數(shù)據(jù)庫(kù)安全性匯總課件

數(shù)據(jù)庫(kù)原理與應(yīng)用第九章數(shù)據(jù)庫(kù)安全性《數(shù)據(jù)庫(kù)系統(tǒng)概論》數(shù)據(jù)庫(kù)原理與應(yīng)用第九章數(shù)據(jù)庫(kù)安全性1內(nèi)容、提綱DBMS的數(shù)據(jù)保護(hù)功能包括：安全性保護(hù)和完整性保護(hù)本章介紹數(shù)據(jù)庫(kù)安全性，下一章介紹數(shù)據(jù)庫(kù)的完整性。本章內(nèi)容9.1計(jì)算機(jī)安全性概論9.2數(shù)據(jù)庫(kù)安全性控制---主要介紹9.3統(tǒng)計(jì)數(shù)據(jù)庫(kù)安全性9.4Oracle數(shù)據(jù)庫(kù)的安全性?xún)?nèi)容、提綱DBMS的數(shù)據(jù)保護(hù)功能包括：安全性保護(hù)和完整性保護(hù)2教學(xué)要求掌握安全性的定義、安全性的級(jí)別、安全性措施用戶(hù)對(duì)數(shù)據(jù)庫(kù)的數(shù)據(jù)訪(fǎng)問(wèn)權(quán)限SQL中的兩種安全性機(jī)制授權(quán)、權(quán)限轉(zhuǎn)授與回收的概念了解理解利用視圖和權(quán)限操作達(dá)到安全性的基本方法Oracle數(shù)據(jù)庫(kù)的安全性措施教學(xué)要求掌握39.1計(jì)算機(jī)安全性概論問(wèn)題的提出數(shù)據(jù)庫(kù)的一大特點(diǎn)是數(shù)據(jù)可以共享，但數(shù)據(jù)共享必然帶來(lái)數(shù)據(jù)庫(kù)的安全性問(wèn)題，數(shù)據(jù)庫(kù)中的數(shù)據(jù)共享不能是無(wú)條件的共享。例如：軍事秘密、國(guó)家機(jī)密、新產(chǎn)品實(shí)驗(yàn)數(shù)據(jù)、市場(chǎng)需求分析、市場(chǎng)營(yíng)銷(xiāo)策略、銷(xiāo)售計(jì)劃、客戶(hù)檔案、醫(yī)療檔案、銀行儲(chǔ)蓄數(shù)據(jù)等。數(shù)據(jù)庫(kù)系統(tǒng)中，數(shù)據(jù)的共享是指在DBMS統(tǒng)一的嚴(yán)格的控制之下的共享，即只允許有合法使用權(quán)限的用戶(hù)訪(fǎng)問(wèn)允許他存取的數(shù)據(jù)。9.1計(jì)算機(jī)安全性概論問(wèn)題的提出4數(shù)據(jù)庫(kù)安全性定義數(shù)據(jù)庫(kù)的安全性定義參見(jiàn)P283.保護(hù)數(shù)據(jù)庫(kù)以防止不合法的使用所造成的數(shù)據(jù)泄露、非法更改和破壞。即保證是合法用戶(hù)對(duì)數(shù)據(jù)庫(kù)的合法訪(fǎng)問(wèn)。數(shù)據(jù)庫(kù)安全性的基本措施是存取控制。數(shù)據(jù)庫(kù)系統(tǒng)的安全保護(hù)措施是否有效是數(shù)據(jù)庫(kù)系統(tǒng)主要的性能指標(biāo)之一。數(shù)據(jù)庫(kù)安全性定義數(shù)據(jù)庫(kù)的安全性定義參5計(jì)算機(jī)安全性安全性問(wèn)題不是DBS所獨(dú)有的，所有計(jì)算機(jī)系統(tǒng)都有安全性問(wèn)題。只是在DBS中，大量數(shù)據(jù)集中存放，而且為許多最終用戶(hù)直接共享，從而使安全性問(wèn)題更為突出。數(shù)據(jù)庫(kù)的安全性和計(jì)算機(jī)系統(tǒng)的安全性，包括操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)的安全性是緊密聯(lián)系并且相互支持的。安全性級(jí)別為了保護(hù)數(shù)據(jù)庫(kù)，防止被故意破壞,可以由低到高在5個(gè)級(jí)別上設(shè)置各種安全措施。計(jì)算機(jī)安全性安全性問(wèn)題不是DBS所獨(dú)有的，所有計(jì)算機(jī)系統(tǒng)都有6計(jì)算機(jī)安全性級(jí)別①物理級(jí)(環(huán)境級(jí)):機(jī)房和設(shè)備，防止物理破壞。②人際級(jí)(職員級(jí)):工作人員應(yīng)清正廉潔，正確授予用戶(hù)訪(fǎng)問(wèn)DB的權(quán)限。③OS級(jí):防止未經(jīng)授權(quán)的用戶(hù)從OS處著手訪(fǎng)問(wèn)DB，包括口令、并發(fā)控制、文件系統(tǒng)的安全等。④網(wǎng)絡(luò)級(jí):用戶(hù)通過(guò)網(wǎng)絡(luò)遠(yuǎn)程進(jìn)行訪(fǎng)問(wèn)，網(wǎng)絡(luò)軟件內(nèi)部的安全性很重要。⑤DBS級(jí):檢查用戶(hù)的身份是否合法以及使用數(shù)據(jù)庫(kù)的權(quán)限是否正確---本章介紹。計(jì)算機(jī)安全性級(jí)別①物理級(jí)(環(huán)境級(jí)):機(jī)房和設(shè)備，防止物理79.1.1計(jì)算機(jī)系統(tǒng)的三類(lèi)安全性問(wèn)題計(jì)算機(jī)系統(tǒng)安全性

參見(jiàn)P283.是指為計(jì)算機(jī)系統(tǒng)建立和采取的各種安全保護(hù)措施，以保護(hù)計(jì)算機(jī)系統(tǒng)的硬件、軟件及數(shù)據(jù)，防止其因偶然或惡意的原因使系統(tǒng)遭到破壞，數(shù)據(jù)遭到更改、泄露和破壞。計(jì)算機(jī)系統(tǒng)三類(lèi)安全性問(wèn)題技術(shù)安全類(lèi)、管理安全類(lèi)、政策法律類(lèi)參見(jiàn)P283.~2計(jì)算機(jī)系統(tǒng)的三類(lèi)安全性問(wèn)題計(jì)算機(jī)系統(tǒng)安全性89.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)隨著計(jì)算機(jī)資源共享和網(wǎng)絡(luò)技術(shù)的應(yīng)用日益廣泛和深入，特別是Internet技術(shù)的發(fā)展，計(jì)算機(jī)安全性問(wèn)題越來(lái)越得到人們的重視。對(duì)各種計(jì)算機(jī)及其相關(guān)產(chǎn)品、信息系統(tǒng)的安全性的要求越來(lái)越高。參見(jiàn)P284.為此，在計(jì)算機(jī)安全技術(shù)方面逐步發(fā)展了一套可信（Trusted）計(jì)算機(jī)系統(tǒng)的概念和標(biāo)準(zhǔn)。下面了解可信計(jì)算機(jī)系統(tǒng)的這些評(píng)測(cè)標(biāo)準(zhǔn)：TCSEC(桔皮書(shū))、TDI(紫皮書(shū))9.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)隨著計(jì)算機(jī)資源共享和網(wǎng)絡(luò)技9可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TCSEC參見(jiàn)P284.~285.1985年美國(guó)國(guó)防部（DoD）正式頒布《DoD可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)》（簡(jiǎn)稱(chēng)TCSEC或DoD85），TCSEC又稱(chēng)桔皮書(shū)。TCSEC標(biāo)準(zhǔn)的目的1.提供一種標(biāo)準(zhǔn)，使用戶(hù)可以對(duì)其計(jì)算機(jī)系統(tǒng)內(nèi)敏感信息安全操作的可信程度做評(píng)估。2.給計(jì)算機(jī)行業(yè)的制造商提供一種可循的指導(dǎo)規(guī)則，使其產(chǎn)品能夠更好地滿(mǎn)足敏感應(yīng)用的安全需求。

可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TCSEC參見(jiàn)P284.~285.10可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TDI參見(jiàn)P284.~285.1991年4月美國(guó)NCSC（國(guó)家計(jì)算機(jī)安全中心）頒布了《可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)關(guān)于可信數(shù)據(jù)庫(kù)系統(tǒng)的解釋》（TrustedDatabaseInterpretation簡(jiǎn)稱(chēng)TDI）。TDI又稱(chēng)紫皮書(shū)。TDI將TCSEC擴(kuò)展到數(shù)據(jù)庫(kù)管理系統(tǒng)。TDI中定義了數(shù)據(jù)庫(kù)管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)中需滿(mǎn)足和用以進(jìn)行安全性級(jí)別評(píng)估的標(biāo)準(zhǔn)?？尚庞?jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TDI參見(jiàn)P284.~285.11TCSEC/TDI安全指標(biāo)23項(xiàng)

參見(jiàn)P284.~285.TDI/TCSEC標(biāo)準(zhǔn)的基本內(nèi)容:定義了DBMS的設(shè)計(jì)與實(shí)現(xiàn)中需滿(mǎn)足和用以進(jìn)行安全性級(jí)別評(píng)估的標(biāo)準(zhǔn)。從4個(gè)方面描述安全性級(jí)別劃分的指標(biāo):R1安全策略R2責(zé)任R3保證R4文檔劃分23項(xiàng)具體的安全性指標(biāo)TCSEC/TDI安全指標(biāo)23項(xiàng)參見(jiàn)P284.~28512TCSEC/TDI安全級(jí)別劃分根據(jù)計(jì)算機(jī)系統(tǒng)對(duì)23項(xiàng)指標(biāo)的支持程度，將系統(tǒng)劃分為4組7個(gè)等級(jí)。參見(jiàn)P286.表9.1不同安全級(jí)別對(duì)23項(xiàng)安全指標(biāo)的支持情況。參見(jiàn)P287.表9.2TCSEC/TDI安全級(jí)別劃分根據(jù)計(jì)算機(jī)系統(tǒng)對(duì)23項(xiàng)指標(biāo)的支13TCSEC/TDI安全級(jí)別

參見(jiàn)P285.~287.表9.1A1級(jí):驗(yàn)證設(shè)計(jì)參見(jiàn)P287.B3級(jí):安全域參見(jiàn)P287.B2級(jí):結(jié)構(gòu)化保護(hù)參見(jiàn)P286.B1級(jí):標(biāo)記安全保護(hù),對(duì)系統(tǒng)的數(shù)據(jù)加以標(biāo)記,并對(duì)標(biāo)記的主體和客體實(shí)施強(qiáng)制存取控制(MAC)以及審計(jì)安全機(jī)制

參見(jiàn)P286.C2級(jí):提供受控的存取保護(hù),安全產(chǎn)品的最低檔次參見(jiàn)P286.TCSEC/TDI安全級(jí)別參見(jiàn)P285.~287.14TCSEC/TDI安全級(jí)別(續(xù))C1級(jí):只提供非常初級(jí)的自主安全保護(hù),能夠?qū)崿F(xiàn)用戶(hù)和數(shù)據(jù)的分離,進(jìn)行自主存取控制(DAC)

參見(jiàn)P286.D級(jí):最小保護(hù)參見(jiàn)P285.后面將主要介紹：自主存取控制(DAC)強(qiáng)制存取控制(MAC)審計(jì)安全機(jī)制TCSEC/TDI安全級(jí)別(續(xù))C1級(jí):只提供非常初級(jí)的自159.2數(shù)據(jù)庫(kù)安全性控制計(jì)算機(jī)系統(tǒng)的安全模型參見(jiàn)P288.圖9.1四個(gè)層次提供安全保護(hù)：

應(yīng)用DBMSOS

DB低高安全性控制層次方法：

用戶(hù)標(biāo)識(shí)和鑒定

存取控制審計(jì)視圖

操作系統(tǒng)安全保護(hù)

密碼存儲(chǔ)9.2數(shù)據(jù)庫(kù)安全性控制計(jì)算機(jī)系統(tǒng)的安全模型參見(jiàn)P216計(jì)算機(jī)系統(tǒng)安全控制層次計(jì)算機(jī)系統(tǒng)安全控制是一級(jí)一級(jí)層層設(shè)置的1.用戶(hù)要求進(jìn)入計(jì)算機(jī)系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行用戶(hù)標(biāo)識(shí)，身份鑒別，合法允進(jìn)保證是合法用戶(hù)2.DBMS：進(jìn)行存取控制保證進(jìn)入系統(tǒng)的合法用戶(hù)執(zhí)行合法操作3.操作系統(tǒng)：有自己的保護(hù)措施4.數(shù)據(jù)庫(kù)：數(shù)據(jù)可以以密碼形式存儲(chǔ)到數(shù)據(jù)庫(kù)中數(shù)據(jù)庫(kù)安全性控制的常用方法:用戶(hù)標(biāo)識(shí)和鑒定,存取控制,視圖,審計(jì),密碼存儲(chǔ)計(jì)算機(jī)系統(tǒng)安全控制層次計(jì)算機(jī)系統(tǒng)安全控制是一級(jí)一級(jí)層層設(shè)置的179.2.1用戶(hù)標(biāo)識(shí)與鑒別1.用戶(hù)標(biāo)識(shí)與鑒別：是DBS提供的最外層安全保護(hù)措施，保證進(jìn)入系統(tǒng)的是DBS的合法用戶(hù)。控制方法是：參見(jiàn)P288.①系統(tǒng)提供一定的方式，讓用戶(hù)標(biāo)識(shí)自己的名字或身份。系統(tǒng)內(nèi)部記錄著所有合法用戶(hù)的標(biāo)識(shí)。每次用戶(hù)要求進(jìn)入系統(tǒng)時(shí)，由系統(tǒng)核對(duì)用戶(hù)提供的身份標(biāo)識(shí)，通過(guò)鑒定才提供機(jī)器使用權(quán)。②對(duì)于獲得上機(jī)權(quán)的用戶(hù)，若要使用DB時(shí)，DBMS還要進(jìn)行用戶(hù)標(biāo)識(shí)和鑒別。9.2.1用戶(hù)標(biāo)識(shí)與鑒別1.用戶(hù)標(biāo)識(shí)與鑒別：是DBS提供18用戶(hù)標(biāo)識(shí)與鑒別的方法2.用戶(hù)標(biāo)識(shí)自己的名字或身份的方法，很多種，多種方法可以并舉，常用的方法：①用一個(gè)用戶(hù)名或者用戶(hù)標(biāo)識(shí)號(hào)來(lái)表明用戶(hù)身份。系統(tǒng)內(nèi)部記錄有所有合法用戶(hù)的標(biāo)識(shí)，系統(tǒng)鑒別此用戶(hù)是否合法用戶(hù)，若是，則可以進(jìn)入下一步的核實(shí)；若不是，則不能使用系統(tǒng)。②口令，為了進(jìn)一步核實(shí)用戶(hù)，系統(tǒng)常常要求用戶(hù)輸入口令。終端上輸入的口令不顯示，系統(tǒng)核對(duì)口令以鑒別用戶(hù)身份?？诹詈?jiǎn)單易行，容易被人竊取。用戶(hù)標(biāo)識(shí)與鑒別的方法2.用戶(hù)標(biāo)識(shí)自己的名字或身份的方法，很19用戶(hù)標(biāo)識(shí)與鑒別的方法(續(xù))

參見(jiàn)P289.③復(fù)雜口令。用戶(hù)和系統(tǒng)預(yù)先約定好一個(gè)計(jì)算過(guò)程或函數(shù)，鑒別用戶(hù)身份時(shí)，系統(tǒng)提供一個(gè)隨機(jī)數(shù)，用戶(hù)計(jì)算輸入，系統(tǒng)進(jìn)行核對(duì)，進(jìn)一步鑒定。④指紋、聲音、圖像等。用戶(hù)標(biāo)識(shí)和鑒定可以重復(fù)多次。用戶(hù)標(biāo)識(shí)與鑒別的方法(續(xù))參見(jiàn)P2存取控制參見(jiàn)P289.數(shù)據(jù)庫(kù)安全性最重要的一點(diǎn)就是：確保只授權(quán)給有資格的用戶(hù)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的權(quán)限，同時(shí)令所有未被授權(quán)的人員無(wú)法接近數(shù)據(jù)，即要保證對(duì)數(shù)據(jù)庫(kù)是合法操作。---這主要通過(guò)DBMS的存取控制機(jī)制實(shí)現(xiàn)的。存取控制機(jī)制的組成，主要包括兩部分：1.定義用戶(hù)（存?。?quán)限2.檢查用戶(hù)（存?。?quán)限用戶(hù)權(quán)限定義和合法權(quán)檢查機(jī)制一起組成了DBMS的安全控制子系統(tǒng)的功能。9.2.2存取控制參見(jiàn)P289.數(shù)據(jù)庫(kù)安全性最重要的21定義用戶(hù)權(quán)限1.定義用戶(hù)權(quán)限，并將用戶(hù)權(quán)限登記到數(shù)據(jù)字典中。在數(shù)據(jù)庫(kù)系統(tǒng)中，為了保證用戶(hù)只能訪(fǎng)問(wèn)他有權(quán)存取的數(shù)據(jù)，必須預(yù)先對(duì)每個(gè)用戶(hù)定義存取權(quán)限。用戶(hù)權(quán)限：不同的用戶(hù)對(duì)于不同的數(shù)據(jù)對(duì)象允許執(zhí)行的操作權(quán)限。系統(tǒng)必須提供適當(dāng)?shù)恼Z(yǔ)言，由DBA定義用戶(hù)權(quán)限（即授權(quán)）；這些定義經(jīng)過(guò)編譯后，存放在數(shù)據(jù)字典中，被稱(chēng)作安全規(guī)則或授權(quán)規(guī)則。定義用戶(hù)權(quán)限1.定義用戶(hù)權(quán)限，并將用戶(hù)權(quán)限登記到數(shù)據(jù)字典中22檢查用戶(hù)權(quán)限2.合法權(quán)限檢查：每當(dāng)用戶(hù)發(fā)出存取數(shù)據(jù)庫(kù)的操作請(qǐng)求后，DBMS查找數(shù)據(jù)字典，根據(jù)安全規(guī)則進(jìn)行合法權(quán)限的檢查，若用戶(hù)的操作請(qǐng)求超出了定義的權(quán)限，系統(tǒng)將拒絕執(zhí)行此操作。參見(jiàn)P289.對(duì)于通過(guò)鑒定獲得上機(jī)權(quán)的用戶(hù)（即合法用戶(hù)），系統(tǒng)根據(jù)他的存取權(quán)限定義對(duì)他的各種操作請(qǐng)求進(jìn)行控制，確保他只執(zhí)行合法操作。用戶(hù)操作請(qǐng)求一般包括：操作類(lèi)型、操作對(duì)象和操作用戶(hù)等信息。檢查用戶(hù)權(quán)限2.合法權(quán)限檢查：每當(dāng)用戶(hù)發(fā)出存取數(shù)據(jù)庫(kù)的操作23常用存取控制方法9.2.3自主存取控制，簡(jiǎn)稱(chēng)DAC

（DiscretionaryAccessControl）C2級(jí)提供，控制很靈活9.2.4強(qiáng)制存取控制，簡(jiǎn)稱(chēng)MAC

（MandatoryAccessControl）B1級(jí)提供，控制比較嚴(yán)格當(dāng)前，大型的RDBMS一般都支持自主存取控制DAC，有些RDBMS同時(shí)還支持強(qiáng)制存取控制MAC。常用存取控制方法9.2.3自主存取控制，簡(jiǎn)稱(chēng)DAC249.2.3自主存取控制(DAC)方法參見(jiàn)P289.~290.在自主存取控制方法中：①用戶(hù)對(duì)于不同的數(shù)據(jù)對(duì)象有不同的存取權(quán)限。②不同的用戶(hù)對(duì)同一對(duì)象也有不同的權(quán)限。③用戶(hù)還可以將其擁有的存取權(quán)限轉(zhuǎn)授給其他用戶(hù)。DAC方法：控制非常靈活，自主的，自由的。9.2.3自主存取控制(DAC)方法參見(jiàn)P289.~25SQL支持DACSQL標(biāo)準(zhǔn)也支持DAC---CH3.中介紹過(guò)SQL中有兩個(gè)機(jī)制提供了安全性授權(quán)子系統(tǒng)：允許有特定存取權(quán)的用戶(hù)有選擇地、動(dòng)態(tài)地把這些權(quán)限授予其他用戶(hù)，用GRANT和REVOKE。視圖機(jī)制：可以用來(lái)對(duì)無(wú)權(quán)用戶(hù)屏蔽數(shù)據(jù)。參見(jiàn)P290.權(quán)限：指對(duì)數(shù)據(jù)庫(kù)中數(shù)據(jù)對(duì)象的操作權(quán)。授權(quán):定義存取權(quán)限。SQL支持DACSQL標(biāo)準(zhǔn)也支持DAC---CH3.中介26存取權(quán)限的要素權(quán)限有兩個(gè)要素:(1)數(shù)據(jù)對(duì)象模式級(jí)(有模式、外模式、內(nèi)模式)數(shù)據(jù)級(jí)(有表、屬性列)(2)操作類(lèi)型模式級(jí)(有建立、修改、索引、撤消)數(shù)據(jù)級(jí)(有查找、插入、刪除、修改)參見(jiàn)P290.表9.3，關(guān)系系統(tǒng)中的存取權(quán)限權(quán)限定義方法：GRANT/REVOKE語(yǔ)句存取權(quán)限的要素權(quán)限有兩個(gè)要素:27與數(shù)據(jù)名有關(guān)的授權(quán)數(shù)據(jù)名：數(shù)據(jù)庫(kù)名、表名、字段名例：CH3.的3.6節(jié)SQL語(yǔ)言的安全性控制功能例：參見(jiàn)P290.例：P291.表9.4學(xué)生課程數(shù)據(jù)庫(kù)中的用戶(hù)權(quán)限定義表用戶(hù)名數(shù)據(jù)對(duì)象名允許的操作類(lèi)型王平關(guān)系StudentSELECT張明霞關(guān)系StudentUPDATE張明霞關(guān)系CourseALL張明霞SC.GradeUPDATE張明霞SC.SnoSELECT張明霞SC.CnoSELECT與數(shù)據(jù)名有關(guān)的授權(quán)數(shù)據(jù)名：數(shù)據(jù)庫(kù)名、表名、字段名用戶(hù)名28與數(shù)據(jù)值有關(guān)的授權(quán)涉及存取謂詞,要求系統(tǒng)提供支持,授權(quán)語(yǔ)句中可以使用存取條件（即謂詞,與數(shù)據(jù)值有關(guān)）；存取謂詞可以很復(fù)雜，可以使用系統(tǒng)變量，可以授權(quán)與時(shí)間地點(diǎn)有關(guān)的存取。能否提供與數(shù)據(jù)值有關(guān)的授權(quán)反映了授權(quán)子系統(tǒng)的精巧程度。例:參見(jiàn)P291.~292.例:P291.表9.5支持存取謂詞的用戶(hù)權(quán)限定義用戶(hù)名數(shù)據(jù)對(duì)象名允許的操作類(lèi)型存取謂詞(數(shù)據(jù)值)王平關(guān)系StudentSELECTSdep=‘CS’張明霞關(guān)系StudentUPDATESname=‘張明霞’張明霞關(guān)系CourseALL無(wú)與數(shù)據(jù)值有關(guān)的授權(quán)涉及存取謂詞,要求系統(tǒng)提供支持,授權(quán)語(yǔ)29授權(quán)粒度授權(quán)粒度:指用戶(hù)權(quán)限定義中，數(shù)據(jù)對(duì)象的范圍，有:數(shù)據(jù)庫(kù)級(jí)、(關(guān)系)表級(jí)、(元組，記錄)行級(jí)、(屬性，字段)列級(jí)參見(jiàn)P291.其中記錄級(jí)數(shù)據(jù)要用存取謂詞獲得授權(quán)粒度是衡量授權(quán)機(jī)制是否靈活的一個(gè)重要指標(biāo)授權(quán)粒度越細(xì)，授權(quán)子系統(tǒng)越靈活，系統(tǒng)定義與檢查權(quán)限的開(kāi)銷(xiāo)也會(huì)相應(yīng)增大授權(quán)粒度授權(quán)粒度:指用戶(hù)權(quán)限定義中，數(shù)據(jù)對(duì)象的范圍，有:30DAC方法的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：能夠通過(guò)授權(quán)機(jī)制有效地控制其他用戶(hù)對(duì)敏感數(shù)據(jù)的存取靈活、自主、自由缺點(diǎn)：太靈活、太自主、太自由可能存在數(shù)據(jù)的無(wú)意泄露。例：參見(jiàn)P292.這種機(jī)制僅僅通過(guò)對(duì)數(shù)據(jù)的存取權(quán)限來(lái)進(jìn)行安全控制，而數(shù)據(jù)本身并無(wú)安全性標(biāo)記。解決：需要對(duì)系統(tǒng)控制下的所有主客體實(shí)施強(qiáng)制存取控制策略。DAC方法的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：319.2.4強(qiáng)制存取控制(MAC)方法有些DBS的數(shù)據(jù)具有很高的保密性,通常具有靜態(tài)的分層結(jié)構(gòu),強(qiáng)制存取控制對(duì)于存放這樣數(shù)據(jù)的數(shù)據(jù)庫(kù)非常適用。參見(jiàn)P292.MAC是指：系統(tǒng)為保證更高程度的安全性，按照TDI/TCSEC標(biāo)準(zhǔn)中安全策略的要求，所采取的強(qiáng)制存取檢查手段。MAC不是用戶(hù)能直接感知或進(jìn)行控制的。MAC適用于那些對(duì)數(shù)據(jù)有嚴(yán)格而固定密級(jí)分類(lèi)的部門(mén)，例如軍事部門(mén)或政府部門(mén)。9.2.4強(qiáng)制存取控制(MAC)方法有些DBS的數(shù)據(jù)具有很32主體、客體、敏感度標(biāo)記在MAC中，DBMS所管理的全部實(shí)體被分為主體和客體兩大類(lèi)。參見(jiàn)P292.主體：系統(tǒng)中的活動(dòng)實(shí)體，包括DBMS所管理的實(shí)際用戶(hù)或代表用戶(hù)的各進(jìn)程。客體：系統(tǒng)中的被動(dòng)實(shí)體，是受主體控制的，包括文件、基本表、索引、視圖等。對(duì)于主體和客體，DBMS為它們的每個(gè)實(shí)例(值)指派一個(gè)敏感度標(biāo)記(label)。主體、客體、敏感度標(biāo)記在MAC中，DBMS所管理的全部實(shí)體被33密級(jí)、許可證級(jí)別敏感度標(biāo)記被分為若干級(jí)別參見(jiàn)P292.例如，敏感度標(biāo)記級(jí)別由高到低有：絕密(TopSecret)機(jī)密(Secret)可信(Confidential)公開(kāi)(Public)主體的敏感度標(biāo)記稱(chēng)為許可證級(jí)別(ClearanceLevel)?？腕w的敏感度標(biāo)記稱(chēng)為密級(jí)(ClassificationLevel)。密級(jí)、許可證級(jí)別敏感度標(biāo)記被分為若干級(jí)別參見(jiàn)P29234MAC存取規(guī)則(參見(jiàn)P293.)MAC通過(guò)對(duì)比主體的Label和客體的Label,最終確定主體是否能夠存取客體。當(dāng)某一用戶(hù)(或某一主體)以標(biāo)記Label注冊(cè)進(jìn)入系統(tǒng)時(shí),系統(tǒng)要求它對(duì)任何客體的存取必須遵循如下規(guī)則:(1)僅當(dāng)主體的許可證級(jí)別≥客體的密級(jí)時(shí),該主體才能讀取相應(yīng)的客體。(2)僅當(dāng)主體的許可證級(jí)別=客體的密級(jí)時(shí),該主體才能寫(xiě)相應(yīng)的客體。MAC存取規(guī)則(參見(jiàn)P293.)MAC通過(guò)對(duì)比主體的Labe35MAC存取規(guī)則(參見(jiàn)P293.)注:對(duì)第(2)條規(guī)則,有些系統(tǒng)規(guī)定為:僅當(dāng)主體的許可證級(jí)別≤客體的密級(jí)時(shí),該主體才能寫(xiě)相應(yīng)的客體;即用戶(hù)可以為寫(xiě)入的數(shù)據(jù)對(duì)象賦予高于自己的許可證級(jí)別的密級(jí)。這樣,一旦數(shù)據(jù)被寫(xiě)入，該用戶(hù)自己也不能再讀取該數(shù)據(jù)對(duì)象了。規(guī)則(2)的兩種情況的共同點(diǎn)在于,它們均禁止了擁有高許可證級(jí)別的主體更新低密級(jí)的數(shù)據(jù)對(duì)象,從而防止敏感數(shù)據(jù)的泄露。MAC存取規(guī)則(參見(jiàn)P293.)注:對(duì)第(2)條規(guī)則,有36MAC方法的特點(diǎn)(參見(jiàn)P293.)MAC是對(duì)數(shù)據(jù)本身進(jìn)行密級(jí)標(biāo)記。無(wú)論數(shù)據(jù)如何復(fù)制，標(biāo)記與數(shù)據(jù)是一個(gè)不可分的整體。只有符合密級(jí)標(biāo)記要求的用戶(hù)才可以操縱數(shù)據(jù)。從而提供了更高級(jí)別的安全性。強(qiáng)制存取控制是一種獨(dú)立于值的簡(jiǎn)單控制方法。它的優(yōu)點(diǎn)是系統(tǒng)能執(zhí)行“信息流控制”。在前面介紹的授權(quán)方法中，允許凡有權(quán)查看保密數(shù)據(jù)的用戶(hù)就可以把這種數(shù)據(jù)拷貝到非保密的文件中，造成無(wú)權(quán)用戶(hù)也可以接觸保密數(shù)據(jù)。而MAC方法可以避免這種非法的信息流動(dòng)。MAC方法的特點(diǎn)(參見(jiàn)P293.)MAC是對(duì)數(shù)據(jù)本身進(jìn)行密級(jí)37MAC與DACDAC與MAC共同構(gòu)成DBMS的安全機(jī)制。原因：較高安全性級(jí)別提供的安全保護(hù)要包含較低級(jí)別的所有保護(hù)。參見(jiàn)P293.圖9.2

DAC+MAC安全檢查示意圖。系統(tǒng)先進(jìn)行DAC檢查，通過(guò)DAC檢查的允許存取的數(shù)據(jù)對(duì)象再由系統(tǒng)自動(dòng)進(jìn)行MAC檢查，只有通過(guò)MAC檢查的數(shù)據(jù)對(duì)象方可存取。MAC與DACDAC與MAC共同構(gòu)成DBMS的安全機(jī)制。389.2.5視圖機(jī)制存取權(quán)限中的數(shù)據(jù)對(duì)象用視圖進(jìn)行限制。進(jìn)行存取權(quán)限控制時(shí)可以為不同的用戶(hù)定義不同的視圖，把數(shù)據(jù)對(duì)象限制在一定的范圍內(nèi)。即，通過(guò)視圖機(jī)制把要保密的數(shù)據(jù)對(duì)無(wú)權(quán)存取的用戶(hù)隱藏起來(lái)，從而自動(dòng)地對(duì)數(shù)據(jù)提供一定程度的安全保護(hù)。視圖機(jī)制更主要的功能在于提供數(shù)據(jù)獨(dú)立性，其安全保護(hù)功能太不精細(xì)，往往遠(yuǎn)不能達(dá)到應(yīng)用系統(tǒng)的要求。9.2.5視圖機(jī)制存取權(quán)限中的數(shù)據(jù)對(duì)象用視圖進(jìn)行限制。39用視圖進(jìn)行安全控制視圖機(jī)制與授權(quán)機(jī)制配合使用:首先用視圖機(jī)制屏蔽掉一部分保密數(shù)據(jù)然后在視圖上面再進(jìn)一步定義存取權(quán)限視圖機(jī)制可以間接實(shí)現(xiàn)支持存取謂詞的用戶(hù)權(quán)限定義。例:王平只能檢索計(jì)算機(jī)系學(xué)生的信息視圖的定義及授權(quán)語(yǔ)句參見(jiàn)P293.~294.用視圖進(jìn)行安全控制視圖機(jī)制與授權(quán)機(jī)制配合使用:40用視圖進(jìn)行安全控制：例例，P293.~294.視圖的定義及授權(quán)語(yǔ)句視圖定義中的SELECT語(yǔ)句,其WHERE子句中的條件就是一個(gè)存取謂詞。先建立計(jì)算機(jī)系學(xué)生的視圖:CREATEVIEWCS_StudentASSELECT*FROMStudentWHERESdept=‘CS’;在視圖上進(jìn)一步定義存取權(quán)限:GRANTSELECTONCS_StudentTO王平;用視圖進(jìn)行安全控制：例例，P293.~294.視圖的定義及419.2.6審計(jì)前面介紹的用戶(hù)標(biāo)識(shí)和鑒別、存取控制僅是安全性標(biāo)準(zhǔn)的一個(gè)重要方面(安全策略方面)，不是全部(四個(gè)方面,參見(jiàn)P284.~285.)。為了使DBMS達(dá)到一定的安全級(jí)別，還需要在其他方面提供相應(yīng)的支持。如“審計(jì)”功能就是DBMS達(dá)到C2級(jí)以上安全級(jí)別必不可少的一項(xiàng)指標(biāo)。審計(jì)是一種預(yù)防監(jiān)測(cè)手段。9.2.6審計(jì)前面介紹的用戶(hù)標(biāo)識(shí)和鑒別、存取控制僅是安全性42審計(jì)功能審計(jì)功能：參見(jiàn)P294.能把用戶(hù)對(duì)DB的所有操作自動(dòng)記錄下來(lái)放入審計(jì)日志(AuditLog)中。DBA可以利用審計(jì)跟蹤的信息，重現(xiàn)導(dǎo)致DB現(xiàn)有狀況的一系列事件，找出非法存取數(shù)據(jù)的人、時(shí)間和內(nèi)容等。審計(jì)通常是很費(fèi)時(shí)間和空間的，往往作為可選特征。DBA可以根據(jù)應(yīng)用對(duì)安全性的要求，靈活地打開(kāi)或關(guān)閉審計(jì)功能。審計(jì)功能主要用于安全性要求較高的部門(mén)。審計(jì)功能審計(jì)功能：439.2.7數(shù)據(jù)加密對(duì)于高敏感性數(shù)據(jù)，如口令、財(cái)務(wù)數(shù)據(jù)、軍事數(shù)據(jù)、國(guó)家機(jī)密，除以上安全性措施外，還可以采用數(shù)據(jù)加密技術(shù)。參見(jiàn)P294.數(shù)據(jù)加密是防止DB中數(shù)據(jù)存儲(chǔ)和傳輸中失密的有效手段。加密的基本思想：根據(jù)一定的算法將原始數(shù)據(jù)(稱(chēng)明文)變換為不可直接識(shí)別的格式(稱(chēng)密文),從而使不知道解密算法的人無(wú)法獲知數(shù)據(jù)的內(nèi)容。9.2.7數(shù)據(jù)加密對(duì)于高敏感性數(shù)據(jù)，如口令、財(cái)務(wù)數(shù)據(jù)、軍事44數(shù)據(jù)加密算法（參見(jiàn)P294.）加密算法主要有兩種:替換法、置換法替換法：使用密鑰(EncryptionKey)將明文中的每一個(gè)字符轉(zhuǎn)換為密文中的一個(gè)字符。置換法：將明文的字符按不同的順序重新排列。單獨(dú)使用這兩種方法的任意一種都是不夠安全的，但是將這兩種方法結(jié)合起來(lái)就能提供相當(dāng)高的安全程度。采用這種結(jié)合算法的例子是美國(guó)1977年制定的官方加密標(biāo)準(zhǔn)：數(shù)據(jù)加密標(biāo)準(zhǔn)(DES)。數(shù)據(jù)加密算法（參見(jiàn)P294.）加密算法主要有兩種:替換法45數(shù)據(jù)加密目前,有些DB產(chǎn)品提供了數(shù)據(jù)加密例行程序，有些數(shù)據(jù)庫(kù)產(chǎn)品本身未提供加密程序，但提供了接口，可根據(jù)用戶(hù)要求自動(dòng)對(duì)存儲(chǔ)和傳輸?shù)臄?shù)據(jù)進(jìn)行加密處理。數(shù)據(jù)加密解密比較費(fèi)時(shí)，會(huì)占大量系統(tǒng)資源。數(shù)據(jù)加密功能通常作為可選特征供用戶(hù)選擇。一般只對(duì)高機(jī)密度的數(shù)據(jù)加密。數(shù)據(jù)加密目前,有些DB產(chǎn)品提供了數(shù)據(jù)加密例行程序，有些數(shù)據(jù)469.3統(tǒng)計(jì)數(shù)據(jù)庫(kù)的安全性統(tǒng)計(jì)數(shù)據(jù)庫(kù)的特點(diǎn)參見(jiàn)P295.允許用戶(hù)查詢(xún)聚集類(lèi)型的信息（例如合計(jì)、平均值等）不允許查詢(xún)單個(gè)記錄信息例：允許查詢(xún)“程序員的平均工資是多少？”不允許查詢(xún)“程序員張勇的工資？”9.3統(tǒng)計(jì)數(shù)據(jù)庫(kù)的安全性統(tǒng)計(jì)數(shù)據(jù)庫(kù)的特點(diǎn)47統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全性問(wèn)題：參見(jiàn)P295.即可能存在著隱蔽的信息通道，使可以從合法的查詢(xún)中推導(dǎo)出不合法的信息。

例1，下面兩個(gè)查詢(xún)都是合法的：

1.本公司共有多少女高級(jí)程序員？2.本公司女高級(jí)程序員的工資總額是多少？如果第一個(gè)查詢(xún)的結(jié)果是“1”，那么第二個(gè)查詢(xún)的結(jié)果顯然就是這個(gè)程序員的工資數(shù)。規(guī)則1：任何查詢(xún)至少要涉及N(N足夠大)個(gè)以上的記錄。統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全性問(wèn)題：參見(jiàn)P248統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)1)例2：P295.用戶(hù)A發(fā)出下面兩個(gè)合法查詢(xún)：1．用戶(hù)A和其他N個(gè)程序員的工資總額是多少？2．用戶(hù)B和其他N個(gè)程序員的工資總額是多少？若第一個(gè)查詢(xún)的結(jié)果是X，第二個(gè)查詢(xún)的結(jié)果是Y，由于用戶(hù)A知道自己的工資是Z，那么他可以計(jì)算出用戶(hù)B的工資=Y-(X-Z)。原因：兩個(gè)查詢(xún)之間有很多重復(fù)的數(shù)據(jù)項(xiàng)。規(guī)則2：任意兩個(gè)查詢(xún)的相交數(shù)據(jù)項(xiàng)不能超過(guò)M個(gè)。統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)1)例2：P295.用戶(hù)A發(fā)出49統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)2)參見(jiàn)P295.可以證明：在上述兩條規(guī)定下，如果想獲知用戶(hù)B的工資額，A至少需要進(jìn)行1+(N-2)/M次查詢(xún)。規(guī)則3：任一用戶(hù)的查詢(xún)次數(shù)不能超過(guò)1+(N-2)/M。但，如果兩個(gè)用戶(hù)合作查詢(xún)就可以使這一規(guī)定失效。統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)2)參見(jiàn)P295.50數(shù)據(jù)庫(kù)系統(tǒng)安全性目標(biāo)安全保護(hù)策略很多，任何安全保護(hù)措施都是相對(duì)的，要付出一定代價(jià)的。參見(jiàn)P296.安全保護(hù)的原則：根據(jù)具體的應(yīng)用要求權(quán)衡安全要求和成本代價(jià)后再選擇合適的安全策略。數(shù)據(jù)庫(kù)系統(tǒng)安全保護(hù)的目標(biāo)：使得那些試圖破壞系統(tǒng)安全的人所花費(fèi)的代價(jià)>>他所能得到的利益。這也是整個(gè)數(shù)據(jù)庫(kù)系統(tǒng)安全機(jī)制設(shè)計(jì)的目標(biāo)。數(shù)據(jù)庫(kù)系統(tǒng)安全性目標(biāo)安全保護(hù)策略很多，任何安全保護(hù)措施都是相51SQLServer的安全性控制參見(jiàn)實(shí)驗(yàn)教材綜合實(shí)驗(yàn)1“數(shù)據(jù)庫(kù)的安全性控制”

P90.~106.SQLServer安全模式3種安全管理模式：標(biāo)準(zhǔn)、集成、混合管理數(shù)據(jù)庫(kù)用戶(hù)管理數(shù)據(jù)庫(kù)角色固定角色、自定義角色權(quán)限管理語(yǔ)句權(quán)限管理、對(duì)象權(quán)限管理SQLServer的安全性控制參見(jiàn)實(shí)驗(yàn)教材綜合實(shí)驗(yàn)152SQLServer的安全性SQLServer的安全性機(jī)制可以劃分為4個(gè)等級(jí):(1)客戶(hù)機(jī)操作系統(tǒng)的安全性(2)SQLServer的登錄安全性(3)SQLServer數(shù)據(jù)庫(kù)的使用安全性(4)SQLServer數(shù)據(jù)庫(kù)對(duì)象的使用安全性用戶(hù)客戶(hù)機(jī)OS安全性SQLServer服務(wù)器SQLServerlogin數(shù)據(jù)庫(kù)DB訪(fǎng)問(wèn)權(quán)限數(shù)據(jù)庫(kù)對(duì)象訪(fǎng)問(wèn)DB許可權(quán)SQLServer的安全性SQLServer的安全性機(jī)制53SQLServer的安全體系結(jié)構(gòu)SQL服務(wù)器級(jí),DB級(jí),DB對(duì)象級(jí)安全性示意圖:DB(房間)用戶(hù)名權(quán)限訪(fǎng)問(wèn)資料服務(wù)器(樓)SQLServer登錄帳戶(hù):口令(鑰匙)NT登錄;SQL標(biāo)準(zhǔn)登錄(特殊帳戶(hù)sa)資料,DB對(duì)象資料,DB對(duì)象資料,DB對(duì)象資料,DB對(duì)象登錄帳戶(hù)映射為用戶(hù)名sa---dbo用戶(hù)名-鑰匙映射-換鑰匙dbo用戶(hù)名SQLServer的安全體系結(jié)構(gòu)SQL服務(wù)器級(jí),DB級(jí),D54SQLServer的安全認(rèn)證模式(登錄方式)(1)集成WindowsNT登錄方式P90.~91.NT的用戶(hù)和工作組映射為SQLServer的登錄帳戶(hù);只要在NT上登錄成功就承認(rèn)其為SQLServer的合法用戶(hù)，允許連接上SQLServer服務(wù)器。(2)標(biāo)準(zhǔn)的SQLServer登錄方式用戶(hù)需要用合法的帳戶(hù)和正確的密碼登錄;先創(chuàng)建用戶(hù)的登錄帳戶(hù)和設(shè)置密碼,確定連接到哪個(gè)數(shù)據(jù)庫(kù);安裝SQLServer時(shí)可創(chuàng)建管理員帳戶(hù)sa,連接到master數(shù)據(jù)庫(kù)(3)混合登錄方式SQLServer的安全認(rèn)證模式(登錄方式)(1)集成W55SQLServer標(biāo)準(zhǔn)登錄模式1.創(chuàng)建登錄帳戶(hù)P91.~94.使用企業(yè)管理器\安全性\登錄\新建登錄\用戶(hù)名、密碼、數(shù)據(jù)庫(kù)使用存儲(chǔ)過(guò)程Sp_addlogin2.修改登錄帳戶(hù)的屬性P94.~95.使用企業(yè)管理器、使用存儲(chǔ)過(guò)程3.刪除登錄帳戶(hù)P95.~96.使用企業(yè)管理器、使用存儲(chǔ)過(guò)程Sp_revokelogin4.特殊帳戶(hù)sa管理員帳戶(hù)SQLServer標(biāo)準(zhǔn)登錄模式1.創(chuàng)建登錄帳戶(hù)56SQLServer用戶(hù)管理1.添加數(shù)據(jù)庫(kù)用戶(hù)P96.~98.企業(yè)管理器\服務(wù)器\數(shù)據(jù)庫(kù)\用戶(hù)\新建數(shù)據(jù)庫(kù)用戶(hù)\登錄名、數(shù)據(jù)庫(kù)角色使用存儲(chǔ)過(guò)程Sp_adduser2.刪除數(shù)據(jù)庫(kù)用戶(hù)P98.使用企業(yè)管理器、使用存儲(chǔ)過(guò)程Sp_dropuser3.特殊數(shù)據(jù)庫(kù)用戶(hù)dbo

即數(shù)據(jù)庫(kù)擁有者或數(shù)據(jù)庫(kù)屬主，sa可以作為他所管理系統(tǒng)的任何數(shù)據(jù)庫(kù)的dbo用戶(hù)guest代表對(duì)樣板數(shù)據(jù)庫(kù)擁有最基本查詢(xún)的用戶(hù)SQLServer用戶(hù)管理1.添加數(shù)據(jù)庫(kù)用戶(hù)P9657SQLServer服務(wù)器角色1.角色：集中一組權(quán)限的管理單元（官位）。2.SQLServer的固定服務(wù)器角色查看固定服務(wù)器角色Sp_helpsrvrole添加服務(wù)器角色成員Sp_addsrvrolemember刪除服務(wù)器角色成員Sp_dropsrvrolemember3.了解幾個(gè)固定服務(wù)器角色Sysadmin系統(tǒng)管理員Serveradmin服務(wù)器管理員Securityadmin安全管理員dbcreate數(shù)據(jù)庫(kù)創(chuàng)建者SQLServer服務(wù)器角色1.角色：集中一組權(quán)限的管理58SQLServer數(shù)據(jù)庫(kù)角色1.SQLServer的固定數(shù)據(jù)庫(kù)角色（9種）查看固定數(shù)據(jù)庫(kù)角色:Sp_helpdbfixedrole特殊的數(shù)據(jù)庫(kù)固定角色Public，所有數(shù)據(jù)庫(kù)用戶(hù)都屬于public角色2.了解幾個(gè)固定數(shù)據(jù)庫(kù)角色Db_ower數(shù)據(jù)庫(kù)屬主,可進(jìn)行所有DB角色的活動(dòng)Db_datawrite可更新數(shù)據(jù)庫(kù)用戶(hù)表中的數(shù)據(jù)Db_Securityadmin數(shù)據(jù)庫(kù)安全管理員Db_backupoperater數(shù)據(jù)庫(kù)備份員SQLServer數(shù)據(jù)庫(kù)角色1.SQLServer的固59SQLServer數(shù)據(jù)庫(kù)角色管理1.創(chuàng)建數(shù)據(jù)庫(kù)角色及成員參見(jiàn)P98.~100.企業(yè)管理器\服務(wù)器\數(shù)據(jù)庫(kù)\角色\新建數(shù)據(jù)庫(kù)角色\名稱(chēng)、標(biāo)準(zhǔn)角色、添加添加數(shù)據(jù)庫(kù)角色:Sp_addrole添加數(shù)據(jù)庫(kù)角色成員:Sp_addrolemember2.查看數(shù)據(jù)庫(kù)角色:Sp_helprole3.刪除數(shù)據(jù)庫(kù)角色P100.使用企業(yè)管理器、使用存儲(chǔ)過(guò)程Sp_droprole4.刪除數(shù)據(jù)庫(kù)角色成員:Sp_droprolememberSQLServer數(shù)據(jù)庫(kù)角色管理1.創(chuàng)建數(shù)據(jù)庫(kù)角色及成員60SQLServer的權(quán)限1.SQLServer權(quán)限種類(lèi)(3種)參見(jiàn)P100.~101.對(duì)象權(quán)限：用戶(hù)對(duì)數(shù)據(jù)庫(kù)中的表、視圖、存儲(chǔ)過(guò)程等對(duì)象的操作權(quán)限語(yǔ)句權(quán)限：DDL語(yǔ)句權(quán)限，是否允許執(zhí)行創(chuàng)建各種數(shù)據(jù)庫(kù)對(duì)象、備份數(shù)據(jù)庫(kù)和日志的語(yǔ)句隱含權(quán)限：指預(yù)定義的服務(wù)器角色、dbo等所擁有的權(quán)限，內(nèi)置的2.對(duì)象權(quán)限的管理參見(jiàn)P104.~106.(1)授予權(quán)限：grant(2)撤消權(quán)限：revoke(3)拒絕訪(fǎng)問(wèn)：denySQLServer的權(quán)限1.SQLServer權(quán)限種61SQLServer的權(quán)限管理P101.~106.1.用企業(yè)管理器管理語(yǔ)句權(quán)限

P101.~102.數(shù)據(jù)庫(kù)\選數(shù)據(jù)庫(kù)\右鍵菜單\屬性\權(quán)限\……2.用企業(yè)管理器管理數(shù)據(jù)庫(kù)對(duì)象權(quán)限P103.~104.數(shù)據(jù)庫(kù)\選定表或視圖\右鍵菜單\所有任務(wù)\管理權(quán)限\……3.用企業(yè)管理器管理數(shù)據(jù)庫(kù)用戶(hù)的權(quán)限數(shù)據(jù)庫(kù)\選定數(shù)據(jù)庫(kù)\用戶(hù)\選定用戶(hù)\所有任務(wù)\管理權(quán)限\……4.用企業(yè)管理器管理數(shù)據(jù)庫(kù)角色的權(quán)限數(shù)據(jù)庫(kù)\選定數(shù)據(jù)庫(kù)\角色\選定角色\右鍵菜單\屬性\……SQLServer的權(quán)限管理P101.~106.162第9章小結(jié)(1)數(shù)據(jù)庫(kù)安全性的定義權(quán)限：對(duì)DB中對(duì)象的操作權(quán)：DB數(shù)據(jù)：讀取、插入、修改、刪除DB模式：索引、資源、改變、撤消權(quán)限的授予、轉(zhuǎn)授與回收授權(quán)：GRANT轉(zhuǎn)授：GRANT……WITHGRANTOPTION回收：REVOKESQL中的安全性控制，由兩個(gè)機(jī)制提供：視圖和授權(quán)子系統(tǒng)第9章小結(jié)(1)數(shù)據(jù)庫(kù)安全性的定義63第9章小結(jié)(2)實(shí)現(xiàn)數(shù)據(jù)庫(kù)安全性控制的常用方法和技術(shù)用戶(hù)標(biāo)識(shí)與鑒別---保證是合法用戶(hù)存取控制:DAC,MAC---保證是合法操作視圖機(jī)制---保證是合法操作審計(jì)---出了問(wèn)題可跟蹤重現(xiàn),找出非法操作者數(shù)據(jù)加密：物理數(shù)據(jù)以密文形式存儲(chǔ)和傳輸使用SQL的Grant語(yǔ)句和Revoke語(yǔ)句來(lái)實(shí)現(xiàn)自主存取控制統(tǒng)計(jì)數(shù)據(jù)庫(kù)的安全性問(wèn)題第9章小結(jié)(2)實(shí)現(xiàn)數(shù)據(jù)庫(kù)安全性控制的常用方法和技術(shù)64第9章作業(yè)題

P300~301.作業(yè)題：8、如果涉及與數(shù)據(jù)值有關(guān)的授權(quán)，考慮使用視圖。9、第9章作業(yè)題P300~301.作業(yè)題：65復(fù)習(xí)問(wèn)題(CH9.1)1.數(shù)據(jù)庫(kù)安全性定義?

P283.2.權(quán)限?數(shù)據(jù)級(jí)權(quán)限有?模式級(jí)權(quán)限有?P290.3.數(shù)據(jù)庫(kù)安全保護(hù)措施有哪些?P288.~294.4.用戶(hù)標(biāo)識(shí)與鑒別的方法?作用?P288.~289.5.存取控制兩種方式?方法?作用?P290.~P293.6.視圖機(jī)制?P293.~294.7.審計(jì)功能?作用?P294.8.數(shù)據(jù)加密?方法?P294.~295.復(fù)習(xí)問(wèn)題(CH9.1)1.數(shù)據(jù)庫(kù)安全性定義?P266數(shù)據(jù)庫(kù)原理與應(yīng)用第九章數(shù)據(jù)庫(kù)安全性《數(shù)據(jù)庫(kù)系統(tǒng)概論》數(shù)據(jù)庫(kù)原理與應(yīng)用第九章數(shù)據(jù)庫(kù)安全性67內(nèi)容、提綱DBMS的數(shù)據(jù)保護(hù)功能包括：安全性保護(hù)和完整性保護(hù)本章介紹數(shù)據(jù)庫(kù)安全性，下一章介紹數(shù)據(jù)庫(kù)的完整性。本章內(nèi)容9.1計(jì)算機(jī)安全性概論9.2數(shù)據(jù)庫(kù)安全性控制---主要介紹9.3統(tǒng)計(jì)數(shù)據(jù)庫(kù)安全性9.4Oracle數(shù)據(jù)庫(kù)的安全性?xún)?nèi)容、提綱DBMS的數(shù)據(jù)保護(hù)功能包括：安全性保護(hù)和完整性保護(hù)68教學(xué)要求掌握安全性的定義、安全性的級(jí)別、安全性措施用戶(hù)對(duì)數(shù)據(jù)庫(kù)的數(shù)據(jù)訪(fǎng)問(wèn)權(quán)限SQL中的兩種安全性機(jī)制授權(quán)、權(quán)限轉(zhuǎn)授與回收的概念了解理解利用視圖和權(quán)限操作達(dá)到安全性的基本方法Oracle數(shù)據(jù)庫(kù)的安全性措施教學(xué)要求掌握699.1計(jì)算機(jī)安全性概論問(wèn)題的提出數(shù)據(jù)庫(kù)的一大特點(diǎn)是數(shù)據(jù)可以共享，但數(shù)據(jù)共享必然帶來(lái)數(shù)據(jù)庫(kù)的安全性問(wèn)題，數(shù)據(jù)庫(kù)中的數(shù)據(jù)共享不能是無(wú)條件的共享。例如：軍事秘密、國(guó)家機(jī)密、新產(chǎn)品實(shí)驗(yàn)數(shù)據(jù)、市場(chǎng)需求分析、市場(chǎng)營(yíng)銷(xiāo)策略、銷(xiāo)售計(jì)劃、客戶(hù)檔案、醫(yī)療檔案、銀行儲(chǔ)蓄數(shù)據(jù)等。數(shù)據(jù)庫(kù)系統(tǒng)中，數(shù)據(jù)的共享是指在DBMS統(tǒng)一的嚴(yán)格的控制之下的共享，即只允許有合法使用權(quán)限的用戶(hù)訪(fǎng)問(wèn)允許他存取的數(shù)據(jù)。9.1計(jì)算機(jī)安全性概論問(wèn)題的提出70數(shù)據(jù)庫(kù)安全性定義數(shù)據(jù)庫(kù)的安全性定義參見(jiàn)P283.保護(hù)數(shù)據(jù)庫(kù)以防止不合法的使用所造成的數(shù)據(jù)泄露、非法更改和破壞。即保證是合法用戶(hù)對(duì)數(shù)據(jù)庫(kù)的合法訪(fǎng)問(wèn)。數(shù)據(jù)庫(kù)安全性的基本措施是存取控制。數(shù)據(jù)庫(kù)系統(tǒng)的安全保護(hù)措施是否有效是數(shù)據(jù)庫(kù)系統(tǒng)主要的性能指標(biāo)之一。數(shù)據(jù)庫(kù)安全性定義數(shù)據(jù)庫(kù)的安全性定義參71計(jì)算機(jī)安全性安全性問(wèn)題不是DBS所獨(dú)有的，所有計(jì)算機(jī)系統(tǒng)都有安全性問(wèn)題。只是在DBS中，大量數(shù)據(jù)集中存放，而且為許多最終用戶(hù)直接共享，從而使安全性問(wèn)題更為突出。數(shù)據(jù)庫(kù)的安全性和計(jì)算機(jī)系統(tǒng)的安全性，包括操作系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)的安全性是緊密聯(lián)系并且相互支持的。安全性級(jí)別為了保護(hù)數(shù)據(jù)庫(kù)，防止被故意破壞,可以由低到高在5個(gè)級(jí)別上設(shè)置各種安全措施。計(jì)算機(jī)安全性安全性問(wèn)題不是DBS所獨(dú)有的，所有計(jì)算機(jī)系統(tǒng)都有72計(jì)算機(jī)安全性級(jí)別①物理級(jí)(環(huán)境級(jí)):機(jī)房和設(shè)備，防止物理破壞。②人際級(jí)(職員級(jí)):工作人員應(yīng)清正廉潔，正確授予用戶(hù)訪(fǎng)問(wèn)DB的權(quán)限。③OS級(jí):防止未經(jīng)授權(quán)的用戶(hù)從OS處著手訪(fǎng)問(wèn)DB，包括口令、并發(fā)控制、文件系統(tǒng)的安全等。④網(wǎng)絡(luò)級(jí):用戶(hù)通過(guò)網(wǎng)絡(luò)遠(yuǎn)程進(jìn)行訪(fǎng)問(wèn)，網(wǎng)絡(luò)軟件內(nèi)部的安全性很重要。⑤DBS級(jí):檢查用戶(hù)的身份是否合法以及使用數(shù)據(jù)庫(kù)的權(quán)限是否正確---本章介紹。計(jì)算機(jī)安全性級(jí)別①物理級(jí)(環(huán)境級(jí)):機(jī)房和設(shè)備，防止物理739.1.1計(jì)算機(jī)系統(tǒng)的三類(lèi)安全性問(wèn)題計(jì)算機(jī)系統(tǒng)安全性

參見(jiàn)P283.是指為計(jì)算機(jī)系統(tǒng)建立和采取的各種安全保護(hù)措施，以保護(hù)計(jì)算機(jī)系統(tǒng)的硬件、軟件及數(shù)據(jù)，防止其因偶然或惡意的原因使系統(tǒng)遭到破壞，數(shù)據(jù)遭到更改、泄露和破壞。計(jì)算機(jī)系統(tǒng)三類(lèi)安全性問(wèn)題技術(shù)安全類(lèi)、管理安全類(lèi)、政策法律類(lèi)參見(jiàn)P283.~2計(jì)算機(jī)系統(tǒng)的三類(lèi)安全性問(wèn)題計(jì)算機(jī)系統(tǒng)安全性749.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)隨著計(jì)算機(jī)資源共享和網(wǎng)絡(luò)技術(shù)的應(yīng)用日益廣泛和深入，特別是Internet技術(shù)的發(fā)展，計(jì)算機(jī)安全性問(wèn)題越來(lái)越得到人們的重視。對(duì)各種計(jì)算機(jī)及其相關(guān)產(chǎn)品、信息系統(tǒng)的安全性的要求越來(lái)越高。參見(jiàn)P284.為此，在計(jì)算機(jī)安全技術(shù)方面逐步發(fā)展了一套可信（Trusted）計(jì)算機(jī)系統(tǒng)的概念和標(biāo)準(zhǔn)。下面了解可信計(jì)算機(jī)系統(tǒng)的這些評(píng)測(cè)標(biāo)準(zhǔn)：TCSEC(桔皮書(shū))、TDI(紫皮書(shū))9.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)隨著計(jì)算機(jī)資源共享和網(wǎng)絡(luò)技75可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TCSEC參見(jiàn)P284.~285.1985年美國(guó)國(guó)防部（DoD）正式頒布《DoD可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)》（簡(jiǎn)稱(chēng)TCSEC或DoD85），TCSEC又稱(chēng)桔皮書(shū)。TCSEC標(biāo)準(zhǔn)的目的1.提供一種標(biāo)準(zhǔn)，使用戶(hù)可以對(duì)其計(jì)算機(jī)系統(tǒng)內(nèi)敏感信息安全操作的可信程度做評(píng)估。2.給計(jì)算機(jī)行業(yè)的制造商提供一種可循的指導(dǎo)規(guī)則，使其產(chǎn)品能夠更好地滿(mǎn)足敏感應(yīng)用的安全需求。

可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TCSEC參見(jiàn)P284.~285.76可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TDI參見(jiàn)P284.~285.1991年4月美國(guó)NCSC（國(guó)家計(jì)算機(jī)安全中心）頒布了《可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)關(guān)于可信數(shù)據(jù)庫(kù)系統(tǒng)的解釋》（TrustedDatabaseInterpretation簡(jiǎn)稱(chēng)TDI）。TDI又稱(chēng)紫皮書(shū)。TDI將TCSEC擴(kuò)展到數(shù)據(jù)庫(kù)管理系統(tǒng)。TDI中定義了數(shù)據(jù)庫(kù)管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)中需滿(mǎn)足和用以進(jìn)行安全性級(jí)別評(píng)估的標(biāo)準(zhǔn)。可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)TDI參見(jiàn)P284.~285.77TCSEC/TDI安全指標(biāo)23項(xiàng)

參見(jiàn)P284.~285.TDI/TCSEC標(biāo)準(zhǔn)的基本內(nèi)容:定義了DBMS的設(shè)計(jì)與實(shí)現(xiàn)中需滿(mǎn)足和用以進(jìn)行安全性級(jí)別評(píng)估的標(biāo)準(zhǔn)。從4個(gè)方面描述安全性級(jí)別劃分的指標(biāo):R1安全策略R2責(zé)任R3保證R4文檔劃分23項(xiàng)具體的安全性指標(biāo)TCSEC/TDI安全指標(biāo)23項(xiàng)參見(jiàn)P284.~28578TCSEC/TDI安全級(jí)別劃分根據(jù)計(jì)算機(jī)系統(tǒng)對(duì)23項(xiàng)指標(biāo)的支持程度，將系統(tǒng)劃分為4組7個(gè)等級(jí)。參見(jiàn)P286.表9.1不同安全級(jí)別對(duì)23項(xiàng)安全指標(biāo)的支持情況。參見(jiàn)P287.表9.2TCSEC/TDI安全級(jí)別劃分根據(jù)計(jì)算機(jī)系統(tǒng)對(duì)23項(xiàng)指標(biāo)的支79TCSEC/TDI安全級(jí)別

參見(jiàn)P285.~287.表9.1A1級(jí):驗(yàn)證設(shè)計(jì)參見(jiàn)P287.B3級(jí):安全域參見(jiàn)P287.B2級(jí):結(jié)構(gòu)化保護(hù)參見(jiàn)P286.B1級(jí):標(biāo)記安全保護(hù),對(duì)系統(tǒng)的數(shù)據(jù)加以標(biāo)記,并對(duì)標(biāo)記的主體和客體實(shí)施強(qiáng)制存取控制(MAC)以及審計(jì)安全機(jī)制

參見(jiàn)P286.C2級(jí):提供受控的存取保護(hù),安全產(chǎn)品的最低檔次參見(jiàn)P286.TCSEC/TDI安全級(jí)別參見(jiàn)P285.~287.80TCSEC/TDI安全級(jí)別(續(xù))C1級(jí):只提供非常初級(jí)的自主安全保護(hù),能夠?qū)崿F(xiàn)用戶(hù)和數(shù)據(jù)的分離,進(jìn)行自主存取控制(DAC)

參見(jiàn)P286.D級(jí):最小保護(hù)參見(jiàn)P285.后面將主要介紹：自主存取控制(DAC)強(qiáng)制存取控制(MAC)審計(jì)安全機(jī)制TCSEC/TDI安全級(jí)別(續(xù))C1級(jí):只提供非常初級(jí)的自819.2數(shù)據(jù)庫(kù)安全性控制計(jì)算機(jī)系統(tǒng)的安全模型參見(jiàn)P288.圖9.1四個(gè)層次提供安全保護(hù)：

應(yīng)用DBMSOS

DB低高安全性控制層次方法：

用戶(hù)標(biāo)識(shí)和鑒定

存取控制審計(jì)視圖

操作系統(tǒng)安全保護(hù)

密碼存儲(chǔ)9.2數(shù)據(jù)庫(kù)安全性控制計(jì)算機(jī)系統(tǒng)的安全模型參見(jiàn)P282計(jì)算機(jī)系統(tǒng)安全控制層次計(jì)算機(jī)系統(tǒng)安全控制是一級(jí)一級(jí)層層設(shè)置的1.用戶(hù)要求進(jìn)入計(jì)算機(jī)系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行用戶(hù)標(biāo)識(shí)，身份鑒別，合法允進(jìn)保證是合法用戶(hù)2.DBMS：進(jìn)行存取控制保證進(jìn)入系統(tǒng)的合法用戶(hù)執(zhí)行合法操作3.操作系統(tǒng)：有自己的保護(hù)措施4.數(shù)據(jù)庫(kù)：數(shù)據(jù)可以以密碼形式存儲(chǔ)到數(shù)據(jù)庫(kù)中數(shù)據(jù)庫(kù)安全性控制的常用方法:用戶(hù)標(biāo)識(shí)和鑒定,存取控制,視圖,審計(jì),密碼存儲(chǔ)計(jì)算機(jī)系統(tǒng)安全控制層次計(jì)算機(jī)系統(tǒng)安全控制是一級(jí)一級(jí)層層設(shè)置的839.2.1用戶(hù)標(biāo)識(shí)與鑒別1.用戶(hù)標(biāo)識(shí)與鑒別：是DBS提供的最外層安全保護(hù)措施，保證進(jìn)入系統(tǒng)的是DBS的合法用戶(hù)。控制方法是：參見(jiàn)P288.①系統(tǒng)提供一定的方式，讓用戶(hù)標(biāo)識(shí)自己的名字或身份。系統(tǒng)內(nèi)部記錄著所有合法用戶(hù)的標(biāo)識(shí)。每次用戶(hù)要求進(jìn)入系統(tǒng)時(shí)，由系統(tǒng)核對(duì)用戶(hù)提供的身份標(biāo)識(shí)，通過(guò)鑒定才提供機(jī)器使用權(quán)。②對(duì)于獲得上機(jī)權(quán)的用戶(hù)，若要使用DB時(shí)，DBMS還要進(jìn)行用戶(hù)標(biāo)識(shí)和鑒別。9.2.1用戶(hù)標(biāo)識(shí)與鑒別1.用戶(hù)標(biāo)識(shí)與鑒別：是DBS提供84用戶(hù)標(biāo)識(shí)與鑒別的方法2.用戶(hù)標(biāo)識(shí)自己的名字或身份的方法，很多種，多種方法可以并舉，常用的方法：①用一個(gè)用戶(hù)名或者用戶(hù)標(biāo)識(shí)號(hào)來(lái)表明用戶(hù)身份。系統(tǒng)內(nèi)部記錄有所有合法用戶(hù)的標(biāo)識(shí)，系統(tǒng)鑒別此用戶(hù)是否合法用戶(hù)，若是，則可以進(jìn)入下一步的核實(shí)；若不是，則不能使用系統(tǒng)。②口令，為了進(jìn)一步核實(shí)用戶(hù)，系統(tǒng)常常要求用戶(hù)輸入口令。終端上輸入的口令不顯示，系統(tǒng)核對(duì)口令以鑒別用戶(hù)身份。口令簡(jiǎn)單易行，容易被人竊取。用戶(hù)標(biāo)識(shí)與鑒別的方法2.用戶(hù)標(biāo)識(shí)自己的名字或身份的方法，很85用戶(hù)標(biāo)識(shí)與鑒別的方法(續(xù))

參見(jiàn)P289.③復(fù)雜口令。用戶(hù)和系統(tǒng)預(yù)先約定好一個(gè)計(jì)算過(guò)程或函數(shù)，鑒別用戶(hù)身份時(shí)，系統(tǒng)提供一個(gè)隨機(jī)數(shù)，用戶(hù)計(jì)算輸入，系統(tǒng)進(jìn)行核對(duì)，進(jìn)一步鑒定。④指紋、聲音、圖像等。用戶(hù)標(biāo)識(shí)和鑒定可以重復(fù)多次。用戶(hù)標(biāo)識(shí)與鑒別的方法(續(xù))參見(jiàn)P289.869.2.2存取控制參見(jiàn)P289.數(shù)據(jù)庫(kù)安全性最重要的一點(diǎn)就是：確保只授權(quán)給有資格的用戶(hù)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的權(quán)限，同時(shí)令所有未被授權(quán)的人員無(wú)法接近數(shù)據(jù)，即要保證對(duì)數(shù)據(jù)庫(kù)是合法操作。---這主要通過(guò)DBMS的存取控制機(jī)制實(shí)現(xiàn)的。存取控制機(jī)制的組成，主要包括兩部分：1.定義用戶(hù)（存?。?quán)限2.檢查用戶(hù)（存?。?quán)限用戶(hù)權(quán)限定義和合法權(quán)檢查機(jī)制一起組成了DBMS的安全控制子系統(tǒng)的功能。9.2.2存取控制參見(jiàn)P289.數(shù)據(jù)庫(kù)安全性最重要的87定義用戶(hù)權(quán)限1.定義用戶(hù)權(quán)限，并將用戶(hù)權(quán)限登記到數(shù)據(jù)字典中。在數(shù)據(jù)庫(kù)系統(tǒng)中，為了保證用戶(hù)只能訪(fǎng)問(wèn)他有權(quán)存取的數(shù)據(jù)，必須預(yù)先對(duì)每個(gè)用戶(hù)定義存取權(quán)限。用戶(hù)權(quán)限：不同的用戶(hù)對(duì)于不同的數(shù)據(jù)對(duì)象允許執(zhí)行的操作權(quán)限。系統(tǒng)必須提供適當(dāng)?shù)恼Z(yǔ)言，由DBA定義用戶(hù)權(quán)限（即授權(quán)）；這些定義經(jīng)過(guò)編譯后，存放在數(shù)據(jù)字典中，被稱(chēng)作安全規(guī)則或授權(quán)規(guī)則。定義用戶(hù)權(quán)限1.定義用戶(hù)權(quán)限，并將用戶(hù)權(quán)限登記到數(shù)據(jù)字典中88檢查用戶(hù)權(quán)限2.合法權(quán)限檢查：每當(dāng)用戶(hù)發(fā)出存取數(shù)據(jù)庫(kù)的操作請(qǐng)求后，DBMS查找數(shù)據(jù)字典，根據(jù)安全規(guī)則進(jìn)行合法權(quán)限的檢查，若用戶(hù)的操作請(qǐng)求超出了定義的權(quán)限，系統(tǒng)將拒絕執(zhí)行此操作。參見(jiàn)P289.對(duì)于通過(guò)鑒定獲得上機(jī)權(quán)的用戶(hù)（即合法用戶(hù)），系統(tǒng)根據(jù)他的存取權(quán)限定義對(duì)他的各種操作請(qǐng)求進(jìn)行控制，確保他只執(zhí)行合法操作。用戶(hù)操作請(qǐng)求一般包括：操作類(lèi)型、操作對(duì)象和操作用戶(hù)等信息。檢查用戶(hù)權(quán)限2.合法權(quán)限檢查：每當(dāng)用戶(hù)發(fā)出存取數(shù)據(jù)庫(kù)的操作89常用存取控制方法9.2.3自主存取控制，簡(jiǎn)稱(chēng)DAC

（DiscretionaryAccessControl）C2級(jí)提供，控制很靈活9.2.4強(qiáng)制存取控制，簡(jiǎn)稱(chēng)MAC

（MandatoryAccessControl）B1級(jí)提供，控制比較嚴(yán)格當(dāng)前，大型的RDBMS一般都支持自主存取控制DAC，有些RDBMS同時(shí)還支持強(qiáng)制存取控制MAC。常用存取控制方法9.2.3自主存取控制，簡(jiǎn)稱(chēng)DAC909.2.3自主存取控制(DAC)方法參見(jiàn)P289.~290.在自主存取控制方法中：①用戶(hù)對(duì)于不同的數(shù)據(jù)對(duì)象有不同的存取權(quán)限。②不同的用戶(hù)對(duì)同一對(duì)象也有不同的權(quán)限。③用戶(hù)還可以將其擁有的存取權(quán)限轉(zhuǎn)授給其他用戶(hù)。DAC方法：控制非常靈活，自主的，自由的。9.2.3自主存取控制(DAC)方法參見(jiàn)P289.~91SQL支持DACSQL標(biāo)準(zhǔn)也支持DAC---CH3.中介紹過(guò)SQL中有兩個(gè)機(jī)制提供了安全性授權(quán)子系統(tǒng)：允許有特定存取權(quán)的用戶(hù)有選擇地、動(dòng)態(tài)地把這些權(quán)限授予其他用戶(hù)，用GRANT和REVOKE。視圖機(jī)制：可以用來(lái)對(duì)無(wú)權(quán)用戶(hù)屏蔽數(shù)據(jù)。參見(jiàn)P290.權(quán)限：指對(duì)數(shù)據(jù)庫(kù)中數(shù)據(jù)對(duì)象的操作權(quán)。授權(quán):定義存取權(quán)限。SQL支持DACSQL標(biāo)準(zhǔn)也支持DAC---CH3.中介92存取權(quán)限的要素權(quán)限有兩個(gè)要素:(1)數(shù)據(jù)對(duì)象模式級(jí)(有模式、外模式、內(nèi)模式)數(shù)據(jù)級(jí)(有表、屬性列)(2)操作類(lèi)型模式級(jí)(有建立、修改、索引、撤消)數(shù)據(jù)級(jí)(有查找、插入、刪除、修改)參見(jiàn)P290.表9.3，關(guān)系系統(tǒng)中的存取權(quán)限權(quán)限定義方法：GRANT/REVOKE語(yǔ)句存取權(quán)限的要素權(quán)限有兩個(gè)要素:93與數(shù)據(jù)名有關(guān)的授權(quán)數(shù)據(jù)名：數(shù)據(jù)庫(kù)名、表名、字段名例：CH3.的3.6節(jié)SQL語(yǔ)言的安全性控制功能例：參見(jiàn)P290.例：P291.表9.4學(xué)生課程數(shù)據(jù)庫(kù)中的用戶(hù)權(quán)限定義表用戶(hù)名數(shù)據(jù)對(duì)象名允許的操作類(lèi)型王平關(guān)系StudentSELECT張明霞關(guān)系StudentUPDATE張明霞關(guān)系CourseALL張明霞SC.GradeUPDATE張明霞SC.SnoSELECT張明霞SC.CnoSELECT與數(shù)據(jù)名有關(guān)的授權(quán)數(shù)據(jù)名：數(shù)據(jù)庫(kù)名、表名、字段名用戶(hù)名94與數(shù)據(jù)值有關(guān)的授權(quán)涉及存取謂詞,要求系統(tǒng)提供支持,授權(quán)語(yǔ)句中可以使用存取條件（即謂詞,與數(shù)據(jù)值有關(guān)）；存取謂詞可以很復(fù)雜，可以使用系統(tǒng)變量，可以授權(quán)與時(shí)間地點(diǎn)有關(guān)的存取。能否提供與數(shù)據(jù)值有關(guān)的授權(quán)反映了授權(quán)子系統(tǒng)的精巧程度。例:參見(jiàn)P291.~292.例:P291.表9.5支持存取謂詞的用戶(hù)權(quán)限定義用戶(hù)名數(shù)據(jù)對(duì)象名允許的操作類(lèi)型存取謂詞(數(shù)據(jù)值)王平關(guān)系StudentSELECTSdep=‘CS’張明霞關(guān)系StudentUPDATESname=‘張明霞’張明霞關(guān)系CourseALL無(wú)與數(shù)據(jù)值有關(guān)的授權(quán)涉及存取謂詞,要求系統(tǒng)提供支持,授權(quán)語(yǔ)95授權(quán)粒度授權(quán)粒度:指用戶(hù)權(quán)限定義中，數(shù)據(jù)對(duì)象的范圍，有:數(shù)據(jù)庫(kù)級(jí)、(關(guān)系)表級(jí)、(元組，記錄)行級(jí)、(屬性，字段)列級(jí)參見(jiàn)P291.其中記錄級(jí)數(shù)據(jù)要用存取謂詞獲得授權(quán)粒度是衡量授權(quán)機(jī)制是否靈活的一個(gè)重要指標(biāo)授權(quán)粒度越細(xì)，授權(quán)子系統(tǒng)越靈活，系統(tǒng)定義與檢查權(quán)限的開(kāi)銷(xiāo)也會(huì)相應(yīng)增大授權(quán)粒度授權(quán)粒度:指用戶(hù)權(quán)限定義中，數(shù)據(jù)對(duì)象的范圍，有:96DAC方法的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：能夠通過(guò)授權(quán)機(jī)制有效地控制其他用戶(hù)對(duì)敏感數(shù)據(jù)的存取靈活、自主、自由缺點(diǎn)：太靈活、太自主、太自由可能存在數(shù)據(jù)的無(wú)意泄露。例：參見(jiàn)P292.這種機(jī)制僅僅通過(guò)對(duì)數(shù)據(jù)的存取權(quán)限來(lái)進(jìn)行安全控制，而數(shù)據(jù)本身并無(wú)安全性標(biāo)記。解決：需要對(duì)系統(tǒng)控制下的所有主客體實(shí)施強(qiáng)制存取控制策略。DAC方法的優(yōu)缺點(diǎn)優(yōu)點(diǎn)：979.2.4強(qiáng)制存取控制(MAC)方法有些DBS的數(shù)據(jù)具有很高的保密性,通常具有靜態(tài)的分層結(jié)構(gòu),強(qiáng)制存取控制對(duì)于存放這樣數(shù)據(jù)的數(shù)據(jù)庫(kù)非常適用。參見(jiàn)P292.MAC是指：系統(tǒng)為保證更高程度的安全性，按照TDI/TCSEC標(biāo)準(zhǔn)中安全策略的要求，所采取的強(qiáng)制存取檢查手段。MAC不是用戶(hù)能直接感知或進(jìn)行控制的。MAC適用于那些對(duì)數(shù)據(jù)有嚴(yán)格而固定密級(jí)分類(lèi)的部門(mén)，例如軍事部門(mén)或政府部門(mén)。9.2.4強(qiáng)制存取控制(MAC)方法有些DBS的數(shù)據(jù)具有很98主體、客體、敏感度標(biāo)記在MAC中，DBMS所管理的全部實(shí)體被分為主體和客體兩大類(lèi)。參見(jiàn)P292.主體：系統(tǒng)中的活動(dòng)實(shí)體，包括DBMS所管理的實(shí)際用戶(hù)或代表用戶(hù)的各進(jìn)程?？腕w：系統(tǒng)中的被動(dòng)實(shí)體，是受主體控制的，包括文件、基本表、索引、視圖等。對(duì)于主體和客體，DBMS為它們的每個(gè)實(shí)例(值)指派一個(gè)敏感度標(biāo)記(label)。主體、客體、敏感度標(biāo)記在MAC中，DBMS所管理的全部實(shí)體被99密級(jí)、許可證級(jí)別敏感度標(biāo)記被分為若干級(jí)別參見(jiàn)P292.例如，敏感度標(biāo)記級(jí)別由高到低有：絕密(TopSecret)機(jī)密(Secret)可信(Confidential)公開(kāi)(Public)主體的敏感度標(biāo)記稱(chēng)為許可證級(jí)別(ClearanceLevel)?？腕w的敏感度標(biāo)記稱(chēng)為密級(jí)(ClassificationLevel)。密級(jí)、許可證級(jí)別敏感度標(biāo)記被分為若干級(jí)別參見(jiàn)P292100MAC存取規(guī)則(參見(jiàn)P293.)MAC通過(guò)對(duì)比主體的Label和客體的Label,最終確定主體是否能夠存取客體。當(dāng)某一用戶(hù)(或某一主體)以標(biāo)記Label注冊(cè)進(jìn)入系統(tǒng)時(shí),系統(tǒng)要求它對(duì)任何客體的存取必須遵循如下規(guī)則:(1)僅當(dāng)主體的許可證級(jí)別≥客體的密級(jí)時(shí),該主體才能讀取相應(yīng)的客體。(2)僅當(dāng)主體的許可證級(jí)別=客體的密級(jí)時(shí),該主體才能寫(xiě)相應(yīng)的客體。MAC存取規(guī)則(參見(jiàn)P293.)MAC通過(guò)對(duì)比主體的Labe101MAC存取規(guī)則(參見(jiàn)P293.)注:對(duì)第(2)條規(guī)則,有些系統(tǒng)規(guī)定為:僅當(dāng)主體的許可證級(jí)別≤客體的密級(jí)時(shí),該主體才能寫(xiě)相應(yīng)的客體;即用戶(hù)可以為寫(xiě)入的數(shù)據(jù)對(duì)象賦予高于自己的許可證級(jí)別的密級(jí)。這樣,一旦數(shù)據(jù)被寫(xiě)入，該用戶(hù)自己也不能再讀取該數(shù)據(jù)對(duì)象了。規(guī)則(2)的兩種情況的共同點(diǎn)在于,它們均禁止了擁有高許可證級(jí)別的主體更新低密級(jí)的數(shù)據(jù)對(duì)象,從而防止敏感數(shù)據(jù)的泄露。MAC存取規(guī)則(參見(jiàn)P293.)注:對(duì)第(2)條規(guī)則,有102MAC方法的特點(diǎn)(參見(jiàn)P293.)MAC是對(duì)數(shù)據(jù)本身進(jìn)行密級(jí)標(biāo)記。無(wú)論數(shù)據(jù)如何復(fù)制，標(biāo)記與數(shù)據(jù)是一個(gè)不可分的整體。只有符合密級(jí)標(biāo)記要求的用戶(hù)才可以操縱數(shù)據(jù)。從而提供了更高級(jí)別的安全性。強(qiáng)制存取控制是一種獨(dú)立于值的簡(jiǎn)單控制方法。它的優(yōu)點(diǎn)是系統(tǒng)能執(zhí)行“信息流控制”。在前面介紹的授權(quán)方法中，允許凡有權(quán)查看保密數(shù)據(jù)的用戶(hù)就可以把這種數(shù)據(jù)拷貝到非保密的文件中，造成無(wú)權(quán)用戶(hù)也可以接觸保密數(shù)據(jù)。而MAC方法可以避免這種非法的信息流動(dòng)。MAC方法的特點(diǎn)(參見(jiàn)P293.)MAC是對(duì)數(shù)據(jù)本身進(jìn)行密級(jí)103MAC與DACDAC與MAC共同構(gòu)成DBMS的安全機(jī)制。原因：較高安全性級(jí)別提供的安全保護(hù)要包含較低級(jí)別的所有保護(hù)。參見(jiàn)P293.圖9.2

DAC+MAC安全檢查示意圖。系統(tǒng)先進(jìn)行DAC檢查，通過(guò)DAC檢查的允許存取的數(shù)據(jù)對(duì)象再由系統(tǒng)自動(dòng)進(jìn)行MAC檢查，只有通過(guò)MAC檢查的數(shù)據(jù)對(duì)象方可存取。MAC與DACDAC與MAC共同構(gòu)成DBMS的安全機(jī)制。1049.2.5視圖機(jī)制存取權(quán)限中的數(shù)據(jù)對(duì)象用視圖進(jìn)行限制。進(jìn)行存取權(quán)限控制時(shí)可以為不同的用戶(hù)定義不同的視圖，把數(shù)據(jù)對(duì)象限制在一定的范圍內(nèi)。即，通過(guò)視圖機(jī)制把要保密的數(shù)據(jù)對(duì)無(wú)權(quán)存取的用戶(hù)隱藏起來(lái)，從而自動(dòng)地對(duì)數(shù)據(jù)提供一定程度的安全保護(hù)。視圖機(jī)制更主要的功能在于提供數(shù)據(jù)獨(dú)立性，其安全保護(hù)功能太不精細(xì)，往往遠(yuǎn)不能達(dá)到應(yīng)用系統(tǒng)的要求。9.2.5視圖機(jī)制存取權(quán)限中的數(shù)據(jù)對(duì)象用視圖進(jìn)行限制。105用視圖進(jìn)行安全控制視圖機(jī)制與授權(quán)機(jī)制配合使用:首先用視圖機(jī)制屏蔽掉一部分保密數(shù)據(jù)然后在視圖上面再進(jìn)一步定義存取權(quán)限視圖機(jī)制可以間接實(shí)現(xiàn)支持存取謂詞的用戶(hù)權(quán)限定義。例:王平只能檢索計(jì)算機(jī)系學(xué)生的信息視圖的定義及授權(quán)語(yǔ)句參見(jiàn)P293.~294.用視圖進(jìn)行安全控制視圖機(jī)制與授權(quán)機(jī)制配合使用:106用視圖進(jìn)行安全控制：例例，P293.~294.視圖的定義及授權(quán)語(yǔ)句視圖定義中的SELECT語(yǔ)句,其WHERE子句中的條件就是一個(gè)存取謂詞。先建立計(jì)算機(jī)系學(xué)生的視圖:CREATEVIEWCS_StudentASSELECT*FROMStudentWHERESdept=‘CS’;在視圖上進(jìn)一步定義存取權(quán)限:GRANTSELECTONCS_StudentTO王平;用視圖進(jìn)行安全控制：例例，P293.~294.視圖的定義及1079.2.6審計(jì)前面介紹的用戶(hù)標(biāo)識(shí)和鑒別、存取控制僅是安全性標(biāo)準(zhǔn)的一個(gè)重要方面(安全策略方面)，不是全部(四個(gè)方面,參見(jiàn)P284.~285.)。為了使DBMS達(dá)到一定的安全級(jí)別，還需要在其他方面提供相應(yīng)的支持。如“審計(jì)”功能就是DBMS達(dá)到C2級(jí)以上安全級(jí)別必不可少的一項(xiàng)指標(biāo)。審計(jì)是一種預(yù)防監(jiān)測(cè)手段。9.2.6審計(jì)前面介紹的用戶(hù)標(biāo)識(shí)和鑒別、存取控制僅是安全性108審計(jì)功能審計(jì)功能：參見(jiàn)P294.能把用戶(hù)對(duì)DB的所有操作自動(dòng)記錄下來(lái)放入審計(jì)日志(AuditLog)中。DBA可以利用審計(jì)跟蹤的信息，重現(xiàn)導(dǎo)致DB現(xiàn)有狀況的一系列事件，找出非法存取數(shù)據(jù)的人、時(shí)間和內(nèi)容等。審計(jì)通常是很費(fèi)時(shí)間和空間的，往往作為可選特征。DBA可以根據(jù)應(yīng)用對(duì)安全性的要求，靈活地打開(kāi)或關(guān)閉審計(jì)功能。審計(jì)功能主要用于安全性要求較高的部門(mén)。審計(jì)功能審計(jì)功能：1099.2.7數(shù)據(jù)加密對(duì)于高敏感性數(shù)據(jù)，如口令、財(cái)務(wù)數(shù)據(jù)、軍事數(shù)據(jù)、國(guó)家機(jī)密，除以上安全性措施外，還可以采用數(shù)據(jù)加密技術(shù)。參見(jiàn)P294.數(shù)據(jù)加密是防止DB中數(shù)據(jù)存儲(chǔ)和傳輸中失密的有效手段。加密的基本思想：根據(jù)一定的算法將原始數(shù)據(jù)(稱(chēng)明文)變換為不可直接識(shí)別的格式(稱(chēng)密文),從而使不知道解密算法的人無(wú)法獲知數(shù)據(jù)的內(nèi)容。9.2.7數(shù)據(jù)加密對(duì)于高敏感性數(shù)據(jù)，如口令、財(cái)務(wù)數(shù)據(jù)、軍事110數(shù)據(jù)加密算法（參見(jiàn)P294.）加密算法主要有兩種:替換法、置換法替換法：使用密鑰(EncryptionKey)將明文中的每一個(gè)字符轉(zhuǎn)換為密文中的一個(gè)字符。置換法：將明文的字符按不同的順序重新排列。單獨(dú)使用這兩種方法的任意一種都是不夠安全的，但是將這兩種方法結(jié)合起來(lái)就能提供相當(dāng)高的安全程度。采用這種結(jié)合算法的例子是美國(guó)1977年制定的官方加密標(biāo)準(zhǔn)：數(shù)據(jù)加密標(biāo)準(zhǔn)(DES)。數(shù)據(jù)加密算法（參見(jiàn)P294.）加密算法主要有兩種:替換法111數(shù)據(jù)加密目前,有些DB產(chǎn)品提供了數(shù)據(jù)加密例行程序，有些數(shù)據(jù)庫(kù)產(chǎn)品本身未提供加密程序，但提供了接口，可根據(jù)用戶(hù)要求自動(dòng)對(duì)存儲(chǔ)和傳輸?shù)臄?shù)據(jù)進(jìn)行加密處理。數(shù)據(jù)加密解密比較費(fèi)時(shí)，會(huì)占大量系統(tǒng)資源。數(shù)據(jù)加密功能通常作為可選特征供用戶(hù)選擇。一般只對(duì)高機(jī)密度的數(shù)據(jù)加密。數(shù)據(jù)加密目前,有些DB產(chǎn)品提供了數(shù)據(jù)加密例行程序，有些數(shù)據(jù)1129.3統(tǒng)計(jì)數(shù)據(jù)庫(kù)的安全性統(tǒng)計(jì)數(shù)據(jù)庫(kù)的特點(diǎn)參見(jiàn)P295.允許用戶(hù)查詢(xún)聚集類(lèi)型的信息（例如合計(jì)、平均值等）不允許查詢(xún)單個(gè)記錄信息例：允許查詢(xún)“程序員的平均工資是多少？”不允許查詢(xún)“程序員張勇的工資？”9.3統(tǒng)計(jì)數(shù)據(jù)庫(kù)的安全性統(tǒng)計(jì)數(shù)據(jù)庫(kù)的特點(diǎn)113統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全性問(wèn)題：參見(jiàn)P295.即可能存在著隱蔽的信息通道，使可以從合法的查詢(xún)中推導(dǎo)出不合法的信息。

例1，下面兩個(gè)查詢(xún)都是合法的：

1.本公司共有多少女高級(jí)程序員？2.本公司女高級(jí)程序員的工資總額是多少？如果第一個(gè)查詢(xún)的結(jié)果是“1”，那么第二個(gè)查詢(xún)的結(jié)果顯然就是這個(gè)程序員的工資數(shù)。規(guī)則1：任何查詢(xún)至少要涉及N(N足夠大)個(gè)以上的記錄。統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全性問(wèn)題：參見(jiàn)P2114統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)1)例2：P295.用戶(hù)A發(fā)出下面兩個(gè)合法查詢(xún)：1．用戶(hù)A和其他N個(gè)程序員的工資總額是多少？2．用戶(hù)B和其他N個(gè)程序員的工資總額是多少？若第一個(gè)查詢(xún)的結(jié)果是X，第二個(gè)查詢(xún)的結(jié)果是Y，由于用戶(hù)A知道自己的工資是Z，那么他可以計(jì)算出用戶(hù)B的工資=Y-(X-Z)。原因：兩個(gè)查詢(xún)之間有很多重復(fù)的數(shù)據(jù)項(xiàng)。規(guī)則2：任意兩個(gè)查詢(xún)的相交數(shù)據(jù)項(xiàng)不能超過(guò)M個(gè)。統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)1)例2：P295.用戶(hù)A發(fā)出115統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)2)參見(jiàn)P295.可以證明：在上述兩條規(guī)定下，如果想獲知用戶(hù)B的工資額，A至少需要進(jìn)行1+(N-2)/M次查詢(xún)。規(guī)則3：任一用戶(hù)的查詢(xún)次數(shù)不能超過(guò)1+(N-2)/M。但，如果兩個(gè)用戶(hù)合作查詢(xún)就可以使這一規(guī)定失效。統(tǒng)計(jì)數(shù)據(jù)庫(kù)特殊的安全問(wèn)題(續(xù)2)參見(jiàn)P295.116數(shù)據(jù)庫(kù)系統(tǒng)安全性目標(biāo)安全保護(hù)策略很多，任何安全保護(hù)措施都是相對(duì)的，要付出一定代價(jià)的。參見(jiàn)P296.安全保護(hù)的原則：根據(jù)具體的應(yīng)用要求權(quán)衡安全要求和成本代價(jià)后再選擇合適的安全策略。數(shù)據(jù)庫(kù)系統(tǒng)安全保護(hù)的目標(biāo)：使得那些試圖破壞系統(tǒng)安全的人所花費(fèi)的代價(jià)>>他所能得到的利益。這也是整個(gè)數(shù)據(jù)庫(kù)系統(tǒng)安全機(jī)制設(shè)計(jì)的目標(biāo)。數(shù)據(jù)庫(kù)系統(tǒng)安全性目標(biāo)安全保護(hù)策略很多，任何安全保護(hù)措施都是相117SQLServer的安全性控制參見(jiàn)實(shí)驗(yàn)教材綜合實(shí)驗(yàn)1“數(shù)據(jù)庫(kù)的安全性控制”

P90.~106.SQLServer安全模式3種安全管理模式：標(biāo)準(zhǔn)、集成、混合管理數(shù)據(jù)庫(kù)用戶(hù)管理數(shù)據(jù)庫(kù)角色固定角色、自定義角色權(quán)限管理語(yǔ)句權(quán)限管理、對(duì)象權(quán)限管理SQLServer的安全性控制參見(jiàn)實(shí)驗(yàn)教材綜合實(shí)驗(yàn)1118SQLServer的安全性SQLServer的安全性機(jī)制可以劃分為4個(gè)等級(jí):(1)客戶(hù)機(jī)操作系統(tǒng)的安全性(2)SQLServer的登錄安全性(3)SQLServer數(shù)據(jù)庫(kù)的使用安全性(4)SQLServer數(shù)據(jù)庫(kù)對(duì)象的使用安全性用戶(hù)客戶(hù)機(jī)OS安全性SQLServer服務(wù)器SQLServerlogin數(shù)據(jù)庫(kù)DB訪(fǎng)問(wèn)權(quán)限數(shù)據(jù)庫(kù)對(duì)象訪(fǎng)問(wèn)DB許可權(quán)SQLServer的安全性SQLServer的安全性機(jī)制119SQLServer的安全體系結(jié)構(gòu)SQL服務(wù)器級(jí),DB級(jí),DB對(duì)象級(jí)安全性示意圖:DB(房間)用戶(hù)名權(quán)限訪(fǎng)問(wèn)資料服務(wù)器(樓)SQLServer登錄帳戶(hù):口令(鑰匙)NT登錄;SQL標(biāo)準(zhǔn)登錄(特殊帳戶(hù)sa)資料,DB對(duì)象資料,DB對(duì)象資料,DB對(duì)象資料,DB對(duì)象登錄帳戶(hù)映射為用戶(hù)名sa---dbo用戶(hù)名-鑰匙映射-換鑰匙dbo用戶(hù)名SQLServer的安全體系結(jié)構(gòu)SQL服務(wù)器級(jí),DB級(jí),D120SQLServer的安全認(rèn)證模式(登錄方式)(1)集成WindowsNT登錄方式P90.~91.NT的用戶(hù)和工作組映射為SQLServe