第8章 安全性
合集下载
食品毒理学：第八章 食品安全性毒理学评价程序
Ames检测方法：
❖首先一组雄性大鼠进行腹腔注射芳香族化合物如多 氯联苯油溶液等。以诱导大鼠肝脏酶系的活性，4
食品 《食品安全性毒理学 评价程序和方法》 GBl5193．1—1994
急性毒性试验
遗传毒性试验，致畸 试验，30 天喂养试验 亚慢性毒性试验，繁 殖试验，代谢试验 慢性毒性试验，致癌 试验
化妆品 《化妆品安全性评价 程序和方法》 GB7919-87
消毒产品 《消毒技术规范》第 8 章：消毒剂毒理试 验的程序和方法
第八章 食品安全性毒理学评 价程序
什么是毒理学安全性评价？
❖通过动物实验和对人群的观察，阐明 某种物质的毒性及潜在的危害，对该 物质能否投放市场作出取舍的决定， 或提出人类安全的接触条件，即对人 类使用这种物质的安全性作出评价的 研究过程称为毒理学安全性评价 (toxicological safety evaluation)。
▪ （1）食品添加剂、食品加工用微生物 ▪ （2）污染食品的有害物质 ▪ （3）新食物资源及其成分 ▪ （4）食品中其他有害物质
2 对受试物的要求
（1）提供受试物的有关资料
▪ 化学结构、组成成分和杂质 、理化性质、化学物的定 量分析方法、原料和中间体
（2）受试物必须是符合既定的生产工艺和配方的规 格化产品
❖世界各国对化学物质进行毒理学安全性评 价均以人类使用相对安全为前提。要知道，
绝对的安全是不可能存在的，评价的依据
是人类或社会能够接受的安全性。我国对 不同物质进行毒理学安全性评价中，对安 全性的要求是指中华人民共和国法律法规 允许下的安全，指我国社会发展到现今阶 段所能接受的危险度水平。
安全性毒理学评价程序的原则
急性毒性试验，皮肤、 急 性 毒 性 试 验 ， 皮 粘膜试验(皮肤刺激、 肤、粘膜试验 致敏、光毒、眼刺激)
第8章可证明安全性理论PPT课件
② 积极攻击 积极攻击中最强的攻击是适应性选择消息攻击， 即敌手可以访问一个签名预言机，它能够产生合 法的签名。敌手的目标是产生一个消息的签名， 当然这个消息不能是已经询问过签名预言机的消 息。
定义3 如果一个数字签名体制在适应性选 择消息攻击下能够抵抗存在性伪造，我们 就说该体制是安全的。
3．随机预言模型
在上面给出的多项式安全性的攻击游戏中，选择 密文攻击允许敌手在寻找阶段询问解密盒，但是 在猜测阶段不能询问解密盒。
③ 适应性选择密文攻击
适应性选择密文攻击是一种非常强的攻击 模型。除了目标密文外，敌手可以选择任 何密文对解密盒进行询问。目前普遍认为， 任何新提出的公钥加密算法都应该在适应 性选择密文攻击下达到多项式安全性。
（2）语义安全性
语义安全性与完美安全性类似，只是我们 只允许敌手具有多项式有界的计算能力。 从形式上说，无论敌手在多项式时间内能 从密文中计算出关于明文的什么信息，他 也可以在没有密文的条件下计算出这些信 息。换句话说，拥有密文并不能帮助敌手 找到关于明文的任何有用信息。
（3）多项式安全性
我们很难显示一个加密体制具有语义安全 性，然而，我们却可以比较容易显示一个 加密体制具有多项式安全性。多项式安全 性也称为密文不可区分性。幸运的是，如 果一个加密体制具有多项式安全性，那么 我们可以显示该体制也具有语义安全性。 因此，为了显示一个加密体制是语义安全 的，我们只需要显示该体制是多项式安全 的。
如果没有一个敌手能以大于一半的概率赢得以下游戏，我们就称这个加密体制具有密文不可区分性， 或具有多项式安全性。这个敌手A被告知某个公钥y及其相应的加密函数fy。敌手A进行以下两个阶 段：
寻找阶段：敌手A选择两个明文m0和m1。 猜测阶段：敌手A被告知其中一个明文mb的加密结果，这里的b是保密的。敌手A的目标是以大于一
定义3 如果一个数字签名体制在适应性选 择消息攻击下能够抵抗存在性伪造，我们 就说该体制是安全的。
3．随机预言模型
在上面给出的多项式安全性的攻击游戏中，选择 密文攻击允许敌手在寻找阶段询问解密盒，但是 在猜测阶段不能询问解密盒。
③ 适应性选择密文攻击
适应性选择密文攻击是一种非常强的攻击 模型。除了目标密文外，敌手可以选择任 何密文对解密盒进行询问。目前普遍认为， 任何新提出的公钥加密算法都应该在适应 性选择密文攻击下达到多项式安全性。
（2）语义安全性
语义安全性与完美安全性类似，只是我们 只允许敌手具有多项式有界的计算能力。 从形式上说，无论敌手在多项式时间内能 从密文中计算出关于明文的什么信息，他 也可以在没有密文的条件下计算出这些信 息。换句话说，拥有密文并不能帮助敌手 找到关于明文的任何有用信息。
（3）多项式安全性
我们很难显示一个加密体制具有语义安全 性，然而，我们却可以比较容易显示一个 加密体制具有多项式安全性。多项式安全 性也称为密文不可区分性。幸运的是，如 果一个加密体制具有多项式安全性，那么 我们可以显示该体制也具有语义安全性。 因此，为了显示一个加密体制是语义安全 的，我们只需要显示该体制是多项式安全 的。
如果没有一个敌手能以大于一半的概率赢得以下游戏，我们就称这个加密体制具有密文不可区分性， 或具有多项式安全性。这个敌手A被告知某个公钥y及其相应的加密函数fy。敌手A进行以下两个阶 段：
寻找阶段：敌手A选择两个明文m0和m1。 猜测阶段：敌手A被告知其中一个明文mb的加密结果，这里的b是保密的。敌手A的目标是以大于一
第8章WinCC用户管理和安全性
态的画面。 窗口选择 允许用户在Windows中切换各组态窗口。
2020年7月27日星期一
7
WinCC预置授权_2 ：
硬拷贝 允许用户硬拷贝当前的过程画面。 确认消息 允许用户确认消息。 锁定消息 允许用户锁定消息。 解锁消息 允许用户解锁(释放)消息。 消息编辑 允许用户组态报警。 启动归档 允许用户启动一个归档过程。
所需要的数据进行登陆。插入了芯片卡，则不能在系统上 手动登录。用户从芯片卡阅读器中取出芯片卡则取消登陆。 用户在设定时间之后自动注销所凭借的“自动注销”功能 将只能和芯片卡操作联合使用时才有效。
2020年7月27日星期一
12
说明二
• 自动退出登陆——所登录的用户可在所定义的时间之后自 动退出。这将避免未授权的人员，在当前登录的用户完成 控制操作之后，紧接着对系统进行未经许可的访问。当用 户自动退出，同一用户或其它用户在运行期间都可登录。 如果在输入域中输入“0”，则将取消激活该功能。
2020年7月27日星期一
4
用户管理工作
“用户管理器”编辑器用于对允许用户访问组态系统单个 编辑器的授权进行分配和检查，在运行期间对功能进行访问。
对WinCC功能的访问权限即“授权”的分配，既可以分配 给单用户，也可以分配给用户组。还可以在运行期间分配授权。
当用户登录到系统时，用户管理器将检查该用户是否已注 册。如果用户没有注册，将不会为其赋予任何授权。此时，该 用户既不能调用或查看数据，也不能执行控制操作。
用户的访问权限可以与图形画面的每个对象相连，从而 确定可访问的区域。
2020年7月27日星期一
6
WinCC预置授权_1：
用户管理 准许用户访问用户管理。如果设置了该授权， 则用户可以调用用户管理器并做改变。
2020年7月27日星期一
7
WinCC预置授权_2 ：
硬拷贝 允许用户硬拷贝当前的过程画面。 确认消息 允许用户确认消息。 锁定消息 允许用户锁定消息。 解锁消息 允许用户解锁(释放)消息。 消息编辑 允许用户组态报警。 启动归档 允许用户启动一个归档过程。
所需要的数据进行登陆。插入了芯片卡，则不能在系统上 手动登录。用户从芯片卡阅读器中取出芯片卡则取消登陆。 用户在设定时间之后自动注销所凭借的“自动注销”功能 将只能和芯片卡操作联合使用时才有效。
2020年7月27日星期一
12
说明二
• 自动退出登陆——所登录的用户可在所定义的时间之后自 动退出。这将避免未授权的人员，在当前登录的用户完成 控制操作之后，紧接着对系统进行未经许可的访问。当用 户自动退出，同一用户或其它用户在运行期间都可登录。 如果在输入域中输入“0”，则将取消激活该功能。
2020年7月27日星期一
4
用户管理工作
“用户管理器”编辑器用于对允许用户访问组态系统单个 编辑器的授权进行分配和检查，在运行期间对功能进行访问。
对WinCC功能的访问权限即“授权”的分配，既可以分配 给单用户，也可以分配给用户组。还可以在运行期间分配授权。
当用户登录到系统时，用户管理器将检查该用户是否已注 册。如果用户没有注册，将不会为其赋予任何授权。此时，该 用户既不能调用或查看数据，也不能执行控制操作。
用户的访问权限可以与图形画面的每个对象相连，从而 确定可访问的区域。
2020年7月27日星期一
6
WinCC预置授权_1：
用户管理 准许用户访问用户管理。如果设置了该授权， 则用户可以调用用户管理器并做改变。
第8章计算机安全
1.一个未经授权的用户访问了某种信息，则破坏了信息的可控性。
2.通讯的双方必须承认其接受信息或发送信息的事实，是指信息的不可抵赖性。
3.信息不暴露给未经授权的实体是指信息的保密性。
4.要求系统在规定的时间内和规定的条件下完成规定的功能，是指信息的可靠性。
5.下列情况中，破坏了数据的完整性的攻击是数据在传输中途被篡改。
6.下列情况中，破坏了数据的保密性的攻击是数据在传输中途被窃听。
7.使用大量垃圾信息，占用带宽（拒绝服务）的攻击破坏的是可用性。
8.数据备份主要的目的是提高数据的可用性。
9.计算机安全属性不包括及时性。
10.如果信息接收者已接收到信息，但不承认已接收，则破坏了信息的不可抵赖性。
11.向某个网站发送大量垃圾邮件，则破坏了信息的可用性。
12.如果信息在传输过程中被篡改，则破坏了信息的完整性。
13.密码技术不是用来实现信息的可控性。
14.网络安全的基本目标不包括实现信息的正确性。
15.数据备份保护信息系统的安全属性是可用性。
16.计算机安全的属性不包括数据的合理性。
17.保密数据的保密程度不包含私密。
18.密码技术主要保证信息的保密性和完整性。
19.计算机安全属性不包括语义正确性。
20.信息不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏的属性指的是完整性。
21.确保信息不暴露给未经授权的实体的属性指的是保密性。
22.通信双方对其收、发过的信息均不可抵赖的特性指的是不可抵赖性。
23.下面不属于可控性的技术是文件加密。
24.得到授权的实体需要时就能得到资源和获得相应的服务，这一属性指的是可用性。
26.计算机安全不包括操作安全。
27.在计算机安全所涉及的领域中，由硬件安全不完备所造成的信息泄露、丢失是指实体安全。
28.下列选项中，属于计算机病毒特征的是潜伏性。
29.下列选项中，不属于计算机病毒特征的是偶发性。
30.下列选项中，不属于计算机病毒特征的是周期性。
31.计算机病毒最主要的特征是传染性和破坏性。
SQLServer的安全性专题知识讲座
8. 4 管理数据库旳角色
固定数据库角色旳权限。 见P262
8. 4 管理数据库旳角色
8. 4. 2 创建顾客自定义角色 使用企业管理器创建顾客自定义角色
8. 4 管理数据库旳角色
8. 4. 3 删除顾客自定义角色 在企业管理器中，右击待删除角色，从弹
出旳快捷菜单中选择“删除”选项，并在 随即弹出确实认对话框中选择“是”就能 够删除一种顾客自定义角色。但需注意， 首先，系统固定旳数据库角色不能被删除； 其次，不能删除一种有组员旳角色，即必 须首先删除该角色旳组员，不然系统将提 醒应先删除其组员。
登录帐户到一种数据库中旳映射。 在企业管理器中删除一种数据库顾客
能够用鼠标右击欲删除旳顾客，从弹 出旳快捷菜单中选择“删除”选项。
8. 4 管理数据库旳角色
8. 4. 1 固定旳数据库角色 固定数据库角色是在每个数据库中都存在
旳预定义组。管理员能够将一种顾客加入 到一种或多种数据库角色中。固定数据库 角色不能被添加、修改或删除。SQL Server 在数据库级设置了固定数据库角色来提供 最基本旳数据库权限旳基本管理。 SQL Server提供了十种常用旳固定数据库角 色，这些固定数据库角色信息存储在系统 表sysusers中。
8. 2 管理服务器旳安全性
8. 2. 3 添加SQL Server身份验证登录 帐户 使用企业管理器添加登录帐户
8. 2 管理服务器旳安全性
8. 2. 4 添加Windows身份验证登录帐户 使用企业管理器添加登录帐户
8. 2 管理服务器旳安全性
8. 2. 5 修改登录帐户属性 能够在添加了新旳登录帐户后修改其属
8. 5 权限管理
1、使用企业管理器管理数据库顾客旳权限 2、使用企业管理器管理数据库角色权限 3、使用企业管理器管理数据库对象权限
计算机网络第8章
c = m e mod n
2. 接收方为了对收到的密文报文c解密, 则需计算
m = c d Βιβλιοθήκη od nm = (m e mod n) d mod n
c
8: 网络安全 8-19
RSA 例子:
Bob选择
p=5, q=7 那么 n=35, z=24 e=5 (因为5和24没有公因数) d=29 (因为5*29-1可以被24整除)
8: 网络安全
8-7
第八章 内容大纲
8.1 8.2 8.3 8.4 8.5 8.6 8.7 8.8 什么是网络安全? 密码学的原理 鉴别 完整性 密钥分发和认证 访问控制: 防火墙 攻击和对策 多个层次中的安全性
8: 网络安全 8-8
密码技术
Alice的 K 加密密钥 A 明文 加密 算法 密文 Bob的 K 解密密钥 B 解密 算法 明文
明文: bob. i love you. alice 密文: nkn. s gktc wky. mgsbc
Q: 破解这种简单密码方案的难易程度: 穷举法 其它方法
8: 网络安全 8-10
对称密钥密码学
KA-B
明文 报文, m
KA-B
密文 K
A-B
加密 算法
(m)
解密 算法
明文
m=K
A-B
( KA-B(m) )
对称密钥技术: 发送方和接收方的密钥是相同的 公钥技术: 加密密钥双方均知, 解密密钥仅一方知道
8: 网络安全
8-9
对称密钥密码学
置换密码: 用一种东西替换另一种东西
单码代替密码: 用一个字母替换另一个字母 明文: abcdefghijklmnopqrstuvwxyz 密文: mnbvcxzasdfghjklpoiuytrewq 例如:
第08章：安全信道
■ 消息编号十分重要，它们可以用于为加密算法提供需要的IV； 也可以让Bob拒绝重放的消息，同时不必保存一个大数据库； 它们可以告诉Bob在通信过程中丢失了那些信息；它们也能 保证Bob以正确的顺序接收消息。为此，消息号必须单调增 加(较后的消息必须有较大的消息号)而且是唯一的(没有两个 消息的消息号相同)。
2017/3/26
6
8.1、问题陈述：密钥
■ 如何建立密钥不是这里所关心的问题，我们假定密钥已经建 立，关于密钥的管理将在后面详细讨论。对密钥有如下的要 求：
只有Alice和Bob知道密钥K； 每次安全信道被初始化时，就会从密钥K产生一个新的值。
2017/3/26
7
8.1、问题陈述：密钥
2017/3/26
17
第二个理由是，它在处理假消息时更有效。对于正常的消息，不管 是哪种次序，Bob都必须进行消息解密和检查验证。如果消息是伪 造的（即有错误的MAC域），Bob最终将会丢弃。在先加密的方案中， Bob永远不会对一个假消息解密，因为在解密之前就已经识别这个 假消息，从而将它丢弃。但在先验证的方案中，Bob首先必须对消 息进行解密，然后再进行认证检查，这样对假消息处理就需要做更 多的工作。当Eve给Bob发送大量的假消息时，多做的工作不可小视。 在先加密的方案中，Bob节省了解密的时间，从而减轻了CPU的负担。
2017/3/26 21
8.2、认证和加密次序
■ 论证哪种操作顺序更需要花些时间。两种方案均可造就一个好 的系统，也可以产生一个坏的系统。每种系统各有其优缺点，采 用哪种操作取决于更侧重于什么。我们选择认证优先，因为安全 性和简单性对于节省CPU时间来说更重要。
2017/3/26
22
8.3、概述：编号
2017/3/26
6
8.1、问题陈述：密钥
■ 如何建立密钥不是这里所关心的问题，我们假定密钥已经建 立，关于密钥的管理将在后面详细讨论。对密钥有如下的要 求：
只有Alice和Bob知道密钥K； 每次安全信道被初始化时，就会从密钥K产生一个新的值。
2017/3/26
7
8.1、问题陈述：密钥
2017/3/26
17
第二个理由是，它在处理假消息时更有效。对于正常的消息，不管 是哪种次序，Bob都必须进行消息解密和检查验证。如果消息是伪 造的（即有错误的MAC域），Bob最终将会丢弃。在先加密的方案中， Bob永远不会对一个假消息解密，因为在解密之前就已经识别这个 假消息，从而将它丢弃。但在先验证的方案中，Bob首先必须对消 息进行解密，然后再进行认证检查，这样对假消息处理就需要做更 多的工作。当Eve给Bob发送大量的假消息时，多做的工作不可小视。 在先加密的方案中，Bob节省了解密的时间，从而减轻了CPU的负担。
2017/3/26 21
8.2、认证和加密次序
■ 论证哪种操作顺序更需要花些时间。两种方案均可造就一个好 的系统，也可以产生一个坏的系统。每种系统各有其优缺点，采 用哪种操作取决于更侧重于什么。我们选择认证优先，因为安全 性和简单性对于节省CPU时间来说更重要。
2017/3/26
22
8.3、概述：编号
第8章--数据完整性和安全性
最新课件 4
8．1．2 数据完整性 根据数据完整性措施所作用的数据库对象和范
围不同，可以将数据完整性分为以下几种： 1、实体完整性 又称为行完整性。它把表中的每行都看作一个
实体，要求所有行都具有惟一标识。在SQL Server中，可以通过建立PRIMARY KEY约束、 UNIQUE约束等措施来实施实体完整性。例如， 对“客户信息表”，客户编号就可以作为主键， 每个客户的编号能够惟一地确定该客户对应的 记录信息，那么在输入数据时，则不能有相同 客户编号的记录存在，通过对客户编号这一字 段建立主键约束，可实现“客户信息表”的实 体完整性。
最新课件 13
8．3 触发器及其创建
1、触发器的功能 触发器是一种特殊类型的存储过程，与表紧密相连。
当用户修改表中的数据时，触发器将自动执行，使用 触发器可以实现多个表间数据的一致性。一般可以使 用触发器完成如下功能： （1）级联修改数据库中相关的表。如在产品信息数 据库中有两个表：客户表cust_table 和订单表 order_table。订单表order_table中包含订单信息和 有业务往来的客户信息。如果出于某一需要删除了客 户表cust_table中的某一客户信息，那么在订单表 order_table中所有与该客户有关的记录都应该做相应 的调整。
VALUES (‘1001’, ‘JCP Inc.’, 500000, ‘张言’, ‘53412573’)
GO
最新课件 20
用户在创建触发器以后的使用过程中， 可能会发现使用触发器虽然可以保证数 据引用的完整性，但却会影响系统性能； 有时要将触发器升级为新版本，这都需 要删除触发器,可以在图8.2所示的“定义 触发器的界面”中选定相应的触发器名 称后，单击“删除”按钮，也可以用TSQL语句删除。删除触发器的语句为：
8．1．2 数据完整性 根据数据完整性措施所作用的数据库对象和范
围不同，可以将数据完整性分为以下几种： 1、实体完整性 又称为行完整性。它把表中的每行都看作一个
实体，要求所有行都具有惟一标识。在SQL Server中，可以通过建立PRIMARY KEY约束、 UNIQUE约束等措施来实施实体完整性。例如， 对“客户信息表”，客户编号就可以作为主键， 每个客户的编号能够惟一地确定该客户对应的 记录信息，那么在输入数据时，则不能有相同 客户编号的记录存在，通过对客户编号这一字 段建立主键约束，可实现“客户信息表”的实 体完整性。
最新课件 13
8．3 触发器及其创建
1、触发器的功能 触发器是一种特殊类型的存储过程，与表紧密相连。
当用户修改表中的数据时，触发器将自动执行，使用 触发器可以实现多个表间数据的一致性。一般可以使 用触发器完成如下功能： （1）级联修改数据库中相关的表。如在产品信息数 据库中有两个表：客户表cust_table 和订单表 order_table。订单表order_table中包含订单信息和 有业务往来的客户信息。如果出于某一需要删除了客 户表cust_table中的某一客户信息，那么在订单表 order_table中所有与该客户有关的记录都应该做相应 的调整。
VALUES (‘1001’, ‘JCP Inc.’, 500000, ‘张言’, ‘53412573’)
GO
最新课件 20
用户在创建触发器以后的使用过程中， 可能会发现使用触发器虽然可以保证数 据引用的完整性，但却会影响系统性能； 有时要将触发器升级为新版本，这都需 要删除触发器,可以在图8.2所示的“定义 触发器的界面”中选定相应的触发器名 称后，单击“删除”按钮，也可以用TSQL语句删除。删除触发器的语句为：
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
授权角色和组（SQL99）
Roles permit common privileges for a class of users can be specified just once by creating a corresponding “role” Privileges can be granted to or revoked from roles, just like user Roles can be assigned to users, and even to other roles
数据库安全性控制概述
数据库安全性
问题的提出
数据库的一大特点是数据可以共享 但数据共享必然带来数据库的安全性问题 数据库系统中的数据共享不能是无条件的共享
例：军事秘密、 国家机密、 新产品实验数据、 市场需求分析、市场营销策略、销售计划、 客户档案、 医疗档案、 银行储蓄数据
数据库安全性（续）
例：王平只能检索计算机系学生的信息
先建立计算机系学生的视图CS_Student
CREATE VIEW CS_Student AS SELECT FROM Student WHERE Sdept='CS'；
视图机制（续）
在视图上进一步定义存取权限 GRANT SELECT
ON CS_Student
TO 王平 ；
create role manager grant select on employee to manager grant insert,update,delete on job-title to manager grant execute on payroll to manager grant mamager to user1
with grant option: allows a user who is granted a privilege to
pass the privilege on to other users.
Example:
grant select on branch to U1 with grant option gives U1 the select privileges on branch and allows U1 to grant this privilege to others
2 用户标识与鉴别
基本方法
系统提供一定的方式让用户标识自己的名字或身份； 系统内部记录着所有合法用户的标识； 每次用户要求进入系统时，由系统核对用户提供的身 份标识；
通过鉴定后才提供机器使用权。
用户标识和鉴定可以重复多次
用户标识自己的名字或身份
用户名/口令 简单易行，容易被人窃取 每个用户预先约定好一个计算过程或者函数 系统提供一个随机数 用户根据自己预先约定的计算过程或者函数进行 计算 系统根据用户计算结果是否正确鉴定用户身份 有些DBMS除了访问DBMS的账号外，为了访问制 定的数据库，还需要另外的账号
自主存取控制方法
授权 视图 角色和组 回收权限 模式schema 其他问题
视图机制（续）
视图机制与授权机制配合使用:
首先用视图机制屏蔽掉一部分保密数据 视图上面再进一步定义存取权限
实现了水平子集和垂直子集上的安全 间接实现了支持存取谓词的用户权限定义
视图机制（续）
破坏安全性的行为可能是无意的，故意的，恶意
的。
计算机系统中的安全模型
安全性控制层次
高 低
应用
DBMS
OS
DB
方法：
用户标识 和鉴定
存取控制 审计 视图
操作系统 安全保护
密码存储
用户标识与鉴别
2 用户标识与鉴别
用户标识与鉴别（Identification
&
Authentication）
系统提供的最外层安全保护措施
视图的权限问题
如果一个用户创建了一个对象（关系／视图／角色），则拥有对此基表 的全部权限（包括授予别人权限的权限）！ 创建视图不需要授权，如果对基表没有任何权限，系统会拒绝创建视图！
Granting a privilege on a view does not imply granting any privileges on the underlying relations.
操作类型 建立、修改、删除、检索 修改、删除、检索 查找、插入、修改、删除 查找、插入、修改、删除 执行 创建、改变、使用 执行 创建、删除
自主存取控制方法（续）
检查存取权限
对于获得上机权后又进一步发出存取数据库操作
的用户
DBMS查找数据字典，根据其存取权限对操作
的合法性进行检查
若用户的操作请求超出了定义的权限，系统将
GRANT REFERENCES ON C（CNO） TO BAO WITH GRANT OPTION
GRANT USAGE ON DOMAIN AGE TO CHEN
SQL中的权限操作实例
grant create table
create index
to user5，user9
grant trace to user6 grant execute on proc1 to user1,user9
防止有人进行物理破坏。 职员级：工作人员应清正廉洁，正确授予用户访 问数据库的权限。 OS级：应防止未经授权的用户从OS处着手访问 数据库。 网络级：由于大多数DBS都允许用户通过网络进 行远程访问，因此网络软件内部的安全性是很重 要的。 DBS级：DBS的职责是检查用户的身份是否合法 及使用数据库的权限是否正确。
自主存取控制方法
同一用户对于不同的数据对象有不同的存取
权限
不同的用户对同一对象也有不同的权限 用户还可将其拥有的存取权限转授给其他用
户
强制存取控制方法
每一个数据对象被标以一定的密级
每一个用户也被授予某一个级别的许可证 对于任意一个对象，只有具有合法许可证
的用户才可以存取
自主存取控制方法
数据库系统与技术
安 全 性
汤 娜 中山大学计算机科学系
isstn@
系统篇
数据库完整性 数据库恢复技术
并发控制
数据库安全性
数据库安全性
1 2 3 4 5 6 7 8 9 数据库安全性控制概述 用户标识与鉴别 存取控制 自主存取控制方法 强制存取控制方法 审计 数据加密 鉴定 应用程序的安全
3 存取控制
3 存取控制
存取控制机制的功能
存取控制机制的组成 定义存取权限 检查存取权限
用户权限定义和合法权检查机制一起组成了 DBMS的安全子系统
存取控制（续）
常用存取控制方法
自主存取控制（Discretionary Access Control ，
简称DAC） C2级 灵活 强制存取控制（Mandatory Access Control，简 称 MAC） B1级 严格
给一个角色制定权限，然后把角色赋予用户 给用户制定内建的权限组
有的DBMS中的角色就是组，或者组就是角色
授权角色和组
角色
一旦定义一个角色，该角色便可以被用来给用户
赋予一个或多个预先分配好的权限，DBA可以创 建角色并给这个角色分配特定的权限，然后再将 这个角色分配给一个或多个用户或或者角色
E.g. if creator of view cust-loan had only read authorization on borrower and loan, he gets only read authorization on cust-loan
自主存取控制方法
授权 视图 角色和组 回收权限 模式schema 其他问题
The grantor of the privilege must already hold the privilege on
the specified item (or be the database administrator).
SQL中的权限操作实例
GRANT SELECT，UPDATE ON S TO WANG WITH GRANT OPTION GRANT INSERT ON SC （Sno，Cno） TO LOU WITH GRANT OPTION
安全标准
为降低进而消除对系统的安全攻击，各国引用或制 定了一系列安全标准
TCSEC (桔皮书) TDI (紫皮书)
可信计算机系统评测标准（续）
TCSEC/TDI安全级别划分
安级别
定
义
A1
B3 B2 B1 C2 C1 D
验证设计（Verified Design）
安全域（Security Domains） 结构化保护（Structural Protection） 标记安全保护（Labeled Security Protection） 受控的存取保护（Controlled Access Protection） 自主安全保护（Discretionary Security Protection） 最小保护（Minimal Protection）
什么是数据的保密
数据保密是指用户合法地访问到机密数据后能否
对这些数据保密。 通过制订法律道德准则和政策法规来保证。
数据库安全性级别
安全性与完整性的比较
安全性:非法用户对数据库故意的破坏 完整性:合法用户的数据库不经意的破坏
数据库安全性级别
安全性级别
环境级：计算机系统的机房和设备应加以保护，
The creator of a view gets only those privileges that provide no additional authorization beyond that he already had.