第七章 数据库加密与安全

应用层 中间层
Sql server
DB2
Oracle Unix
windows
各种硬件平台
22
三 数据库安全策略
• 1 异构数据库的安全分析 • 每个结点服务器还能自治实行集中式安全管理 和访问控制，对自己创建的用户、规则、客体 进行安全管理。如由DBA或安全管理员执行本部 门、本地区、或整体的安全策略，授权特定的 管理员管理各组应用程序、用户、规则和数据 库。因此访问控制和安全管理尤为重要。 • 数据库安全问题在异构环境下变得更加复杂。
select * from user where name='alice ' or ' 1 '='1 ';
–数据库管理员DBA ，负责自主存取控制及系统维护 与管理方面的工作 –数据库安全管理员SSO负责强制存取控制 –数据库审计员Auditor 负责系统的审计。 –各行其责,相互制约,可靠地保证数据库的安全性。
26
• 4自主访问与强制访问控制 • 自主访问控制就是对主体(用户)访问客体(数据 库对象)的操作权限实施控制，目的就是要保证 用户只能存取他有权存取的数据，当用户拥有 数据库对象上的某些操作权限及相应的转授权 时，可以自由地把这些操作权限部分或全部转 授给其他用户，从而使得其他用户也获得在这 些数据库对象上的使用权限 。 • 强制访问控制是通过给主体(用户)和客体(数据 对象)指定安全级，并根据安全级匹配规则来确 定某主体是否被准许访问某客体
13
• 3 数据库加密方法
– 库内加密 – 经典的数据库三层模式 – 数据库数据加密问题的核心就是在数据的各个层次 的映射过程中增加一个加密映射层次，或者称之为 加密模式。 – 加密映射层次位于内模式和存储模式之间为好。 – 加密单位或者粒度可以是表、记录、域或数据元素。
• 显然所选择的加密粒度越精细，需要掌管的加密密钥的数 量就愈大，密钥管理的难度和复杂性就越高。 • 粒度细化，加密、解密的针对性比库外加密方式更强，所 以原则上讲时空效率应当说是比较好的。 • 有利于和数据存取访问控制机制、授权机制等数据库安全 机制的结合
第七章 数据库加密与安全
1
• 数据库
– 概念 – 数据模型
2
• 数据库安全的要求 • 数据库加密技术 • 数据库安全策略
3
一 数据库安全的要求
• 数据加密是否足够？
S sno
9501 sname alice Sno 9501 Cno 1 Grade 92
SC
9502
bob
9502388来自• • • •12
• 3 数据库加密方法
–库外加密 –由文件系统内对数据进行加/解密 –库外加密方式的优点
• 对数据库管理系统DBMS的特殊要求比较少，实现上只 要增加一个中间层次负责加解密数据即可。相对于其它 方法，密钥的管理也简单得多，与操作系统内部文件加 密的密钥管理基本相同。
–库外加密方式的缺点
• 但是由于数据在查找是必须全部进行解密操作，因此往 往需要付出较大的时空代价。
14
• 3 数据库加密方法
– 硬件加密 – 硬件加密主要解决静态数据加密问题。
15
• 4 数据库加密算法
– 数据长时间保存，运行中又要对数据进行反复操作， 操作时机又是随机的。 – 适用于数据库环境的特殊的数据库加密技术。
• （1）子密钥数据库加密算法 • （2）秘密同态算法
16
– 经过加密的数据经得起来自OS和DBMS的攻击； – 另一方面，DBMS要完成对数据库文件的管理和使 用，必须具有能够识别部分数据的条件。 – 因此，只能对数据库中数据进行部分加密。 – 下面列出一些不能加密的数据：
31
• Sql=“select * from user where name=„”+userName+”‟;”
• 正常情况下在输入框中输入alice，则userName 为alice • 这样该语句为 • Select * from user where name=„alice‟;
32
Sql="select * from user where name='"+userName+"'; " 攻击：在输入框中输入alice' or ' 1 '='1
•实时响应
– 重要的系统应采取安全控制实时终端，专门处理各 类报警信息。
6
一 数据库安全的要求
•完整性 •安全性 •可恢复性
7
• 数据库安全
– 系统实体安全
• 环境安全、设备安全、媒体安全
– 系统运行安全
• 审计跟踪、分险分析、备份与恢复、灾难应急
– 系统信息安全
• 身份鉴别、访问控制、病毒防护、数据库加密
–3．DBMS外层加密 –常用的方法是将数据库加密系统做成DBMS的一个 外层工具。 –运算可以放在客户端进行，不会加重数据库服务器 的负载并可实现网上传输加密，缺点是加密功能会 受一些限制。
20
三 数据库安全策略
• 1 异构数据库的安全分析 • 异构环境的系统具有可扩展性，能管理分布或 联邦数据库环境
27
• 5 隐通道分析技术 • 自主和强制访问控制限制了系统中的信息只能 由低安全级主体向高安全级主体流动。 • 低安全级主体仍然可以通过其他方式获得高安 全级主体的信息，隐通道就是其中的一种。 • 隐通道是系统的一个用户以违反系统安全策略 的方式传送信息给另一用户的机制。 • 它往往通过系统原本不用于数据传送的系统资 源来传送信息，并且这种通信方式往往不被系 统的访问控制机制所检测和控制。
8
一 数据库安全的要求
• 数据库安全标准 • 1985年美国国防部正式颁布的《DoD可信计算 机系统评估标准》TCSEC • 1991年4月美国国家计算机安全中心颁布了《可 信计算机系统评估标准关于可信数据库系统的 解释》简记为TDI。将TCSEC扩展到数据库管 理系统。 • TDI中定义了数据库管理系统的设计与实现中 需满足和用以进行安全性级别评估的标准。
– 数据库在三个层次上异构 – 平台层的异构性包括不同的计算机、操作系统或通 信协议。同时各系统也会采用不同的编程语言和编 译环境。 – 系统层的异构性是指不同的数据库管理系统或文件 系统它们基于不同的数据模型、提供不同的语言。 – 数据语义层的异构是由于不同的数据库是独立设计 的。不同的系统采用不同的方式去描述他们的数据 即使相同的信息也可能采用不同的数据模式来表示 21 因此不同的数据语义之间存在很大的差异。
若S中9501被删除 即使是合法用户也会无意破坏数据 建立完整性规则 数据完整性：保证用户对数据进行操作时，不仅要保 证数据是正确的，还要保证数据之间的关系是正确的。
4
一 数据库安全的要求
•数据库多用户共享，如何跟踪对数据库的操作？ •审计能力
– 能对数据库中的访问操作进行跟踪，保存记录下谁、何时、 何地的访问被拒绝，因何拒绝，记录下数据库查询、密码利 用率、终端动作、系统利用率、错误情况及重新启动和恢复 等；
23
• • • • • •
1 异构数据库的安全分析 异构环境的数据库安全策略有： （1）全局范围的身份验证。 （2）全局的访问控制，以支持各类局部访问控制。 （3）全局完整性控制。 （4）网络安全管理，包括网络信息加密、网络入侵防 护和检测等。 • （5）审计技术。 • （6）数据库及应用系统安全，如自动的应用系统集成、 对象管理等。 • （7）复杂的口令管理技术。包括数据库中多个事务的 口令同步；异构数据库间的口令同步，如Oracle 和 Unix口令；用户初始的口令更新；强制口令 更新；口 令可用性、口令的时间限制、口令的历史管理、口令 等级设置等。 24
10
二 数据库加密技术
• 1 数据库加密的必要性 • 2 数据库加密的特点(技术要求)
– – – – 字段加密 密钥动态管理 合理处理数据 不影响合法用户的操作
11
二 数据库加密技术
• 3 数据库加密方法
– 数据库的数据组织方式可以有很多种类 – 一个数据库表对应一个操作系统管理的文件 – 整个数据库组织为一个大的文件，甚至可以是跨硬 件设备文件卷的大文件。 – 一些数据库管理系统将操作系统的功能接管过来， 整个数据库管理系统包括了操作系统的文件系统功 能，形成专用的数据库系统。
9
一 数据库安全的要求
安全级别
A1
定义
验证设计（Verified Design）
B3
B2 B1 C2 C1 D
安全域（Security Domains）
结构化保护（Structural Protection） 标记安全保护（Labeled Security Protection） 受控的存取保护（Controlled Access Protection） 自主安全保护（Discretionary Security Protection） 最小保护（Minimal Protection
• 8）口令安全漏洞检查和系统终止。包括检查系 统终止前登录失败的次数，系统终止前登录成 功与登录失败间的时间间隔，跟踪企图登录的 站点地址。 • （9）口令加密、审计技术。包括发现口令漏洞, 记录口令历史, 记录对表、行、列的访问,记录 应用系统的访问等。
25
• 2 三权分立的安全机制
• 传统数据库管理机制使得DBA 权力过于集中,存 在安全隐患。 • 多级安全代理模型在安全管理方面采用三权分 立的安全管理体制,把系统管理员分为
• 索引字段不能加密 • 关系运算的比较字段不能加密 • 表间的连接码字段不能加密
17
二 数据库加密技术
• 5 数据库加密的不同层次
– 1．操作系统（OS）层加密 – 这种方式由于很难确认数据库文件中的数据关系， 从而无法产生合理的密钥，也无法进行合理的密钥 管理和使用。所以，在OS层对数据库文件进行加密， 对于大型数据库来说，目前实现比较难。