数据库安全性控制4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制方法4.2.5数据库角色数据库角色：被命名的一组与数据库操作相关的权限角色是权限的集合（以前称为组）可以为一组具有相同权限的用户创建一个角色简化授权的过程角色的创建CREATEROLE<角色名>数据库角色授权角色权限管理给角色授权

GRANT<权限>[，…]ON对象名[，…]TO<角色>[，…]将一个角色授予其他的角色或用户

GRANT<角色1>［，…］TO<角色2>［，<用户>］…

收回角色权限

REVOKE<权限>[，…]ON对象名[，…]FROM<角色>[，…]数据库角色（续）[例4.11]通过角色来实现将一组权限授予一个用户。CREATEROLER1；GRANTSELECT，UPDATE，INSERTONStudentTOR1；

GRANTR1TO王平，张明，赵玲；将角色授予用户，用户继承了角色的全部权限

REVOKER1FROM王平；将用户从角色中去除4.2数据库安全性控制4.2.1用户标识与鉴别4.2.2存取控制4.2.3自主存取控制方法4.2.4授权与回收4.2.5数据库角色4.2.6强制存取控制方法4.2.6强制存取控制方法自主存取控制缺点可能存在数据的“无意泄露”

例如：甲将存取数据的权限授予乙,乙就可能在更大的范围内复制或传播数据。原因：这种机制仅仅通过对数据的存取权限来进行安全控制，而数据本身并无安全性标记解决：对系统控制下的所有主客体实施强制存取控制策略

强制存取控制方法强制存取控制（MAC)是指系统为保证更高程度的安全性，按照TCSEC/TDI标准中安全策略的要求，所采取的强制存取检查手段。它不是由用户能直接感知或进行控制适用于对数据有严格而固定密级分类的部门军事部门政府部门，…强制存取控制方法（续）MAC中将所管理的实体分主体和客体为两类主体：是系统中的活动实体，包括DBMS所管理的实际用户代表用户的各进程客体：是系统中的被动实体，是受主体操纵的，包括文件、基表、索引、视图等强制存取控制方法（续）对于主体和客体，DBMS为它们每个实例（值）指派一个敏感度标记（Label）敏感度标记分为若干级：绝密（TopSecret）机密（Secret）可信（Confidential）公开（Public）主体的敏感度标记称为许可证级别客体的敏感度标记称为密级强制存取控制方法（续）MAC机制就是通过对比主体的Label和客体的Label，最终确定主体是否能够存取客体强制存取控制规则当某一主体以标记label注册入系统时，系统要求他对任何客体的存取必须遵循下面两条规则：仅当主体的许可证级别大于或等于客体的密级时，该主体才能读取相应的客体仅当主体的许可证级别等于客体的密级时，该主体才能写相应的客体强制存取控制方法（续）修正规则主体的许可证级别<=客体的密级，主体能写客体用户可为写入的数据对象赋予高于自己的许可证级别的密级一旦数据被写入，该用户自己也不能再读该数据对象了。规则的共同点禁止了拥有高许可证级别的主体更新低密级的数据对象强制存取控制方法（续）强制存取控制的特点MAC是对数据本身进行密级标记无论数据如何复制，标记与数据是一个不可分的整体只有符合密级标记要求的用户才可以操纵数据从而提供了更高级别的安全性MAC与DACDAC与MAC共同构成DBMS的安全机制原因：较高安全性级别提供的安全保护要包含较低级别的所有保护实现MAC时要首先实现DAC先进行DAC检查，通过DAC检查的数据对象再由系统进行MAC检查，只有通过MAC检查的数据对象方可存取。DAC+MAC安全检查示意图MAC检查DAC检查安全检查继续SQL语法分析&语义检查第四章数据库安全性4.1计算机安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其它安全性措施4.7小结4.3视图机制通过视图可将数据对象限制在一定的范围内把要保密的数据对无权存取这些数据的用户隐藏起来，对数据提供一定程度的安全保护

视图机制可与授权机制配合使用:首先用视图机制屏蔽掉一部分保密数据视图上面再进一步定义存取权限可间接实现支持存取谓词的用户权限定义视图机制（续）[例4.14]建立计算机系学生的视图，把对该视图的SELECT权限授于王平，把该视图上的所有操作权限授于张明先建立计算机系学生的视图CS_StudentCREATEVIEWCS_StudentASSELECT*FROMStudent

WHERESdept=‘CS’；在视图上进一步定义存取权限GRANTSELECTONCS_StudentTO王平；GRANTALLPRIVILIGESONCS_StudentTO张明；4.2数据库安全性控制4.1计算机安全性概述4.2数据库安全性控制4.3视图机制4.4审计（Audit）4.5数据加密4.6其它安全性措施4.7小结4.4审计什么是审计审计功能启用一个专用的审计日志（AuditLog）将用户对数据库的所有操作记录在上面DBA利用审计日志监控数据库中的各种行为，重现导致数据库现有状况的一系列事件，找出非法存取数据的人、时间和内容。C2以上安全级别的DBMS必须具有审计功能审计（续）审计分为：用户级审计：用户设置针对自己创建的数据库表或视图进行审计记录所有用户对这些表或视图的一切成功和（或）不成功的访问要求以及各种类型的SQL操作系统级审计：DBA设置监测成功或失败的登录要求监测GRANT和REVOKE操作以及其他数据库级权限下的操作审计（续）审计功能的可选性审计很费时间和空间DBA可以根据应用对安全性的要求，灵活地打开或关闭审计功能。与用户识别和鉴定、存取控制、视图等作为强制性机制不同，审计技术作为预防监测手段1、可审计事件DBMS能对用户行为、各种表操作、身份鉴别、存取控制等操作进行审计，包括服务器事件：审计数据库服务器发生的事件，包括服务器的启动、停止等系统权限：对系统拥有的结构或模式对象进行操作的审计语句事件：对SQL语句，如DDL、DML、DQL、DCL等语句审计。模式对象事件：对特定模式对象（包括表、视图、存储过程等）上进行的SELECT或DML操作的审计。2、审计功能审计具有如下几个方面的功能基本功能，提供多种审计查阅方式：包括基本的、可选的、有限的，等。提供多套审计规则，审计规则一般在数据库初始化时设定提供审计和分析报表功能审计日志管理功能系统提供查询审计设置及审计记录信息的专门视图。3、审计功能的设置、取消使用AUDIT、NOAUDIT语句设置、取消审计功能[例4.15]对修改SC表结构或修改SC表数据的操作进行审计

AUDITALTER，UPDATEONSC；[例4.16]取消对SC表的一切审计

NOAUDITALTER，UPDATEONSC；用户也可以在更新操作上定义适当的触发器来建立审计追踪4.2数据库安全性控制4.1计算机安全性概述4.2