Oracle安全方面的標(biāo)準(zhǔn)建議書模板)

1、Oracle9i SecurityReusable Proposal 提交人:Oracle Sales Consultant 提交日期:Feb. 5, 2002 版本號:v1.0 Oracle9i Security Solution 第 1 頁Copyright 2002 Oracle CorporationAll rights reserved.目目 錄錄1概述概述. 32ORACLE9I 安全解決方案安全解決方案 提供端到端的安全體系結(jié)構(gòu)提供端到端的安全體系結(jié)構(gòu).42.1ORACLE9I DATABASE 安全機(jī)制. 42.2強(qiáng)壯的三層安全. 52.3托管環(huán)境的安全. 52.4基于標(biāo)準(zhǔn)的公

2、共密鑰體系結(jié)構(gòu) (PKI) . 72.5先進(jìn)的用戶和安全策略管理. 102.6數(shù)據(jù)加密和標(biāo)簽安全. 133ORACLE9I 安全解決方案遵循的安全協(xié)議和標(biāo)準(zhǔn)安全解決方案遵循的安全協(xié)議和標(biāo)準(zhǔn).153.1ORACLE9I 安全解決方案遵循的安全協(xié)議和標(biāo)準(zhǔn).153.1.1滿足NCSC的C2級安全標(biāo)準(zhǔn). 153.1.2支持X.509協(xié)議. 153.1.3支持Secure Socket Layer(SSL)協(xié)議.153.1.4支持LDAP協(xié)議. 153.1.5支持PKI標(biāo)準(zhǔn). 163.1.6支持多種驗(yàn)證, 加密和數(shù)據(jù)完整性標(biāo)準(zhǔn).164ORACLE 安全解決方案實(shí)際案例參考安全解決方案實(shí)際案例參考. 17

3、4.1.1PayPal . 17 Oracle9i Security Solution 第 2 頁Copyright 2002 Oracle CorporationAll rights reserved.1 概述概述電子商務(wù)的流行和 Internet 的普遍性改變了機(jī)構(gòu)運(yùn)營商務(wù)的方式、人們進(jìn)行通信的手段。這些改變帶來了推動(dòng)商業(yè)決策的新技術(shù)。安全性漸漸從內(nèi)部集成解決方案組轉(zhuǎn)變成了電子商務(wù)實(shí)施的主要必需條件。目前世界上很多企業(yè)和機(jī)構(gòu)正在充分利用 Internet，優(yōu)化運(yùn)作，并以相同的方式與供應(yīng)商、合作伙伴、內(nèi)部用戶和客戶直接進(jìn)行通信。然而，這些新的商業(yè)運(yùn)作模式為它們帶來了機(jī)遇同時(shí)也帶來了各種挑戰(zhàn)。

4、不同類別的用戶需要以不同的方式訪問數(shù)據(jù)。合作伙伴必須能夠看到某些有限的數(shù)據(jù)，員工能夠?yàn)g覽公司機(jī)密信息，而客戶只能看到與其相關(guān)的信息; 同時(shí)Internet 的發(fā)展使企業(yè)級應(yīng)用系統(tǒng)的用戶數(shù)量呈指數(shù)級增長, 為企業(yè)級的用戶管理帶來了挑戰(zhàn)。簡而言之，Internet時(shí)代安全性的挑戰(zhàn)包括：了解用戶、設(shè)置用戶訪問權(quán)限、對機(jī)密數(shù)據(jù)進(jìn)行保密、提供安全的網(wǎng)絡(luò)服務(wù)。借助 Oracle9i、Oracle9i Advanced Security和Oracle Label Security 的功能，管理員和集成商能夠克服這些 Internet 安全性挑戰(zhàn)，Oracle為基于 Internet 的企業(yè)范圍應(yīng)用解決方案提

5、供了極其安全的環(huán)境。本文檔是為了提供可以重復(fù)使用在方案建議書、答標(biāo)書中的關(guān)于Oracle9i安全解決方案所關(guān)注的焦點(diǎn)領(lǐng)域，所遵循的安全協(xié)議和標(biāo)準(zhǔn)和解決方案的成功案例等。 Oracle9i Security Solution 第 3 頁Copyright 2002 Oracle CorporationAll rights reserved.2 Oracle9i 安全解決方案安全解決方案 提供端到端的安全體系結(jié)構(gòu)提供端到端的安全體系結(jié)構(gòu)Oracle9i 繼續(xù)提供業(yè)界最安全的應(yīng)用程序開發(fā)和部署平臺, 它所包含的安全解決方案主要關(guān)注以下幾個(gè)關(guān)鍵聚焦領(lǐng)域：Oracle9i Database 安全機(jī)制強(qiáng)壯

6、的三層安全托管環(huán)境的安全基于標(biāo)準(zhǔn)的公共密鑰體系結(jié)構(gòu)(PKI)先進(jìn)的用戶和安全策略管理數(shù)據(jù)加密和標(biāo)簽安全2.12.1 Oracle9iOracle9i DatabaseDatabase 安全機(jī)制安全機(jī)制Oracle9i數(shù)據(jù)庫權(quán)限管理包括系統(tǒng)權(quán)限、數(shù)據(jù)權(quán)限、角色權(quán)限三級結(jié)構(gòu)，并且角色形成樹形結(jié)構(gòu)，能動(dòng)態(tài)生效或無效，從而實(shí)現(xiàn)動(dòng)態(tài)的權(quán)限處理?；诮巧陌踩怨芾頇C(jī)制，可以給一組數(shù)據(jù)庫權(quán)限命名。引入角色概念后，機(jī)密性管理機(jī)制可以把表或其它數(shù)據(jù)庫對象上的一些權(quán)限進(jìn)行組合，授予某一個(gè)用戶或一組用戶，從而顯著地降低機(jī)密性機(jī)制的負(fù)擔(dān)和成本。數(shù)據(jù)庫管理員只需一條 GRANT 命令，就可以授權(quán)用戶運(yùn)行整個(gè)應(yīng)用。Or

7、acle 角色定義已經(jīng)被ISO和ANSI標(biāo)準(zhǔn)SQL委員會(huì)接受作為SQL安全標(biāo)準(zhǔn)的基礎(chǔ)。Oracle9i提供了強(qiáng)有力的用戶名口令驗(yàn)證機(jī)制，可以強(qiáng)制口令的數(shù)字和字母組合，最小長度，口令過期等，如果用戶對口令處理有特殊要求，還可以通過PL/SQL編寫自己的口令處理程序。另外，Oracle9i可按系統(tǒng)和用戶的要求，可對表及視圖進(jìn)行各種審計(jì)，完成對數(shù)據(jù)庫系統(tǒng)的審計(jì)追蹤，如：什么用戶參與了哪些操作，操作的對象，操作數(shù)據(jù)的記錄及操作成功與否等。以此可以檢測異常或可疑用戶的操作，以及未授權(quán)的訪問。 Oracle9i Security Solution 第 4 頁Copyright 2002 Oracle Co

8、rporationAll rights reserved.2.22.2 強(qiáng)壯的三層安全強(qiáng)壯的三層安全Oracle9i 通過代理認(rèn)證增強(qiáng)了三層安全，包括 X.509 許可證文件或判別名 (DN) 的信用代理、應(yīng)用程序用戶的連接共享（胖 JDBC 和瘦 JDBC、OCI）和與 LDAP 的集成。一個(gè)可擴(kuò)展的、安全的應(yīng)用程序角色可以強(qiáng)制用戶只能通過中間層應(yīng)用服務(wù)器訪問數(shù)據(jù)庫, 使應(yīng)用程序的所有層中都能安全地維護(hù)用戶身份。2.32.3 托管環(huán)境的安全托管環(huán)境的安全Virtual Private Database是基于Oracle數(shù)據(jù)庫技術(shù)為托管環(huán)境的應(yīng)用系統(tǒng)提供極其安全的環(huán)境。Virtual Priv

9、ate Database提供的細(xì)微訪問控制與安全應(yīng)用程序上下文一起，能夠確保 數(shù)據(jù)庫服務(wù)器中數(shù)據(jù)的安全，并可保證無論用戶訪問數(shù)據(jù)的方式如何（通過應(yīng)用程序、報(bào)告編寫工具或 SQL*Plus），都將實(shí)施同一種訪問控制政策。Virtual Private Database能夠幫助銀行確?？蛻魞H能看到與其帳戶相關(guān)的信息、電信公司能夠安全地隔離客戶記錄、人力資源應(yīng)用程序能夠支持員工記錄的復(fù)雜數(shù)據(jù)訪問規(guī)則。此外，安全性只需在數(shù)據(jù)服務(wù)器中構(gòu)建一次，不必在訪問數(shù)據(jù)的每個(gè)應(yīng)用程序中進(jìn)行構(gòu)建，因此，Virtual Private Database還能夠降低您的開發(fā)成本。Oracle 數(shù)據(jù)庫中Virtual Pri

10、vate Database 的功能 細(xì)微訪問控制和相關(guān)特性安全應(yīng)用程序上下文為托管環(huán)境的應(yīng)用系統(tǒng)提供了高效, 簡便的安全控制方式, 它的功能和特點(diǎn)主要體現(xiàn)在以下幾個(gè)方面:動(dòng)態(tài)修改查詢動(dòng)態(tài)修改查詢細(xì)微訪問控制依賴于“動(dòng)態(tài)查詢修改”來對相關(guān)的對象實(shí)施安全策略. 直接或間接訪問表或視圖的用戶擁有與此相關(guān)的安全策略，使服務(wù)器能夠根據(jù)實(shí)施安全策略的功能所返回的“WHERE”條件（即判定），動(dòng)態(tài)地對語句進(jìn)行修改。使用任何表示的條件或由功能返回的條件，對用戶的 SQL 語句進(jìn)行動(dòng)態(tài)修改，這一處理對用戶來說是透明的。返回判定的功能還可以包括操作系統(tǒng)信息。靈活的安全策略實(shí)施，可以為每位用戶、每組用戶或每個(gè)應(yīng)用程

11、序返回不同的判定。 Oracle9i Security Solution 第 5 頁Copyright 2002 Oracle CorporationAll rights reserved.例如人力資源部的一位員工只能看到 Aircraft Division 的員工記錄。當(dāng)該用戶啟動(dòng)查詢“SELECT * FROM EMP”實(shí)施安全性政策的功能將返回判定“division = AIRCRAFT”時(shí)，數(shù)據(jù)庫以透明的方式重新編寫查詢，因此實(shí)際執(zhí)行的查詢就變成了“SELECT * FROM EMP WHERE division = AIRCRAFT”。安全應(yīng)用程序上下文安全應(yīng)用程序上下文許多機(jī)構(gòu)都想

12、根據(jù)有關(guān)用戶的信息來制定訪問控制決策，諸如用戶在機(jī)構(gòu)中的角色、所在機(jī)構(gòu)部門以及他是客戶還是合作伙伴。應(yīng)用程序上下文為應(yīng)用程序開發(fā)商提供了一種簡單的機(jī)制，以定義、設(shè)置和確認(rèn)安全性屬性，并據(jù)此實(shí)施細(xì)微訪問控制，從而增強(qiáng)開發(fā)商在 Oracle數(shù)據(jù)庫中實(shí)施 Virtual Private Database 的能力。應(yīng)用程序上下文提供了可擴(kuò)展性、易于使用和安全性的優(yōu)勢?？蓴U(kuò)展性可擴(kuò)展性應(yīng)用程序上下文作為其屬性，完全由用戶定義，每個(gè)應(yīng)用程序均可以擁有其自己的上下文，具有不同的屬性。例如，應(yīng)用程序可以根據(jù)客戶號和訂單號來制定訪問權(quán)限，人力資源應(yīng)用程序可以根據(jù)職位、機(jī)構(gòu)部門和管理分層屬性來制定訪問控制。易于使

13、用易于使用應(yīng)用程序上下文使細(xì)微訪問控制易于實(shí)施，例如，人力資源訪問控制可能基于“職位”和“機(jī)構(gòu)部門”?？蛻裟軌蚴褂脩?yīng)用程序上下文，以確保位于“經(jīng)理”職位的用戶能夠看到其“機(jī)構(gòu)部門”內(nèi)所有員工的員工記錄，但位于“員工”職位的用戶只能看到其自己的記錄?；蛘?，你可以使用訪問控制條件中的上下文屬性，例如使客戶只能看到與其“客戶號”屬性相匹配的記錄，每位用戶的“客戶號”屬性均不相同。應(yīng)用程序能夠方便、清楚地設(shè)置、確認(rèn)和檢索任何上下文屬性。安全性安全性應(yīng)用程序上下文可安全地用于實(shí)施細(xì)微訪問控制，因?yàn)樯舷挛谋旧硎前踩?。Oracle數(shù)據(jù)庫 確保整個(gè)數(shù)據(jù)庫的上下文名稱都是唯一 Oracle9i Securit

14、y Solution 第 6 頁Copyright 2002 Oracle CorporationAll rights reserved.的，因此不可以復(fù)制或偽造上下文。此外，建立安全性上下文的需要相應(yīng)的系統(tǒng)權(quán)限, 同時(shí)Oracle數(shù)據(jù)庫提供相應(yīng)的程序包來輕松安全地設(shè)置上下文屬性. 可伸縮的安全性可伸縮的安全性Virtual Private Database 的細(xì)微訪問控制經(jīng)過優(yōu)化設(shè)計(jì)，具有高伸縮性，并可使用數(shù)據(jù)庫最佳特性。在大多數(shù)情況下，為表添加安全性策略不會(huì)影響性能。在優(yōu)化語句之前，需動(dòng)態(tài)地為語句添加額外的 WHERE 子句。這意味著，全語句（包括附加的 WHERE 條件）均進(jìn)行了優(yōu)化，因

15、此對其進(jìn)行了有效地語法分析和執(zhí)行。當(dāng)然，全語句可參與到共享內(nèi)存當(dāng)中，這樣任何執(zhí)行同一語句（包括 WHERE 條件）的用戶均無需重新對其進(jìn)行語法分析即可重新執(zhí)行該語句。Oracle9i 針對Virtual Private Database (VPD) 增強(qiáng)新特性, 其中包括小粒度審計(jì)和基于 web 的 single sign-on 提供托管安全。VPD 增強(qiáng)特性包括分區(qū)的應(yīng)用程序上下文（取決于哪個(gè)應(yīng)用程序訪問數(shù)據(jù)的安全強(qiáng)制）和通過全局或共享應(yīng)用程序上下文的連接共享。小粒度審計(jì)用賦值變量提供了 SELECT 語句的選擇性審計(jì)，基于“相關(guān)”列的訪問，大大增強(qiáng)了每個(gè)用戶的可計(jì)算性。2.42.4 基于標(biāo)

16、準(zhǔn)的公共密鑰體系結(jié)構(gòu)基于標(biāo)準(zhǔn)的公共密鑰體系結(jié)構(gòu) (PKI)(PKI)標(biāo)準(zhǔn)的 Public Key Infrastructure (PKI) 通過提供：驗(yàn)證、加密、完整性和認(rèn)可，為安全電子商務(wù)和 Internet 安全性奠定了基礎(chǔ)。Public Key Infrastructure 的主要組成部分包括：Digital Certificate，用于驗(yàn)證用戶和機(jī)器，它被安全地存儲在 wallet 中。Public Key 和 Private Key，組成了 PKI 的基礎(chǔ)，支持基于密鑰和與算術(shù)相關(guān)的公鑰的安全通信Secure Socket Layer (SSL)，符合安全協(xié)議的 Internet 標(biāo)

17、準(zhǔn)Certificate Authority (CA)，作為 Digital Certificate 的可信、獨(dú)立的提供商 Oracle9i Security Solution 第 7 頁Copyright 2002 Oracle CorporationAll rights reserved.Oracle 數(shù)據(jù)庫完全支持標(biāo)準(zhǔn)的公共密鑰體系結(jié)構(gòu) (PKI), 除支持 PKI 的主要組成部分還支持其它重要組件為：證書和密鑰的安全存儲、請求證書的管理工具、訪問 wallet 和管理用戶，以及作為用戶和機(jī)器識別和驗(yàn)證的集中管理的目錄服務(wù)。Digital Certificate目前使用最廣泛的公鑰證書遵

18、循 X.509 格式，X.509 版本 3 證書是現(xiàn)行行業(yè)標(biāo)準(zhǔn)格式。Public Key Infrastructure 依賴于 X.509 證書來進(jìn)行公鑰驗(yàn)證，X.509 也稱為 Digital Certificate 或公鑰證書。通過證書來驗(yàn)證用戶或機(jī)器有點(diǎn)類似于檢查駕駛執(zhí)照或護(hù)照，服務(wù)器和客戶機(jī)通過出示其驗(yàn)證憑證來證明其身份。Oracle的Digital Certificate遵循X.509協(xié)議, 同時(shí)Oracle環(huán)境中的Digital Certificate使用還提供了Single Sign On，從而使用戶一旦通過驗(yàn)證，就可以在不提供其它憑證的情況下連接至多個(gè)應(yīng)用程序和數(shù)據(jù)庫。Sing

19、le Sign On 易于使用，提高了系統(tǒng)的安全性，因?yàn)橛脩舨槐赜洃浂鄠€(gè)密碼，每個(gè)用戶或機(jī)器僅需用一個(gè)密碼進(jìn)行管理，從而提供了集中的安全性。SSL 協(xié)議的支持協(xié)議的支持Secure Socket Layer 協(xié)議廣泛用于 Internet 上，以便為用戶提供安全的數(shù)字身份，并避免數(shù)據(jù)竊聽、篡改或偽造。Oracle Advanced Security 支持Secure Socket Layer, 其中SSL支持包括網(wǎng)絡(luò)通信進(jìn)行加密，并提供了完整性檢查、驗(yàn)證 Oracle 客戶機(jī)和服務(wù)器，為 Oracle 環(huán)境提供基于公鑰的Single Sign-On。SSL 通過使用密碼組，提供加密和數(shù)據(jù)完整性

20、.Oracle Advanced Security 選項(xiàng)SSL支持的加密算法是 RC4、DES 和Triple DES。其中Triple DES (3DES) 算法是一種保護(hù)數(shù)據(jù)的非常強(qiáng)大的方法，因?yàn)樗褂昧艘粋€(gè)以上的標(biāo)準(zhǔn) DES 所采用的 56 位密鑰。Triple DES 越來越廣泛地用于各種機(jī)構(gòu)，如需要強(qiáng)大安全性的銀行和金融機(jī)構(gòu)。SHA (Secure Hashing Algorithm) 為 Oracle 環(huán)境提供了一種新的數(shù)據(jù)完整性檢查方法。它生成無用數(shù)據(jù)來保護(hù)數(shù)據(jù)傳輸，并確保數(shù)據(jù)包在傳輸過程中未被修改或篡改。 Oracle9i Security Solution 第 8 頁Copy

21、right 2002 Oracle CorporationAll rights reserved.SSL 不僅確保了 Oracle Net8 的安全，而且確保了諸如 IIOP (Internet Inter-ORB Protocol) 等其它協(xié)議的安全。通過利用 Java 支持，Oracle Advanced Security 確保了 IIOP 連接的安全。密鑰和證書的安全存儲密鑰和證書的安全存儲為了驗(yàn)證用戶，SSL 必須擁有提供的密鑰和證書。因此，在 Oracle 環(huán)境中，客戶機(jī)或服務(wù)器需要通過一些方法來存儲這一信息，并將其提供給 SSL，也即 Oracle Wallet。Wallet 存儲

22、了 X.509 證書、密鑰和其它數(shù)據(jù)，如由 SSL 處理的可信證書。這些憑證可用于驗(yàn)證至多種服務(wù)的用戶，諸如數(shù)據(jù)服務(wù)器和應(yīng)用程序服務(wù)器。用戶只須記憶獲得Wallet的一個(gè)密碼，這個(gè)密碼可用于解除對Wallet 的鎖定。Oracle Wallet Manager 可管理 Wallet，并從Certificate Authority 請求證書。它使用戶和數(shù)據(jù)庫管理員能夠控制其 Wallet 的內(nèi)容。管理員能夠集中管理有關(guān)應(yīng)用程序和數(shù)據(jù)庫的 Wallet 信息。此外，Oracle 還提供了 Oracle Enterprise Login Assistant 這一易于使用的工具，以便使最終用戶能夠訪問

23、其 wallet。此工具使用戶能夠簡單、透明地獲得 Single Sign-on，從而使用證書來進(jìn)行驗(yàn)證。Wallet 和管理工具可以一并使用，以安全地存儲和管理至證書服務(wù)器的證書、密鑰和請求。證書不僅驗(yàn)證客戶機(jī)到服務(wù)器，而且也在服務(wù)器之間進(jìn)行驗(yàn)證。這通過用于服務(wù)器相互驗(yàn)證的安全數(shù)據(jù)庫鏈接，擴(kuò)展了整個(gè)系統(tǒng)的安全性。借助 SSL 部署，所有客戶機(jī)和服務(wù)器，包括數(shù)據(jù)庫服務(wù)器和應(yīng)用程序服務(wù)器，都具有憑證，以便向與其進(jìn)行通信的所有其它機(jī)器和服務(wù)證實(shí)自己的身份。 Entrust 集成集成Entrust Technologies, Inc. 是通過其 Entrust/PKI 軟件提供 Public Key

24、 Infrastructure 解決方案的市場領(lǐng)先提供商。Entrust/PKI 包括許多產(chǎn)品，諸如確保用戶 PKI 憑證安全的 Entrust Profile，以及 Entrust 的認(rèn)證產(chǎn)品 Entrust Authority。 Oracle9i Security Solution 第 9 頁Copyright 2002 Oracle CorporationAll rights reserved.Oracle Advanced Security提供 Entrust/PKI 支持，從而使客戶能夠使用 Entrust 的“Wallet”機(jī)制 Entrust Profile 來存儲證書和密鑰，并

25、支持安全憑證管理。Oracle Advanced Security 通過用戶的 Entrust Profile 來進(jìn)行驗(yàn)證和 Single Sign-On，而不是從 Oracle Wallet 處獲得用戶憑證（密鑰和證書）。Oracle9i擴(kuò)展了對PKI的支持, 增加對 PKCS#12 許可證文件的支持，允許現(xiàn)有的 PKI 信用和 Oracle Wallet 共享，從而降低 PKI 部署成本并增強(qiáng)交互的操作性。可以從 LDAP 目錄下載 Wallet，以支持移動(dòng)或“Hot - Desked”用戶。在 Oracle9i 中使用的 SSL 庫目前支持硬件加速, 以獲得改進(jìn)的性能。2.52.5 先先

26、進(jìn)的用戶和安全策略管理進(jìn)的用戶和安全策略管理隨著Internet的不斷發(fā)展，用戶驗(yàn)證和用戶管理的問題已成為企業(yè)安全管理的所面臨的重要問題。一方面企業(yè)用戶擁有太多的密碼，因此，往往他們將這些密碼記錄下來，或者所有帳戶均選擇同一密碼。另一方面企業(yè)必須管理每個(gè)用戶的多個(gè)密碼。因此，他們投入了重要的資源來進(jìn)行用戶管理，或投資于網(wǎng)絡(luò)驗(yàn)證服務(wù)上。同時(shí)多個(gè)應(yīng)用程序使用的通用信息，如用戶名、用戶辦公地點(diǎn)和電話號碼，通?？缭狡髽I(yè)進(jìn)行分割，從而導(dǎo)致數(shù)據(jù)冗余、不一致和管理成本浩大。企業(yè)缺乏集中的用戶管理會(huì)帶來安全的風(fēng)險(xiǎn), 為了解決這些挑戰(zhàn)，Oracle提供企業(yè)集中用戶管理的解決方案Oracle Advanced S

27、ecurity 選件通過標(biāo)準(zhǔn)的 Single Sign-On實(shí)現(xiàn)安全性和目錄服務(wù)集成，提供了強(qiáng)大的用戶認(rèn)證，減少了用戶擁有太多密碼的所帶來的安全風(fēng)險(xiǎn)。管理員花在管理用戶帳戶的時(shí)間很少，因?yàn)樗麄兡軌蚩缭蕉鄠€(gè)數(shù)據(jù)庫，對用戶進(jìn)行集中管理。企業(yè)可根據(jù)用戶在企業(yè)中的角色在整個(gè)企業(yè)范圍內(nèi)為每位用戶建立一個(gè)帳戶的。Oracle 可實(shí)現(xiàn)在目錄服務(wù)中存儲用戶的整個(gè)定義，以及用戶的角色和權(quán)限。單一的企業(yè)用戶管理使部署 Internet 應(yīng)用程序的機(jī)構(gòu)能夠以更低的成本，安全地支持?jǐn)?shù)以千計(jì)的用戶，并通過分布式企業(yè)，擴(kuò)展至數(shù)萬、數(shù)十萬甚至數(shù)百萬用戶。 Oracle9i Security Solution 第 10 頁C

28、opyright 2002 Oracle CorporationAll rights reserved.Oracle提供了高效, 簡便, 安全的企業(yè)集中用戶管理, 它的功能和特點(diǎn)主要體現(xiàn)在以下幾個(gè)方面:用戶用戶/方案分割方案分割用戶不需要在數(shù)據(jù)庫中擁有其自己的帳戶 或自己的方案，他們只需訪問應(yīng)用程序方案。例如，用戶 Jane、Cindy 和 Rakesh 是 Payroll 應(yīng)用程序的所有用戶，并需要訪問金融數(shù)據(jù)庫上的 Payroll 方案。他們都不需要在數(shù)據(jù)庫中創(chuàng)建他或她自己的對象，實(shí)際上，他們只需訪問 Payroll 對象。用戶與方案分割開來，使許多企業(yè)用戶都能夠訪問單個(gè)共享的應(yīng)用程序方案

29、。管理員只需在目錄中創(chuàng)建企業(yè)用戶，并將用戶“指向”其它企業(yè)用戶同樣能夠訪問的共享方案，而不是在每個(gè)用戶需要訪問的數(shù)據(jù)庫中創(chuàng)建用戶帳戶（也即用戶方案）。例如，如果 Jane、Cindy 和 Rakesh 均訪問銷售數(shù)據(jù)庫，您可以創(chuàng)建單個(gè)方案，如sales_application，這三位用戶都可以對其進(jìn)行訪問，而不用在銷售數(shù)據(jù)庫上為每位用戶都建立一個(gè)帳戶。管理員在目錄中建立企業(yè)用戶的次數(shù)只有一次。盡管如此，企業(yè)用戶能夠使用從事工作所需的唯一權(quán)限，來訪問多個(gè)數(shù)據(jù)庫，從而降低了管理企業(yè)內(nèi)用戶的成本。Oracle 的目錄服務(wù)器 Oracle Internet Directory (支持LDAP協(xié)議)與

30、Oracle數(shù)據(jù)庫全面集成，支持商業(yè)化企業(yè)用戶管理。其它 LDAP 目錄服務(wù)器，包括 Novell Directory Service (NDS) 和Microsoft 的 Active Directory for Windows 2000 經(jīng)認(rèn)證，也可與Oracle數(shù)據(jù)庫相互集成。企業(yè)集中的用戶管理提供了下列優(yōu)勢：更少的用戶帳戶 企業(yè)用戶再也不必是數(shù)據(jù)庫用戶或擁有可識別的方案。Internet 可伸縮性 您可以支持?jǐn)?shù)以百計(jì)的用戶，這些用戶均為多個(gè)數(shù)據(jù)庫所知， Oracle9i Security Solution 第 11 頁Copyright 2002 Oracle CorporationA

31、ll rights reserved.可在多個(gè)數(shù)據(jù)庫中記帳（審核），同時(shí)不需要?jiǎng)?chuàng)建數(shù)以千計(jì)的數(shù)據(jù)庫用戶帳戶。輕松實(shí)施安全性 如果用戶更換工作或離職，其權(quán)限可被更改或取消，只需在Oracle Internet Directory 中改變其用戶項(xiàng)。機(jī)構(gòu)再也不需要擔(dān)心舊的、未使用的帳戶 或過時(shí)的權(quán)限會(huì)消耗寶貴的系統(tǒng)資源，并成為黑客攻擊的目標(biāo)。減少成本 機(jī)構(gòu)通過管理 Single Enterprise User 帳戶并一次分配企業(yè)角色，大大節(jié)約了重要資源，完全不用創(chuàng)建多個(gè)用戶帳戶和多個(gè)密碼而每個(gè)密碼擁有多個(gè)認(rèn)證權(quán)。集成的安全性和目錄服務(wù)集成的安全性和目錄服務(wù)Oracle Internet Direct

32、ory 基于標(biāo)準(zhǔn)的LDAP協(xié)議，它將 Oracle 數(shù)據(jù)庫技術(shù)的關(guān)鍵任務(wù)優(yōu)勢與 Internet 標(biāo)準(zhǔn)的靈活性完美組合在一起。Oracle Internet Directory 實(shí)現(xiàn)企業(yè)用戶的集中管理，用于管理企業(yè)用戶信息，包括企業(yè)角色和共享方案信息。Oracle Internet Directory 可提供靈活、高粒度訪問控制機(jī)制，以保護(hù)通用應(yīng)用程序信息的敏感性，以及 Oracle 的企業(yè)用戶信息。Oracle Internet Directory 的 Access Control List (ACL) 根據(jù)屬性級別，規(guī)定用戶的訪問權(quán)限和允許訪問的類型。例如，用戶的經(jīng)理可以對用戶的薪水屬性進(jìn)

33、行讀寫訪問，用戶可以讀取自己的薪水，但任何其它用戶卻不可以讀取。Oracle Internet Directory 還提供了可配置缺省、客戶和超級用戶權(quán)限，以便使用戶擁有“最低權(quán)限” 只是其從事工作所需的權(quán)限。Oracle Internet Directory 能自動(dòng)配置方案和所需的 Access Control List (ACL)，Oracle 數(shù)據(jù)庫需要 ACL 來進(jìn)行企業(yè)用戶管理。Oracle Internet Directory 利用了基本 Oracle數(shù)據(jù)庫的內(nèi)置的可用性和性能，并提供了目錄項(xiàng)的批量載入、刪除和目錄入口的更新、高速備份和恢復(fù)工具，在不中斷服務(wù)的情況下添加或刪除目錄節(jié)

34、點(diǎn)的能力，以及其它高可用性特性。集成安全性和目錄服務(wù)的優(yōu)勢包括： Oracle9i Security Solution 第 12 頁Copyright 2002 Oracle CorporationAll rights reserved.整個(gè)企業(yè)到多個(gè) Oracle 數(shù)據(jù)庫的 Single Sign-On單個(gè)企業(yè)用戶帳戶，而不是每個(gè)用戶都有多個(gè)帳戶通過 Single Station Administration (SSA) 減少總體成本 全面集成的、基于標(biāo)準(zhǔn)的 Public Key Infrastructure (PKI)通過集中的授權(quán)管理和強(qiáng)大的驗(yàn)證來實(shí)現(xiàn)更強(qiáng)大的安全性。Oracle9i增強(qiáng)

35、了用戶和安全策略管理，包括在 LDAP 目錄中管理基于口令的用戶和 VPD 策略同時(shí)可以將 VPD 的應(yīng)用程序上下文外部化并保存在 LDAP 目錄中，以獲得更好的控制和用戶可伸縮性。2.62.6 數(shù)據(jù)加密和標(biāo)簽安全數(shù)據(jù)加密和標(biāo)簽安全Oracle對于應(yīng)用系統(tǒng)中比較關(guān)鍵和敏感的數(shù)據(jù)，可以使用密文的形式進(jìn)行存儲。Oracle Advanced Security中提供了用于開發(fā)加密應(yīng)用的程序包Cryptographic Toolkit。在Cryptographic Toolkit包含了得到RSA Data Security, Inc.公司授權(quán)使用的加密算法，包括數(shù)字簽名、數(shù)字認(rèn)證、MD5加密算法、隨機(jī)

36、數(shù)生成等。用戶可以使用PL/SQL語言或Oracle Call Interface (OCI)調(diào)用Cryptographic Toolkit中的加密/解密函數(shù)，編寫加密/解密程序，并通過這些過程存取敏感數(shù)據(jù)。這樣，存儲在數(shù)據(jù)庫中的是經(jīng)過加密的密文數(shù)據(jù)。未經(jīng)得到相應(yīng)授權(quán)的使用者如果只有打開數(shù)據(jù)表的權(quán)限而沒有相應(yīng)的密碼，則只能看到加密后的密文。Oracle Advanced Security 選件將網(wǎng)絡(luò)服務(wù)與Oracle服務(wù)器集成， 它所提供的網(wǎng)絡(luò)服務(wù)使得企業(yè)級客戶機(jī)/服務(wù)器網(wǎng)絡(luò)區(qū)別于基本的客戶機(jī)/服務(wù)器連接。通過Oracle的Advanced Networking Option能夠真正的實(shí)現(xiàn)在C

37、/S,S/S之間的數(shù)據(jù)通道的加密。Oracle數(shù)據(jù)庫從Oracle 8.1.6版本增加了數(shù)據(jù)加密存儲功能, 可以存儲對安全要求較高的數(shù)據(jù)(如信用卡信息), Oracle數(shù)據(jù)庫提供PL/SQL程序包對數(shù)據(jù)加密和解密, 其中Oracle 8.1.6支持的加密算法包含DES和3DES, 在Oracle 8.1.7中增加了MD5加密算法. Oracle9i Security Solution 第 13 頁Copyright 2002 Oracle CorporationAll rights reserved.Oracle9i加密增強(qiáng)特性包括 Java Cryptographic Architectur

38、e (JCA)/Java Cryptographic Extensions (JCE)，支持加密和數(shù)據(jù)完整性的大多數(shù)流行算法。Oracle9i Label Security 選件是一個(gè)小粒度訪問控制產(chǎn)品。它將一個(gè)特殊的標(biāo)簽添加到數(shù)據(jù)行中，提供復(fù)雜而靈活的標(biāo)簽安全。它建立在 Oracle9i Virtual Private Database 技術(shù)的基礎(chǔ)之上。Oracle Label Security 基于政府和防御組織用來保護(hù)敏感信息和提供數(shù)據(jù)分隔的標(biāo)注概念。應(yīng)用程序托管、保健和其他行業(yè)也可以利用數(shù)據(jù)標(biāo)注來幫助解決 Internet 時(shí)代的安全要求。例如，在應(yīng)用程序托管中，預(yù)訂者標(biāo)簽可用來分隔同

39、一應(yīng)用程序中的預(yù)訂者的數(shù)據(jù)。在數(shù)據(jù)庫中強(qiáng)制執(zhí)行 Oracle Label Security，即使繞過應(yīng)用程序也會(huì)提供安全。標(biāo)簽提供了一種使用現(xiàn)有的應(yīng)用程序數(shù)據(jù)不易達(dá)到的訪問控制維。Oracle Label Security 還包括一個(gè)復(fù)雜的策略管理工具，以管理策略、標(biāo)簽和用戶標(biāo)簽授權(quán)。Oracle Label Security 是杰出的小粒度訪問控制解決方案。 Oracle9i Security Solution 第 14 頁Copyright 2002 Oracle CorporationAll rights reserved.3 Oracle9i 安全解決方案遵循的安全協(xié)議和標(biāo)準(zhǔn)安全解決方

40、案遵循的安全協(xié)議和標(biāo)準(zhǔn)3.13.1 Oracle9iOracle9i 安全解決方案遵循的安全協(xié)議和標(biāo)準(zhǔn)安全解決方案遵循的安全協(xié)議和標(biāo)準(zhǔn)3.1.1 滿足滿足NCSC的的C2級安全標(biāo)準(zhǔn)級安全標(biāo)準(zhǔn)Oracle在C2級的操作系統(tǒng)上(如商用UNIX,VMS操作系統(tǒng))，不僅滿足NCSC C2級安全標(biāo)準(zhǔn)，而且已經(jīng)正式通過了NCSC C2標(biāo)準(zhǔn)的測試。在B1級的操作系統(tǒng)上不僅滿足NCSC B1級安全標(biāo)準(zhǔn)，而且已經(jīng)通過了NCSC B1級標(biāo)準(zhǔn)的測試。3.1.2 支持支持X.509協(xié)議協(xié)議 目前使用最廣泛的公鑰證書遵循 X.509 協(xié)議格式，X.509 版本 3 證書是現(xiàn)行行業(yè)標(biāo)準(zhǔn)格式。 Oracle 環(huán)境中的證書完

41、全遵循X.509 版本 3。3.1.3 支持支持Secure Socket Layer(SSL)協(xié)議協(xié)議Secure Socket Layer 協(xié)議廣泛用于 Internet 上，以便為用戶提供已建立的數(shù)字身份，并避免竊聽、篡改或偽造訊息。Oracle Advanced Security 中的 SSL 支持對網(wǎng)絡(luò)通信進(jìn)行加密，并提供了完整性檢查、驗(yàn)證 Oracle 客戶機(jī)和服務(wù)器，為 Oracle 環(huán)境提供基于公鑰的 single sign-on。3.1.4 支持支持LDAP協(xié)議協(xié)議Oracle 目錄服務(wù)器 Oracle Internet Directory全面支持LDAP 版本 3并與 Oracle數(shù)據(jù)庫 全面集成，支