数据库层上的细粒度访问控制技术

用户
用户 用户 用户 用户
表 1 访问控制矩阵
Tab. 1 Access control matrix
目标 R、W、Own
R R
目标 目标
R、W、Own R、W R、W角色的权限，
Obj 1
因此这里不涉及角色粒度的问题。
User A
User B
User C
2）访问控制列表（Access Control List，ACL）
访问控制列表中，每个客体附加一个它可以访 问的主体的明细表，访问控制列表包含的条目指定 或排除单个用户和组对其相关联的客体的访问权 限（如图 2）。理论上这种方法可以实现任何粒度
图 2 访问控制列表
Fig. 2 Access control list
目前，随着数据库技术的应用越来越广泛，使 用数据库的用户数量的增多以及数据内容的敏感 程度的加强，数据库的安全也变得更加重要。为了 保证数据库中的数据不受到非授权的查看和修改， 必须控制用户对数据的访问。虽然一个数据库中的 数据都是相互关联的，但是这些数据的敏感程度可 能不相同，例如，职工的工资信息可能比较敏感， 普通用户不能看到职工的工资信息，但是能查看其 他信息，而另一些高级用户却可以查看职工的所有 信息。这时必须对数据库中的数据实施访问控制。
1.1 传统的访问控制模型
当前存在 3 种主要的访问控制模型 [2]，它们的 基本组成如图 1 所示：
1） 自主 访 问控 制 (Discretionary (or Userbased) Access Control， DAC) 它定义所有用户 都可以访问数据库。它是基于数据所有者能保护其 他用户的访问权的假设，这种访问权限的典型使用 是在操作系统中的文件级别 (如 UNIX 文件系统)。
3）访问能力表（Capabilities， CL）
访问能力表中，每个主体都附加一个该主体可 访问的客体的明细表，指定主体可以访问的客体以 及主体对客体相应的访问方式 (如图 3)，由于能力 表与主体相关联，当某个访问请求需进行生效检查 时，则按访问请求的主体找到能力表逐项核对以决 定其是否有效，它也可以实现细粒度的控制，但在 一个特定时刻判断哪些主体对一个课题具有访问 权限比较困难，使访问权限的撤销变得复杂。
第 30 卷 第 4 期 2006 年 7 月
燕山大学学报 Journal of Yanshan University
文章编号：１００７－７９１Ｘ （２００６） ０４－０３４５－０４
Vol. 30 No. 4 July 2006
数据库层上的细粒度访问控制技术
韩言妮 1，刘国华 1，沈兵红 2
（1. 燕山大学 信息科学与工程学院，河北 秦皇岛 066004；2. 燕山大学 里仁学院，河北 秦皇岛 066004）
表 2 视图访问控制机制
Tab. 2 The mechanism of view-based access control
客体 客体定义: Database、Table、View 客体内容: Table、View
特权 Create、Drop、Alter Insert、Delete、Select、Update、Reference、Index
应用程序
查询 结果
安全机制 数据库
图 5 VPD 允许将安全机制转移到数据库内 Fig. 5 VPD permit to transfer the safe mechanism to the
database
348
燕山大学学报
2006
虚拟私有数据库包括两个组件: 细粒度访问控 制（Fined-Grained Access Control）和应用程序上 下文（Application Context），下面对其进行简单的 介绍：
粒度
N/A Column、Row、Aggregate Function
1.3 细粒度访问控制实施的层次
在访问数据库方式（如在本地、通过 Intranet、 Internet） 日益多样的今天，仅仅在应用程序层实 施安全策略进行访问控制设计是不够的，因为某些 软件如 SQL*PLUS 可以方便的绕过系统的安全机 制直接的访问数据，对数据库造成很大的安全隐患 如图 4 所示，除此之外，它还存在着下面的缺点 ： [5]
至关重要。
2 数据库层上的细粒度访问控制
2.1 虚拟私有数据库（Virtual Private Database， VPD）
Oracle9i 的数据库功能－虚拟私有数据库 [6] 能 够为用户提供服务器强化的、细粒度的访问控制及 一个安全的应用程序环境，可使多个客户和合作伙 伴能够安全和直接地访问任务的关键数据。VPD 系统的安全策略（Security Policy）直接捆绑在需 要保护的数据库、表、视图上，用户在访问表、视 图中的数据时，自动激活安全策略，对数据实施保 护，从而使任何试图绕过安全机制直接访问数据库 的努力成为徒劳，从而避免了在应用程序层现在的 缺陷，具体如图 5 所示，这种数据库根据用户的访 问权限进行逻辑分割（精确到“行级”粒度），确 定用户只能访问与其权限相对应的数据，称为虚拟 私有数据库。虽然它在物理上只有一个数据库，但 是对系统用户存在很多个私有的数据库。
User A
Obj 1
Own R W
o
Obj 2 R
o
Obj 3
R W
o
图 3 访问能力表 Fig. 3 Capabilities
4）视图（View） 在 DBMS 中 SQL 被用来对数据库用户和数据
第4期
韩言妮 等 数据库层上的细粒度访问控制技术
347
库客体的访问实现自主控制。这些客体可能是客体 用户访问此视图。视图对数据的访问粒度包含：1）
发起者 Initiator
提出访 问请求
访问控制实施功能 AEF
提出访 问请求
目标 Target
Own
R
R
R
W
W
o
o
o
请求决策
决策
访问控制决策功能 ADF
图 1 访问控制模型的基本组成 Fig. 1 The basic composition of access control model
1.2 细粒度访问控制的实现机制
1） 访问控制必须在每个用户的接口被检测， 这无疑增加了全部代码的大小，并且访问控制策略 的任何变动都需要改变大量的代码；
2）所有的安全策略必须被实施到每一个构建 在这个数据项上的应用中来）例如 OLTP 和决策支 持应用使用相同的基本数据）；
3）假定应用代码非常大，十分有可能忽略了 那些被开发的漏洞，从而破坏安全策略，例如: 对 于应用程序员来说，设计不当的小服务程序，很容 易创建恶意的陷门，因为在一个大型的应用程序 中，不可能检查每一行的代码。
但是上述两种模型的一个主要缺点在于：在数 据库中被执行的查询，对于用户来说是一个透明的 修改，这样可能引起用户期望看到的结果与系统返 回的结果存在不一致的问题。
1）细粒度访问控制
细粒度访问控制是通过 SQL 语句上的 Where 子句部分的动动态谓词（Dynamic Predicate）而作 用的。动态谓词是动态的附加在 Where 子句上的 一个或多个限定条件，即所谓的安全策略。这些过 程是数据库在执行之前的解析阶段自动添加的，实 时透明的修改 SQL 语句，对表或视图中的数据进 行保护。
1） 访 问 控 制 矩 阵 (Access Control Matrix， ACM)
访问控制矩阵 [3] 中，行对应于用户，列对应 于目标，每个矩阵元素规定了相应的用户对应于相 应的目标被准予的访问许可、实施行为。按列看是 访问控制表内容，按行看是访问能力表内容（如表 1）。虽然它可以实现任意细粒度的访问，但它具有 不可伸缩性，在大量的元组和用户的系统设计中， 几乎不能实现，随着对象列表的更新，这种信息安 全的维护也十分困难。
控制，国内自主开发的 OpenBASE Secure 安全数 据库系统采用了 MAC 机制，按照敏感程度的不同， 提供了元组级安全标记，使对数据库客体的访问控 制最小粒度达到元组级。MAC 和 DAC 并不是完 全相互排斥的，由于两者均能实现对不同种类信息 访问的安全控制，在任何信息需要保护的情况下， 强制策略控制前提下的自主安全提供更细致的控 制粒度。而 RBAC 主要采用角色的机制，在一定
2.2 Truman 模型
Truman 模型 [5] 扩展视图的思想，根据应用程 序上下文提出参数视图，DBA 为每个用户提供一 个完整的数据库的个人受约束的参数授权视图，当 用户提出查询时，这个查询通过相应的参数视图来 替换查询中涉及的关系，从而透明的修改来确保用 户不能够查看多于自己数据库视图的任何数据，这 就是所谓的“授权－透明”查询，其中这种查询的 修改，对于用户来说是不可见的，是透明的。
摘 要：讨论了数据库安全的一个前沿屏蔽－访问控制的问题，并且针对当今数据库的发展需求，重点介绍了 细粒度的访问控制技术以及它的实施层次问题，在此基础上，详细的阐述了对数据库层次上的细粒度访问控制 的问题。
关键词：访问控制；视图；粒度
中图分类号：ＴＰ３０９．２
文献标识码：Ａ
0 引言
1 细粒度访问控制技术
用户
查询 安全机制
结果
应用程序
查询 结果
数据库
图 4 在应用程序内查询安全策略 Fig. 4 Execute the safe mechanism in application program
因此，为了确保数据安全性而在数据库端强制 执行“行级”（row-level）的细粒度访问控制变得
用户
查询 结果
2）强制访问控制 (Mandatory (or Label-based) Access Control，MAC) 它要求数据项根据安全级 别分类，用户被明确分配访问权限。当用户访问 时，只能访问相应级别的数据项，如果访问控制规 则满足就允许数据访问，否则拒绝。